L’APDCAT defensa a Brussel·les el paper dels delegats de protecció de dades com a garants dels drets fonamentals

L’Autoritat Catalana de Protecció de Dades (APDCAT) ha promogut el debat al voltant de la figura del paper del DPD a Europa, a la 19a Conferència Internacional Computers, Privacy and Data Protection (CPDP), que s'ha celebrat del 19 al 22 de maig a Brussel·les, coincidint amb el desè aniversari del Reglament general de protecció de dades. La trobada internacional pretén fomentar l’anàlisi dels èxits d’aquesta norma pionera, i d'algunes limitacions, especialment en relació al context actual, amb propostes recents de simplificació en favor de la innovació i la competitivitat, sense perdre de vista la garantia dels drets de les persones.

En aquest marc, l’APDCAT ha organitzat el panel ‘Dades, normes digitals de la UE i DPDs’, moderat per la responsable del Registre de DPD i de programes de formació i cooperació de l’Autoritat, Olga Rierola Forcada. L’objectiu del panel, ha estat explorar com les noves normes digitals (com ara el Reglament d'IA, el Reglament de Dades, el Reglament de serveis digitals i de mercats digitals), i la constant evolució tecnològica, estan impactant les funcions dels DPD, havent d’integrar nous marcs normatius amb els principis i obligacions de l‘RGPD que segueix mantenint la seva centralitat. En aquest sentit, en el panel s’han abordat temes com quins són els principals desafiaments i dificultats en què es troben els DPD davant d’aquest nou escenari regulador, quines de les noves normes digitals de la UE impacten més directament en el seu treball diari i com se senten en aquesta situació, i què necessiten des del punt de vista de les organitzacions perquè puguin fer front a aquests nous reptes derivats de la integració de noves normes i preservant la seva independència. Finalment, s’ha analitzat com les autoritats de protecció de dades poden acompanyar els DPD davant d'aquest nou escenari regulador. 

El panel ha comptat amb la participació de dues delegades de protecció de dades, l’Esther García Encinas, responsable de l'Oficina de Privacitat i IA de CaixaBank, i l’Emese Savoia- Keleti, DPD del Servei Diplomàtic de la Unió Europea, i també amb representants de dues autoritats de protecció de dades, que han ajudat a contextualitzar la visió des del punt de vista dels organismes de garantia: Marit Hansen, comissionada de protecció de dades del land alemany de Schleswig-Holstein, i Daniele Nardi, assessor jurídic del Supervisor Europeu de Protecció de Dades.

La moderadora ha obert el panel destacant el ferm compromís de l'APDCAT amb la figura del DPD com a actor clau en la defensa del dret a la protecció de dades i dels drets fonamentals, i en aquest sentit s’ha referit  a la plataforma impulsada des d’aquesta Autoritat, 'DPD en Xarxa', a través de la qual es promou la formació contínua dels DPD, el debat en grups de treball temàtics i la creació de sinergies entre professionals.

En el desenvolupament de la taula, Esther García Encinas, ha destacat que el principal desafiament dels DPD, és la construcció de models de govern eficaços i àgils, capaços d’integrar marcs normatius que se solapen i d’adaptar-se a l’evolució i als canvis tecnològics, preservant alhora la independència del DPD. Així mateix, ha subratllat la necessària evolució del rol del DPD en la protecció dels drets fonamentals, esdevenint potser en un futur un Fundamental Rights Officer (FRO).

També ha destacat, com a exemple de repte pràctic de superposició de normatives la interacció entre l'article 35 del RGPD i l'article 27 del Reglament d'IA, assenyalant que les organitzacions encara han de determinar com alinear ambdues avaluacions. En aquest sentit, ha esmentat la tasca que s'està duent a terme en el marc de 'DPD en xarxa', en què s’està treballant per integrar les Avaluacions d’impacte en protecció de dades (AIPD) i les Avaluacions d'Impacte sobre els Drets Fonamentals ( AIPDF).

D’altra banda, Emese Savoia-Keleti, ha destacat que les noves normes digitals europees- el Reglament d'IA, la Llei de Ciberseguretat i el Reglament de serveis digitals, entre d'altres- no estan simplement afegint càrrega de treball als DPD, sinó que estan redefinint de manera fonamental el que significa ser DPD. En aquest sentit, ha subratllat que el rol del DPD s'està transformant cap a una figura d'assessor estratègic transversal, consultat pels departaments d'IA, seguretat informàtica, contractació i comunicació, la qual cosa genera alhora una major influència i una creixent preocupació, ja que s’assumeixen responsabilitats en àrees per a les quals els DPD no sempre estan plenament preparats.

El missatge clau de la ponent ha estat que el DPD ha de ser un facilitador de la innovació digital, no un obstacle, i ha de donar suport ple als responsables del tractament. En aquest sentit, ha assenyalat que la pregunta fonamental no és si els DPD poden adaptar-se a aquest nou entorn, sinó si les organitzacions els proporcionaran les eines, els recursos i l'autoritat necessaris per fer-ho amb èxit.

Per la seva banda, Marit Hansen, introduint la seva perspectiva com a Autoritat de Protecció de Dades (APD) ha destacat com des de la seva Autoritat acompanyen el rol del DPD en aquest nou escenari normatiu digital, com les mateixes Autoritats de Protecció de Dades es veuen també impactades per aquestes noves normatives, i com comparteixen amb els DPD els reptes derivats de la superposició de normes i de l'existència de diferents autoritats supervisores.

Ha assenyalat que els DPD i les APD es troben en una posició molt sòlida per garantir els drets fonamentals, perquè disposen d'una àmplia expertesa en els aspectes jurídics i tècnics del tractament de dades i estan acostumats a treballar de manera interdisciplinària.

Ha conclòs que la rellevància del treball dels DPD augmentarà com a conseqüència directa dels nous requisits en matèria de compartició de dades i seguretat, i que la comunicació entre els diferents agents implicats és clau per fer funcionar tot el sistema.

Finalment, Daniele Nardi, ha posat el focus en la necessitat d'avaluar el possible conflicte d'interès quan s'atribueixen noves funcions al DPD, a la llum del que ha establert en la sentència "X-FAB" (C-453/21), en l'anàlisi que s'ha de dur a terme per evitar els conflictes d'interès d'acord amb el TJUE, i en la necessitat de dotar els DPD dels recursos necessaris per poder assumir aquestes noves funcions.

Així mateix, ha abordat el concepte de dada personal establert pel TJUE en la sentència EDPS contra SRB, C-413/23 P, i ha ofert alguns consells als DPD sobre com gestionar la incertesa que persisteix entorn de la noció de dada personal quan s'enfronten a casos concrets.