DECRETO 148/2023, DE 1 DE AGOSTO, SOBRE LAS PERSONAS DELEGADAS DE PROTECCIÓN DE DATOS DE LA ADMINISTRACIÓN DE LA GENERALITAT Y SU SECTOR PÚBLICO.
De acuerdo con los artículos 150 y 136 del Estatuto de autonomía de Cataluña, corresponde a la Generalitat, en materia de organización de su Administración, la competencia exclusiva sobre la estructura, la regulación de los órganos y directivos públicos, el funcionamiento y la articulación territorial, y las diversas modalidades organizativas e instrumentales para la actuación administrativa, así como la competencia exclusiva sobre el régimen estatutario del personal al servicio de las administraciones públicas catalanas y sobre la ordenación y la organización de la función pública. Por otra parte, de acuerdo con el artículo 156, corresponde a la Administración de la Generalitat la competencia ejecutiva en materia de protección de datos respetando las garantías de los derechos fundamentales en esta materia.
El Reglamento UE 2016/679 
, del Parlamento Europeo y del Consejo, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), unifica y moderniza la normativa europea sobre protección de datos, con especial énfasis en el análisis de impacto de la privacidad, el deber de información, el consentimiento, la transparencia, la seguridad y el hecho de que se tienen que garantizar los derechos de la ciudadanía en relación con la protección de su privacidad.
El Reglamento establece que, cuando el responsable o el encargado del tratamiento de los datos de carácter personal es una administración pública, se tiene que designar una persona delegada de protección de datos con conocimientos especializados del derecho y la práctica en materia de protección de datos. En los artículos 36 a 39, se regula la figura de la persona delegada de protección de datos, esto es, la designación, la posición y las funciones.
También hay que tener en cuenta lo que establecen los artículos 34 a 37 de la Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, así como los artículos 40 a 42 de la Ley orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para finalidades de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.
El particular estatuto personal que la normativa mencionada otorga al delegado o delegada de protección de datos, caracterizado por las notas de independencia con respecto al responsable o el encargado del tratamiento, y la inamovilidad en el ejercicio de las funciones específicas que se le asignan, entre otros, hacen necesaria una regulación específica del régimen y el estatuto jurídico de las personas delegadas de protección de datos de la Administración de la Generalitat y su sector público, de acuerdo con lo que establecen el Real decreto legislativo 5/2015, de 30 de octubre , por el que se aprueba el texto refundido de la Ley del Estatuto básico del empleado público, y el Decreto legislativo 1/1997, de 31 de octubre , por el que se aprueba la refundición en un texto único de los preceptos de determinados textos legales vigentes en Cataluña en materia de función pública.
El Decreto tiene por objeto establecer el régimen y el estatuto jurídico del delegado de protección de datos de la Administración de la Generalitat y su sector público y se estructura en ocho artículos, que regulan el régimen de adscripción y el ámbito de actuación de las personas delegadas de protección de datos, el ejercicio de las funciones y el régimen jurídico, que incide en su nombramiento y eventual cese, y la Comisión de Coordinación de Protección de Datos, por la garantía de la aplicación homogénea de los criterios de actuación en esta materia; cuatro disposiciones adicionales; una disposición transitoria, y dos disposiciones finales.
Este Decreto se ha elaborado de conformidad con los principios de buena regulación que disponen el artículo 129 de la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las administraciones públicas, y el artículo 62 de la Ley 19/2014, del 29 de diciembre, de transparencia, acceso a la información y buen gobierno. De acuerdo con los principios de necesidad y eficacia, este Decreto se justifica por razones de interés general, que consisten en establecer en el ámbito organizativo de la Administración de la Generalitat la configuración definitiva del marco en que se tienen que desarrollar estas funciones, sus ámbitos de actuación, así como la provisión de los respectivos puestos de trabajo que tienen que tener asignadas estas funciones específicas, y la eficacia queda garantizada a través del establecimiento de un modelo organizativo que requiere el menor coste posible.
De acuerdo con el principio de proporcionalidad, la regulación que esta norma contiene es la imprescindible para atender las exigencias que el interés general requiere. No supone la restricción de ningún derecho y las obligaciones que impone son las indispensables para garantizar un correcto ejercicio de las funciones asignadas normativamente a la figura del delegado o delegada de protección de datos.
Atendiendo al principio de seguridad jurídica, la potestad reglamentaria se ejerce de manera coherente con el resto del ordenamiento jurídico: el Decreto se integra en un marco normativo estable y coherente, y su contenido está de acuerdo con la normativa de protección de datos y de la función pública, citada anteriormente.
En aplicación del principio de transparencia, la Administración de la Generalitat de Catalunya posibilita el acceso sencillo, universal y actualizado a la normativa en vigor y los documentos propios de su proceso de elaboración. En aplicación del principio de participación, durante el procedimiento de elaboración la norma se ha sometido al trámite de consulta pública previa y de información pública.
Y, en aplicación del principio de eficiencia, este Decreto no crea cargas administrativas para la ciudadanía y permite disponer de un marco normativo coherente y adecuado para ejercer las funciones asignadas a las personas delegadas de protección de datos del personal al servicio de la Administración de la Generalitat y de su sector público.
Visto lo que establecen los artículos 39.1 y 40.1 de la Ley 13/2008, de 5 de noviembre, de la presidencia de la Generalitat y del Gobierno,
En virtud de ello, a propuesta de la consejera de la Presidencia, de acuerdo con el dictamen de la Comisión Jurídica Asesora y con la deliberación previa del Gobierno,
Decreto:
Artículo 1
Objeto
Este Decreto tiene por objeto establecer el régimen jurídico de las personas delegadas de protección de datos de la Administración de la Generalitat y su sector público institucional, así como la regulación de la Comisión de Coordinación de Protección de Datos.
Artículo 2
Adscripción
1. Los departamentos de la Administración de la Generalitat tienen que designar a una persona delegada de protección de datos.
2. Con la autorización previa de la secretaría general del departamento de adscripción, las entidades de su sector público institucional vinculadas o dependientes pueden designar, en función de la complejidad, el volumen, o la categoría o categorías especiales de los datos que gestionan, una persona delegada de protección de datos. Las funciones de la persona delegada de protección de datos también pueden atribuirse a una entidad del sector público o encargarse mediante un contrato de servicios.
Asimismo, en atención a criterios de eficacia y eficiencia en el ejercicio de las funciones asignadas, así como en función de la dimensión de las estructuras organizativas respectivas, se puede designar una única persona delegada de protección de datos para varios departamentos, por grupos de empresas o entidades del sector público.
3. Las personas delegadas de protección de datos en los departamentos de la Administración de la Generalitat se adscriben orgánicamente a la secretaría general. Esta adscripción en ningún caso afecta al régimen de independencia funcional de la figura de la persona delegada de protección de datos.
4. La persona delegada de protección de datos actúa, en el ejercicio de sus funciones, con plena independencia funcional y no está sujeto a instrucciones, órdenes de servicio y recomendaciones del responsable del tratamiento ni de ningún otro órgano de la organización.
Artículo 3
Ámbito de actuación
El ámbito de actuación de las personas delegadas de protección de datos comprende el departamento de adscripción y las entidades que conforman su sector público institucional, sin perjuicio de lo que establecen el artículo anterior, las disposiciones adicionales y final primera de este Decreto.
Artículo 4
Funciones
1. La persona delegada de protección de datos tiene las funciones siguientes:
a) Informar, asesorar y colaborar con las personas responsables o encargadas del tratamiento de datos.
b) Inspeccionar procedimientos, comunicar la existencia de vulneraciones en materia de protección de datos y emitir recomendaciones.
c) Supervisar el correcto cumplimiento del Reglamento UE 2016/679 , así como de otras disposiciones normativas sobre protección de datos.
d) Asesorar en las evaluaciones de impacto sobre la protección de datos y supervisar su aplicación.
e) Cooperar con la Autoridad Catalana de Protección de Datos y las otras autoridades de control.
f) Actuar como punto de contacto de las autoridades de control para cuestiones relativas al tratamiento, incluida la consulta previa a la autoridad de control.
g) Atender las reclamaciones de las personas interesadas o las que le derive la Autoridad Catalana de Protección de Datos.
h) Entregar al responsable del tratamiento una memoria anual en que se recojan las actividades desarrolladas con una mención expresa de las incidencias que se hayan podido observar en el ejercicio de las funciones asignadas.
i) Rendir cuentas de su actividad y resultados, cuando se le requiera, ante la persona titular de la secretaría general del departamento, o de la dirección de la entidad del sector público correspondiente.
j) Cualquier otra función que le asigne la normativa vigente.
2. La persona delegada de protección de datos debe ejercer las funciones observando la debida atención a los riesgos asociados a las operaciones de tratamiento y considerando, asimismo, la naturaleza, el alcance, el contexto y las finalidades del tratamiento.
3. Los órganos y unidades departamentales, así como las entidades del sector público, tienen que prestar el apoyo y la colaboración necesarios a la persona delegada de protección de datos para garantizar el correcto desarrollo de las funciones asignadas, incluyendo los recursos formativos, la disposición de medios técnicos y la disponibilidad de espacios.
Artículo 5
Estatuto personal de la persona delegada de protección de datos
1. La persona delegada de protección de datos tiene derecho a acceder a los datos personales y a los procesos de tratamiento de datos, con la comunicación previa a las personas responsables o encargadas, que no pueden oponerse invocando el deber de confidencialidad o secreto.
Se tiene que garantizar la independencia de la persona delegada de protección de datos dentro de la organización y se tiene que evitar cualquier conflicto de intereses.
2. La persona delegada de protección de datos tiene el deber de mantener el secreto y la confidencialidad en el ejercicio de sus funciones.
Artículo 6
Designación y cese de la persona delegada de protección de datos
1. La persona delegada de protección de datos se designa mediante el sistema de libre designación entre funcionarios de carrera de los cuerpos y escalas del subgrupo A1 de clasificación profesional de la Administración de la Generalitat de Catalunya, siempre que dispongan de una experiencia acreditada de dos años en el ejercicio de funciones o responsabilidades relacionadas en el ámbito de la protección de datos o de mecanismos voluntarios de certificación, y se tiene que tener particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos.
En las entidades del sector público, la vinculación de la persona delegada de protección de datos se corresponde con el régimen aplicable al personal de la entidad de acuerdo con su norma de creación.
2. Previamente a la designación por el órgano competente se realizará un procedimiento de provisión en que hay que valorar los conocimientos especializados en derecho y en la práctica de la protección de datos, así como las competencias profesionales que se exijan para desarrollar las funciones asignadas.
3. La persona delegada de protección de datos no puede removerse ni sancionarse por el ejercicio de sus funciones, a menos que incurra en dolo o negligencia grave en este ejercicio.
La persona delegada de protección de datos debe cesar en el ejercicio de sus funciones cuando incurra en dolo o negligencia grave en su ejercicio, así como por razones organizativas, derivadas de la modificación de estructuras departamentales y orgánicas y de la modificación de la relación de puestos de trabajo.
4. La designación y el cese de la persona delegada de protección de datos tiene que comunicarlo el órgano competente, en un plazo de diez días, a la Autoridad Catalana de Protección de Datos.
Artículo 7
Ejercicio de las funciones asignadas a la persona delegada de protección de datos
1. En el ámbito de la Administración de la Generalitat de Catalunya, el puesto de trabajo de delegado o delegada de protección de datos se incluye en la relación de puestos de trabajo de personal funcionario con un nivel retributivo asimilado al de servicio.
2. No obstante lo que establece el primer apartado de este artículo, las funciones de delegado o delegada de protección de datos pueden ejercerse a tiempo parcial, mediante una atribución temporal de funciones para un periodo de dos años a personal funcionario con asimilación retributiva, como mínimo, a servicio. Las atribuciones temporales de funciones, que no requieren autorización de compatibilidad, no pueden exceder el 50 % de la jornada del puesto de trabajo principal y las retribuciones a percibir son las propias del puesto principal, sin perjuicio de la adecuación funcional a las cargas de trabajo.
3. Se tiene que garantizar que la atribución de funciones de delegado o delegada de protección de datos con carácter parcial no da lugar a situaciones de conflicto de interés. En particular, no pueden acumularse las funciones de delegado o delegada de protección de datos a otros puestos de trabajo con funciones que impliquen la participación en la toma de decisiones sobre la existencia de tratamientos de datos o sobre la manera en que estos datos tienen que tratarse.
4. Con carácter previo a la atribución de funciones de carácter parcial hay que disponer de un informe conjunto favorable de la unidad directiva competente en materia de coordinación interdepartamental y apoyo en materia de protección de datos y de la unidad directiva competente en materia de buen gobierno, en relación con la falta de existencia de las situaciones de conflicto de interés que menciona el apartado anterior.
Artículo 8
Comisión de Coordinación de Protección de Datos
1. Se crea la Comisión de Coordinación de Protección de Datos, que se adscribe a la secretaría competente en la coordinación interdepartamental en materia de protección de datos, que le presta apoyo técnico y administrativo.
2. Las funciones de la Comisión de Coordinación de Protección de Datos son las siguientes:
a) Velar por la coordinación y la homogeneidad en aplicación de criterios de actuación en el ejercicio de las funciones asignadas a las personas delegadas de protección de datos en el ámbito de este Decreto, respetando la independencia de los delegados en el ejercicio de las funciones.
b) Debatir sobre aspectos concretos de la aplicación de la normativa en materia de protección de datos, para acordar posibles soluciones.
c) Hacer las propuestas que estime adecuadas con el fin de mejorar el ejercicio de las funciones asignadas a las personas delegadas de protección de datos.
d) Compartir criterios de actuación y posibles soluciones en el ámbito de las funciones asignadas a las personas delegadas de protección de datos y difundirlos al conjunto de la Administración de la Generalitat y de su sector público.
3. La Comisión ejerce las funciones sin perjuicio de las competencias que corresponden al departamento competente en materia de coordinación y apoyo en materia de protección de datos.
4. Forman parte de la Comisión:
a) La presidencia, que corresponde a una persona designada por la secretaría competente en la coordinación interdepartamental en materia de protección de datos, con rango orgánico mínimo de subdirector o subdirectora general o asimilado retributivamente.
b) Las personas delegadas de protección de datos departamentales a que hace referencia este Decreto.
c) Una persona designada por la dirección general competente en la coordinación interdepartamental en materia de protección de datos, que ejerce también las funciones de secretaría.
La presidencia de la Comisión puede designar miembro de la Comisión, a propuesta de cada departamento, a una persona delegada de protección de datos de una de las entidades del sector público institucional del departamento, en función de la complejidad y la especificidad de los datos que gestiona.
5. Corresponde a la secretaría y a la dirección general competentes en coordinación interdepartamental en materia de protección de datos designar a las personas suplentes que sustituyan a los miembros de la Comisión que han designado, para los casos de ausencia, de vacante, de enfermedad o por cualquier otra causa justificada, entre personas funcionarias de las unidades directivas mencionadas con rango orgánico mínimo de jefe o jefa de servicio o asimilado retributivamente.
La presidencia de la Comisión debe designar a las personas suplentes de las personas delegadas de protección de datos de las entidades del sector público institucional de los departamentos.
El resto de miembros de la Comisión pueden designar personas suplentes en los casos mencionados anteriormente, entre otros vocales.
6. Cuando así lo considere oportuno en función de los temas a tratar, la presidencia de la Comisión puede convocar a asesores especialistas en materia de protección de datos, que asisten con voz pero sin voto.
7. La Comisión de Coordinación de Protección de Datos aprueba el reglamento de funcionamiento interno y, en todo lo que no establezcan este reglamento y este Decreto, se aplica la normativa sobre órganos colegiados de la Administración de la Generalitat.
8. La Comisión de Coordinación de Protección de Datos se tiene que reunir como mínimo dos veces el año. Las personas miembros de la Comisión no perciben derechos de asistencia por la concurrencia en sus reuniones.
Disposiciones adicionales
Primera. El departamento competente en materia de educación debe designar a una persona delegada de protección de datos que tiene que ejercer las funciones en relación con el departamento y los centros docentes de su titularidad.
La persona delegada de protección de datos designada representa a las delegaciones de los centros docentes de titularidad del departamento competente en materia de educación en la Comisión de Coordinación de Protección de Datos.
Segunda. En atención a la especificidad y especial complejidad de un determinado sector de la actividad administrativa, el Gobierno de la Generalitat, a propuesta del departamento competente en materia de coordinación interdepartamental y apoyo en materia de protección de datos, puede acordar designar una persona delegada de protección de datos sectorial con las funciones, el estatuto personal y el régimen de designación y cese que dispone este Decreto. Esta persona forma parte de la Comisión de Coordinación de Protección de Datos.
Tercera. Los datos de contacto de las personas delegadas de protección de datos deben publicarse en las webs corporativas de los departamentos y de las entidades del sector público institucional, con la indicación de su nombre completo, dirección electrónica y teléfono de contacto, así como la dirección y los datos postales.
Cuarta. Las funciones desarrolladas en virtud de la Instrucción 1/2018, de 16 de mayo, sobre la atribución temporal de funciones propias de la persona delegada de protección de datos en el ámbito de la Administración de la Generalitat y su sector público, tienen que ser objeto de valoración específica en los procesos de designación y provisión de los puestos de trabajo de delegado o delegada de protección de datos.
Disposición transitoria
Hasta la provisión de los puestos de trabajo de delegado o delegada de protección de datos que tienen que ser convocarse en el plazo de seis meses a partir de la entrada en vigor de este Decreto, continúan vigentes la Instrucción 1/2018, de 16 de mayo, y las atribuciones temporales de funciones dictadas al amparo de esta.
Disposiciones finales
Primera. Mediante la orden del consejero competente en materia de salud se tiene que organizar un sistema propio de delegaciones de protección de datos que abarque el departamento y su sector público.
Segunda. Este Decreto entra en vigor a los veinte días de su publicación en el Diari Oficial de la Generalitat de Catalunya.
