DPO: funciones e independencia

Las tareas del DPO están en el artículo 39: informar y asesorar al responsable y a los empleados sobre sus obligaciones, supervisar el cumplimiento, asesorar sobre la evaluación de impacto y vigilar su ejecución, cooperar con la autoridad de control y actuar como punto de contacto. No decide qué se trata ni cómo, y no es quien responde por el incumplimiento: la responsabilidad de cumplir y de demostrarlo es del responsable (artículo 24).

Cuándo hay que nombrar uno lo dice el artículo 37.1: autoridades públicas, tratamientos que exigen observación habitual y sistemática a gran escala, o tratamiento a gran escala de categorías especiales de datos. Una empresa puede nombrarlo también por decisión propia.

El DPO puede desempeñar otras funciones, pero el artículo 38.6 exige que la empresa garantice que no den lugar a conflicto de intereses. El conflicto aparece cuando el otro cargo decide los fines o los medios de los tratamientos: quien diseña un tratamiento no puede supervisarse a sí mismo. Son típicos los cargos de dirección de marketing, de sistemas, de recursos humanos o de la propia gerencia.

Abre la designación del DPO de Páramo y lee su cargo.

Páramo mantiene una lista de verificación con los requisitos de los artículos 37 a 39: la designación por cualidades profesionales, los datos de contacto publicados y comunicados a la autoridad (artículo 37.7), el reporte directo al nivel más alto de la dirección, la ausencia de instrucciones sobre cómo cumple sus tareas y los recursos necesarios (artículo 38).

Un requisito que figura como «pendiente» o como «no» sigue sin cumplirse; solo «cumple» cierra la línea.

El artículo 38.3 dice que el responsable no puede dar instrucciones al DPO sobre el desempeño de sus tareas, ni destituirlo ni sancionarlo por cumplirlas, y que este informa directamente al más alto nivel jerárquico. Es la garantía que lo hace independiente.

Ojo con la diferencia entre ignorar un consejo y dar una orden: que la dirección no siga una recomendación del DPO y deje constancia de la discrepancia es legítimo, porque decide el responsable. Lo que no se puede es decirle al DPO cómo resolver el asunto que le toca.

Con un DPO que además dirige el marketing, que reporta a una gerencia sectorial y que recibe órdenes de la dirección, el hallazgo no es una sola línea: es que la función existe en el papel pero no puede ejercerse. GRC propone la corrección del diseño, no la sanción de la persona.