Resoluciones relacionadas con la gestión interna de la institución

Resolución de 25 de mayo, por la que se especifica el acto jurídico que vincula al encargado del tratamiento de datos personales de la institución del Defensor del Pueblo de Navarra con el responsable de la institución.

Nº: 26

RESOLUCIÓN 26/18, de 25 de mayo, por la que se especifica el acto jurídico que vincula al encargado del tratamiento de datos personales de la institución del Defensor del Pueblo de Navarra con el responsable de la institución.

El 25 de mayo de 2018 entra en vigor el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante, Reglamento Europeo de Protección de Datos).

El Reglamento Europeo es de aplicación a las autoridades públicas y conlleva para estas, en los términos dispuestos en él, determinadas obligaciones.

El artículo 28 del Reglamento Europeo regula el encargado del tratamiento de datos personales. Así, dispone que será único, ofrecerá garantías suficientes para aplicar medidas técnicas y organizativas, garantizará la protección de los derechos del interesado y se regirá por un acto jurídico, el cual constará por escrito en formato electrónico. Además, relaciona el contenido del acto jurídico que vincula al encargado con el responsable del tratamiento de los datos personales.

Con el fin de proceder a la aplicación del artículo 28 del Reglamento Europeo de Protección de Datos, se ve necesario especificar el acto jurídico que vincula al encargado del tratamiento de datos personales de la institución del Defensor del Pueblo de Navarra con el responsable de la institución.

El Comité para la aplicación del Reglamento Europeo de Protección de Datos al tratamiento de datos personales en la institución del Defensor del Pueblo de Navarra ha informado favorablemente el proyecto de esta Resolución. En dicho comité participa plenamente el delegado de protección de datos de la institución, junto con el responsable y el encargado del tratamiento.

En su virtud, de conformidad con lo dispuesto en el artículo 7 del Reglamento de Organización y Funcionamiento del Defensor del Pueblo de Navarra, aprobado el 21 de noviembre de 2005 por la Mesa del Parlamento de Navarra,

RESUELVO:

Primero.- Establecer como información relativa al encargado la siguiente:

• Encargado: El Técnico de Gestión Administrativa del Defensor del Pueblo de Navarra.
• Calle Emilio Arrieta 12 bajo.
• 31002 Pamplona-Iruña.
• Teléfono 948-203571
• Correo electrónico: info@defensornavarra.com

Segundo.- Declarar, a efectos del artículo 28.1 del Reglamento Europeo de Protección de Datos, que el encargado ofrece garantías suficientes para:

1. aplicar medidas técnicas y organizativas apropiadas y
2. asegurar la protección de los derechos del interesado.

Tercero.- Especificar que la relación entre el responsable y el encargado se rige por lo dispuesto en el artículo 40.2 de la Ley Foral 4/2000, de 3 de julio, del Defensor del Pueblo de Navarra, y los artículos 1.2, 5.1, 7 f), 7 h), 7 i), 7 j), 7 r), 22, 23.2, 27 y 28 del Reglamento de Organización y Funcionamiento del Defensor del Pueblo de Navarra, aprobado el 21 de noviembre de 2005 por la Mesa del Parlamento de Navarra, siendo una relación de naturaleza legal, estatutaria, profesional, de dependencia orgánica y jerárquica del encargado respecto del responsable.

El objeto, la naturaleza y la finalidad del tratamiento de los datos personales se refieren a la institución del Defensor del Pueblo de Navarra exclusivamente y son los que figuran en:

• La Resolución 23/18, de 25 de mayo, por la que se adoptan determinadas medidas acerca del tratamiento de datos personales por la institución del Defensor del Pueblo de Navarra.
• La Resolución 24/18, de 25 de mayo, por la que se aprueba el registro de las actividades de tratamiento de datos personales, efectuadas bajo la responsabilidad del Defensor del Pueblo de Navarra.
• La Resolución 25/18, de 25 de mayo, por la que se aprueba el registro de las categorías de actividades de tratamiento de datos personales correspondiente al encargado del tratamiento de datos de la institución del Defensor del Pueblo de Navarra.

La duración es permanente.

Cuarto.- Conforme a su vinculación con la institución del Defensor del Pueblo de Navarra y su titular en su calidad de responsable del tratamiento de los datos personales, el encargado del tratamiento:

1. Tratará los datos personales siguiendo únicamente las instrucciones del responsable.
2. Garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.
3. Tomará todas las medidas necesarias de seguridad, de conformidad con el artículo 32 el Reglamento Europeo de Protección de Datos.
4. Respetará las condiciones indicadas en los apartados 2 y 4 del artículo 28 del citado Reglamento Europeo para recurrir a otro encargado del tratamiento.
5. Asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados.
6. Ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del Reglamento Europeo de Protección de Datos, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado.
7. Devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud de la legislación aplicable.
8. Pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del Reglamento Europeo de Protección de Datos, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable.
9. Informará inmediatamente al responsable si, en su opinión, una instrucción infringe el Reglamento Europeo de Protección de Datos u otras disposiciones en materia de protección.
10. Será considerado responsable del tratamiento si infringe el Reglamento Europeo de Protección de Datos al determinar los fines y medios del tratamiento.

Quinto.- Señalar que,a los efectos de lo dispuesto en el artículo 28.3 del Reglamento Europeo de Protección de Datos, en una fase inicial no se considera necesaria la adhesión a códigos de conducta, ni tampoco la utilización de mecanismos de certificación.

Sexto.- Ordenar que este acto jurídico conste en formato electrónico y que el mismo se ponga a disposición de la autoridad de control cuando lo solicite.

Séptimo.- Notificar esta Resolución al responsable del tratamiento, al encargado del tratamiento y al delegado de protección de datos en la institución.

Octavo.- Publicar esta Resolución en el espacio digital de la institución ( www.defensornavarra.com), a los efectos de su mayor conocimiento.

Pamplona, 25 de mayo de 2018.

El Defensor del Pueblo de Navarra

Nafarroako Arartekoa

Francisco Javier Enériz Olaechea