22 Jun DPO en despachos de abogados
El artículo 37.1 del RGPD, en el que se determina que esta figura será necesaria cuando:
- El tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
- Las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, debido a su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala.
- Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales y de datos relativos a condenas e infracciones penales.
En este sentido, los dos primeros supuestos no aplican a los despachos de abogados, dejándonos por tanto como única posibilidad la establecida en punto c) del artículo 37.1 del RGPD.
Teniendo en cuenta que, en virtud del artículo 9 del RGPD se consideran categorías especiales de datos los “datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física” y siendo por otro lado evidente que los despachos de abogados van a tratar datos relativos a condenas e infracciones penales, se desprende que un despacho de abogados se encuentra incluido en este tipo de supuestos.
El Considerando (91) y el Grupo de Trabajo del Artículo 29, actual Comité Europeo de Protección de Datos, nos explican que se considera «tratamiento a gran escala»: “Lo anterior debe aplicarse, en particular, a las operaciones de tratamiento a gran escala que persiguen tratar una cantidad considerable de datos personales a nivel regional, nacional o supranacional y que podrían afectar a un gran número de interesados y entrañen probablemente un alto riesgo, por ejemplo, debido a su sensibilidad, cuando, en función del nivel de conocimientos técnicos alcanzado, se haya utilizado una nueva tecnología a gran escala y a otras operaciones de tratamiento que entrañan un alto riesgo para los derechos y libertades de los interesados, en particular cuando estas operaciones hace más difícil para los interesados el ejercicio de sus derechos (…)”.
En este sentido, el Comité Europeo de protección de datos ha especificado que «un solo abogado tratando los datos, no necesita DPO», por lo tanto, cuando sea «más de un abogado» parece que si hay que tenerlo.
Además, nuestra Ley de Protección de datos, en su art. 34.1.j menciona como necesario un DPO para los responsables de ficheros regulados por la normativa de prevención del blanqueo de capitales: el art. 2.1.ñ de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo incluye como sujetos obligados por esta norma, entre otros, a los abogados “cuando participen en la concepción, realización o asesoramiento de operaciones por cuenta de clientes relativas a la compraventa de bienes inmuebles o entidades comerciales, la gestión de fondos, valores u otros activos, la apertura o gestión de cuentas corrientes, cuentas de ahorros o cuentas de valores, la organización de las aportaciones necesarias para la creación, el funcionamiento o la gestión de empresas o la creación, el funcionamiento o la gestión de fideicomisos («trusts»), sociedades o estructuras análogas, o cuando actúen por cuenta de clientes en cualquier operación financiera o inmobiliaria”.
En conclusión, a la vista de lo que establecen el RGPD y a LOPDGDD y lo que afirma el Comité Europeo de Protección de datos, los despachos de abogados deberán designar Delegado de Protección de Datos si se encuentran en alguno de los supuestos que recoge el artículo 37 del RGPD, en particular en caso de que traten a gran escala categorías especiales de datos personales y de datos relativos a condenas e infracciones penales, siempre teniendo en cuenta que un “tratamiento a gran escala” depende en gran medida de la percepción y de la interpretación que diferentes elementos como la ubicación geográfica relacionados con el volumen total de población pueden arrojar.
De esta manera, un abogado con 100 clientes en una gran ciudad como Madrid o Barcelona no es lo mismo que un abogado cuente con 100 clientes en una ciudad como Ávila. Por tanto, sería conveniente analizar cada caso en concreto.
Si necesitas realizarnos alguna consulta, ¡estamos a tu disposición! clientes@rsprivacidad.es