Encargado de Datos en el Sector Público: Particularidades

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

El nombramiento del encargado de datos en el sector público exige atención a particularidades que van mucho más allá de las reglas aplicables a la iniciativa privada, con impactos directos en el cumplimiento normativo de los órganos públicos respecto de la LGPD (Ley General de Protección de Datos de Brasil).

El papel del encargado de datos en la administración pública

Desde la entrada en vigor de la Ley General de Protección de Datos (Ley n.º 13.709/2018), la figura del encargado de datos personales, conocido también por la sigla DPO (Data Protection Officer), ha pasado a ocupar una posición central en las estrategias de cumplimiento normativo de cualquier organización que trate datos personales. En el sector público, esta función adquiere rasgos propios que merecen un análisis detallado, considerando las especificidades del régimen jurídico administrativo y los principios que rigen la actuación estatal.

Al analizar el artículo 41 de la LGPD, se observa que la ley ordena al controlador designar a un encargado del tratamiento de datos personales. La norma no distingue entre controladores públicos y privados, lo que significa que los órganos y entidades de la administración pública directa e indirecta también están obligados a efectuar esa designación. Sin embargo, las condiciones de ejercicio de esta función en el ámbito público presentan diferencias sustanciales en comparación con el sector privado.

El encargado de datos en el sector público actúa como canal de comunicación entre el órgano controlador, los titulares de los datos y la Autoridad Nacional de Protección de Datos (ANPD). Entre sus atribuciones se cuentan recibir reclamaciones y comunicaciones de los titulares, brindar aclaraciones, adoptar medidas, recibir comunicaciones de la ANPD, orientar a funcionarios y contratados sobre las prácticas de protección de datos y ejecutar las demás funciones que determine el controlador o que establezcan normas complementarias.

Particularidades del nombramiento y del vínculo funcional

Una de las cuestiones más relevantes que identificamos en la práctica administrativa se refiere a la forma de designación del encargado en el sector público. A diferencia de lo que ocurre en la iniciativa privada, donde la contratación puede realizarse mediante una relación laboral o una prestación de servicios, en el sector público el nombramiento del encargado debe observar las reglas de derecho administrativo aplicables. Ello implica la publicación de un acto formal (ordenanza, decreto o resolución, según el caso) que designe al servidor o agente público para ejercer la función.

La ANPD, mediante la Guía Orientativa sobre Tratamiento de Datos Personales por el Poder Público, reconoció que el encargado en el sector público puede ser un servidor de la propia planta funcional del órgano. Esta orientación tiene una relevancia práctica considerable, pues evita la necesidad de convocar un concurso público específico o un proceso de licitación para contratar a un tercero, al menos como regla general. No obstante, la designación de un servidor que ya pertenece a la planta funcional plantea interrogantes sobre la acumulación de funciones, la capacitación técnica y los posibles conflictos de intereses.

Se observa que muchos órganos públicos han optado por designar a servidores del área de tecnología de la información o del área jurídica para ejercer de manera acumulativa la función de encargado de datos. Aunque esta práctica es comprensible desde el punto de vista presupuestario, puede generar conflictos de intereses cuando el servidor designado también participa en decisiones sobre el propio tratamiento de datos que debería fiscalizar. Nuestra recomendación es que el encargado tenga independencia funcional suficiente para ejercer sus atribuciones sin subordinación directa a los sectores cuyas actividades de tratamiento de datos debe evaluar.

La independencia funcional del encargado de datos en el sector público es una condición esencial para que el cumplimiento de la LGPD no se convierta en una mera formalidad burocrática.

Otro punto que merece destacarse es el de la remuneración. En el sector privado, el DPO suele recibir una remuneración compatible con la responsabilidad del cargo. En el sector público, la designación de un servidor para que acumule la función de encargado no siempre viene acompañada de una gratificación o compensación económica adicional, lo que puede afectar la motivación y la dedicación en el ejercicio de la función. Algunas entidades federativas han creado funciones con gratificación o cargos de confianza específicos para el encargado de datos, una práctica que consideramos más adecuada para garantizar la efectividad de su actuación.

Conflictos de intereses y autonomía funcional

La cuestión de los conflictos de intereses en la actuación del encargado de datos en el sector público es un tema que exige una atención redoblada. A diferencia del Reglamento General de Protección de Datos europeo (GDPR), que prohíbe expresamente que el DPO ejerza funciones que generen conflicto de intereses, la LGPD brasileña no contiene una disposición equivalente de forma explícita. Aun así, entendemos que la prohibición del conflicto de intereses se deriva de los propios principios de la administración pública, en particular los principios de impersonalidad y de moralidad administrativa previstos en el artículo 37 de la Constitución Federal.

En la práctica administrativa, observamos situaciones potencialmente conflictivas cuando el encargado de datos acumula funciones de gestión de TI, la jefatura de departamentos que realizan un tratamiento intensivo de datos o puestos de asesoría jurídica que validan los actos de tratamiento. En estos casos, el servidor se encontraría en la posición de evaluar el cumplimiento de actividades de las que él mismo es responsable, lo que compromete la imparcialidad necesaria para el ejercicio de la función.

Para mitigar estos riesgos, se recomienda que los órganos públicos adopten algunas medidas: (i) evitar la designación de titulares de cargos de jefatura de áreas directamente involucradas en el tratamiento de datos personales, (ii) garantizar que el encargado tenga acceso directo a la máxima autoridad del órgano, (iii) asegurar que el encargado no sufra sanciones por el ejercicio regular de sus atribuciones y (iv) documentar formalmente los límites de actuación y las garantías de independencia del encargado.

Capacitación técnica y estructura de apoyo

Un desafío que identificamos con frecuencia en el sector público es la insuficiente capacitación técnica de los servidores designados como encargados de datos. La función exige conocimientos multidisciplinarios que abarcan la protección de datos personales, la seguridad de la información, el derecho administrativo, la gestión de riesgos y la gobernanza corporativa. Los servidores designados no siempre poseen formación o experiencia en estas áreas, lo que puede comprometer la efectividad de su actuación.

La capacitación del encargado de datos en el sector público debe entenderse como una inversión institucional y no como un costo. Los programas de formación continua, la participación en eventos especializados, el acceso a materiales técnicos producidos por la ANPD y el intercambio de experiencias con otros órganos son medidas que contribuyen a fortalecer la cultura de protección de datos en la administración pública. La Escuela Nacional de Administración Pública (ENAP) y otras escuelas de gobierno han ofrecido cursos dedicados a esta temática, lo que representa un avance significativo.

Además de la capacitación individual del encargado, cabe destacar la importancia de constituir una estructura de apoyo adecuada. El encargado de datos rara vez logra desempeñar sus atribuciones de forma aislada, especialmente en órganos de gran tamaño que realizan un tratamiento masivo de datos personales. La creación de comités de privacidad y protección de datos, con representantes de diferentes áreas del órgano, puede ser una estrategia eficiente para descentralizar las actividades operativas y permitir que el encargado se concentre en la coordinación y la supervisión general del cumplimiento normativo.

Observamos también que la estructura organizativa del sector público, con sus jerarquías rígidas y sus procesos decisorios formales, puede dificultar la actuación ágil del encargado. Las situaciones que demandan una respuesta rápida (como los incidentes de seguridad que involucran datos personales) exigen que el encargado cuente con canales de comunicación directa con la alta administración, sin necesidad de recorrer toda la cadena jerárquica del órgano.

Transparencia, publicidad e interacción con la ANPD

El principio de publicidad, consagrado en el artículo 37 de la Constitución Federal, impone al sector público obligaciones de transparencia que van más allá de lo exigido al sector privado. En el contexto de la protección de datos, esto significa que los órganos públicos deben poner a disposición, de forma clara y accesible, la información sobre el encargado de datos designado, incluidos su nombre completo, sus datos de contacto y las atribuciones que ejerce.

La LGPD determina que la identidad y los datos de contacto del encargado deben divulgarse públicamente, preferentemente en el sitio web del controlador. En el caso de los órganos públicos, esta divulgación debe observar los estándares de accesibilidad digital previstos en la legislación vigente, de modo que la información sea fácilmente localizable por cualquier ciudadano. Se observa que muchos órganos aún no cumplen adecuadamente con esta obligación, y mantienen en sus portales información desactualizada o de difícil localización.

La interacción entre el encargado de datos del sector público y la ANPD tiene características propias. Los órganos públicos están sujetos a un régimen sancionatorio diferenciado en la LGPD, que prevé sanciones como la advertencia, la publicidad de la infracción, el bloqueo y la eliminación de los datos personales, pero no contempla la aplicación de multas pecuniarias a entes públicos. Esto no significa, sin embargo, que la actuación del encargado pueda descuidarse. La publicidad de una infracción puede causar daños reputacionales significativos al órgano, y el bloqueo de datos puede comprometer la prestación de servicios públicos esenciales.

Consideramos fundamental que el encargado de datos en el sector público mantenga registros actualizados de las operaciones de tratamiento realizadas por el órgano, elabore informes de impacto a la protección de datos cuando corresponda e implemente programas de gobernanza en materia de privacidad. Estas medidas, además de satisfacer las exigencias legales, fortalecen la posición del órgano en eventuales procedimientos de fiscalización conducidos por la ANPD y demuestran el compromiso institucional con la protección de los datos de los ciudadanos.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.