Decreto 9/2025, de 14 de marzo, por el que se regula la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears, - Boletín Oficial de las Islas Baleares, de 15-03-2025

Decreto 9/2025, de 14 de marzo, por el que se regula la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears

Preámbulo

I

La figura del Delegado de Protección de Datos (en adelante, DPD) ejerce un papel fundamental en el cumplimiento del Reglamento (UE ) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), de modo que tiene una función de naturaleza asesora y supervisora ante el responsable del tratamiento y actúa como punto de contacto de la Agencia Española de Protección de Datos, de acuerdo con las previsiones del artículo 39.1 del RGPD.

En el nuevo modelo de «responsabilidad proactiva», el DPD es la piedra angular de la rendición de cuentas, al cual el RGPD le otorga una protección reforzada que recoge la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), cuando establece su carácter obligatorio para las administraciones públicas.

El principio de «responsabilidad proactiva» del artículo 5.2 del RGPD requiere de los responsables del tratamiento una actitud consciente, diligente y proactiva ante todos los tratamientos de datos personales que se lleven a cabo en la Administración de la Comunidad Autónoma de las Illes Balears. Conforme a este principio, el responsable del tratamiento está obligado a garantizar que el tratamiento se realiza de conformidad con las disposiciones del RGPD y debe ser capaz de demostrarlo.

En la era digital, las administraciones públicas se han convertido en un objetivo prioritario para los ciberdelincuentes, y los ataques informáticos contra estas entidades públicas han experimentado un aumento significativo en los últimos años.

Los ciberataques a las administraciones públicas desencadenan una serie de consecuencias significativas que van más allá de la mera intrusión en los sistemas informáticos. La destrucción, la pérdida, la alteración ilícita o el acceso no autorizado a los datos personales, incluso de carácter sensible, es quizás la más alarmante, dado que la filtración de información confidencial no solo compromete la seguridad de la información, sino que pone en riesgo los derechos y libertades de los ciudadanos y erosiona la confianza en las instituciones públicas, responsables del tratamiento de los datos personales.

Por esta razón, cuando se produce una brecha de seguridad de los datos personales, es necesario que el responsable del tratamiento de la Administración de la Comunidad Autónoma de las Illes Balears actúe de manera coordinada con la Delegación de Protección de Datos, así como con el jefe del Departamento de Ciberseguridad y Telecomunicaciones y el jefe del Servicio de Seguridad de la Información de la Dirección General de Estrategia Digital y Desarrollo Tecnológico.

II

Para dar cumplimiento al Reglamento (UE) 2016/679 y proteger los derechos y libertades de las personas físicas y, en particular, su derecho fundamental a la protección de los datos personales, los responsables del tratamiento de la Administración de la Comunidad Autónoma de las Illes Balears deben contar con el asesoramiento de un funcionario que será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho, a la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones del artículo 39 del RGPD.

La Agencia Española de Protección de Datos (en adelante, AEPD) señala que, atendiendo a las funciones del delegado de protección de datos, su adscripción dentro de la estructura de la organización se debe realizar a órganos o unidades con competencias y funciones de carácter horizontal, y que el nivel del puesto de trabajo debe ser adecuado para poder relacionarse con la dirección del órgano donde ejerza sus funciones.

La posición jurídica del Delegado de Protección de Datos que le otorga el RGPD, regulada en el artículo 38, le confiere un especial estatus de autonomía e independencia que obliga a la Administración de la Comunidad Autónoma de las Illes Balears a garantizar que el Delegado de Protección de Datos pueda relacionarse en posición de igualdad con aquellos niveles jerárquicos de la Administración de la Comunidad Autónoma de las Illes Balears que determinan las finalidades y los medios del tratamiento, y que tienen la capacidad de adoptar decisiones basadas en las recomendaciones, propuestas o evaluaciones que realice el Delegado de Protección de Datos.

En este sentido, el DPD debe tener la posibilidad de expresar con claridad sus discrepancias al más alto nivel de la Administración de la Comunidad Autónoma de las Illes Balears, de acuerdo con el artículo 38.3 del RGPD.

Todos estos elementos deben ser tomados en consideración en la configuración del correspondiente puesto de trabajo del DPD dentro de la organización de la Administración de la Comunidad Autónoma de las Illes Balears y, en consecuencia, en el diseño de la estructura de la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears.

En consecuencia, en la configuración del correspondiente puesto de trabajo del Delegado de Protección de Datos su nivel debe ser el adecuado a su posición jurídica, equiparable a jefe de departamento, para poder relacionarse con los Directores, Secretarios Generales y órganos directivos asimilados, responsables del tratamiento de la Administración de la Comunidad Autónoma de las Illes Balears en posición de igualdad, para que pueda ejercer adecuadamente sus funciones de asesoramiento, de supervisión y de interlocución con la AEPD, y se garantice su independencia funcional y la ausencia de conflictos de intereses, dado que el DPD debe rendir cuentas directamente al más alto nivel jerárquico del responsable del tratamiento en los términos establecidos en el RGPD y en la LOPDGDD, y no puede recibir instrucciones sobre el desempeño de sus funciones, ni puede ser destituido ni sancionado por el desempeño de dichas funciones, de acuerdo con el artículo 38 del RGPD.

III

El artículo 16 del Decreto 48/2024, de 22 de noviembre, por el que se aprueba la Política de Protección de Datos Personales de la Administración de la Comunidad Autónoma de las Illes Balears regula la Delegación de Protección de Datos de la Administración de la CAIB, y prevé que el organigrama de la Delegación de Protección de Datos se desarrolle mediante un decreto que regule su estructura organizativa, de acuerdo con los artículos 37 a 39 del RGPD y 34 a 37 de la LOPDGDD.

Corresponde a la Administración de la Comunidad Autónoma de las Illes Balears velar por el cumplimiento de las disposiciones del RGPD relativas al nombramiento, la posición jurídica y las funciones del Delegado de Protección de Datos, así como la regulación de la estructura de la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears para que esta pueda desempeñar sus funciones con plena autonomía e independencia funcional.

En el desempeño de dichas funciones, de acuerdo con el RGPD, la Administración de la Comunidad Autónoma de las Illes Balears debe respaldar al Delegado de Protección de Datos, facilitarle los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, así como mantener su conocimiento especializado en protección de datos personales y derechos digitales.

De acuerdo con el RGPD y la LOPDGDD, la Administración de la Comunidad Autónoma de las Illes Balears debe asignar al DPD los recursos necesarios para el correcto cumplimiento de sus funciones, entre los que se encuentran el apoyo adecuado en cuanto a recursos financieros, infraestructura (locales, instalaciones, equipos) y dotación de personal cualificado suficiente de acuerdo con la multiplicidad de responsables que hay en la Administración de la Comunidad Autónoma de las Illes Balears, el volumen de las operaciones de tratamiento y el carácter de categorías sensibles de los datos personales que se tratan.

IV

El artículo 37.5 del RGPD establece que el Delegado de Protección de Datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho, a la práctica en materia de protección de datos y a su capacidad para ejercer las funciones reguladas en el artículo 39 del RGPD.

Cuando las operaciones de tratamiento de los datos son especialmente complejas o cuando implican una gran cantidad de datos sensibles, el DPD puede necesitar un nivel mayor de conocimientos y apoyo. Asimismo, deberá tener un buen conocimiento de los sistemas de información y de las necesidades de seguridad y protección de datos del responsable del tratamiento, y un conocimiento sólido de las normas y los procedimientos administrativos de la Administración pública.

Como recuerda el considerando 97 del RGPD, «el nivel de conocimientos especializados necesario se debe determinar, en particular, en función de las operaciones de tratamiento de datos que se lleven a cabo y de la protección exigida para los datos personales tratados por el responsable».

Por tanto, la capacidad del DPD para ejercer sus funciones debe interpretarse tanto en función de sus cualidades personales y conocimientos como respecto de su puesto dentro de la Administración de la Comunidad Autónoma de las Illes Balears.

En este sentido, la provisión del puesto de trabajo de Delegado de Protección de Datos en la Administración de la Comunidad Autónoma de las Illes Balears exige que la selección se ajuste a los requisitos legalmente establecidos y, en especial, que se acrediten los conocimientos especializados en Derecho y la práctica de la protección de datos que señala el RGPD.

Así, en cumplimiento de los requisitos del artículo 37.5 del Reglamento (UE) 2016/679, y del artículo 16.7 del Decreto 48/2024, de 22 de noviembre, por el que se aprueba la Política de Protección de Datos Personales de la Administración de la Comunidad Autónoma de las Illes Balears, el funcionario que ocupe el puesto de trabajo de Delegado de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears debe estar certificado de conformidad con el Esquema de Certificación de Delegados de Protección de Datos de la Agencia Española de Protección de Datos (Esquema AEPD-DPD), con arreglo a lo previsto en el artículo 35 de la LOPDGDD, lo que constituye una garantía para acreditar su cualificación y capacidad profesional, y un estándar muy elevado de calidad.

Asimismo, resulta necesario establecer el marco normativo relativo a la estructura organizativa de la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears y a los requisitos para la ocupación de los puestos de trabajo que se adscriben, los cuales, en cualquier caso, deben materializarse mediante los correspondientes instrumentos de ordenación de los puestos de trabajo, tales como la relación de puestos de trabajo y las órdenes de funciones, de acuerdo con lo que prevé a estos efectos la Ley 3/2007, de 27 de marzo, de la función pública de la comunidad autónoma de las Illes Balears.

Con este desarrollo reglamentario se pretende, además, en línea con las regulaciones vigentes para otras delegaciones de protección de datos de comunidades autónomas, dotar a la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears de la posición orgánica que le corresponde como órgano específico y experto en protección de datos personales de más alto rango en la Administración de la Comunidad Autónoma de las Illes Balears.

Por otro lado, el desarrollo reglamentario se ampara en lo previsto en los artículos 30.1, 31.3 y 79 del Estatuto de Autonomía de las Illes Balears, en la redacción de la Ley Orgánica 1/2007, de 28 de febrero, en relación con los títulos V y VII de la Ley 3/2003, de 26 de marzo, de Régimen Jurídico de la Administración de la Comunidad Autónoma de las Illes Balears, y los títulos V y VI de la Ley 3/2007, de 27 de marzo, de la Función Pública de la Comunidad Autónoma de las Illes Balears.

V

Considerando el volumen de las operaciones de tratamiento, la categoría especial de los datos tratados y los riesgos para los derechos y libertades de los interesados, es necesario reforzar los recursos dedicados a garantizar el cumplimiento por la Administración de la Comunidad Autónoma de las Illes Balears de la normativa en materia de protección de datos personales, como responsable último del tratamiento, mediante la regulación de la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears.

En consecuencia, las competencias y los conocimientos requeridos al personal funcionario adscrito a la Delegación de Protección de Datos deberán implicar el conocimiento especializado sobre la legislación y prácticas autonómicas, nacionales y europeas en materia de protección de datos personales y una profunda comprensión del RGPD, de la LOPDGDD y del resto de normativa vigente en protección de datos personales y seguridad de la información; la comprensión de las operaciones de tratamiento que se llevan a cabo en la Administración de la Comunidad Autónoma de las Illes Balears y de las tecnologías de la información y de la seguridad de los datos de acuerdo con el Esquema Nacional de Seguridad; el conocimiento de la regulación de la protección de datos personales en el ámbito de la Administración de la Comunidad Autónoma de las Illes Balears, así como la capacidad para fomentar una cultura de protección de datos en la Administración de la Comunidad Autónoma de las Illes Balears.

Por todo ello, una vez superada la primera fase derivada de la entrada en vigor del presente decreto, será necesario establecer con carácter permanente actividades de formación en protección de datos personales para empleados públicos que deseen especializarse en la materia y optar eventualmente a ocupar los puestos de trabajo de la Delegación de Protección de Datos; todo ello, sin perjuicio de otras actividades de formación sobre protección de datos personales dirigidos a la totalidad de empleados públicos de la Administración autonómica.

VI

Este texto reglamentario está integrado por un Preámbulo, veintiún artículos —agrupados en cinco capítulos—, una disposición adicional, una disposición transitoria y dos disposiciones finales.

El capítulo I contiene las disposiciones generales e incluye especialmente los principios que regirán la actuación del personal que integra la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears. Se considera imprescindible consolidar la regulación que garantice que el Delegado de Protección de Datos actúe con la máxima autonomía e independencia funcional.

El capítulo II se dedica a la organización de la Delegación de Protección de Datos con un conjunto de preceptos que persiguen dotar a la Delegación de una estructura mínima que le permita incrementar su operatividad y asegurar el desempeño más eficaz de las funciones de información, de asesoramiento y de supervisión del cumplimiento del Reglamento (UE ) 2016/679 y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, así como de la Política de Protección de Datos Personales de la Administración de la Comunidad Autónoma de las Illes Balears, y de la normativa autonómica en materia de protección de datos personales.

La estructuración de tres áreas específicas por competencias dentro de la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears, así como el refuerzo y la consolidación del puesto de trabajo de «Delegado de Protección de Datos», responde a la necesidad de ofrecer un asesoramiento real, efectivo y directo a las áreas sensibles de educación, salud y asuntos sociales, de las que son la mayor parte de los tratamientos de datos personales de categorías especiales de la Administración autonómica, y las operaciones de tratamiento de mayor volumen y complejidad.

El capítulo III desarrolla las funciones de la Delegación de Protección de Datos en los ámbitos de asesoramiento y de supervisión de la normativa, así como las específicas de interlocución con la Agencia Española de Protección de Datos.

El capítulo IV establece las reglas básicas para asistir a los Coordinadores de protección de datos de las consejerías y colaborar con ellos.

El capítulo V trata de la necesidad de establecer un sistema de formación continua y específica para el personal que integra la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears.

La disposición adicional única regula las obligaciones de las consejerías de Economía, Hacienda e innovación y de Presidencia y Administraciones Públicas de adoptar las medidas necesarias de asignación y redistribución de medios humanos, económicos y materiales.

Y finalmente, se incluyen la disposición final primera, relativa al desarrollo de la norma, y la disposición final segunda, sobre la vigencia de la norma.

VII

Por lo tanto, considerando el desmesurado volumen y la especial complejidad de los tratamientos de los datos personales de la Administración de la Comunidad Autónoma de las Illes Balears, la categoría especial de los datos tratados y los posibles riesgos para los derechos y libertades de las personas físicas, se considera urgente y necesario regular y dotar a esta Administración autonómica de una Delegación de Protección de Datos de conformidad con los artículos 37 a 39 del RGPD, los artículos 34 a 37 de la LOPDGDD, y el artículo 16 del Decreto 48/2024, de 22 de noviembre, por el que se aprueba la Política de Protección de Datos Personales de la Administración de la Comunidad Autónoma de las Illes Balears.

La regulación del presente decreto de acuerdo con los principios de necesidad, eficacia, proporcionalidad, seguridad jurídica, transparencia y eficiencia, previstos en el artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, queda suficientemente justificada dado que recoge la regulación imprescindible para atender la necesidad que debe cubrirse; es coherente con el resto del ordenamiento jurídico; fue sometido a la consulta de las consejerías mediante las secretarías generales; además, en la tramitación del presente decreto han intervenido, entre otras, la Mesa Sectorial de Servicios Generales de la Administración de la Comunidad Autónoma de las Illes Balears y la Comisión de Personal de la Administración de la Comunidad Autónoma de las Illes Balears; recoge en un único decreto el funcionamiento de la Delegación de Protección de Datos en relación con las diversas funciones que ejerce, tanto de carácter informativo como de asesoramiento, y da preferencia a las comunicaciones por vía telemática y por medios electrónicos, de modo que simplifica los procedimientos.

Por todo ello, a propuesta de la consejera de Presidencia y Administraciones Públicas, previa deliberación del Consejo de Gobierno en la sesión de 14 de marzo de 2025,

DECRETO

Capítulo I

Disposiciones generales

Artículo 1

Objeto

El presente decreto tiene por objeto regular el régimen jurídico de la organización, estructura y funcionamiento de la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears como órgano independiente al cual el Reglamento (UE) 2016/679 encomienda el asesoramiento en protección de datos personales a los responsables de los tratamientos y la supervisión del cumplimiento de la normativa vigente en materia de protección de datos personales.

Artículo 2

Adscripción

1. La Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears se adscribe administrativamente a la Secretaría General de la Consejería de Presidencia y Administraciones Públicas, de acuerdo con el artículo 3.2. b) del Decreto 12/2023, de 10 de julio, de la presidenta de las Illes Balears, por el que se establecen las competencias y la estructura orgánica básica de las consejerías de la Administración de la Comunidad Autónoma de las Illes Balears, la cual debe garantizar que esta dispone de los recursos humanos y materiales necesarios para el ejercicio de sus funciones.

2. La Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears tiene su sede en la Consejería de Presidencia y Administraciones Públicas (paseo de Sagrera, 2, 07012 Palma), y dispone del buzón de correo electrónico corporativo protecciodades@dpd.caib.es para atender las cuestiones relativas al tratamiento de los datos personales y al ejercicio de los derechos de los interesados, de acuerdo con el artículo 38.4 del RGPD.

Artículo 3

Competencia

1. La Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears atiende las competencias en materia de protección de datos personales de la Administración de la Comunidad Autónoma de las Illes Balears, integrada por las diferentes consejerías, en aplicación del Reglamento (UE ) 2016/679, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y del artículo 16 del Decreto 48/2024, de 22 de noviembre, por el que se aprueba la Política de Protección de Datos Personales de la Administración de la Comunidad Autónoma de las Illes Balears.

2. La Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears no incluye los entes del sector público instrumental de la Comunidad Autónoma de las Illes Balears y, en consecuencia, no ostenta competencias sobre dichos entes, regulados por la Ley 7/2010, de 21 de julio, del Sector Público instrumental de la Comunidad Autónoma de las Illes Balears, los cuales deben disponer de su propio delegado de protección de datos.

Tampoco están incluidos en el ámbito de las competencias de la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears los centros docentes públicos no Universitarios de las Illes Balears, los cuales disponen de su propio delegado de protección de datos, de conformidad con el artículo 34.1.b) de la LOPDGDD y con los artículos 16 y 17 del Decreto 48/2024, de 22 de noviembre, por el que se aprueba la Política de Protección de Datos Personales de la Administración de la Comunidad Autónoma de las Illes Balears.

Artículo 4

Ética profesional

El personal que integra la Delegación de Protección de Datos llevará a cabo sus funciones con sujeción a los siguientes principios a los efectos de justificar el elevado nivel de ética profesional que implica ejercer las funciones que prevé el RGPD:

a. «Legalidad e integridad»: cumpliendo estrictamente la legalidad vigente, en particular la referida a la normativa vigente en protección de datos personales y derechos digitales.

b. «Profesionalidad»: ejerciendo sus funciones con un alto nivel de calidad en la prestación de sus servicios, con la debida diligencia y rigor profesional, manteniendo permanentemente actualizados sus conocimientos, capacidad profesional y su formación personal.

c. «Imparcialidad»: actuando con objetividad, y debiéndose garantizar por el responsable del tratamiento que dichas funciones y cometidos no den lugar a conflicto de intereses.

d. «Transparencia»: informando a todas las partes interesadas de manera clara, precisa y suficiente de todos los aspectos que confluyen en el ejercicio de sus funciones, siempre que estos no estén sujetos al régimen de confidencialidad, caso en que tendrán carácter reservado y no podrán ser divulgados.

e. «Confidencialidad»: respetando y guardando la necesaria protección y reserva de la información a que pudieran tener acceso por razón del ejercicio de sus funciones de asesoramiento, información y supervisión, y para salvaguardar los derechos de todas las partes interesadas a su intimidad.

Artículo 5

Principio de independencia funcional

1. La Administración de la Comunidad Autónoma de las Illes Balears debe garantizar la independencia funcional del Delegado de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears, y del personal que integra la Delegación, y debe garantizar que el ejercicio de sus funciones y cometidos no den lugar a conflicto de intereses, de acuerdo con el artículo 38.6 del RGPD.

2. La designación del Delegado de Protección de Datos responderá a las exigencias derivadas del principio de independencia en el desarrollo de su actividad de asesoramiento y supervisión.

3. La asignación de funciones al Delegado de Protección de Datos debe respetar siempre su carácter asesor y supervisor, sin que los responsables del tratamiento puedan implicar la intervención directa del DPD en la toma de decisiones sobre las finalidades y los medios de los tratamientos, hecho que afectaría a su independencia funcional e implicaría la existencia de un conflicto de intereses.

No pueden encomendarse al DPD ni al personal adscrito a la Delegación de Protección de Datos funciones o cometidos que le lleven a determinar las finalidades y los medios del tratamiento de datos personales del responsable del tratamiento o de su encargado.

4. Los responsables del tratamiento de la Administración de la Comunidad Autónoma de las Illes Balears deberán preservar la independencia funcional del Delegado de Protección de Datos, para que el DPD no reciba ninguna instrucción en cuanto al ejercicio de sus funciones y rinda cuentas directamente al más alto nivel jerárquico del responsable del tratamiento.

En el ejercicio de sus funciones, de acuerdo con el artículo 39 del RGPD, no se instruirá al Delegado de Protección de Datos sobre cómo abordar un asunto.

5. El Delegado de Protección de Datos y el personal que integra la Delegación deben estar en condiciones de ejercer sus funciones y cometidos de manera independiente.

Esta independencia les permitirá necesariamente ejercer dichas funciones de conformidad con el objetivo del RGPD, que tiene como finalidad garantizar un nivel elevado de protección de los datos personales de las personas físicas.

Artículo 6

Principio de confidencialidad

1. El personal que integra la Delegación de Protección de Datos está sujeto al deber de confidencialidad del artículo 5.1.f) en relación con el artículo 38.5 del Reglamento (UE) 2016/679. Esta obligación es complementaria del deber de secreto profesional de conformidad con su normativa aplicable.

2. Estas obligaciones se mantendrán aun cuando hubiese finalizado la relación de los obligados con la Administración de la Comunidad Autónoma de las Illes Balears.

3. Sin embargo, en el ejercicio de sus funciones el Delegado de Protección de Datos debe tener acceso a los datos personales y a los procesos de tratamiento de la Administración de la Comunidad Autónoma de las Illes Balears, y los responsables o encargados de los tratamientos no podrán oponer a dicho acceso la existencia de ningún deber de confidencialidad o secreto, incluyendo lo previsto en el artículo 5 de la LOPDGDD.

4. El personal que integra la Delegación de Protección de Datos está obligado a adoptar las precauciones necesarias para garantizar la confidencialidad de la información que gestiona.

5. Cualquier anomalía que pueda afectar a la seguridad de la información y a los datos personales tratados se notificará al responsable del tratamiento, sin más dilación y a la mayor brevedad.

Capítulo II

Organización

Artículo 7

Estructura

Dada la complejidad y el volumen de las operaciones de tratamiento de los datos personales de la Administración de la Comunidad Autónoma de las Illes Balears, para el cumplimiento, el desarrollo y la ejecución de las funciones reguladas en el RGPD y en la LOPDGDD es necesario crear y dotar, mediante la correspondiente modificación de la relación de puestos de trabajo, a la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears, de la estructura jerarquizada mínima necesaria, bajo la dependencia del Delegado de Protección de Datos, y que incluya los servicios, secciones y negociados que sean necesarios en cada una de las siguientes áreas:

a) Área de administración general.

b) Área de educación.

c) Área de salud.

d) Área de asuntos sociales.

Artículo 8

Cualificación profesional

1. La relación de puestos de trabajo debe prever que la cualificación para la designación del Delegado de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears para el cumplimiento de los requisitos del artículo 37.5 del Reglamento (UE) 2016/679, debe acreditarse a través de mecanismos de certificación de acuerdo con las exigencias del Esquema de Certificación de Delegados de Protección de Datos de la Agencia Española de Protección de Datos (Esquema AEPD-DPD), conforme prevé el artículo 35 de la LOPDGDD y el artículo 16.7 del Decreto 48/2024, de 22 de noviembre, por el que se aprueba la política de protección de datos personales de la Administración de la Comunidad Autónoma de las Illes Balears, debiendo contar además con la experiencia mínima de dos años en puestos de trabajo de la Administración Pública del grupo A1, cuyas funciones incluyan informar, asesorar y/o supervisar en materia de protección de datos personales.

2. Asimismo, y dadas las funciones que deben desarrollar, la relación de puestos de trabajo debe prever la experiencia, formación y los conocimientos requeridos para la ocupación del resto de puestos de trabajo de la Delegación de Protección de Datos de acuerdo con el RGPD.

Artículo 9

Delegado de Protección de Datos

1. El titular de la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears, que es el Delegado o Delegada de Protección de Datos, debe ser funcionario de carrera de la Administración Pública, del grupo A1, equiparable a jefe de departamento, y se designará atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para ejercer las funciones reguladas en el artículo 39 del RGPD, requisitos que se acreditarán de acuerdo con el artículo 8.1 del presente decreto.

2. El Delegado de Protección de Datos ejerce las funciones del artículo 39 del RGPD y, en concreto, las previstas en las correspondientes órdenes de funciones, con plena autonomía e independencia funcional en los términos establecidos en el Reglamento (UE) 2016/679.

3. La Administración de la Comunidad Autónoma de las Illes Balears debe garantizar la autonomía y la independencia funcional del Delegado de Protección de Datos, y que el ejercicio que dichas funciones y cometidos no den lugar a conflicto de intereses.

4. Los responsables del tratamiento de la Administración de la Comunidad Autónoma de las Illes Balears deben garantizar que el Delegado de Protección de Datos no reciba instrucciones sobre el ejercicio de sus funciones. El delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por ejercer sus funciones salvo que incurra en dolo o negligencia grave en su ejercicio en los términos previstos en el artículo 36.2 de la LOPDGDD y la Ley 3/2007.

5. El Delegado de Protección de Datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o del encargado del tratamiento de la Administración de la Comunidad Autónoma de las Illes Balears.

6. La Administración de la Comunidad Autónoma de las Illes Balears y sus responsables del tratamiento:

a. Deben garantizar que el Delegado de Protección de Datos participa de manera adecuada y en el momento oportuno en todas las cuestiones relativas a la protección de datos personales.

b. Deben respaldar al Delegado de Protección de Datos en el desempeño de las funciones del artículo 39 del RGPD.

c. Deben facilitar al Delegado de Protección de Datos los recursos necesarios para cumplir sus tareas y para acceder a los datos personales y a las operaciones de tratamiento, así como para mantener sus conocimientos especializados.

d. Deben garantizar que el Delegado de Protección de Datos no recibe ninguna instrucción en cuanto al ejercicio de sus funciones.

7. El Delegado de Protección de Datos en el ejercicio de sus funciones de asesoramiento y supervisión dirigidas a garantizar el cumplimiento de la normativa de protección de datos personales:

a. Puede inspeccionar los procedimientos relacionados con el objeto de la LOPDGDD y emitir recomendaciones en el ámbito de sus competencias.

b. Debe tener acceso a los datos personales y los procesos de tratamiento, y los responsables o los encargados del tratamiento no podrán oponerse a dicho acceso la existencia de cualquier deber de confidencialidad o secreto, incluyendo lo previsto en el artículo 5 de la LOPDGDD.

c. Cuando aprecie la existencia de una vulneración relevante en materia de protección de datos, la documentará y comunicará al responsable o al encargado del tratamiento.

8. La secretaría general de la consejería de adscripción de la Delegación de Protección de Datos deberá comunicar en el plazo de diez días a la Agencia Española de Protección de Datos la designación, el nombramiento y el cese del Delegado de Protección de Datos.

Capítulo III

Funciones

Artículo 10

Régimen general

1. Las funciones encomendadas a la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears son ejercidas por el personal funcionario que integra la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears.

2. En el ejercicio de sus funciones, el personal de la Delegación de Protección de datos de la Administración de la Comunidad Autónoma de las Illes Balears actuará, bajo el principio de independencia del artículo 36.2 de la LOPDGDD, en el marco de la normativa vigente en materia de protección de datos personales y de las directrices y recomendaciones que emita la Agencia Española de Protección de Datos.

3. El personal adscrito a la Delegación de Protección de Datos ejercerá sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y las finalidades de los tratamientos de la Administración de la Comunidad Autónoma de las Illes Balears.

Sección 1.ª

Función de asesoramiento

Artículo 11

Asesoramiento

El personal adscrito a la Delegación de Protección de Datos informará y asesorará de sus obligaciones a los responsables del tratamiento y encargados de la Administración de la Comunidad Autónoma de las Illes Balears, así como a los empleados públicos que intervienen en las operaciones de tratamiento, conforme al RGPD, a la LOPDGDD, al Decreto 48/2024, de 22 de noviembre, por el que se aprueba la Política de Protección de Datos Personales de la Administración de la Comunidad Autónoma de las Illes Balears, y al resto de normativa vigente en protección de datos de carácter personal.

Artículo 12

Evaluación de impacto

El personal adscrito a la Delegación de Protección de Datos, de acuerdo con sus funciones, ofrecerá el asesoramiento que se le solicite sobre la evaluación de impacto relativa a la protección de datos y supervisará su aplicación, de conformidad con el artículo 35 del RGPD, en colaboración con los Coordinadores de protección de datos.

Sección 2.ª

Función de supervisión

Artículo 13

Supervisión

El personal de la Delegación de Protección de Datos supervisará el cumplimiento del RGPD, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, de la normativa autonómica en protección de datos personales, de otras disposiciones en materia de protección de datos personales de la Unión y de la Política de Protección de Datos Personales de la Administración de la Comunidad Autónoma de las Illes Balears, incluida la asignación de responsabilidades, la concienciación y la formación del personal que participa en las operaciones de tratamiento y las auditorías correspondientes.

Artículo 14

Participación en órganos colegiados y grupos de trabajo

1. Las solicitudes de asistencia al Delegado de Protección de Datos o a los jefes de servicio o sección adscritos a la Delegación a grupos de trabajo o a sesiones de órganos colegiados se formularán mediante una comunicación telemática en la que, además de hacer constar el asunto de la reunión y, si procede, la necesidad o conveniencia de que éstos asistan, se indicarán el lugar, la fecha y la hora.

Si procede, a la solicitud también se adjuntará el orden del día y la documentación de la que se disponga.

2. La intervención del Delegado de Protección de Datos, o de los jefes de servicio o sección adscritos a la Delegación, en grupos de trabajo, en comisiones o en sesiones de órganos colegiados de la Administración de la Comunidad Autónoma de las Illes Balears, en los supuestos previstos legalmente, será siempre con voz pero sin voto, y se limitará a la información, al asesoramiento y/o a la supervisión del cumplimiento del RGPD y de la LOPDGDD, y del resto de la normativa vigente en materia de protección de datos personales.

Sección 3.ª

Relaciones con la Agencia Española de Protección de Datos

Artículo 15

Interlocutor

El Delegado de Protección de Datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36 del RGPD, y realizar consultas, en su caso, sobre cualquier otro asunto.

Artículo 16

Cooperación

El Delegado de Protección de Datos, en el ejercicio de sus funciones, cooperará con la Agencia Española de Protección de Datos como autoridad de control.

Artículo 17

Intervención de la Delegación de Protección de Datos en caso de reclamación ante la Agencia Española de Protección de Datos

1. El afectado podrá, con carácter previo a la presentación de una reclamación contra el responsable del tratamiento ante la Agencia Española de Protección de Datos, dirigirse a la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears.

En tal caso, la Delegación de Protección de Datos comunicará al afectado la decisión que haya adoptado el responsable del tratamiento en el plazo máximo de dos meses a contar desde la recepción de la reclamación.

2. Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos, esta puede remitir la reclamación al Delegado de Protección de Datos para que este responda en el plazo de un mes.

Si transcurrido este plazo el Delegado de Protección de Datos no ha comunicado a la Agencia Española de Protección de Datos la respuesta dada a la reclamación, la autoridad de control continuará el procedimiento de acuerdo con lo que establecen el título VIII de la LOPDGDD y las normas de desarrollo.

Sección 4.ª

Distribución por áreas

Artículo 18

Distribución de asuntos

1. La distribución de asuntos entre el personal funcionario adscrito a la Delegación de Protección de Datos corresponde al Delegado de Protección de Datos, sin perjuicio de que la distribución de las materias en protección de datos relativas a la salud, la educación y los asuntos sociales sean, con carácter general, competencia de estas áreas.

2. Ello no obstante, el Delegado de Protección de Datos puede atribuir cualquier asunto, así como la emisión de informes y, en general, cualquier actuación propia al personal que designe expresamente de cualquiera de las cuatro áreas del artículo 7.

Artículo 19

Colaboración

1. Los titulares de los órganos directivos, órganos directivos asimilados y todos los empleados públicos de la Administración de la Comunidad Autónoma de las Illes Balears deberán prestar la máxima colaboración al Delegado de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears para el ejercicio de sus funciones y con la finalidad de garantizar el derecho fundamental a la protección de datos personales.

2. A tal efecto, los titulares de las secretarías generales y direcciones generales de las consejerías y de los órganos directivos asimilados están obligados a facilitar con celeridad la información y documentación que les requiera la Delegación de Protección de Datos.

3. La colaboración a que hace referencia este artículo se canalizará preferentemente por vía telemática y por medios electrónicos, aplicando las medidas de seguridad previstas en el RGPD y en el ENS.

Capítulo IV

Colaboración y coordinación

Artículo 20

Colaboración con los Coordinadores de protección de datos

1. Corresponde a la Delegación de Protección de Datos colaborar, informar y prestar apoyo a los Coordinadores de protección de datos de las consejerías.

2. A estos efectos, la Delegación de Protección de Datos podrá emitir recomendaciones para hacer efectivas la unidad de criterio y el funcionamiento eficaz de los Coordinadores de protección de datos de las consejerías.

Capítulo V

Formación

Artículo 21

Formación y perfeccionamiento

1. La consejería que tenga adscrita la Delegación de Protección de Datos, con la colaboración de la Escuela Balear de la Administración Pública, debe facilitar al personal adscrito a la Delegación de Protección de Datos la formación continua y la actualización de los conocimientos en protección de datos personales y derechos digitales, y seguridad de la información.

2. La Administración de la Comunidad Autónoma de las Illes Balears, a través de la consejería que tenga adscrita la Delegación de Protección de Datos, debe facilitar formación continua y específica al Delegado de Protección de Datos para mantener su conocimiento experto, de acuerdo con el artículo 38.2 del RGPD.

Disposición adicional única

Medidas de asignación y redistribución de medios

Las consejerías de Economía, Hacienda e innovación y de Presidencia y Administraciones Públicas deberán adoptar las medidas necesarias de asignación y redistribución de medios humanos, económicos y materiales para hacer efectiva y dotar la estructura de la Delegación de Protección de Datos de la Administración de la Comunidad Autónoma de las Illes Balears que se regula en el presente decreto y, a tal efecto, deben dictar las disposiciones pertinentes.

Disposición final primera

Desarrollo

El consejero o consejera competente en materia de función pública adoptará las medidas necesarias para el desarrollo del presente decreto.

Disposición final segunda

Vigencia

Este decreto entrará en vigor el día siguiente al de su publicación en el Boletín Oficial de las Illes Balears, si bien la eficacia de los artículos 7 y 8 queda condicionada a la modificación de la relación de puestos de trabajo.

Palma, en la fecha de las firmas electrónicas (14 de marzo de 2025)

La presidenta

Margarita Prohens Rigo

La consejera de Presidencia y Administraciones Públicas

Antònia Maria Estarellas Torrens