Organizaciones sin delegado de protección de datos, en el punto de mira.

Glovo  sancionada con 25.000 euros.

La Agencia Española de Protección de Datos (AEPD), autoridad nacional en materia de Protección de Datos, comienza a actuar contra las empresas que no cuentan con un delegado de protección de datos (DPD), a pesar de ser obligatorio desde hace dos años.

La primera sanción por este motivo Glovo, la plataforma de envíos a domicilio, con 25.000 euros.

Todo empezó con una denuncia en mayo y en noviembre de 2019 presentada por dos particulares, lo que abrió el consiguiente expediente sancionador. La Agencia verificó que la empresa no había designado a un delegado de protección de datos, aunque sí había creado un comité que ejercía sus funciones desde junio de 2018. Durante la investigación, la plataforma intentó defenderse precisamente bajo el argumento de que los derechos de sus clientes "siempre han estado plenamente protegidos", pero el organismo de control finalmente ha optado por imponerle una sanción al entender que la propia dinámica de la actividad implica un tratamiento de datos personales "a gran escala".

Tratamiento de datos a gran escala

El reglamento general de protección de datos (RGPD) establece la obligatoriedad de designar a un DPD cuando se manejan perfiles de manera masiva.

Hay ocasiones en las que la ley deja muy clara la necesidad de contar con un DPD, como por ejemplo, centros médicos o las agencias de marketing online, y otras en las que existe cierto margen de interpretación.

Otras posibles infracciones

En el futuro podrían producirse más sanciones relacionadas con los DPD, por motivos distintos. Uno de ellos podría ser la falta de aptitud de las personas seleccionadas para desempeñar el cargo. Aunque la ley no exige una titulación determinada para ser DPD, sí que requiere formación jurídica, experiencia en protección de datos y disponer de una información muy precisa de los diferentes procesos que tienen lugar en la organización.

Otro elemento a tener en cuenta es la independencia del DPD. Esta figura fue ideada para supervisar las políticas de privacidad de las organizaciones y defender a los usuarios, pero hay ocasiones en las que el profesional está tan integrado dentro de la empresa que puede llegar a actuar como juez y parte. La mejor manera de evitar posibles conflictos de intereses y los consecuentes motivos de sanción es que las empresas, sobre todo las pymes, externalicen el servicio a empresas especializadas en el sector de la protección de datos.

Desde SEGURINFO, les informaremos de las posibles soluciones para su empresa sin compromiso alguno por su parte, en info@segurinfo.es

​