Delegado de protección de datos (DPO)
El delegado de protección de datos es la persona que una organización designa para informar, asesorar y supervisar el cumplimiento de la normativa de protección de datos, y para actuar como punto de contacto con la autoridad de control y con los interesados. El puesto es independiente por diseño: reporta al nivel más alto de la dirección y no se le pueden dar instrucciones sobre cómo hacer su trabajo.
La designación es obligatoria según el reglamento en tres situaciones: las autoridades públicas, las organizaciones cuyas actividades principales exigen una observación habitual y sistemática de personas a gran escala, y aquellas cuyas actividades principales suponen el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas penales. La legislación española añade una lista de supuestos concretos en los que se exige y obliga a comunicar la designación a la AEPD. Fuera de esos casos es voluntaria, y nombrarlo de forma voluntaria arrastra consigo los mismos requisitos de independencia.
La restricción que más problemas causa en la práctica es el conflicto de intereses. El puesto no lo puede ocupar quien determina cómo y por qué se tratan los datos personales, lo que descarta al responsable de sistemas, al de marketing y, en la mayoría de las estructuras, al responsable de seguridad de la información. Nombrar delegado de protección de datos al responsable de seguridad porque es el experto más a mano es un arreglo frecuente y defectuoso.
Para un equipo técnico, esta es la persona que lee una evaluación de seguridad buscando sus implicaciones de privacidad y que tiene que responder por lo que se decidió. Eso cambia cómo se escribe un informe: los hallazgos que tocan datos personales necesitan, junto al detalle técnico, las categorías de datos implicadas, el volumen, la retención y la base jurídica, porque sin eso el delegado no puede actuar sobre ellos. Así los escribimos en el trabajo de protección de datos donde los hallazgos técnicos se redactan para quien tiene que actuar sobre ellos.