Pocs mesos abans de l’entrada en vigor del Reglament General de Protecció de Dades, la nova norma europea que unificarà les diferents legislacions nacionals actuals, cada cop és més gran la inquietud per concretar exactament com és aquesta figura que ha de vetllar pel compliment de les polítiques de protecció de dades dins les organitzacions i que ha estat batejat com a Delegat de Protecció de Dades, en anglès Data Protection Officer, per això les sigles DPO.
I és que els terminis es van cremant i la llei que ha de derogar l’actual LOPD (Llei Orgànica de Protecció de Dades 15/1999), de moment ni es coneix ni se l’espera, almenys en pròximes setmanes. I això que s’anunciava pel primer trimestre de l’any 2017. Ara hi ha ja qui fins i tot posa en dubte que estigui aprovada i en marxa abans del 25 de maig del 2018. Això deixa molts punts de la norma en una situació de provisionalitat que angoixa els professionals de la protecció de dades. Un d’ells, és la figura del DPO.
Ara mateix, el tema no pot estar més obert.
Pot ser una persona física o jurídica, interna o externa, sense cap formació concreta i excloent però amb experiència i coneixements específics demostrables. El DPO incorpora una càrrega normativa important, amb una gran responsabilitat, però també se li exigeix un gran component ètic i de lideratge.
El DPO ha de saber aportar al responsable o encarregat del tractament, coneixements jurídics, informàtics, de gestió de riscos i anàlisi de processos així com un coneixement profund de la seva organització.
Tot i la importància que té el DPO al nou Reglament General, no tothom està obligat a disposar d’aquesta figura. En principi només és necessari:
- Quan el tractament el dugui a terme una autoritat o un organisme públic (tret de jutjats i tribunals).
- Quan el tractament requereix l'observació habitual i sistemàtica d'interessats a gran escala.
- I quan el tractament té per objecte categories especials de dades personals o dades relatives a condemnes o infraccions penals.
El tema que espera més concreció és definir què és gran escala i què és observació habitual o sistemàtica, que pot ampliar o limitar l’abast d’acció del DPO. Perquè el fet que algú vetlli pel bon compliment del tractament de dades personals dins una empresa és conegut i, de fet, sempre recomanable, i és el que fem des de fa anys empreses com Aislopd.
D’altra banda, que calgui una determinada certificació, com sembla que serà, també ajudarà a professionalitzar el sector. La importància que el tractament de dades personals ha assolit en l’economia digitalitzada d’avui dia, mereix una gestió òptima i generalitzada. Per tant, caldrà seguir fent pedagogia de la protecció de dades.