Regulació del DPD en el sector públic a Catalunya
L’Autoritat Catalana de Protecció de Dades (APDCAT) ja va constatar en la seva Memòria de 2022 que la gran majoria de delegats de protecció de dades (DPD) nomenats al sector públic són externs, cosa que implica que, en molts casos, s’han contractat a través de processos de contractació pública. Ara, a través de la Recomanació 2/2023, publicada recentment, l’APDCAT recorda que el DPD és una figura d’obligat nomenament a l’administració pública i que aquest nomenament ha de tenir en compte determinats aspectes qualitatius, com ara la necessitat que tingui coneixements jurídics, sobretot relatius a protecció de dades, o el fet que ha de poder dur a terme determinades funcions d’informació, assessorament, supervisió i cooperació.
Aquesta recomanació ve per la constatació que, en molts processos de licitació pública d’un contracte de serveis de DPD extern, només s’ha tingut en compte el factor preu o s’ha estimat un valor de preu molt baix, sense tenir en compte la dedicació real i els aspectes qualitatius que ha de tenir necessàriament la figura del DPD i la seva feina.
De forma clara, a través de la seva Recomanació, l’APDCAT diu a l’administració pública que no pot tenir en compte només el preu o el criteri econòmic a l’hora de contractar un DPD extern, buscant sempre el preu més baix, sinó que la licitació ha de considerar també el perfil professional i les funcions a desenvolupar. El que no és acceptable és que el preu estipulat no s’ajusti a la realitat de la dedicació prevista i al perfil professional mínim i necessari. Al capdavall, recordem que la figura del DPD és fonamental a l’hora de garantir la protecció de dades dins una organització. Per això és imprescindible que els processos de contractació tinguin en compte les qualitats professionals de la persona i no només el preu.
Com a resposta probablement a la recomanació de l’APDCAT, la Generalitat ha dictat encara més recentment el Decret 148/2023, d’1 d’agost, sobre les persones delegades de protecció de dades de l’Administració de la Generalitat i el seu sector públic. Aquest decret regula el règim jurídic de les persones DPD de l’Administració de la Generalitat i el seu sector públic institucional. D’entrada, s’hi estableix l’obligació de nomenar un DPD que disposi d’experiència acreditada, adscrit orgànicament a la secretaria general de cada departament. A part d’això, també regula de forma específica les funcions d’aquest DPD, el seu règim d’adscripció i l’àmbit d’actuació. El càrrec està previst que sigui de lliure designació.
El Decret 148/2023 també crea la Comissió de Coordinació de Protecció de Dades, que tindrà funcions de vetllar per la coordinació i homogeneïtat en aplicació de criteris d’actuació de les persones DPD, debatre sobre aspectes de la normativa, fer proposta de millora i compartir solucions i criteris.