«Funciones y responsabilidades del Delegado de Protección de Datos», tribuna de Javier de Miguel, abogado de ECIJA, para Economist & Jurist.

La cercanía de la exigibilidad del Reglamento (UE) 2016/679 del Parlamento Europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), hace que la mayoría de las empresas ya cuenten con un delegado de protección de datos entre sus filas.

Sin embargo, desde que en las primeras redacciones del RGPD se definió la figura del delegado de protección de datos, una doble preocupación se ha mantenido latente en el mundo empresarial: La de las empresas, por designar como delegado de protección de datos al mejor candidato (al menos así debería de ser), dotando al mismo de los recursos e independencia necesarios para el ejercicio de sus funciones y la de los profesionales que han sido designados para ocupar este rol en la empresa, principalmente, respecto a las responsabilidades que podrían serles exigibles en caso de incumplir o cumplir deficientemente sus funciones.

Por lo tanto, para tranquilizar al menos a una de las partes afectadas, resulta conveniente analizar dichas responsabilidades y los aspectos que deberán ser tenidos en cuenta por los delegados de protección de datos designados para no incurrir en las mismas.

Funciones atribuibles al delegado de protección de datos.-

Con carácter previo a abordar las responsabilidades que podrán ser exigibles al delegado de protección de datos, conviene conocer las funciones que le son atribuidas por la normativa, así como los requisitos que debe cumplir la persona designada delegado de protección de datos y la posición que debe ocupar en la entidad.

En este sentido, el delegado de protección de datos designado deberá desempeñar las siguientes funciones:

• Asegurar el cumplimiento del RGPD, mediante la recolección de información, su análisis y revisión del cumplimiento en relación con los tratamientos de datos llevados a cabo en el seno de la organización realizando cuantas recomendaciones fuesen necesarias para garantizar el cumplimiento.
• Informar y asesorar al órgano decisorio de la empresa y a los propios empleados que se ocupen del tratamiento, sobre las obligaciones que les incumben, en relación con el RGPD y de otras disposiciones de protección de datos de la Unión o de los Estados Miembros.
• Supervisar el cumplimiento de lo dispuesto en el RGPD, en otras disposiciones de protección de datos de la Unión o de los Estados miembros y en las políticas internas de la compañía en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes.
• Cooperar con la autoridad de control, actuando como punto de contacto entre ésta y los interesados para cuestiones relativas al tratamiento de los datos personales en el seno de la organización.
• Participar en el desarrollo y ejecución de las evaluaciones de impacto (PIAs), asesorando sobre las cuestiones principales que podrán suscitarse de la ejecución de las mismas.
• Gestionar un registro actualizado de los tratamientos llevados a cabo en el seno de la compañía.
• Comunicar la existencia de una vulneración relevante en materia de protección de datos a los órganos de administración y dirección de la entidad, proponiendo las medidas necesarias para evitar la persistencia en esa conducta.

Así como cualesquiera otras tareas y funciones que le sean asignadas, siempre y cuando las mismas no deriven en un conflicto de interés.

En este sentido, para garantizar que dichas funciones puedan ser debidamente realizadas por el delegado de protección de datos, la empresa deberá dotar al mismo de los recursos necesarios para desarrollar su actividad, el acceso a los datos personales y a las operaciones de tratamiento, así como la formación necesaria para el mantenimiento de sus conocimientos especializados.

Asimismo, la empresa garantizará que el delegado de protección de datos goce de total libertad, autonomía e independencia en el ejercicio de sus funciones garantizando que no recibirá ninguna instrucción en lo que respecta al desempeño de las mismas y estará respaldado por la organización en el desempeño de las funciones, quien le invitará a participar con regularidad en reuniones con los cuadros directivos altos y medios, a fin de asegurar su presencia en la toma de decisiones relevantes relacionadas con la protección de los datos de carácter personal, gozando en todo momento la opinión del delegado de protección de datos de la consideración debida.

 Responsabilidad atribuible al delegado de protección de datos.-

En primer lugar, desde el punto de vista de las responsabilidades que pudieran ser exigibles al delegado de protección de datos conviene precisar que, como norma general, no responderá personalmente en caso de incumplimiento de las obligaciones impuestas por dicha normativa.

En este sentido y, según establece el propio RGPD, será el responsable del tratamiento quien responderá de los daños y perjuicios causados, cuando incumpla lo dispuesto en dicha norma, al igual que el encargado, quien a su vez responderá igualmente cuando incumpla las instrucciones establecidas por el responsable para la prestación del servicio con acceso a datos, quedando únicamente exentos de responsabilidad cuando pudieran demostrar que no son en modo alguno responsables del hecho que haya causado los daños y perjuicios causados. En similares términos, el Proyecto de Ley Orgánica de Protección de Datos establece que estarán sujetos al régimen sancionador del RGPD y de la propia ley orgánica (entre otros) los responsables y los encargados de tratamiento.

Lo anterior aplicaría no sólo en lo que respecta a las posibles sanciones impuestas al delegado de protección de datos, sino también a las indemnizaciones que pudieran ser exigidas por los daños y perjuicios sufridos por el interesado como consecuencia de una infracción del RGPD.

Sin embargo, el aspecto esencial en lo relativo a la responsabilidad del delegado de protección de datos, aparece en el párrafo segundo del artículo 70, cuando establece expresamente que: “No será de aplicación al delegado de protección de datos el régimen sancionador establecido”. Es decir, que al delegado de protección de datos designado por la empresa no le serán exigibles las responsabilidades establecidas por la normativa de protección de datos, en la medida que se limite al ejercicio de sus funciones y al cumplimiento de las labores que le han sido encomendadas. De hecho, la propia normativa establece que el delegado de protección de datos no podrá ser destituido ni penalizado por la empresa cuando desempeñe sus funciones conforme a lo establecido a la normativa.

No obstante lo anterior, no sólo es la imposición de las elevadas sanciones establecidas por el RGPD lo que preocupa a los profesionales a los que les han sido atribuidas las funciones del delegado de protección de datos, sino las posibles responsabilidades penales que pudieran serles impuestas por el ejercicio de las mismas.

En este sentido, resulta indudable el hecho de que de la propia comisión de un delito por parte del delegado de protección de datos, tendrá aparejadas las sanciones que correspondan al autor de un acto tipificado penalmente. Sin embargo, el escenario más complejo sería aquel en el que le fueran exigidas al delegado de protección de datos responsabilidades penales por la omisión de sus funciones que catalizase la comisión de un delito por la empresa, es decir, por la complicidad omisiva. Esta posibilidad ha sido jurisprudencialmente admitida como causa para el nacimiento de la responsabilidad penal, siempre y cuando el omitente asuma la posición de garante en la evitación del incumplimiento normativo, como ha sido establecido por el propio Tribunal Supremo en su Sentencia 1273/2004 de 2 de Noviembre, al decir que: “La jurisprudencia de esta Sala, si bien ha reconocido expresamente que la admisibilidad de una participación omisiva es de difícil declaración, ha aceptado ésta, asociando su concurrencia a la de los elementos propios del art. 11 del CP, entre ellos que el omitente ocupe una posición de garante”.

Es decir, para que al delegado de protección de datos pudiera llegar a serle exigida responsabilidad penal por la omisión de sus funciones, deberá tener transferidas las competencias de control. No obstante, en el caso concreto del delegado de protección de datos, la transferencia de la posición de garante sólo comprenderá el control específicamente respecto a la normativa de protección de datos, por lo que sólo podrán serle exigidas responsabilidades en este sentido.

Sin embargo, el hecho de que el delegado de protección de datos tuviera transferida la posición de garante no es suficiente para que le sea exigible responsabilidad penal, sino que además es necesario que de la omisión de sus funciones de garantía haya facilitado o, al menos, posibilitado la perpetración del ilícito penal.

En este sentido se pronuncia igualmente el Tribunal Supremo en diversas sentencias, como serían la 19/1998 de 12 de Enero, la 221/2003 de 14 de febrero, etc.), cuando dice: “cuando la omisión del deber de actuar del garante haya contribuido, en una causalidad hipotética, a facilitar o favorecer la acusación de un resultado propio de un delito de acción o comisión y que podría haberse evitado o dificultado si hubiera actuado como le exigía su posición de garante”.

Por lo tanto, resulta innegable que la figura del delegado de protección de datos implica el riesgo inherente de una mayor exposición a la asunción de responsabilidades por parte de los profesionales que la ocupen, sin embargo, siguiendo lo dispuesto por la Fiscalía General del Estado en su Circular 1/2016 sobre la responsabilidad penal de las personas jurídicas, refiriéndose al oficial de cumplimiento o CCO, figura que por analogía equiparamos al delegado de protección de datos, cuando dice: “la exposición personal al riesgo penal del oficial de cumplimiento no es superior a la de otros directivos de la persona jurídica. Comparativamente, su mayor riesgo penal sólo puede tener su origen en que, por su posición y funciones, puede acceder más frecuentemente al conocimiento de la comisión de hechos delictivos (…) que el oficial de cumplimiento pueda impedir con su actuación”, los riesgos de ser nombrado delegado de protección de datos, no son superiores a aquellos asumidos por cualquier otro directivo de la compañía.