Aquella publicación nació hace cinco años con la irrupción de la figura del DPO, delegado de protección de datos, fruto del trabajo de un grupo de profesionales relacionados con ISMS Forum. A lo largo de estos años, con la llegada del RGPD y ahora con la implementación del Reglamento de IA (RIA), este profesional se ha convertido en imprescindible en las organizaciones por la labor que realiza al reducir riesgos y garantizar algo tan importante como la protección de datos de la organización.

Para Carlos Saiz, vicepresidente del ISMS Forum y Director del Data Privacy Institute, que presentó esta segunda edición del Libro Blanco del DPO en colaboración con dos de los catorce DPO que han participado en el trabajo, como Javier Lomas, DPO de Codere, y Alberto Casaseca, DPO de CLECE, empresa del Grupo ACS, “la obra recoge la evolución de nuestro colectivo. Incorporamos casos prácticos y lecciones aprendidas, así como estrategias de reporte para gestionar la privacidad y analizamos el impacto de la IA en el rol del DPO, entre otros temas”.

En su opinión, “el contexto no ha cambiado solo desde el punto de vista normativo o judicial. La transformación digital, el crecimiento exponencial de los volúmenes de datos y la irrupción de la inteligencia artificial han redefinido los retos a los que se enfrenta el DPO. En este sentido, la madurez de los programas de privacidad y la creciente necesidad de integrar la protección de datos en el modelo de gobernanza corporativa también han cobrado protagonismo”.

A su juicio, “en estos años hemos aprendido mucho sobre los distintos modelos organizativos del DPO. Desde su ubicación en estructuras internas hasta su externalización o la configuración de equipos colegiados, cada organización ha encontrado su propio camino para garantizar la eficacia e independencia de esta función”.

Desde el punto de vista de Saiz, “las primeras resoluciones que llegan de las autoridades de protección de datos y de los tribunales, tanto nacionales como europeos, han comenzado a pronunciarse sobre aspectos clave que afectan a esta figura. Estas decisiones, aunque todavía escasas, están empezando a definir con mayor precisión los límites y obligaciones del DPO, ofreciendo pautas sobre su independencia, los conflictos de intereses, la dotación de recursos adecuados, la diligencia exigible en el cumplimiento de sus funciones y los riesgos asociados a una gestión deficiente de la protección de datos”.

Para Saiz, “uno de los hitos más relevantes en esta evolución ha sido el Esquema de Certificación de Delegados de Protección de Datos de la Agencia Española de Protección de Datos (en adelante, Esquema AEPD-DPD), para que las personas responsables puedan seleccionar a los profesionales cuyas competencias como DPO hayan sido certificadas por entidades acreditadas por la Entidad Nacional de Acreditación (ENAC)”.

En su opinión, esta certificación ha servido para reforzar su profesionalización y reconocimiento dentro de las organizaciones. Este paso ha permitido establecer estándares más claros sobre sus competencias y responsabilidades, proporcionando a las empresas un criterio objetivo para evaluar la idoneidad de sus DPO y garantizando un mayor nivel de cualificación en el desempeño de sus funciones.

El reto de la IA

Carlos Saiz considera que “más recientemente, la entrada en vigor de la normativa de la Unión Europea sobre Inteligencia Artificial (RIA) ha introducido nuevos retos en la gestión del tratamiento de datos personales. La regulación establece criterios específicos para garantizar la privacidad en el uso de la IA, exigiendo una mayor supervisión y medidas adicionales de cumplimiento, lo que refuerza aún más el papel del DPO en este ámbito”.

Desde esta perspectiva, para el vicepresidente de ISMS Forum, “esta segunda edición del Libro Blanco del DPO no es simplemente una actualización de referencias normativas o un repaso de lo que ya conocíamos. Es una guía reflexiva y práctica sobre lo que hemos empezado a aprender en estos cinco años, los nuevos desafíos que han surgido y las mejores prácticas que pueden ayudar a los DPO a afrontar su labor con éxito. Y esto es solo el principio, porque tendremos que seguir la evolución de esta actividad en los próximos años”.

Para este jurista, “con este enfoque práctico que ha guiado la elaboración de esta guía, hemos integrado herramientas y metodologías que permiten optimizar la gestión del DPO. Destaca la inclusión de un apartado dedicado a las metodologías de reporte, donde se aborda la importancia de los indicadores clave de rendimiento (KPIs) como una estrategia eficaz para evaluar el grado de cumplimiento, supervisar la función y proporcionar a la alta dirección información clave para la toma de decisiones informadas”.

Saiz destaca que “la consolidación de modelos organizativos, la definición de funciones y la interacción del DPO con otras áreas estratégicas de la organización son otros de los aspectos que hemos analizado a partir de la experiencia de múltiples entidades. Asimismo, en esta edición hemos profundizado en los mecanismos de independencia del DPO, como un medio indispensable para que desempeñe sus funciones de manera efectiva y sin interferencias. Este análisis se ve reforzado con decisiones recientes de autoridades de protección de datos y jurisprudencia europea que han clarificado la importancia de preservar nuestra independencia”.

Desde su punto de vista, “el papel del DPO ya no es una incógnita como lo era hace cinco años. La experiencia acumulada ha contribuido a perfilar con mayor claridad su función y responsabilidades. Sin embargo, el futuro presenta nuevos retos. La irrupción de la inteligencia artificial y su impacto en la protección de datos personales han abierto un nuevo escenario en el que la figura del DPO será clave para garantizar un desarrollo responsable y alineado con los principios del Esquema de Certificación de Delegados de Protección de Datos de la Agencia Española de Protección de Datos”.

Una herramienta de consulta necesaria

Por su parte, Javier Lomas, un profesional de la privacidad que ha dedicado gran parte de su carrera a Codere, operador del juego privado en distintos países, donde implementó y puso en marcha la figura del DPO, que ejerce en estos momentos, puede señalar la diferencia de las dos publicaciones: “Este trabajo es fruto de la generosidad de los compañeros que han participado pese a la falta de tiempo, pero que, creo, como publicación, por su contenido, es imprescindible para realizar nuestro trabajo como responsables de privacidad”.

A juicio de este experto, “ambas publicaciones marcan la evolución. Con la primera acababa de entrar en vigor el RGPD europeo. Nuestra actividad profesional estaba abierta, no había aún experiencia ni el desarrollo de todas las posibilidades que en los últimos cinco años hemos visto. Había muchas hipótesis y no se sabía muy bien por dónde iría la figura del DPO. En aquel momento nos preocupábamos de definir el papel del DPO y dónde ubicarlo en las organizaciones. Tras cinco años, ya hay una experiencia importante de lo que hemos hecho y nuestro perfil se sitúa entre lo jurídico y lo técnico”.

En su opinión, “la formación continua en el entorno de la IA es un reto aún mayor para que el DPO conozca esta nueva norma que es el RIA. La atribución de responsabilidades en el mundo de la IA debe seguir un camino paralelo y cuidadoso siguiendo las pautas del RGPD”.

A lo largo de estos cinco años, con un entramado normativo más complejo, la figura del DPO se ha convertido en imprescindible para la mayor parte de las empresas y organizaciones.

Aquí puedes descargar la II Edición del Libro Blando del DPO