¿Quién es el ‘guardián’ de los datos en los colegios?

–¿Es obligatorio contar con un Delegado de Protección de Datos en un centro educativo?

–El Reglamento General de Protección de Datos (RGPD), en su artículo 37.1, establece los supuestos en los que es obligatoria la designación de un Delegado de Protección de Datos (DPO). Entre ellos, se incluyen los centros docentes que impartan enseñanzas en cualquiera de los niveles previstos en la normativa reguladora del derecho a la educación, así como las universidades, tanto públicas como privadas.

El Delegado de Protección de Datos (también conocido como DPD) es uno de los elementos esenciales del Reglamento General de Protección de Datos, ya que contribuye de manera decisiva a asegurar que las organizaciones, en este caso los centros educativos, respeten la normativa en materia de protección de datos. Aun así, la responsabilidad final del cumplimiento corresponde al responsable o al encargado del tratamiento.

Esta figura se incorpora con el reglamento y la ley sobre esta materia y, aunque su nombramiento no es obligatorio en todos los casos, su presencia ayuda significativamente a las organizaciones a cumplir con las exigencias y obligaciones establecidas por la normativa de protección de datos.

Aula de un colegio religioso en Madrid. Foto: Jesús G. Feria/Vida Nueva

El delegado debe ser designado en función de su perfil profesional, siendo especialmente importante que disponga de formación especializada en Derecho y de experiencia en la protección de datos. No existe una exigencia formal de titulación específica.

Su labor se desarrolla con autonomía dentro de la empresa. El conjunto detallado de sus funciones aparece recogido en el artículo 39 del reglamento:

Informar y asesorar al responsable o encargado del tratamiento y al personal sobre sus obligaciones en materia de protección de datos.
Supervisar el cumplimiento del reglamento, incluyendo la formación del personal y la realización de auditorías.
Asesorar en las evaluaciones de impacto y supervisar su aplicación.
Cooperar con las autoridades de control, tanto autonómicas como con la Agencia Española de Protección de Datos (AEPD).
Atender las consultas de los interesados sobre el tratamiento de sus datos y el ejercicio de sus derechos.
Actuar como enlace con la autoridad de control de datos.

Puede pertenecer a la propia organización o ser un profesional externo, y puede adoptar la forma de persona física o de entidad jurídica. Eso sí, debe ejercer sus funciones con independencia funcional, lo que significa que no debe recibir instrucciones sobre cómo realizar sus tareas (art. 38 RGPD) y no puede ser sancionado o destituido por el hecho de desempeñar sus funciones correctamente o por los informes que emita, ya que debe poder actuar sin conflictos de interés.

Punto de contacto directo

Asimismo, debe comunicarse su designación a la autoridad de control correspondiente –en España, la AEPD– que mantiene un registro de estos profesionales. Por otro lado, debe ser fácilmente accesible tanto para los interesados como para la propia entidad, garantizando un punto de contacto directo. Además, su criterio puede ser tenido en cuenta en los procesos de toma de decisiones.

Finalmente, el ejercicio de sus funciones debe evitar cualquier conflicto de interés, en especial si se simultanean otras responsabilidades dentro del centro.