El RPD, clave en la protección de datos personales
¿Quién es el RPD? Detrás de las siglas Delegado de Protección de Datos se esconde una persona con un papel central en la protección de datos. Como garante del cumplimiento del Reglamento General de Protección de Datos ( RGPD), es responsable de velar por su correcta aplicación.
Responsable de la protección de datos personales y de la supervisión de TI dentro de su organización, el RPD es un trabajo polifacético. ¿Cuáles son las responsabilidades de este perfil 2.0, con competencias tanto jurídicas como informáticas?
Para saber más, descubra cómo se definen, cuál es su papel, cómo desempeñan sus funciones y qué formación existe para convertirse en este "campeón de los datos".
El RPD: definición
¿Qué es un RPD?
Los DPO (Data Protection Officers) o DPD (Délégués à la protection des données) son personas nombradas en el seno de una empresa u organismo público para garantizar la conformidad de los datos que posee.un organismo público para garantizar que el tratamiento de datos personales cumple con el Reglamento Europeo de Protección de Datos, en vigor desde mayo de 2018.
El nombramiento de este "superresponsable" del tratamiento de datos es una de las principales medidas incluidas en el Reglamento, dirigida a las organizaciones cuyas actividades afectan a la protección de datos personales.
El RPD es el sucesor del Correspondant Informatiques et Libertés (CIL), cuyas competencias se han ampliado (sobre todo en materia de evaluación de riesgos). Como punto de contacto de la CNIL, el RPD interviene en todas las cuestiones relacionadas con la protección de datos personales y tiene la función de facilitar el cumplimiento de las actividades de la organización en este ámbito.
¿Quién puede ser el RPD?
Dependiendo de las actividades de la organización y de su organización interna, el RPD puede ser :
- un miembro de la organización a la que asesora (por ejemplo, un empleado de la empresa) ;
- una persona designada en nombre de varias organizaciones: su cargo se pone en común para diferentes estructuras;
- un consultor externo o un experto jurídico.
ℹ️ El recurso a uno de estos proveedores de servicios es una alternativa interesante, pero no es imprescindible si el puesto puede ser cubierto internamente por un empleado con las cualificaciones requeridas.
Todo depende del tamaño y la organización de su empresa, de la carga de trabajo de los recursos implicados o de si decide contratar directamente a la persona competente.
En todos los casos, el RPD debe disponer de los recursos necesarios para desempeñar sus funciones de forma adecuada e independiente.
El RPD: ¿obligatorio o no?
El nombramiento de un responsable de la protección de datos por parte del responsable del tratamiento y sus encargados es obligatorio en determinadas condiciones, especificadas en el artículo 37 del Reglamento, cuando :
- el tratamiento lo lleve a cabo una autoridad u organismo público;
- las actividades de la organización impliquen un control regular y sistemático de las personas a gran escala;
- las actividades de la organización impliquen el tratamiento a gran escala de datos sensibles (como los datos relativos a la salud, la religión, la vida política o la afiliación sindical de una persona, por ejemplo).
La empresa u organización debe designar al responsable de la protección de datos, pero no tiene que hacerlo necesariamente por escrito. En cambio, la autoridad de control debe ser informada y tener fácil acceso a los datos de contacto de la persona designada.
💡 En caso de que el responsable del tratamiento cumpla todos los criterios de designación obligatoria, el encargado del tratamiento no está obligado a nombrar un RPD, y viceversa.
Cuál es la función del RPD?
El RPD es la persona de referencia en materia de protección de datos: garantiza que las actividades de la organización cumplen con el RGPD y recibe todas las solicitudes relacionadas directa o indirectamente con la protección de datos.
Sus principales funciones dentro de la empresa u organización para la que ha sido designado son las siguientes
- transmitir toda la información sobre el tratamiento de datos personales a todos los equipos ;
- comprobar el cumplimiento de la normativa europea y de la ley francesa de protección de datos;
- asesorar a la organización sobre su evaluación de impacto en la protección de datos (EIPD) y supervisar su aplicación
- actuar como punto de contacto para todos los interesados (empleados, clientes, socios, etc.) en caso de cualquier duda;
- cooperar con una autoridad nacional de control, como la CNIL.
El RPD en la vida cotidiana
Sus funciones pueden consultarse
- en la descripción de funciones del RPD o en la carta tipo de asignación puesta a disposición de las empresas en la página web de la AFCDP (Asociación Francesa de Datos Personales),
- en las directrices publicadas por el G29, el grupo de autoridades de control europeas.
Tareas típicas
El RPD desempeña funciones transversales dentro de la empresa, combinando comunicación, diplomacia y gestión de proyectos. Sus actividades giran en torno a tres tareas principales:
✔︎ Información y comunicación
- comunicar internamente su función y su situación;
- supervisar los temas relacionados con los datos personales (jurídicos, técnicos, sectoriales, etc.) y la seguridad de los sistemas de información;
- sensibilizar a los responsables del tratamiento, a la dirección y a los empleados;
- organizar cursos de formación, en función de los departamentos afectados;
- elaborar documentación.
✔︎ Mapeo de procesos
- Cartografía de las operaciones de tratamiento;
- Evaluar los riesgos;
- establecer el registro;
- organizar los procedimientos internos.
✔︎ Cumplimiento
- coordinar el cumplimiento de las operaciones de tratamiento existentes
- supervisar la aplicación o gestionar todas las acciones implicadas en la evaluación del grado de cumplimiento del tratamiento de datos personales;
- realizar auditorías para detectar posibles casos de incumplimiento;
- comprobar el cumplimiento del marco jurídico y la aplicación de las mejores prácticas en materia de protección de datos personales;
- advertir de los riesgos de violación de los datos.
☝️ Cabe señalar que los RPD suelen desempeñar sus funciones a tiempo parcial (sólo el 54,8% lo hace a tiempo completo, media jornada o más).
Caja de herramientas del RPD
Recursos y documentación en línea :
- Reglamento general de protección de datos,
- Fichas de información práctica de la CNIL,
- Todo lo que necesita saber sobre la AIPD.
Programas informáticos para ayudar al RPD en sus tareas:
- Adecuación,
- DPO.run,
- RGPD Manager.
¿Cómo convertirse en Delegado de Protección de Datos?
DPO: formación
Esta función corporativa clave, por reciente que sea, puede considerarse un trabajo por derecho propio , como cree el 89% de los RPD.
Los RPD pueden provenir de diversos ámbitos técnicos, jurídicos y de gestión de riesgos. Se trata principalmente de informáticos (34,9%) o juristas (31,1%), con una diversidad de otros perfiles (34%) (según un estudio de AFPA para el Ministerio de Trabajo francés).
Para poder desempeñar sus funciones, los RPD deben tener conocimientos especializados de la legislación sobre protección de datos personales, así como una sólida base en informática.
Ni que decir tiene que el RPD debe conocer a fondo la organización en la que trabaja y sus procedimientos internos, en relación con los distintos departamentos implicados: marketing, RRHH, producto, jurídico, comercial, etc.
Los aspirantes a RPD pueden participar en una serie de cursos de formación, entre los que se incluyen :
- un máster especializado, como el que ofrece ISEP Gestión y Protección de Datos Personales, el primer curso largo de formación de RPD en Europa,
- una certificación basada en las normas de la CNIL
- formación reconocida en Informática y Libertades o RGPD,
- formación específica de la industria o del sector.
El sitio web de la AFCPD ofrece una lista más exhaustiva de las formaciones que conducen a esta profesión. Cabe señalar que el Ministerio de Trabajo sigue trabajando para profesionalizar esta función.
RPD: salario
Al tratarse de una profesión aún nueva, los niveles salariales son relativamente variables. Según la AFCDP, el salario mensual bruto oscila entre 2.500 y 4.000 euros. Evidentemente, varía en función del tamaño de la empresa, de las responsabilidades que se le confíen y del grado de riesgo.
Al servicio de su ciberseguridad
Aunque algunas empresas están obligadas a nombrar un delegado de protección de datos, también es posible hacerlo voluntariamente, incluso si no se cumplen los criterios para el nombramiento obligatorio. Son muchas las ventajas de hacerlo:
- Garantiza la seguridad jurídica de sus actividades y reduce el riesgo de litigios contractuales, jurídicos o administrativos.
- Reforzará la seguridad informática y tomará mejores decisiones estratégicas, al tiempo que consolida sus procedimientos internos de protección de datos.
- Puede asegurar a sus clientes, socios, proveedores y otras partes interesadas que está tratando los datos de forma responsable.
Recuerde que el RPD es, ante todo, un coordinador interno y un enlace externo con la autoridad de control y los interesados, y no es responsable del cumplimiento del RGPD en lugar y lugar del responsable o encargado del tratamiento. Su papel es principalmente estratégico.
¿Ha elegido ya a su delegado de protección de datos?
Artículo traducido del francés