Riesgos a los que puede enfrentarse la labor del Delegado de Protección de Datos

En un artículo anterior abordamos la figura del Delegado de Protección de Datos (DPD) cuando se construyen sistemas de información en las organizaciones, centrándonos en la planificación. El Plan de Sistemas de Información de una organización tiene como propósito establecer un marco de referencia para los sistemas, para que su desarrollo y evolución sea coherente, y a la vez esté alineado con los objetivos estratégicos de la organización. Es, por tanto, una parte de la planificación estratégica que guiará la evolución del negocio a medio y largo plazo.

Como se comentaba entonces, el DPD debe participar en la elaboración de este Plan de Sistemas, asesorando e informando de las obligaciones que impone el Reglamento General de Protección de Datos (RGPD) en el tratamiento de datos personales. La propia organización debe promover esta participación a lo largo de toda la planificación estratégica para que el DPD se involucre desde las fases más tempranas, ayudando a crear también una cultura de la protección de datos en la organización. No hay que olvidar que el artículo 25 del RGPD incluye la protección de datos desde el diseño, y ese diseño se puede considerar que empieza desde la visión estratégica de la organización.

Entre los riesgos que puede haber para la labor de un DPD en la elaboración de una planificación estratégica de la organización, el más grave sería sin duda que esta no existiera. La ausencia de una planificación estratégica condenaría al DPD a moverse por todos los rincones de la organización sin saber exactamente dónde se puede presentar un problema o necesitar su asesoramiento.

Otro riesgo posible para un DPD es la invisibilidad: una organización en la que no haya sido designado oficialmente, no se le invite regularmente a las reuniones directivas, o no se consideren sus opiniones en éstas (por ejemplo, no recogiendo en las actas sus desacuerdos con las decisiones adoptadas). Un riesgo opuesto al anterior se presentaría en una organización en la que el DPD es conocido, invitado, y se le satura con información no relevante para el control de los datos personales, incluyendo información excesivamente técnica y con poco tiempo para su estudio.

Por otro lado, el DPD que participe en la elaboración de cualquier plan de esta naturaleza va a necesitar, además de conocimientos del derecho, de protección de datos y del negocio de la organización, de habilidades técnicas en la materia concreta del plan, y capacidad de comunicación. Las carencias en la preparación del DPD en cualquiera de estos aspectos deberían cubrirse con apoyo de otras personas.

Un último riesgo que se debe tener en cuenta es el conflicto de intereses. El DPD puede ser externo o no tener una dedicación exclusiva en la organización, pero si en un plan estratégico, o en alguno de los proyectos que se identifican en él, considera que su labor puede verse afectada por sus diferentes cometidos, es el momento de decirlo y que la organización pueda reaccionar a tiempo.