La APDCAT defiende en Bruselas el papel de los delegados de protección de datos como garantes de los derechos fundamentales

La Autoridad Catalana de Protección de Datos (APDCAT) ha promovido el debate en torno a la figura del papel del DPD en Europa, en la 19ª Conferencia Internacional Computers, Privacy and Data Protection (CPDP), que se ha celebrado del 19 al 22 de mayo en Bruselas, coincidiendo con el décimo aniversario del Reglamento general de protección. El encuentro internacional pretende fomentar el análisis de los logros de esta norma pionera, y de algunas limitaciones, especialmente en relación al contexto actual, con propuestas recientes de simplificación en favor de la innovación y la competitividad, sin perder de vista la garantía de los derechos de las personas.

En este marco, la APDCAT ha organizado el panel 'Datos, normas digitales de la UE y DPDs', moderado por la responsable del Registro de DPD y de programas de formación y cooperación de la Autoridad, Olga Rierola Forcada. El objetivo del panel, ha sido explorar cómo las nuevas normas digitales (como el Reglamento de IA, el Reglamento de Datos, el Reglamento de servicios digitales y de mercados digitales), y la constante evolución tecnológica, están impactando las funciones de los DPD, debiendo integrar nuevos marcos normativos con los principios y obligaciones del RGPD que sigue manteniendo su centralidad. En este sentido, en el panel se han abordado temas como cuáles son los principales desafíos y dificultades en que se encuentran los DPD frente a este nuevo escenario regulador, cuáles de las nuevas normas digitales de la UE impactan más directamente en su trabajo diario y cómo se sienten en esta situación, y qué necesitan desde el punto de vista de las organizaciones para que puedan hacer frente a estos nuevos retos. Por último, se ha analizado cómo las autoridades de protección de datos pueden acompañar a los DPD ante este nuevo escenario regulador.

El panel ha contado con la participación de dos delegadas de protección de datos, Esther García Encinas, responsable de la Oficina de Privacidad y IA de CaixaBank, y Emese Saboya-Keleti, DPD del Servicio Diplomático de la Unión Europea, y también con representantes de dos autoridades de protección de datos, que han ayudado a contextualizar la visión desde el punto de protección de datos del land alemán de Schleswig-Holstein, y Daniele Nardi, asesor jurídico del Supervisor Europeo de Protección de Datos.

La moderadora ha abierto el panel destacando el firme compromiso de la APDCAT con la figura del DPD como actor clave en la defensa del derecho a la protección de datos y de los derechos fundamentales, y en este sentido se ha referido a la plataforma impulsada desde esta Autoridad, 'DPD en Red', a través de la cual se promueve la formación continua de los DPD, el debate en grupos de grupos.

En el desarrollo de la mesa, Esther García Encinas, ha destacado que el principal desafío de los DPD, es la construcción de modelos de gobierno eficaces y ágiles, capaces de integrar marcos normativos que se solapan y de adaptarse a la evolución ya los cambios tecnológicos, preservando al mismo tiempo la independencia del DPD. Asimismo, ha subrayado la necesaria evolución del rol del DPD en la protección de los derechos fundamentales, convirtiéndose quizás en un futuro en un Fundamental Rights Officer (FRO).

También ha destacado, como ejemplo de reto práctico de superposición de normativas la interacción entre el artículo 35 del RGPD y el artículo 27 del Reglamento de IA, señalando que las organizaciones aún deben determinar cómo alinear ambas evaluaciones. En este sentido, ha mencionado la labor que se está llevando a cabo en el marco de 'DPD en red', en el que se está trabajando para integrar las Evaluaciones de impacto en protección de datos (AIPD) y las Evaluaciones de Impacto sobre los Derechos Fundamentales (AIPDF).

Por otra parte, Emese Saboya-Keleti, ha destacado que las nuevas normas digitales europeas- el Reglamento de IA, la Ley de Ciberseguridad y el Reglamento de servicios digitales, entre otros- no están simplemente añadiendo carga de trabajo a los DPD, sino que están redefiniendo de forma fundamental lo que significa ser DPD. En este sentido, ha subrayado que el rol del DPD se está transformando hacia una figura de asesor estratégico transversal, consultado por los departamentos de IA, seguridad informática, contratación y comunicación, lo que genera a su vez una mayor influencia y una creciente preocupación, puesto que se asumen responsabilidades en áreas para las que los DPD no siempre están plenamente preparados.

El mensaje clave de la ponente ha sido que el DPD debe ser un facilitador de la innovación digital, no un obstáculo, y debe apoyar pleno a los responsables del tratamiento. En este sentido, ha señalado que la pregunta fundamental no es si los DPD pueden adaptarse a este nuevo entorno, sino si las organizaciones les proporcionarán las herramientas, recursos y autoridad necesarios para hacerlo con éxito.

Por su parte, Marit Hansen, introduciendo su perspectiva como Autoridad de Protección de Datos (APD) ha destacado cómo desde su Autoridad acompañan el rol del DPD en este nuevo escenario normativo digital y cómo las propias Autoridades de Protección de Datos se ven también impactadas por estas nuevas normativas, y cómo comparten con los DPD los retos derivados de la super.

Ha señalado que los DPD y las APD se encuentran en una posición muy sólida para garantizar los derechos fundamentales, porque disponen de una amplia experiencia en los aspectos jurídicos y técnicos del tratamiento de datos y están acostumbrados a trabajar de forma interdisciplinaria.

Ha concluído que la relevancia del trabajo de los DPD aumentará como consecuencia directa de los nuevos requisitos en materia de compartición de datos y seguridad, y que la comunicación entre los diferentes agentes implicados es clave para hacer funcionar todo el sistema.

Por último, Daniele Nardi, ha puesto el foco en la necesidad de evaluar el posible conflicto de interés cuando se atribuyen nuevas funciones al DPD, a la luz de lo establecido en la sentencia "X-FAB" (C-453/21), en el análisis que debe llevarse a cabo para evitar los conflictos de interés de acuerdo con el TJUE, y en el TJUE, y en el TJUE, y en el nuevas funciones.

Asimismo, ha abordado el concepto de dato personal establecido por el TJUE en la sentencia EDPS contra SRB, C-413/23 P, ofreciendo algunos consejos a los DPD sobre cómo gestionar la incertidumbre que persiste en torno a la noción de dato personal cuando se enfrentan a casos concretos.