Navegaci贸n
RGPD > Art铆culo聽37. Designaci贸n del delegado de protecci贸n de datos
Descargar PDF

Art铆culo聽37 RGPD. Designaci贸n del delegado de protecci贸n de datos

Article 37 GDPR. Designation of the data protection officer

1. El responsable y el encargado del tratamiento designar谩n un delegado de protecci贸n de datos siempre que:

1. The controller and the processor shall designate a data protection officer in any case where:

a) el tratamiento lo lleve a cabo una autoridad u organismo p煤blico, excepto los tribunales que act煤en en ejercicio de su funci贸n judicial;

(a)聽the processing is carried out by a public authority or body, except for courts acting in their judicial capacity;

Textos enlazados

b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en raz贸n de su naturaleza, alcance y/o fines, requieran una observaci贸n habitual y sistem谩tica de interesados a gran escala,聽o

(b)聽the core activities of the controller or the processor consist of processing operations which, by virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large scale; or

Textos enlazados

c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categor铆as especiales de datos personales con arreglo al art铆culo聽9 y de datos relativos a condenas e infracciones penales a que se refiere el art铆culo聽10.

(c)聽the core activities of the controller or the processor consist of processing on a large scale of special categories of data pursuant to Article聽9 or personal data relating to criminal convictions and offences referred to in Article聽10.

Textos enlazados

2. Un grupo empresarial podr谩 nombrar un 煤nico delegado de protecci贸n de datos siempre que sea f谩cilmente accesible desde cada establecimiento.

2. A group of undertakings may appoint a single data protection officer provided that a data protection officer is easily accessible from each establishment.

Textos enlazados

3. Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo p煤blico, se podr谩 designar un 煤nico delegado de protecci贸n de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tama帽o.

3. Where the controller or the processor is a public authority or body, a single data protection officer may be designated for several such authorities or bodies, taking account of their organisational structure and size.

Textos enlazados

4. En casos distintos de los contemplados en el apartado聽1, el responsable o el encargado del tratamiento o las asociaciones y otros organismos que representen a categor铆as de responsables o encargados podr谩n designar un delegado de protecci贸n de datos o deber谩n designarlo si as铆 lo exige el Derecho de la Uni贸n o de los Estados miembros. El delegado de protecci贸n de datos podr谩 actuar por cuenta de estas asociaciones y otros organismos que representen a responsables o encargados.

4. In cases other than those referred to in paragraph聽1, the controller or processor or associations and other bodies representing categories of controllers or processors may or, where required by Union or Member State law shall, designate a data protection officer. The data protection officer may act for such associations and other bodies representing controllers or processors.

5. El delegado de protecci贸n de datos ser谩 designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la pr谩ctica en materia de protecci贸n de datos y a su capacidad para desempe帽ar las funciones indicadas en el art铆culo聽39.

5. The data protection officer shall be designated on the basis of professional qualities and, in particular, expert knowledge of data protection law and practices and the ability to fulfil the tasks referred to in Article聽39.

Textos enlazados

6. El delegado de protecci贸n de datos podr谩 formar parte de la plantilla del responsable o del encargado del tratamiento o desempe帽ar sus funciones en el marco de un contrato de servicios.

6. The data protection officer may be a staff member of the controller or processor, or fulfil the tasks on the basis of a service contract.

7. El responsable o el encargado del tratamiento publicar谩n los datos de contacto del delegado de protecci贸n de datos y los comunicar谩n a la autoridad de control.

7. The controller or the processor shall publish the contact details of the data protection officer and communicate them to the supervisory authority.

Comentario de expertos ISO 27701 Considerandos Ley de Directrices y caso Deja un comentario
Comentario de expertos

(EN) The article explains when and under what conditions a Data Protection Officer (DPO) should be appointed or hired. In most cases, at least one of the following conditions is sufficient for the company to be required to have a DPO:

  • if data processing is performed by state authorities (except for courts)


para acceder al texto completo

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 6.1.1.

Here is the relevant paragraph to article 37 GDPR:

6.3.1.1 Information security roles and responsibilities

Implementation guidance

The organization should designate a point of contact for use by the customer regarding the processing of PII. When the organization is a PII controller, designate a point of contact for PII principals regarding the processing of their PII (see 7.3.2).


para acceder al texto completo

Considerandos

(97) Al supervisar la observancia interna del presente Reglamento, el responsable o el encargado del tratamiento debe contar con la ayuda de una persona con conocimientos especializados del Derecho y la pr谩ctica en materia de protecci贸n de datos si el tratamiento lo realiza una autoridad p煤blica, a excepci贸n de los tribunales u otras autoridades judiciales independientes en el ejercicio de su funci贸n judicial, si el tratamiento lo realiza en el sector privado un responsable cuyas actividades principales consisten en operaciones de tratamiento a gran escala que requieren un seguimiento habitual y sistem谩tico de los interesados, o si las actividades principales del responsable o del encargado consisten en el tratamiento a gran escala de categor铆as especiales de datos personales y de datos relativos a condenas e infracciones penales. En el sector privado, las actividades principales de un responsable est谩n relacionadas con sus actividades primarias y no est谩n relacionadas con el tratamiento de datos personales como actividades auxiliares. El nivel de conocimientos especializados necesario se debe determinar, en particular, en funci贸n de las operaciones de tratamiento de datos que se lleven a cabo y de la protecci贸n exigida para los datos personales tratados por el responsable o el encargado. Tales delegados de protecci贸n de datos, sean o no empleados del responsable del tratamiento, deben estar en condiciones de desempe帽ar sus funciones y cometidos de manera independiente.

(97) Where the processing is carried out by a public authority, except for courts or independent judicial authorities when acting in their judicial capacity, where, in the private sector, processing is carried out by a controller whose core activities consist of processing operations that require regular and systematic monitoring of the data subjects on a large scale, or where the core activities of the controller or the processor consist of processing on a large scale of special categories of personal data and data relating to criminal convictions and offences, a person with expert knowledge of data protection law and practices should assist the controller or processor to monitor internal compliance with this Regulation. In the private sector, the core activities of a controller relate to its primary activities and do not relate to the processing of personal data as ancillary activities. The necessary level of expert knowledge should be determined in particular according to the data processing operations carried out and the protection required for the personal data processed by the controller or the processor. Such data protection officers, whether or not they are an employee of the controller, should be in a position to perform their duties and tasks in an independent manner.

Ley de Directrices y caso Deja un comentario
[js-disqus]