Las plataformas de gestión documental utilizadas en la homologación de contratistas tratan muchos datos personales: identificación de trabajadores, certificados de aptitud médica, certificados de formación y registros de acceso. Por eso, la protección de datos no puede ser un tema secundario. En este contexto, el delegado de protección de datos desempeña un papel esencial.
No obstante, conviene aclarar la terminología. En la versión española del RGPD, esta figura se denomina delegado de protección de datos (DPD), también conocido por la sigla inglesa DPO. Además, no debe confundirse con el responsable del tratamiento, que es la propia organización. En este artículo explicamos cuándo es obligatorio designar un delegado, cuáles son sus funciones y cómo actúa en el uso de plataformas de gestión documental.
Cuándo es obligatorio designar un delegado
El artículo 37 del RGPD establece que la designación es obligatoria en tres situaciones:
- cuando el tratamiento lo lleve a cabo una autoridad u organismo público;
- cuando las actividades principales consistan en operaciones que requieran una observación habitual y sistemática de interesados a gran escala;
- cuando las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos, como los datos de salud.
Así, no todas las empresas que utilizan una plataforma de homologación están obligadas a designar un delegado. Sin embargo, muchas optan por hacerlo de forma voluntaria o por designar un punto de contacto interno, sobre todo cuando tratan grandes volúmenes de datos de trabajadores externos. En Portugal, la Ley n.º 58/2019 complementa estas normas.
Funciones del delegado de protección de datos
El artículo 39 del RGPD define las funciones del delegado. En síntesis, debe:
- informar y asesorar a la organización y a los empleados sobre sus obligaciones;
- supervisar el cumplimiento del RGPD y de las políticas internas;
- ofrecer asesoramiento sobre las evaluaciones de impacto y supervisar su aplicación;
- cooperar con la CNPD y actuar como su punto de contacto;
- actuar como punto de contacto de los interesados para las cuestiones relacionadas con sus datos.
Conviene subrayar que el delegado asesora y supervisa, pero no es personalmente responsable del cumplimiento. La responsabilidad corresponde a la organización, como responsable del tratamiento. Además, el delegado debe actuar con independencia, no puede recibir instrucciones sobre el ejercicio de sus funciones y debe disponer de los recursos necesarios.
El papel del delegado de protección de datos en las plataformas de homologación
En la elección de la plataforma
El delegado debe participar desde el principio. Por ejemplo, puede evaluar la ubicación de los datos, los subencargados del proveedor, las medidas de seguridad y el contrato previsto en el artículo 28. Así, la organización evita elegir una solución que después exija cambios difíciles.
En la definición de los documentos solicitados
Una de las aportaciones más valiosas es la aplicación del principio de minimización. El delegado ayuda a definir qué documentos son realmente necesarios y con qué fundamento. Por ejemplo, los certificados de aptitud solo deben indicar si el trabajador es apto, sin diagnósticos, y las copias de los documentos de identidad solo deben solicitarse cuando sean imprescindibles.
En la definición de las bases de legitimación
En la homologación, el tratamiento se basa normalmente en el cumplimiento de obligaciones legales, como las de seguridad y salud en el trabajo, o en el interés legítimo de la empresa en garantizar la seguridad de sus instalaciones. El consentimiento rara vez es la base adecuada, porque el trabajador no tiene una verdadera libertad de elección. Por consiguiente, el delegado debe ayudar a documentar la base correcta para cada finalidad.
En los derechos de los interesados y en los incidentes
El delegado supervisa las solicitudes de acceso, rectificación o supresión y garantiza la respuesta en el plazo de un mes. Del mismo modo, participa en la evaluación de las violaciones de datos y en la decisión de notificarlas a la CNPD en un plazo de 72 horas.
La relación con el proveedor de la plataforma
Cuando una empresa externa suministra la plataforma, al menos dos organizaciones intervienen en el tratamiento. Por regla general, la empresa contratante es la responsable del tratamiento y el proveedor actúa como encargado del tratamiento. En este sentido, el delegado debe comprobar si el contrato define con claridad las instrucciones de tratamiento, las medidas de seguridad, la confidencialidad, la lista de otros subencargados y el destino de los datos al final del servicio.
Además, conviene que el delegado conozca el contacto de su homólogo en el proveedor, cuando exista. De este modo, en caso de incidente o de solicitud de un interesado, la cooperación es rápida y se cumplen los plazos legales. Asimismo, la revisión periódica del proveedor, por ejemplo mediante cuestionarios o informes de auditoría, debe formar parte del plan de trabajo del delegado.
La información a los trabajadores de los contratistas
Los trabajadores de las empresas contratistas también son interesados y tienen derecho a ser informados. Sin embargo, a menudo no tienen ninguna relación directa con la empresa contratante. Por esa razón, el delegado debe ayudar a definir cómo les llega la información: por ejemplo, mediante un texto informativo disponible en la plataforma, que el contratista entrega en el momento de la recogida de los documentos. Este texto debe indicar quién trata los datos, con qué finalidades, durante cuánto tiempo y cómo ejercer los derechos. Así, la empresa cumple el deber de transparencia y reduce dudas y reclamaciones.
Ejemplo práctico: Revisión de los documentos solicitados
Pensemos en una empresa que, al implantar una plataforma de homologación, pedía a los contratistas copia del documento de identidad, la historia clínica y el certificado de antecedentes penales de todos los trabajadores. El delegado analiza el proceso y concluye que la mayoría de estos documentos no son necesarios para la finalidad.
Tras ese análisis, la empresa pasa a solicitar solo la identificación esencial, el certificado de aptitud y la formación exigida para cada tarea. A continuación, define plazos de conservación y limita el acceso a los validadores. Como resultado, reduce el riesgo, simplifica el trabajo de los contratistas y cumple el principio de minimización.
Formación y cultura de protección de datos
El delegado no puede garantizar la protección de datos por sí solo. En efecto, quienes validan documentos, configuran la plataforma o responden a los contratistas toman decisiones diarias con impacto en la privacidad. Por tanto, una de las funciones más importantes del delegado es sensibilizar a los equipos. Puede hacerlo, por ejemplo, mediante formaciones breves sobre lo que se puede y no se puede solicitar, cómo responder a una solicitud de acceso y qué hacer ante la sospecha de un incidente. Además, las guías prácticas y las respuestas a preguntas frecuentes ayudan a que todos comprendan las normas.
Lista de verificación de protección de datos en la homologación
- Evaluación de la obligación de designar un delegado.
- Registro de actividades de tratamiento actualizado.
- Base de legitimación definida para cada finalidad.
- Lista de documentos limitada a lo necesario.
- Plazos de conservación configurados en la plataforma.
- Contrato con el proveedor conforme al artículo 28.
- Información a los trabajadores de los contratistas.
- Procedimiento para solicitudes de los interesados e incidentes.
Errores comunes que conviene evitar
Un error frecuente es atribuir al delegado la responsabilidad del cumplimiento, como si la organización quedara eximida. Otro error es nombrar para esta función a alguien con conflictos de intereses, como el director de sistemas de información que decide los propios tratamientos. Además, muchas empresas utilizan el consentimiento como base por defecto, lo que debilita la licitud del tratamiento.
Preguntas frecuentes
¿Puede el delegado ser externo?
Sí. El RGPD permite que el delegado sea un empleado de la organización o un proveedor de servicios externo, siempre que tenga los conocimientos y la independencia necesarios.
¿Hay que comunicar la designación a la CNPD?
Sí. La organización debe comunicar los datos de contacto del delegado a la autoridad de control y publicarlos, por ejemplo, en la política de privacidad.
¿Puede la organización responsabilizar al delegado de sus fallos?
Por regla general, no. El RGPD protege al delegado frente a sanciones relacionadas con el ejercicio de sus funciones. La responsabilidad del cumplimiento corresponde a la organización, como responsable del tratamiento.
¿Qué formación debe tener el delegado?
El RGPD exige conocimientos especializados del Derecho y la práctica en materia de protección de datos. En general, conviene combinar conocimientos jurídicos, de seguridad de la información y de los procesos de la propia organización.
Conclusión
El delegado de protección de datos desempeña un papel decisivo en el uso de plataformas de gestión documental para la homologación de contratistas. Asesora en la elección de la plataforma, ayuda a definir los documentos y las bases de legitimación, supervisa los derechos de los interesados y participa en la respuesta a incidentes.
Aun así, la responsabilidad del cumplimiento sigue correspondiendo a la organización. Por eso, las empresas deben garantizar al delegado independencia, recursos y participación desde el inicio de los proyectos. De este modo, la homologación resulta más segura, más sencilla y más respetuosa con los derechos de los trabajadores.
Lea también: Adaptación de las plataformas de gestión documental a las directrices del RGPD y La importancia del RGPD en el desarrollo de plataformas de gestión documental.
Para más información sobre las funciones del delegado de protección de datos, consulte la Comisión Nacional de Protección de Datos (CNPD) de Portugal.