Quedó sin efecto el 16 de septiembre como fecha límite para el nombramiento del delegado de protección de datos personales en las diferentes entidades estatales, notificó la Agencia de Ciberseguridad del Estado (ACE) este sábado.

«No será necesario realizar ninguna acción al respecto», dice un comunicado emitido por la ACE, que requiere la certificación de los nombrados.

El perfil mínimo para la persona que desempeñe el cargo requiere contar con un grado universitario; ser mayor de 21 años; acreditar experiencia en protección de datos personales, cumplimiento normativo, gestión de riesgos, tecnologías de la información, seguridad de la información, ciberseguridad o materias relacionadas; no contar con determinadas condenas o sanciones firmes; y someterse y aprobar el Programa de Certificación de Delegados de Protección de Datos Personales una vez dicho programa entre en vigencia. 

La entidad dijo que cualquier nueva disposición o indicación será comunicada oportunamente y llama a los interesados a estar atentos.

Nuevos lineamientos establecen por primera vez la obligación de comunicar y registrar el nombramiento del delegado ante la ACE, a través del Registro de Delegados que habilitará la Agencia. Además introducen un régimen específico para su perfil, nombramiento, notificación, registro, certificación, funcionamiento y supervisión. 

A este respecto, el abogado Jaime Ramírez Ortega declaró que conviene precisar que esto no significa que haya desaparecido la obligación legal del nombramiento, sino que queda pendiente su exigibilidad conforme a las nuevas indicaciones que emita la autoridad competente.

«La decisión me parece una buena oportunidad para examinar con serenidad la forma en que esta obligación está regulada. La protección de los datos personales es necesaria y responde a una realidad que ya no podemos ignorar: empresas, instituciones y profesionales conservan diariamente información que pertenece a otras personas y que merece garantías adecuadas de confidencialidad y seguridad», explicó.

Sin embargo, agregó el profesional, también sería conveniente valorar el principio de proporcionalidad: no todas las entidades tratan la misma cantidad de información, ni manejan datos de igual sensibilidad, ni generan los mismos riesgos.

Como ejemplo mencionó que una pequeña empresa que conserva nombres y teléfonos para comunicarse con sus clientes se encuentra en una situación distinta a la de un banco, una aseguradora, una empresa de telecomunicaciones, una institución que administra información médica o una compañía cuya actividad comprende el tratamiento sistemático de historiales financieros o crediticios.

Para él, quizá la discusión no debería plantearse en términos de quién debe proteger los datos —porque todos debemos hacerlo—, sino de quién necesita obligatoriamente una estructura especializada y un Delegado de Protección de Datos.

Sería razonable considerar factores como el volumen de información procesada, la naturaleza y sensibilidad de los datos, el tratamiento masivo o sistemático y el riesgo que una utilización indebida pueda representar para sus titulares expuso.

Ramírez considerño que esta pausa puede servir, entonces, para escuchar a los distintos sectores y revisar técnicamente la normativa y sus lineamientos. La finalidad de la ley es legítima y necesaria; el desafío consiste en procurar que las obligaciones sean claras, razonables y proporcionales a la realidad de cada responsable del tratamiento.

«Una adecuada protección de los datos personales no se debilita por establecer diferencias justificadas. Al contrario, una regulación proporcional puede fortalecer su cumplimiento y concentrar las mayores exigencias precisamente allí donde existen los mayores riesgos», subrayó.