DPO Data Protection Officer.

Para qué sirve la figura

El Data Protection Officer es la persona que una organización designa para mantener la integridad de su tratamiento de datos personales conforme al GDPR. Su función no es dirigir proyectos de privacidad ni dar el visto bueno a la conformidad, sino supervisar si la organización hace lo que la ley y sus propias políticas exigen, asesorar al responsable y al encargado del tratamiento, formar y concienciar, y ser el punto de contacto único para la autoridad de control y para los interesados que deseen ejercer sus derechos. El DPO informa y asesora, pero la responsabilidad del tratamiento sigue recayendo en el responsable.

Un DPO es obligatorio en tres situaciones: cuando el tratamiento lo realiza una autoridad pública, cuando las actividades principales requieren una observación habitual y sistemática de personas a gran escala, y cuando las actividades principales implican el tratamiento a gran escala de categorías especiales de datos, como datos de salud, biométricos o relativos a condenas penales. Las organizaciones que quedan fuera de estos supuestos pueden designar igualmente un DPO de forma voluntaria, y muchas lo hacen porque les proporciona un responsable interno claro para las cuestiones de privacidad.

Independencia y acceso, los dos puntos que comprueban los auditores

Cuando un regulador o un auditor interno examina la función del DPO, dos puntos deciden si es real o cosmética. El primero es la independencia. El DPO no debe recibir instrucciones sobre cómo desempeñar su labor, no puede ser destituido ni sancionado por hacer bien su trabajo, y no debe quedar en una posición en la que audite sus propias decisiones. Por eso un DPO normalmente no debería ser también el CISO, el responsable de TI o el responsable de marketing, porque esos cargos definen los fines y los medios del tratamiento que el DPO debe escrutar. El segundo es el acceso. El DPO debe rendir cuentas ante el más alto nivel de dirección y participar, de forma temprana y adecuada, en todas las cuestiones relativas a la protección de datos personales.

• Supervisa el cumplimiento del GDPR y de las políticas internas de protección de datos.
• Asesora sobre las evaluaciones de impacto relativas a la protección de datos (DPIA) y ayuda a revisarlas.
• Coopera con la autoridad de control y actúa como su punto de contacto.
• Gestiona la comunicación con los interesados sobre sus derechos.

Cómo encaja el DPO con conceptos vecinos

El DPO es una persona y un deber, no un marco de control. El GDPR es el reglamento que crea la figura y fija sus funciones. La DPIA es uno de los instrumentos sobre los que asesora el DPO, una evaluación estructurada que se realiza antes de iniciar un tratamiento de alto riesgo. ISO 27701 es la norma de gestión de la información de privacidad frente a la que una organización puede certificarse, y una función de DPO bien gestionada se ajusta de forma natural a sus requisitos sin ser lo mismo.

La CDPSE es una certificación profesional que valida que un ingeniero de privacidad o un DPO sabe integrar la privacidad en los sistemas. Un DPO puede ser un empleado o un proveedor de servicios externo, y un grupo de empresas puede designar un único DPO siempre que esa persona siga siendo accesible desde cada establecimiento y conserve suficiente independencia y recursos para cubrirlos a todos.