Por Facundo Malaureile | Partner Data Governance Latam
Tal como sabemos este marco normativo es un tratado internacional que tiene como objetivo proteger los derechos fundamentales de las personas en relación al procesamiento automatizado de datos personales.
Este convenio se aplica tanto a los sectores públicos como privados y establece una serie de obligaciones que deben cumplir las organizaciones que manejan información personal.
Desde nuestro punto de vista aunque el Convenio 108+ no establece la obligación específica de designar un DPO, sí menciona la necesidad de que las organizaciones cuenten con medidas de protección de datos adecuadas y efectivas, y la designación de un DPO es sin dudas una de estas medidas, y la demostración evidente del accountability, pilar del RGPD y el Convenio 108+.
Desde la vigencia del RGPD y quizás incluso antes la normativa exige determinados estándares y niveles de cumplimiento.
Sin dudas que aquella organización que llega a designar un DPO interno o cuenta con uno “as a service” demuestra el gran compromiso que ha alcanzado en la materia.
Como sabemos el DPO tiene como función principal supervisar la gestión de los datos personales dentro de la organización, garantizando que se cumplan las normas de privacidad y seguridad.
En la actualidad las organizaciones manejan grandes cantidades de información personal, y esta información se encuentra en constante riesgo de ser expuesta o utilizada de manera indebida.
De modo que la designación de un DPO permite a las organizaciones contar con un experto en protección de datos que puede ayudar a identificar y mitigar los riesgos asociados con el manejo de información personal.
Además, la designación de un DPO puede tener beneficios adicionales para las organizaciones ya que puede mejorar la confianza de los clientes y usuarios en la gestión de sus datos personales.
Que una organización cuenta con un experto en protección de datos puede ser un factor determinante a la hora de elegir con quién compartir su información personal.
Es de destacar que la Directiva Europea de Protección de Datos de 1995, que es uno de los principales marcos normativos que inspiró el Convenio 108+, sí establece la obligación para los Estados miembros de designar una autoridad de protección de datos.
La autoridad de protección de datos se encarga de supervisar el cumplimiento de la ley en relación con la protección de datos personales y puede desempeñar un papel importante en la promoción de prácticas adecuadas de protección de datos en las organizaciones.
Y como sabemos las normas deben ser entendidas e interpretadas de modo cooperativo, de modo que no nos equivocamos al decir que el Reglamento General de Protección de Datos (RGPD) sí establece la obligación específica de designar un DPO en determinadas circunstancias tales como es el caso del sector público y otras organizaciones cuya actividad principal consiste en el procesamiento de datos personales.
Por lo expuesto, y aunque el Convenio 108+ no establece la obligación específica de designar un DPO, al mencionar la necesidad de que las organizaciones cuenten con medidas de protección de datos adecuadas y efectivas, entendemos que la designación de un DPO es una de las maneras más claras de evidenciar cumplimiento con protección de datos personales.
Para terminar mencionamos que el RGPD (Art. 37, sgts y cc) permite que ese DPO pueda ser interno o que se tercerice el servicio.
Destacamos que esta modalidad de DPO as a Service es una excelente opción para muchas organizaciones que quieren cumplir y por diversas circunstancias prefieren externalizar el cumplimiento.