Masterclass completo: Entendiendo el Rol del #DPO (Delegado de Protección de Datos)

Vale pues con vuestro permiso vamos a
empezar si os parece bien Vamos
a a compartir un poco la presentación
que tenemos preparada para para el día
de
hoy lo primero es daros la bienvenida
vale desearos una buena tarde después de
una jornada larga de de trabajo Supongo
para para todos ustedes Así que es un
gusto el poder compartir eh este rato
este espacio desde la institución en la
que tengo el el el honor también de de
cooperar que es eh capacitación usad de
la Universidad de Santiago de Chile a
través de su programas de diplomado en
en ciberseguridad y desde el cual hemos
propuesto el lanzamiento un poco de esta
masterclass esta clase
eh que hemos titulado entendiendo el rol
del del oficial de protección de datos
el dpo delegado de protección de datos
Depende como le le llamemos en en en
distintos entornos no fundamentalmente
vamos a centrarnos en en tres aspectos
que es importante que es el perfil la
formación y la acreditación y y bueno la
La idea es que esta masterclass en
abierto eh sirva también para aclarar eh
algunas cuestiones relacionado con con
la posición de del oficial de protección
de datos eh tal y como se entiende en
distintos entornos así que intentado
abrirlo lo máximo posible para que veáis
eh el un poco la dificultad de digamos
de la comprensión de la definición del
propio rol y el desafío que trae la la
el posicionamiento orgánico dentro de la
de la organización el desempeño que que
tiene que hacer frente y sobre todo eh
la necesidad también de contar con eh
digamos la la formación la capacitación
adecuada para hacer frente a este
desafío no como está configurada la
sesión no en forma en modo seminario
sino modo reunión Os pido por favor que
tengáis mucho cuidado con vuestros
micrófonos e mantener los micrófonos
muteados para que no haya interrupciones
y bueno va a haber un turno digamos de
preguntas en la parte final así que
vamos a intentar un poco plantear ya
desde el minuto uno la la la
presentación he dividido el material
digamos en cinco puntos en la primera
parte tiene que ver un poco con con esa
parte inicial de contexto introducción
preámbulo sobre el origen del rol y su
necesidad eh luego hablaremos un poco de
la definición del marco de competencias
y un aspecto eh que además eh es
coincidente en las distintas
legislaciones que es la necesidad de
definir y aislar el conflicto de de
interés en la posición eh como el tercer
punto hablaremos sobre cómo acreditar el
perfil para optar al rol de dpo en una
organización el número cuatro eh nos
centraremos en los esquemas de
certificación de personas según
establece la la ISO I 17024 Y
explicaremos por qué digamos tiene eh un
punto de ventaja con respecto a otro
tipo digamos de propuestas que pueden
estar en el mercado que que son siempre
bien intencionadas vale siempre bien
intencionadas eh pero evidentemente eh
le falta digamos una una visión digamos
de revisión de tercera parte no y en la
parte final en eso que llamo hay anexo
pues hablaremos un poco de las
características del programa ejecutivo
como delegado de protección de datos que
que tenemos conforme al esquema de
certificación de la agencia española
protat que ya iniciamos en en el curso
académico 2024 en su primera edición y
que concluyó con un éxito rotundo de más
del 100% digamos de los alumnos Bueno
más en este caso del 100% de los alumnos
aprobados y y certificado a pesar de de
del trayecto largo y y también digamos
del desafío que era que era esta esta
formación no un poco en el en el
preámbulo un poco para situar un poco en
el en el contexto eh Lo cierto es que
las tecnologías están transformando
nuestra vida y nuestra sociedad esto es
una realidad no esta transformación eh
es fuente de innovación eh fuente de
calidad de vida pero la vez no deja de
ser también un origen de tensiones y de
riesgos asociado directamente al uso de
estas tecnologías nuestros datos
personales sin nula duda son se han
convertido en el nutriente en el
alimento de nuevos modelos de negocio y
de nuevos modelos digamos de de de
vigilancia no solamente hablamos de ese
concepto eh ampliamente extendido que es
el el el digamos el concepto de la
vigilancia
eh de digamos del capitalismo de
vigilancia sino también del otro
concepto que está muy asociado a a las
fuentes de poder que es el la la
vigilancia también estatal a través de
los propios gobiernos hacia sus propios
ciudadanos no lo cierto Es que a
diferencia por ejemplo de las ia
tradicionales por ejemplo hablando de
esa tecnología como es la Inteligencia
artificial y y la y la Inteligencia
artificial generativa No digo que a
diferencia de las ya tradicionales eh
que se limitan a automatizar distintas
tareas ya predefinidas no la la ella
generativa eh crea respuestas nuevas que
puede entender eh Y pueden adaptarse a
las necesidades de los usuarios en
tiempo real no se está convirtiendo en
en una fuente maravillosa de de de
soluciones en un e una herramienta
eh que va a ayudar Sin lugar duda en el
nivel digamos de producción en la
cantidad y sobre todo a veces en la
calidad de de esa de producción sin
quitar de de de enfrente evidentemente
el desafío al que nosotros nos
enfrentamos la verdad es que todos
nosotros independientemente de nuestra
vida digital Tenemos una vida offline no
eh una vida offline que transcurre
paralela al lado de nuestra vida digital
online no esa vida digamos digital
online llena de ceros y de unos se
desarrolla a través de terminales de
redes de sistemas que se encargan de
recoger transportar almacenar y producir
eh Y procesar eh nuestros datos
relacionándolos unos con otros en esa
ardua tarea de de recolección
almacenamiento y procesamiento
datos No cabe duda de que en ese
escenario digamos de vida eh digital
online la palabra oscuridad es una
palabra que es pertinente el que
nosotros eh la traigamos a a este
escenario a esta a esta clase en el día
de hoy por qué Porque la palabra
oscuridad designa fundamentalmente a
aquellos individuos que necesitamos
deseamos y necesitamos pasar
desapercibido de tal manera que también
las que nosotros hagamos también pasen
de esa forma desapercibida
No en realidad
la oscuridad es un arma eh Útil para la
propia sociedad porque la
oscuridad nos permite a nosotros
encontrarnos con nosotros mismos nos
permite pensar nos permite sentir nos
permite desarrollar
pensamientos libres y acciones libres de
la de la observación del escrutinio y
del juicio de otras personas por tanto
vivimos en una sociedad tan digital que
hoy día Probablemente lo que más nos
preocupe es perder esa capa de
oscuridad que nos permita tomar
decisiones en libertad libre de la
observación el escrutinio el juicio de
otras personas por tanto la ausencia de
luz es como un manto que nos hace
invisible a ese mundo exterior y que nos
lleva a al derecho a la a la privacidad
no por eso no nos extraña que en el
contexto constitucional chileno y igual
que que en el español el derecho a la
intimidad esté custodiado esté
custodiado por otros derechos que son
como la capaz o el antifaz que permite
precisamente proteger ese derecho a la
intimidad no como se ve perfectamente en
esta matriz no la inviolabilidad del
hogar la inviolabilidad de las
comunicaciones es como ese antifaz que
protege protege la identidad de nuestro
ser interior no y en el borde exterior
digamos de esa capa de ese antifaz está
sin lugar a duda la la la protección de
los datos personales como el perímetro
digamos más externo que permite proteger
digamos la la la parte más débil de de
esos derechos inherentes de la
personalidad humana Lo cierto es que
eh estamos viviendo en eso que que ya
definió en el año 1947 Jos hw cuando
habló ahí de de de de un mundo eh un
mundo en el que hasta nuestros susurros
iban a ser eh observados escuchados y
evidentemente todo iba a ser objeto de
observación de registro y de evaluación
Eh muchas veces
Eh no entendemos Cómo la tecnología
llega a este punto pero lo cierto Es que
ha llegado y ya conforma parte de
nuestra vida no eh huimos del entorno
laboral digital
eh para intentar Buscar Refugio eh En
eso que en la propia Constitución de
defiende que es la inviolabilidad de
nuestro domicilio intentamos Buscar esa
capa de oscuridad para encontrar ese
punto de
invisibilidad hacia el entorno digital
que nos está observando pero lo que está
pasando Es que cada vez que llegamos a
nuestro hogar nuestros hogares se están
convirtiendo en entornos permeables nos
encerramos en nuestro hogar sin darnos
cuenta de que las paredes son
transparentes a nuestros vecinos la
realidad es que los dispositivos
Smart nos nos han Hurtado lo que nos
quedaba ya de ese ámbito digamos de la
de la de la privacidad y hemos metido
como se ve un poco en la imagen un poco
al enemigo en casa hasta el punto de que
evidentemente nos encontramos en un
mundo en el que el capitalismo de
libertades se ha abierto camino y donde
los estados lo aprovechan para vendernos
en aras de un bien superior la seguridad
a Costa de pagar una altísimo precio
nuestra libertad como consecuencia de la
pérdida de privacidad no eh hace dos
días por ejemplo en nuestros compañeros
y amigos de Honduras Ah Eh bueno el
gobierno ha tomado una una decisión eh Y
es retirar eh las tarjetas s los números
de teléfonos móviles a aquellos
ciudadanos hondureños que no entregasen
sus datos biométricos a las telcos y el
argumento que que presentan es que lo
hacen por la seguridad de los hondureños
repito entregar nuestros datos
biométricos a cambio de poder utilizar
la telefonía móvil y nos dicen nos dicen
y nos tratan como bebés que lo hacen por
la seguridad de todos y cada uno de
nosotros estamos en un entorno donde de
verdad nuestras libertades están hoy
cada vez más en peligro puesto esto en
contexto vamos a centrarnos en el objeto
de de la de la jornada que hoy nos trae
aquí que es el el el rol del dpo y
entendiendo el rol del dpo Así que nos
centramos en el primero de los puntos
que es el origen y y la necesidad No la
figura del oficial de protección de
datos surgió por primera vez en el año
1977 en Alemania con la Ley Federal de
protección de datos en su sección 38
posteriormente en Francia en el año 1978
sería incluida la ley francesa número
7817 de 6 de enero 1978 en su Artículo
22 tercero y año más tarde eh Ya fue
incluida eh Aunque no requerida como
elemento eh de obligado cumplimiento en
la famosa directiva 95/46 de la Unión
Europea que fue digamos la la la el
primer instrumento la primera decisión
digamos para unificar Los criterios de
protección de ato en en el espacio eh
europeo no eh No es una figura nueva no
lo es no porque ya directamente digamos
tiene tiene su su arraigo o tiene su su
raíz por ejemplo en la directiva 95/46
que hemos comentado no por ejemplo el
considerando 54 indica que a la vista de
todos los tratamientos llevad a cabo en
la sociedad el número de los que
presentan tales riesgos particulares
Debería ser muy limitado por tanto dice
que los estados miembros deben prever
para dicho tratamiento un examen previo
a su realización por parte de la
autoridad de control o del aquí fijaros
del encargado de la protección de dato
En comparación con aquell por tanto eh
esta figura que aquí aparece eh No
denominada encargado de la protección de
datos no deja de ser sino lo que hoy
conocemos todos como oficial de
protección de datos Y esa figura que
repetimos no es una figura nueva se
encargaba fundamentalmente de asegurarse
en el ámbito interno de Un responsable
de tratamiento de que este tuviese la
capacidad de cumplir de cumplir está
correctamente alineado con los con los
requerimientos por tanto es un encargado
que se herejía desde dentro dent como un
garante de la protección de los derechos
y libertades de los interesados y como
ya estableció la propia directiva solo
algunos estados eh se valieron digamos
desh habilitante mientras que otros
prefirieron optar eh Como modelo de
control a través del famoso registro de
ficheros Ese fue el caso por ejemplo del
gobierno español que optó por el
criterio del registro de ficheros que
teníamos en la ley 15/99 eh como como
requisito formal Entonces era la forma
en que en teoría la ciudadanía podía
tener una especia digamos de control un
elemento digamos de de garantía un
elemento que evidentemente con el tiempo
se puso de manifiesto que no tenía
ningún tipo de valor y que no aportaba
absolutamente nada digamos esa capacidad
de control por parte del ciudadano eh
seguimos diciendo que no es una figura
nueva es una figura que inclusive por
ejemplo ya en el reglamento
45/21 de del parlamento de Europa y del
Consejo que se aplicaba tratamiento
datos de carácter personal en las
instituciones en su Artículo 241 ya se
exigía desde el año eh 2001 la
designación de un oficial de protección
de dat esto para que veáis un poco este
este desarrollo un poco en en en el
espacio no en en el ámbito por ejemplo
en el ámbito español eh la propia
agencia de protección de datos mucho
antes del reglamento Ya vino promoviendo
la la inclusión de esta figura de hecho
en su plan estratégico 2015 2019 Verdad
que es muy cerquita de del momento en
que se eh promulga y se y se publica el
el reglamento general de proteccion dat
pero ya de aquel entonces ya cuando se
diseñó ese plan estratégico la agencia
española dijo que los dpo hablando de la
figura del dpo tienen una labor
proactiva fundamental de Cara a
implantar las medidas protectoras y la y
la propia evaluación del impacto no y
dentro de de ese plan en concreto se
decía claramente de que el dpo iba a ser
un interlocutor para facilitar la
adopción de las correspondientes medidas
protectoras por tanto esa labor
proactiva venía como consecuencia
fundamentalmente de esa eh de esa
disposición digamos de poder eh orgánico
institucional dentro de las
organizaciones para que se eh pudiese
actuar en esa labor de interlocución
entre eh los distintos actores que son
partícipes en un ecosistema en materia
de protección de dato responsable
encargado de tratamiento terceros y
evidentemente los propios interesados o
ciudadanos no y de hecho un poco más
adelante el propio grupo de trabajo de
artículo 29 hoy comité europeo de de
protección de datos eh aprobó una
directriz en este caso Wi paper 243 en
el año 2016 eh con una serie digamos de
preguntas frecuentes donde
fundamentalmente lo que trataba era de
orientar sobre la posición y el
despliegue de de este rol de esta figura
dentro de las organizaciones públicas y
y privadas dentro de la de la Unión
Europea no y por ejemplo la
confederación europea la c la cdpo la
confederación Europea de delegados de
proteccion dat que agrupa a todas las
asociaciones de de profesionales que
están en los distintos estados miembros
de la Unión Europea que se dedican al
ámbito de la protección de datos como es
en el caso español apep la asociación de
profesionales españoles de la privacidad
de la cual soy socio fundador eh la acdo
lo que viene a comentar en en su
documento marco del año 2017 sobre la
posición sobre la figura del delegado de
protección de datos eh lo que viene es
fundamentalmente a a impulsar y
a indicar Cuáles serían alguno de los
tip alguna de las consideraciones que
debería tener en cuenta el el despliegue
y el funcionamiento correcto de de esta
figura no Así que en la evolución
histórica podríamos enumerar eh toda
esta digamos este timeline que nos ayuda
un poco a a a visualizar hemos comentado
eh que el origen se centra
fundamentalmente en la ley alemana de
protección de datos del año 1977 eh se
centraliza fundamentalmente empieza ya a
aparecer en regulación europea en la
directiva
95/46 Y a lo largo de todo este tiempo
ha ido cobrando valor hasta el punto que
evidentemente por ejemplo con la entrada
la plena vigencia del reglamento general
de proteinato a partir del 25 de mayo de
2018 pues ha cobrado digamos un impulso
importante sobre todo en el contexto
español por ejemplo La La lopd La La Ley
Orgánica protección de datos y garantía
derechos digitales la 3 mar 2018 de 5 de
diciembre además en su contexto interno
del contenido normativo eh tasa eh
algunas actividades un grupo muy
importante de actividades que además
tendrían de de marcado de marcado
obligación eh contar con oficiales de
proteccion dat extendiendo eh mucho más
allá de lo que decía el propio
reglamento las entidades públicas y
privadas que tendrían la obligación de
contar eh con este rol institucional no
eh si nos colocamos por ejemplo en el
contexto eh perón internacional est está
está repetida Vale no perdón esta es
correcta eh aquí lo que he hecho es un
poco reflejar un poco el el el reflejo
en las distintas legislaciones No
fijaros aquí estoy comentando el caso
español año 2018 caso europeo el
reglamento en año 2016 cuando se publica
eh tenemos la ley 81 de eh 26 de Marzo
de Panamá donde ya recoge el rol de los
oficiales de protección dato el año 2019
la Ley General de protección dato de
Brasil año 2020 la ley de Ecuador año
2021 eh la eh chile bueno en este caso
diciembre el caso vuestro en Chile la la
aprobación directamente de la
modificación de la ley
19628 recoge la figura del oficial de
protección de datos la ley reciente
también que se ha publicado en el
Salvador habla del oficial de protección
de datos Y también el reglamento
recientemente publicado en en Perú
también habla de la posición de este
oficial de protección de datos en el
contexto mexicano
tanto la Ley Federal de protección de
datos personales en posesión de de
particulares se refiere como la
obligación de Designar a una persona o
departamento que sería responsable pero
por ejemplo la Ley General de protección
de datos personales en posesión de
sujetos obligados sí que se recoge la
designación de un oficial de protección
de datos no y en el contexto
internacional aún por plasmar por
ejemplo el proyecto de reforma de la ley
de
Argentina del año 2000 en este caso un
proyecto bastante interesante muy bien
trabajado
Eh ya también recoge la figura del
oficial de protección de datos es una
pena porque este proyecto está parado
hace prácticamente un año está ahí como
decimos vulgarmente un poco en el cajón
de la de la mesa de escritorio y habrá
que reactivarlo en algún momento y en la
propuesta digamos de proyecto de reforma
también de Colombia Las dos últimas que
se han presentado Pues también se recoge
evidentemente esta figura como eh un un
rol eh a ocupar dentro de lo que sería
la la la la forma en que se manifiesta
la responsabilidad proactiva de las
organizaciones no bueno hemos visto un
poco el preámbulo eh un poco la
distribución un poco la historia de de
este rol y sobre todo cómo se está
desplegando y está apareciendo en las
distintas legislaciones una veces con
carácter imperativo otra veces con con
carácter voluntario y otra vez un poco
con el formato mixto no entre entre
obligatorio y también eh digamos lo lo
voluntario es es un una eh una una
cuestión muy importante eh sobre todo en
aquellas normas que tiene un carácter
marcado eh con enfoque a riesgos y que
está centrada fundamentalmente en esa eh
responsabilidad por activa y demostrada
donde el oficial de protección de dat
ocupa un rol central Precisamente en esa
proactividad no eh Y para huir de
aquellos escenarios digamos eh
imperativos eh existe también la
posibilidad y la necesidad diría yo
desde el punto de vista del propio
enfoque a riesgos de eh Al menos
determinar Y documentar si existe o no
la obligación de contar con un oficial
de protección de datos me explico
independientemente del carácter
imperativo cuando eh una organización no
tuviese la obligación de contar con un
oficial de protección de datos
eh tendría En todo caso siempre que
determinar y documentar en su análisis
de riesgo Por qué en su organización
independientemente del requisito legal
porque en su organización no
eh va a desplegar la posición del
oficial de protección de datos no
olvidemos que los análisis de riesgo nos
dan un riesgo inherente que necesita la
implementación Y el despliegue de
controles técnicos y organizativos y no
cabe duda que la asignación de roles y
responsabilidades y evidentemente dentro
de los roles y responsabilidades el
posicionamiento de un oficial de pronato
es un control mitigante del riesgo en
materia de protección de datos por lo
tanto eh No solamente hay que poner el
énfasis vo comentar en en en el carácter
imperativo sino que también en el
carácter digamos del enfoque a riesgo no
Qué es un dpo Y qué hace vamos a ver un
poco el marco de competencia No si si
nos fijáos por ejemplo en el glosario de
términos y nos fijáos por ejemplo en el
reglamento general de proteinato en su
Artículo 4 veremos que este término no
aparece tampoco aparece en la normativa
española del año 2018 es decir No
aparece y definido eh En el caso de
Ecuador por ejemplo en su Artículo 4 sí
que aparece y dice que es una persona
natural encargada de informar al
responsable o al encargado del
tratamiento sobre sus obligaciones
legales en materia de protección de
datos así como de velar o supervisar el
cumplimiento normativo al respecto y de
cooperar con la autoridad de protección
de datos sirviendo como punto de
contacto vale Así que lo define como
persona natural obligación de informar
velar o supervisar y punto de contacto
en el caso por ejemplo de Perú en su
Artículo 3 del reglamento sí que aparece
la definición nuevamente dice es la
persona designada por el responsable o
encargado dice para verificar asesorar e
implementar el cumplimiento del régimen
jurídico sobre protección de datos
personales veréis que he puesto la
implementación en rojo y tiene un
sentido muy importante porque en el caso
de La regulación de Perú eh y hablando
de la posición del oficial de protecion
que en un módelo de tres líneas de
defensa se sitúa en la segunda línea
vale eh precisamente para hacer la
verificación y el asesoramiento en el
caso eh peruano se eh baja también a
primera línea porque nos está diciendo
que también se va a encargar o se le
asigna la tarea de la implementación del
cumplimiento con lo cual es segunda
primera vale Estos son algunas eh cosas
que son muy interesante no por ejemplo
en el caso de Argentina eh se dice
persona humana o jurídica encargada de
informar instruir y asesorar Ah e
también encargada de velar y supervisar
de cooperar con la autoridad de control
y punto de contacto no Esa sí que
aparece en la propia definición del
texto luego veremos eh haremos otra
llamada también en el caso del texto
propuesto en Argentina porque dentro de
las competencias que se le asigna al
oficial de protección de dato eh aparece
el de la auditoría con lo cual eh hemos
comentado en el caso de Perú esa eh esa
situación extraña entre segunda línea
primera línea y en el caso de la
propuesta de Argentina entre segunda
línea tercera línea con lo cual eh voy a
comentar son aspectos llamativos para
que veamos fundamentalmente en este
ámbito de definiciones que no existe una
definición común vale Y tampoco lo
veremos en el marco de digamos de de
competencia por tanto eh dentro de lo
que sería el contexto europeo por
ejemplo en el artículo 39 el delegado de
protección de datos se encargaría de
asesorar e informar vale eh supervisar
el ciento en este caso de políticas
incluida la asignación de norment
supervisar el cumplimiento la asignación
de responsabilidades la concienciación
la formación Vale y las auditorías
correspondientes supervisa no realiza
auditoría supervisa Vale pero no realiza
la asignación de responsabilidades vale
ofrece asesoramiento acerca de Las
evaluaciones de impacto vale en
aplicación del artículo 35 coopera con
autoridad de control y actúa como como
punto de contacto con la autoridad de
protección de datos en el caso eh además
español en los artículos 36 y 37 de la
Ley Orgánica de protección de datos dice
que eh el el dpo actuaría como un
interlocutor eh ante la autoridad de
control que además puede inspeccionar
procedimientos y emitir recomendaciones
que tendrá acceso a los datos personales
y a los procesos de tratamiento no
pudiendo oponerse a ese acceso el
responsable o el encargado y si aprecie
una vulneración relevante la tiene que
documentar y la tiene que comunicar de
inmediato a los órganos de
administración y dirección con lo cual
fijaros que esa labor digamos de
supervisión se le eh se le afina eh Y se
le hace un poco más precisa la la la
actividad y es muy muy interesante lo
que lo que afecta fundamentalmente este
artículo 36 y he querido comentar por
ejemplo la este este aspecto lo de tener
acceso no solamente a los datos sino
también a los procesos digo esto porque
en algunas organizaciones grandes
grandes en Latinoamérica lo que no hemos
encontrado es que hay departamentos
Perdón procesos y dueños de proceso que
se niegan a entregar esa información
indicando que como es están dentro de su
marco de competencias esa información no
puede salir de ahí por ejemplo por
ejemplo eh los análisis de riesgos eh
por parte de la unidad de de de de de
riesgo Es evidente que el dpo en este
caso según el artículo 36 por lo menos
en el contexto español va a tener ese
nivel de acceso igual nuevamente habrá
que comentar que aunque no aparezca de
forma explícita como sí aparece en La
regulación española de forma implícita
veréis que ese ese acceso es necesario e
imperativo y hay formas digamos de
salvarlo y de eh canalizarlo luego ya
dentro de lo que es la la el el propio
levantamiento de políticas dentro de la
organización no Y además el artículo 37
le Define también una posición muy
importante porque es la la la función
digamos de de mediador eh con esto eh la
agencia española de protección de datos
se ahorra Eh Pues un porcentaje altísimo
de reclamaciones Entonces cuando una
organización tiene un dpo y alguien
quiere presentar algún tipo de
reclamación un tipo de denuncia y y si y
si quisiese saltarse al responsable de
damiento y al dpo y quisiese mandarla
directamente a la autoridad de control
la autoridad de control lo primero que
va a mirar es que esa persona o esa
entidad que está siendo denunciada o
está siendo objeto de una supuesta
denuncia cuenta con un oficial de
protección de dato y por tanto Se pondrá
en contacto con ese oficial de procent
para que atienda el caso y darle un
plazo en función de su capacidad y sus
competencias eh Para resolverlo no eh
con lo cual eh De esta manera también
digamos lo que es la la carga
administrativa eh digamos superflua de
de sobre todo eh esas eh comunicaciones
pequeñas engorrosas que pueden
dificultar mucho la carga administrativa
de una autoridad de control en lo que
hace el marco de el marco legal español
es eh colocarlo sobre las espaldas del
oficial de protección de datos con lo
cual bueno se ahorr un un trabajo
importante y también Es verdad que en
esa labor de mediación
eh Cuando uno actúa con con ya lo
veremos luego con en lo que hablamos
cuando hablemos del marco de competencia
cuando uno tiene esa mano izquierda
eh Y esa habilidad eh para negociar con
con el el posible denunciante veréis que
en un porcentaje muy grande de los casos
se consigue apaciguar el digamos el
enfado del del propio titular eh que es
lo que al fin al cabo se precisa que es
la reconducción la mitigación del error
que ha causado esa irritación por
parte del usuario no en en la en la
Norma Por ejemplo de Ecuador en el
artículo 49 donde se definen las
funciones veréis que se habl de asesorar
al responsable vale evidentemente son
las propias disposiciones contenidas en
la ley en su reglamento supervisar el
cumplimiento de las disposiciones
asesorar en el análisis de riesgo
evaluación de impacto y evaluación de
medidas y supervisar la aplicación vale
nuevamente esto siempre hay que
entenderlo bien desde una visión de
segunda línea asesorar en estos aspectos
no implica realizar el análisis de
riesgo ni la evaluación de impacto ni
evidentemente el desp de los controles
no lo que se hace
es eso asesorar revisar supervisar En
todo caso y estar Digamos como un órgano
consultivo en esa matriz rac con
respecto a a las unidades no lo que
implica claramente que un oficial de
proteccion dat tiene que ser un
especialista en análisis de riesgo tiene
que ser un especialista en evaluación de
impacto y tiene que conocerte medidas de
seguridad lo suficiente como para poder
en este caso asesorar y supervisar no
además como dice el punto cuatro Eh Eh
Eh funcionará en este caso o cooperará
con la autoridad de control y además
como dice el punto número cinco eh dice
las demás eh digamos encargos que en
llegado el momento la autoridad
protección de datos de y la
superintendencia procesion de Ecuador
determin no y de hecho la
superintendencia Está avanzando cositas
y y en principio eh según el el
cronograma que que ha comunicado hace
apenas eh una semana atrás Eh pues e no
sé si para finales de marzo eh se
publicará una especie digamos de
estatuto ya del oficial de protección de
datos y para el mes de mayo junio Pues
también Habrá más o menos definido un
poco el perfilamiento de estos oficiales
de protección de datos no siguiendo con
con el tema Perdón un tema importante es
que la sig que el artículo 49 y es el
único país e tanto a nivel de Unión
Europea con a nivel de de digamos
latinoamérica en el que aparece dentro
del artículo en la parte final que en el
caso de incumplimiento de sus funciones
el delegado responderá de forma eh
digamos administrativa civil o penal de
conformidad con la ley esto es una eh
una de esas extrañezas eh que no aparece
en el derecho Comparado con otros países
y que en este caso Ecuador ha ha puesto
ahí eh en por lo menos a mí en un
criterio creo que es bastante equívoco
sobre todo porque e facilita la
distracción por parte de los
responsables tambi esto pensando que eh
eh si las cosas no se hacen bien Esto es
culpa del oficial de proteinato Y esto
es falso porque quien tiene eh quien
decide las finalidades quien decide los
medios quien quien ASUME el riesgo quien
Define el apetito del riesgo quien
decide mitigar o no mitigar No es el
oficial de proteinato es el responsable
damiento por tanto eh colocar esto aquí
Ah tal y como aparece en ese artículo 49
en la parte final pues eh d lar un poco
a a a a una lectura que
puede impulsar o o hacer pensar a
personas que que se pueden escapar de su
responsabilidad administrativa civil o
penal poniendo ahí un cortafuego que se
llama oficial de protección de autos no
eh Bueno es una una de las cuestiones
que quiero comentar no por ejemplo eh
dentro de lo que es la la la publicación
reciente el mes de diciembre de la
aprobación de la modificación de la ley
19628 de chile en el artículo 50 dentro
el marco de competencias del del oficial
de proteinato cuyo nombramiento es
voluntario se dice que es informal y
asesor al responsable y a los encargados
PR mover y participar en la política que
dicte el responsable supervisar el
cumplimiento preocuparse por la
formación permanente vale de todas las
personas que están dentro asistir o
apoyar en este caso los miembros de la
organización en la identificación de
riesgos asociado a la actividad de
tratamiento y a las medidas para Eh
adoptarlas no eh desarrollar un plan
anual y de rendición de cuentas eh
atender las consultas y solicitud y
cooperar y actuar como punto de de
contacto con la con la autoridad no en
el caso de Perú en el marco de
competencias en el artículo 39 se dice
que de reglamento vale que es informar y
asesorar al titular de los bancos de
datos eh verificar e informar sobre el
cumplimiento en la ley cooperar con la
autoridad de control y actuar como punto
de contacto y si nos vamos al proyecto
de de Argentina es muy curioso
vale proyecto Argentina artículo
45 casi diría con con algunas cosit que
que nos va a sunar todo no fijaros el
artículo 4 la parte a dice dentro del
marco de competencias informar y
asesorar evidentemente promover y
participar en el diseño y aplicación de
la política supervisar el cumplimiento y
aquí está el punto que os comentaba
antes fijaros asignar
responsabilidades concienciar y formar
al nacional y realizar las auditorías
correspondientes fijaros estos dos
aspectos que tienen e buenar es un
proyecto está en el cajón del gobierno
del ejecutivo vale Pero esto es una
decisión eh la asignación de
responsabilidades es una responsabilidad
valga la redundancia del responsable del
tratamiento pero asignar
responsabilidades Eh no deja de ser sino
eh el despliegue y selección de
controles
organizativos con lo cual está colocando
al oficial de protección de datos en
primera línea segunda línea y fijaros
aquí tercera línea Porque además dice
que tendría que realizar las auditorías
correspondientes bueno Y esto es Eh pues
una de esas grandes extrañezas rarezas
que nos podríamos encontrar un poco en
el ecosistema porque estaría estamos
ante una posición eh TR línea en en una
misma persona mismo comité vale
partiendo el hecho de que si yo soy
también quién audito eh La pregunta es
quién
audita aquí a la segunda
línea vale eh es un poco pues esa cosa
extraña no entonces Ah Y si yo asigno
Esto entonces la auditoría Aquí también
Es decir me voy a auditar yo aquí y
es es tremendamente extraño porque
dentro de Los criterios internacionales
de auditoría eh Es evidente que la
objetividad y la independencia eh Son
características comunes de cualquier
equipo auditor no Y además hay que
demostrarlo con lo cual esa objetividad
Y esa Independencia se la se pierde
cuando yo tengo que auditar mi propia
área y y además auditar mis propias
tomas de Decisiones Con lo cual
eh difícil difícil de de justificar no
eh el apartado e dice ofrecer
asesoramiento eh sobre las posibles
evaluaciones de impacto y eh Por último
evidentemente cooperar Y en vez de decir
como actuar como punto de contacto dice
como referente con la autoridad de de de
protección de datos no yéndonos al al
mundo eh de la normalización tanto me
caracteriza por ejemplo la ISO 27701 en
el apartado
6.3.11 asignación de roles y
responsabilidades eh se dice que
evidentemente hay que asignar a un
responsable que este tiene que ser eh
independiente pero ya aquí está la clave
informar directamente al nivel de
gestión apropiado participar en la
gestión de las cuestiones relacionadas
con el tratamiento de la información
identificación personal ser experto en
La legislación regulación y práctica y
aquí está la otra idea actuar como punto
de contacto informar a la alta dirección
y a los empleados con respecto a las
obligaciones por tanto esto hablamos de
formación interna Y por último brindar
asesoramiento respecto a Las
evaluaciones de impacto de privacidad
Bueno qué hemos intentado definir en
estos puntos no yendo por los
distintos caminos las distintas vías que
los legisladores han ido utilizando en
Latinoamérica y Europa para definir este
marco de competencia pues nuevamente
igual que en el campo de la definición
No encontramos una definición unánime
tampoco encontramos un marco de
competencia unánime dentro de lo que es
el el modelo Lo que sí es importante que
entendamos y y aquí creo que la la
infografía por ejemplo de la autoridad
de protección de datos de Singapur es
tremendamente importante Por qué Porque
nos muest muestra la realidad de un
oficial de protección de dat muchas
veces en algunas entidades o como dice
mi querido amigo y compañero ricard
Martínez doctor ricard Martínez
Eh muchas veces nos encontramos en el
mundo los oficiales de proteinato varios
tipos de oficiales de proteinato está el
del el del sí sí sí sí sí a todo vale Y
está aquel del no no no a todo igual que
cuando los niños pequeños descubren El
poder del no y condicionan con el no a
sus papás dentro del hogar no Bueno pues
muchas veces el gran problema es que en
algunas organizaciones los malos dpo se
consideran y se convierten en stopper de
la innovación por tanto esta infografía
lo que nos muestra es en realidad el
marco de competencia digamos de de de un
oficial de protección de ap eh digamos
que ese marco de competencia se puede
dividir en dos grandes bloque por un
lado evidentemente todas las tareas
relacionadas con la gestión y gobierno
también de la protección de datos
personales pero también en un segundo
punto muy muy muy importante tiene que
ver con la innovación en el uso de los
datos de tal manera que tengamos la
capacidad y la organización para
conseguir sus objetivos de negocio tenga
la capacidad de aprovechar el valor de
los datos para ofrecer nuevos productos
y nuevos Servicios al mercado
evidentemente ese aprovechamiento de del
dato ese aprovechamiento del dato Vale y
aquí lo que pongo un un poco con la con
la idea es una
eh actitud eh Pro Innovación de los
oficiales de protección de ato entonces
eh nos encontramos muchas veces
inclusive a veces hasta en el mundo
político mal utilizado eh la normativa
de protección de dato como un stopper
como una barrera para acceder a
determinada información por poner un
ejemplo en la época de la pandemia el
gobierno español
eh Por activa y por pasiva se negó a
informar identificar Quién era el comité
técnico médico que estaba informando al
gobierno repito el comité técnico que
estaba asesorando al gobierno en temas
de salud pública la razón y el argumento
que se utilizó fue que era por
protección de datos cuando estamos
hablando de que la mayoría de sus
compañeros que estaban en ese área Ah
pues eh eran funcionarios y en otros ah
eh personas de de de de renombre eh
profesional no pero eh En ningún momento
En este caso la protección de datos era
el argumento jurídico eh Porque por
protección de datos no había ningún
elemento en la normativa protección de
datos que impidiese a la ciudadanía
española el derecho a conocer Quiénes
eran las personas que estaban tomando
decisión por su salud esto es una una
cuestión importante Por tanto el dpo es
pro innovación y no se convierte nunca
en un stopper dentro de lo que es la la
la función el desempeño No si tuviésemos
que resumir digamos la funciones del del
oficial de protección de datos podíamos
ocuparlas digamos en 10 grandes bloques
no eh supervisar el cumplimiento
evidentemente documentar y comunicar a
la dirección cualquier tipo de
vulneración inspeccionar procedimiento y
emitir recomendaciones informar y
asesorar responsable y responsable
encargado o a los empleados que están
tratando datos personales realizar
acciones internas de concienciación y
tareas formativas cooperar con la
autoridad de control actuar como un
interlocutor entre el responsable y la
autoridad de control vale Ah función de
interlocución e intermediación que hemos
comentado antes también el asesoramiento
en la elaboración mantenimiento y
actualización del registro de actividad
y tratamiento y la supervisión en este
caso de Las evaluaciones de impacto y
también la valoración de los informes de
riesgos en realizados en en la
organización sería como los 10 grandes
bloques más importantes que podríamos
numerar dentro lo que sería el marco de
funciones de del oficial de protección
de dato No si hacemos zoom y nos
acercamos a eso que hemos denominado
antes el esquema de certificación de la
agencia española protección de datos
eh es es muy interesante Porque aquí se
numera una serie de elementos no no
solamente informar y asesorar al
responsable no solamente supervisar el
cumplimiento aquí Habla dice supervisar
la asignación de responsabilidades veis
veis perfectamente no no se ha habla de
eh eh asignar responsabilidades sino
supervisar la asignación de
responsabilidades supervisar la
concienciación y la formación no
supervisar las auditorías supervisar las
auditorías el programa de de auditorías
lo supervisa El oficial de protección de
datos en en las auditorías que
corresponde evidentemente a a su área de
de de competencia y evidente que muchas
otras auditorías de de de gestión
También tienen eh trazas que afectan
también a proteccion por tanto también
va a tener un nivel digamos de acceso
también a esos informes en de auditoría
y por tanto cuando se produce esos
informes de auditoría el propio auditor
perón el propio dpo lo que tiene que
hacer es levantar su propio informe y
escalarlo también a a dirección no
ofrecer asesoramiento eh sobre las
posibles eh actividades que podrían eh
desencadenar una evaluación de impacto
inclusive eh indicar si esa evaluación
de impacto se debe hacer con equipo
interno o equipo externo eh en función
del posible conflicto de interés eh Y
por tanto intentando Buscar la Mayor
Mayor grado de neutralidad y de
objetividad en en el análisis y en el
resultado de esa evaluación de impacto Y
por último cooperar hemos dicho y actuar
como como interlocutor no siguiendo un
poco con con ese esquema eh veréis que
eh eh También se nos dice que tiene que
para eso tenemos que recabar información
Ah sobre todas las actividades de
tratamiento por eso el el lo que
comentaba el artículo 36 la capacidad de
acceder bien y por tanto ningún dueño de
proceso se puede negar a entregar esa
información porque evidentemente es una
un elemento digamos mandatorio de la
propia junta de gobierno el propio junta
de accionistas propio directorio que es
el que asigna este rol eh Define ese
marco de competencia y evidentemente en
el caso español el artículo 36 lo que
nos dice es que tenemos esa capacidad de
de indagar de acceder y también de de de
a la propia documentación no analizar y
comprobar la conformidad de las
actividades eh informar asesor y emitir
recomendaciones sobre esas actividades
que hemos ido recabando recabar
información para supervisar el registro
de operaciones el rat no asesorar en la
aplicación del principio prot dato por
diseño por defecto artículo 25 del
reglamento europeo vale artículo 39 el
modelo ecuatoriano artículo 14 ter en el
caso de chile apartado F asesorar sobre
en este caso si se debe llevar o no a
cabo una evaluación de impacto
metodología el caso que se una evalución
impacto a si esta se hace como he dicho
antes con recursos propios o contratando
externamente eh salvaguarda para los
derechos de las personas eh
evidentemente emitir informes sobre si
esa evaluación de impacto se hecho
correctamente eh No es la primera vez
que el dpo emite un informe contrario al
propio a la propia evaluación de impacto
eh Y si sus conclusiones evidentemente
ah eh son eh es es la de apto no apto en
este caso si es conforme o no al
reglamento y la motivación
correspondiente no priorizar en sus
actividades y centrarse en su esfuerzo
en aquellas cuestiones que presentan
mayores riesgos relacionado con la
protección de datos decir no nos
perdamos con la la menude intentamos ver
aquellas actividades que son críticas y
aquellos procesos que son críticos para
la
organización asesorar sobre Qué
actividades de formación internas se
debe proporcionar al personal y a los
directores Es evidente siempre digo que
cuando hablamos de de desarrollar un un
programa de capacit interno de la
organización que lo de lentejas para
todos no sirve es imposible está bien
las lentejas en un momento determinado
Pero hay eh procesos dentro de la
organización con un apetito del riesgo
voraz en comparación con otras áreas y
otros procesos internos de la
organización cuyo apetito de riesgo es
ínfimo con respecto al tratamiento de
datos personales por ejemplo el
departamento de logística de una
organización tendrá probablemente un
apetito riesgo sobre datos personales
bastante pequeño con lo cual lo de la
lenteja para todo podría caber en un
momento determinado Vale pero no así en
el área de
marketing donde probablemente el apetito
del riesgo de los compañeros del área de
comunicación digital es infinitamente
Superior y donde Probablemente lo que
necesiten es una capacitación precisa
quirúrgica diría yo de qué pueden hacer
cómo lo pueden hacer y sobre todo es muy
importante que Qué riesgos son los que
tienen que mitigar y sobre todo Qué
herramientas no se deberían utilizar
para llevar a cabo esas actividades
no Y por último intervenir en caso de
reclamaciones ante la autoridad de
proteccion dat esta intervención cuando
hay una reclamación por parte de de la
autoridad tiene que ver exclusivamente
en el rol de punto de contacto luego
veremos que en esa intervención eh En el
caso del del esquema de la agencia
española sidato impide que el oficial de
pronato eh responda a los requerimientos
de la autoridad de control como si fuese
digamos el área legal de la organización
no ahí habría nuevamente un marco
digamos de conflictos de interés
claramente y yendo un poco saliendo un
poco del marco legal y y del marco eh
digamos de normativo y y del marco de
referencias del propio esquema español
de protección de datos eh si nos vamos
un poco a la literatura poco jurídica
por ejemplo la agencia de protección de
datos definió en su momento al dpo como
un garante del
cumplimiento Carmen Sánchez en una de
sus obras dice que el dpo es un
solucionador Moisés barrio lo definió
como El guardián privado de la
protección de datos Rafael Jiménez dijo
que es como una especie de obman interno
en materia de protección de AT no
Cecilia Álvarez dijo que el dpo no es un
costo es una
inversión es un concepto muy importante
vale Noemí Brito compañera eh dice que
el depo se elige como un potenciador de
los datos personales eso que
comentábamos antes con la infografía de
la autoría de Singapur no no solamente
nos centramos en la gestión y gobierno
gobierno y gestión de la protección de
datos sino también en ese marcado
carácter de Pro Innovación en el uso de
las tecnologías no y José Antonio mesía
eh viene a definir también la posición
del dpo como una posición nuclear entre
procedimientos prácticas y y actividades
no con esto ya hemos visto un poco eh
digamos ese cuadro ese entorno eh
digamos a grandes rasgos de lo que sería
un poco el marco de de de competencias
no y cambiamos de rol ehh una vez
definido Cuál es ese marco de
competencias o por lo menos visto eh a a
grosso modo eh vamos a definir un poco
Cómo cómo acreditar el perfil yo creo
que es un poco la la la otra gran
cuestión eh Porque que
muchos están queriendo optar a este
puesto y como me gusta a mí definir es
importante que todos tengamos formación
Clara precisa amplia sobre protección de
datos Porque la proteon es un tema
transversal a todas las actividades y a
todos los procesos de las organizaciones
pero probablemente no todos tengamos las
las competencias las habilidades para
trabajar como oficial de protección de
auto por tanto a lo mejor por nuestra
forma de desempeñarnos estaría mucho
mejor en algún otro tipo de rol no pero
no cabe duda de que es un rol
eh bonito atractivo
e y quienes llevamos años
desempeñándose tremendamente feliz por
ocupar esa posición una posición que nos
permite interrelacionarnos con con todas
las áreas dentro de la organización que
nos permite estar en digamos en la en la
en la Génesis de de de muchos proyectos
y y de muchos programas y y también
evidentemente en la en la Génesis de
muchísimas organizaciones que por
ejemplo como startup que llegan o que
quieren llegar al mercado y que del
minuto uno dentro de lo que es su
estructura se han apoyado en en la
incorporación de un oficial de
proteinato porque están haciendo del
prav en bades prav bf como uno de los
elementos cores diferenciales entonces
eh hablando de cómo acreditar el
perfil Si nos vamos al considerando 97
del reglamento para aquellos que no
habéis tenido oportunidad de leer el
reglamento el reglamento general de Proc
europeo tiene 99 artículos Pero antes
del artículo número uno hay 173
considerando que son como lentes o lupas
que nos permiten entender luego los
artículos que están dentro entonces este
artículo
97 o este recital lo viene a decir
fundamentalmente que e el el el oficial
de prote dat tiene que contar o en este
caso la la organización tiene que contar
con la ayuda de una persona con
conocimientos especializados del derecho
y la práctica en materia de protección
de dato he querido subrayar esto porque
es muy importante el término porque no
es lo mismo decir conocimiento
especializado en derecho que
conocimiento especializado del derecho
eh cuidado con con con el tema vale
segundo eh es considerando 97 dice el
nivel de conocimiento especializado
necesario se debe determinar dice en
particular en función de las operación
tratamiento datos que se lleven a cabo y
de la protección exigida con lo cual el
nivel de conocimiento No es tantos del
derecho o o en derecho como de aquellas
cuestiones del derecho que afectan a
aquellas operaciones que son Ah digamos
las habituales que realiza la
organización por tanto es muy importante
dice el considerando 97 para eh
posicionar como oficial de protonado
conocer el negocio esto que es el
lenguaje que solemos utilizar es más
importante conocer el negocio y por
tanto digamos las implicaciones legales
de cómo funciona el negocio para poder
entender y ser en este caso un oficial
de protección de datos no y saliendo del
considerando 97 y yéndonos al artículo
375 que es al que está apuntando ese
considerando 97 dice que el delegado de
proteccion dat será designado atendiendo
a sus cualidades
profesionales dice y en particular a sus
conocimientos especializados nuevamente
dice del derecho y la práctica en
materia de protección de aut Por tanto
la manera de acreditar en el modelo
europeo hemos dicho es conocimiento
especializado del derecho práctica en
materia de protección de dato y
conocimientos especializados de las
operaciones de tratamiento del negocio
que realiza la organización que está
bajo ese ámbito de aplicación del
reglamento de General de protección de
dat
yendo un poquito más y haciendo zoom
sobre estos dos conceptos vale de los
conocimientos digamos especializados eh
eh Por ejemplo acá hablando de
conocimiento jurídico de la normativa de
protección de datos lo que se nos pide
es que estemos familiarizados con las
regulaciones y previsiones que afectan
al campo profesional al sector
empresarial en el que nosotros o Nuestra
Empresa se está desempeñando entonces lo
que tenemos que ver es por ejemplo cómo
en las actividades ordinarias de nuestra
organización pueden estar afectados o no
derechos fundamentales o la carta de
derechos fundamentales de la Unión
Europea no los principios básicos del
reglamento osado en el artículo 5 no y
aquellas normativas que pueden ser a
nivel local a nivel digamos de de país
en materia digamos de protección de
datos Conocer bien los dentro lo que es
el principio licitud la base jurídica en
el modelo europeo artículo 6 y artículos
9 y 10 y los requisitos relacionados por
ejemplo con la protección de datos al
utilizar las
tecnologías de la información no y des
el punto de vista digamos desde el
ámbito de la seguridad de la información
y del uso de las tecnologías pues es
importante que uno conozca el entorno
tecnológico conozca la estructura de los
sistemas aplicaciones y procesos que
seamos conocedores de cómo fluye los
datos a través de esas tecnologías
propias o de terceros o propias y de
terceros vale la gestión de la propia
seguridad Cómo afecta esa a a las
distintas propiedad y de
confidencialidad integridad y
disponibilidad y la resiliencia que
especifica el artículo 32 identificación
de riesgo asociado a los individuos no a
las organizaciones no que riesgo que
viene por el uso de esas tecnologías No
ese elemento que a veces puede chocar
entre los compañeros de entorno del
Security del entorno infosec con
aquellos que nos dedicamos al mundo del
privacy no y que necesitamos muchas
veces evangelizar necesitamos culturizar
para que nuestros compañeros entiendan
que aquí fundamentalmente no estamos
hablando de riesgo organizacional sino
que nos tenemos que centrar en el riesgo
a derechos y libertades de las personas
que están en el contexto interno y en el
contexto externo de las organizaciones Y
por último desarrollando los controles y
las medidas o sea uno tiene que saber de
de controles no tiene que ser un experto
digamos en en el tema pero tiene que
saber de de qué estamos hablando no por
tanto eh fijaros que hablamos también de
ese artículo 37 m y 27.5 decía algo así
como que tiene que tener unas cualidades
profesionales y esas cualidades
profesionales ah eh lo cu sequir es una
experiencia en las leyes y en las
prácticas nacionales europeas no
comprensión de las operaciones
comprensión de las tecnologías
conocimiento del sector y sobre todo un
tema muy importante porque esta es una
función que es un denominador común a
todos los Marcos eh a todos los Marcos
que hemos visto anteriormente es la
capacidad para promover una cultura de
la proteción de dato dentro de las eh
organizaciones no bueno Esta es un poco
la la la idea general por tanto eh Es
evidente que un dpo independientemente
de cuál sea su su perfil académico Ah
tiene que tener un nivel experto en eh
digamos en funciones específicas de
tecnologías de la información porque
evidentemente eh Hoy que estamos
hablando de transformación digital más
que nunca que hablamos de sociedad
digital de economía digital que hablamos
de cliente digital y que hablamos de
confianza digital es important que los
dpos tengan un conocimiento amplio de
las tecnologías de la información y
antes que hemos hablado de de de cómo
esas tecnologías no solamente están
innovando sino apareciendo riesgos
asociado por poner un nombre y un
apellido pensemos en la Inteligencia
artificial y pensemos fundamentalmente
ahora hoy por hoy en la ia generativa
que teniendo tantos elementos a favor en
pro también tiene una serie de elementos
del punto de vista aproximado en contra
por tanto es importante que nosotros Ah
tengamos una comprensión amplia de esto
para ver cómo podemos ser Pro Innovación
sin sin aumentar el nivel de riesgo
sobre las personas que tenemos digamos
la la obligación de de de cuidar y y de
proteger no Y además eh eh al llevar a
cabo en todo este trabajo
eh una de las cuestiones más desafiantes
es Cómo encontrar digamos el marco de
competencia decir cómo acreditar el
perfil Cómo desarrollar los
conocimientos hemos dicho conocimientos
en en el en la normativa de protección
de datos que afecta mi negocio en la
tecnología que afecta mi negocio
entonces Eh bueno en el mercado pues
puede haber sesiones de formación de un
día eh hoy tenemos una masterclass de un
de un día de do horas puede ser que la
formación la tengamos en en en línea
como estamos teniendo en este minuto
puede ser presencial eh otros eh otros
otros usos otras formas es a través
digamos de de formación acreditada eh
académicamente A través digamos de de de
entidades que puedan entregar y
acreditar que es un poco la razón
también de explicar esto en el día de
hoy y también existe evidentemente
digamos la formación académica mucho más
tradicional que puede estar siendo
proveída en este caso provista en este
caso Perdón por las por por la academia
en en sus distintos máster o magister eh
Para desarrollar digamos estas estas
capacidades no lo que es cierto es que
eh en el modelo europeo eh la comisión
de de modelo europeo modelo modelo que
un poco más más
conocido la comisión de protección de
datos recomienda que se tengan en cuenta
digamos eh esta lista no exhaustiva de
factores al seleccionar un programa de
formación
porque esto Esta es la gran pregunta no
A qué curso voy dónde me formo con quién
me formo Esta es una de las grandes
preguntas entonces a la hora de
seleccionar es muy importante tener en
cuenta el contenido y los medios digamos
de la formación segundo eh si se
requiere o no capacitación que conduzca
la certifica decir muchas veces
necesitamos una formación previa para
poder atacar esa certificación eh la
propia legitimación del propio organismo
acreditador evidentemente que respaldo
es el que puede tener Y por último si la
formación y la certificación van a ser
reconocidas a nivel nacional o
internacional también es una una
cuestión que puede ser eh
Eh puede estar dentro de la de la base
de elección de la margarita que tenemos
que ir despejando no en en todo sentido
en cualquier caso eh eh un dpo debe
tener siempre un nivel adecuado de
experiencia en la legislación y en las
prácticas y esto eh es importante que
nosotros podamos demostrarlo pero
también hay que ir a buscar yo quero
poner ahí a la derecha eh algunas
certificaciones de organismos de tercera
parte que que se están entregando en en
los distintos mercados y que
evidentemente tienen como eh denominador
común fundamentalmente eh poder eh
acreditar el estatus eh del profesional
que sale por ahí no tenemos la
certificación de la iap la sip tenemos
la certificación de isaca la de cipsi
como ingeniero de privacidad tenemos la
la la la certificación cpp eh senior de
Po de de apep en España tenemos la cdpp
del 10ms Forum en España y Y por último
es el la infografía que tenemos aquí es
el sello en este caso de eh eh Como
delegado de pronato de la certificación
cdpd de la agencia española de
protección de datos no siguiendo un poco
con con el modelo europeo y si me
permitís acercar un montito al al
dictamen eh que aparecía en el Wi paper
243 del año 2017 eh ahí se hablaba
fundamentalmente que evidentemente el
nivel de experiencia que le podemos
exigir a un oficial de protección de
datos eh va a variar y va a variar eh
teniendo en cuenta aspectos como la
sensibilidad la complejidad y el volumen
de la información pensar por ejemplo que
no es lo mismo ser un dpo en en un
complejo hospitalario que ser un dpo en
en una fábrica o yo que sé una minera es
decir el el volumen de dato la
sensibilidad del dato es muy distinto
muy distinto vale la complejidad también
es decir y los volúmenes también por
tanto Esta es una cuestión importante y
en función de eso en nuestra formación
nuestra la capacitación nuestras
competencias tendrán que ser como mucho
más eh más amplias eh Y evidentemente
con un nivel digamos de expertise
muchísimo mayor no eh además el propio
considerando lo 27 dice que esa eh Esa
formación tiene que venir en función de
las propias operaciones de tratamiento
vuelvo a comentar esto esto era obvio
cada operación de tratamiento que yo
tengo o sea en función de la tipología
de de de de cuáles son las finalidades
de mi negocio Cuáles son los objetivo de
mi negocio y sobre todo porque cada
negocio e cada organización tanto
pública como privada va definir un nivel
distinto de apetito del riesgo por tanto
eh No solamente es la propia naturaleza
de la operación de tratamiento sino que
son otras cuestiones no olvidemos por
ejemplo que eh a la hora de configurar
el el riesgo eh Por ejemplo en el
enunciado del artículo 32 del reglamento
europeo se dice claramente que eh el el
responsable tiene que tener en cuenta la
naturaleza el alcance el contexto y las
finalidades todas estas cuatro cuatro
elementos que formarían parte de eso que
podríamos Llamar a nivel grande e la
fase contextual donde yo voy a realizar
esa actividad de tratamiento en función
de cómo lo hagamos cada uno de nosotros
nuestro apetito de riesgo de poad de
gravedad se va a manifestar de forma
completamente
distinta completamente distinta entonces
en función de eso Pues necesitaremos a
lo mejor pues un especialista o un dpo
con mayor grado de especialidad o un dpo
probablemente eh con un nivel digamos de
cualificación un poco más genérico en en
el tema y y luego también evidentemente
habría que Añadir cuestiones como
experiencia conocimiento y y la práctica
No por ejemplo en en el articulado del
artículo 35 de la ley española de
protección de datos Ah ahí por ejemplo
el regulador español cuando
e publicó la ley una ley que fue
aprobada por cierto lo comento a nivel
un poco e
histórico es es
algo de las cosas creo positivas de de
de la ley española del año 2018 es que
fue aprobado por unanimidad
parlamentaria vale esto yo creo que es
un un
dato muy interesante que pone manifiesto
un poco el nivel de madurez verdad que
luego la ley tiene algunos algunos
errores por detrás Y además algunos
errores políticamente intencionados que
por suerte eh dos meses o tres meses
después fueron mitigados en una reclama
ación eh impulsado por una un colectivo
de profesionales entre los que me inclu
me inclu ese momento
eh Y que activamos el procedimiento a
través del defensor del pueblo para
invalidar una disposición adicional que
habían colocado pero lo cierto es que el
la propia normativa en su Artículo 35 ya
previó que eh íbamos a necesitar
probablemente mecanismos voluntario de
certificación eh Para poder digamos
acreditar probablemente la función la
función del oficial de protección de
datos independientemente de de que esto
luego se pudiese configurar a través o
no de titulaciones universitarias pero
ciertamente la la la previsión de la
aparición de mecanismo voluntario de
certificación ya era como una un
elemento digamos muy adelantado a ese
momento no eh si nos fijamos por ejemplo
en en la modificación recientemente
aprobada de la eh reforma de la ley
19628 de chile se especifica que dentro
de lo que es el perfil del oficial de
proteccion dat eh este tiene que reunir
digamos las características los
requisitos de idoneidad capacidad y
conocimientos específicos no en el caso
por ejemplo de de Perú lo que se pone el
énfasis nuevamente es en las cualidades
conocimiento de protección de datos y la
práctica de la protección de datos no en
el proyecto de de Colombia se habla de
conocimientos legales experiencia Y
capacidad para desempeñar las funciones
y en el caso de Argentina no sé si por
eso que está por eso el tema de de los
and no sé quién quién se fijó en quién
pero es Exactamente igual que el modelo
chileno idoneidad capacidad y
conocimientos específicos por lo menos
en ese artículo 44b de de lo que es el
proyecto vale Bueno pues hasta aquí
hemos visto un poco
el digamos el marco digamos de lo que
serían las competencias por otro lado
segundo Cómo poder acreditar el perfil
eh dentro de lo que es
el el la obligación de tomar una
decisión de de asignar este rol eh antes
de tener en cuenta el marco de
competencias y y digamos los
requerimientos para poder decir quién sí
quién no lo primero que hay que definir
fundamentalmente es quién no quién no y
y lo que ponemos vamos a expresar a
partir de este minuto es el conflicto de
interés el conflicto de interés es muy
importante porque eh No es un tema que
aparezca solo en La regulación europea
en el caso europeo aparece en el
artículo 386 porque dice que se tiene
que garantizar eh Y lo tiene que hacer
la empresa el responsable damiento tiene
que garantizar que la función y
cometidos del delegado pronato no den
lugar a conflictos de interés en el caso
de chile Ah se dice que el responsable
garantizará que dichas funciones y
cometidos no den lugar a conflictos de
intereses en el caso ecuatoriano en el
artículo 50 dice siempre que no exista
conflicto vale Ah también podrá realizar
esa función en el caso eh del
El perdón del reglamento este reglamento
de Ecuador artículo 56 eh hablando de
los impedimentos para ser delegado en el
numeral número cuatro dice quienes
tengan conflictos de intereses con el
responsable pero es que eh Ya se enumera
algunos eh algunos escenarios que
pudiesen dar lugar a esos conflicto por
ejemplo quienes formen parte de los
órganos de administración y control Los
Socios y accionistas eh los los cónyuges
de los administradores y directores
comisarios de la compañía vale decir ya
al final está empezando digamos a
generar una especie digamos de estatuto
de quienes no podrían ostentar nunca la
posición de un oficial de de protección
de datos en el proyecto de Colombia
también se define efectivamente que a la
hora de definir y asignar el rol el
responsable el encargado lo primero que
va a tener también que dilucidar es que
el nombramiento no genere conflictos de
inter y en el proyecto de Argentina
Exactamente igual qué nos enseña esta
tabla que que he enumerado acá pues lo
que enseña esta tabla fundamentalmente
es que lo primero que hay que hacer
antes de pensar en el nombramiento es
pensar y definir y tenemos que
evidentemente tener nuestras políticas
nuestro procedimiento intern
correctamente habilitado es quién no
puede en función del tipo de
organización de cómo yo me me defino
como organización en función de a lo que
yo me dedique en función de miio petito
al riesgo Quién no puede ser oficial de
protegerme AT entonces Estas son las
primeras grandes cuestiones y en el
hipotético caso de que tuviese algún
tipo de duda empezar a definir Qué
elementos voy a colocar como elementos
estancos o cortafuegos para evitar que
efectivamente ese conflicto de interés
se llegase a materializar dentro de la
organización problema es el concepto el
concepto el concepto jurídico del
conflicto de interés entonces podíamos
hablar que en realidad podríamos hablar
de tres tipos de confli conflicto no el
conflicto de interés real el conflicto
de intereses potenciales y el conflicto
de intereses aparentes en realidad eh en
en en las distintas normas estamos mucho
más en el concepto número dos no que es
cuando la persona sujeta tiene un
interés particular que podría influir en
la toma de decisiones por la posición o
el cargo que ocupa la diferencia clave
es que pese a que no encuentra o no se
encuentra en una situación en la cual
pueda influenciar podría hacerlo en el
futuro Esta es un poco la la la idea a
la que se está refiriendo y para esto
querido traer aquí una cita del el
compañero y profesor y doctor Miguel
recio que en una de sus publicaciones un
de sus libros dijo hablando la autonomía
del dpo dice dicha autonomía del dpo
debe entenderse a la vista del
reglamento y las directrices del grupo
de trabajo 29 como una garantía frente a
posibles injerencias en el desarrollo de
sus funciones y cita es decir la
autonomía está estrechamente relacionada
con el requisito de evitar el conflicto
de interés dice para así asegurar el
derecho fundamental a la protección de
datos personales por tanto eh uno de los
elementos que voy a tener que acreditar
para garantizar efectivamente esa
ausencia de conflicto de interés va a
ser probablemente la potenciar la
autonomía o la independencia del oficial
de protección de datos Y para esto
evidentemente yo voy a tener que
demostrarlo eh A través de los
procedimientos y de las medidas que debo
en realizar En todo caso evidentemente
En todo caso eh Como dice por ejemplo el
informe de la de la confederación
Europea de delegados de protección de
ato eh dice debe existir salvaguardas
específicas para detectar y adoptar
soluciones alternativas en puestos de
conflicto de interés esto tiene que
estar antes del nombramiento porque de
lo contrario
probablemente cometamos el error vale
segundo eh dice la independencia del dpo
no significa que el dpo se convierta en
una especia de Mini eh dpa o Mima una
mini autoridad de procesat dentro de la
institución no lo es tiene una función y
y y y ahí tiene que estar no dice la
independencia del dpo debe garantizarse
eh eh A través de evidentemente o se
debe garantizar que este cuente con Ah
digamos Con principios de integridad y y
lealtad no eh dice también la relación
de el dpo con la organización debe
disponer de la potestad apropiada lo que
exige que se apoye o esté apoyado por
los órganos de de de decisión eh dice el
dpo debe tener una línea de reporte
directo al consejo de administración eh
el dpo debe tener acceso directo al acta
dirección sin filtro o mandos
intermedios y además dice los eh se
habla del deber de confidencial del dpo
Y por último dice los riesgos de
conflictos de interés pueden sugir si el
puesto dpo se sitúa y aquí a prestar
atención en los departamentos de
seguridad tecnologías de la información
recursos humanos u otros departamentos
decisorios por traer un poco a la luz
Hay un procedimiento sancionador de la
autoridad griega del año eh 2020 que
dice que incluso el dpo no debería
representar a la entidad en los
procedimientos que se siga ante la
autoridad de control esto ya lo comenté
antes y lo fuy adelantando vale Y aquí
tenéis un esquema de lo que sería el
modelo español el artículo 64 el esquema
vale de eh de digamos de iniciación del
procedimiento administrativo sancionador
y cuando se inicia ese procedimiento
administrativo sancionador contra el
respons adento en el que el dpo está
trabajando vale Y aunque se le comunique
por parte de la autoridad ese inicio de
ese expediente El dpo lo único va a
hacer es dar traslado al responsable
atamiento y este es el que tiene la
obligación digamos
de levantar digamos las documentación
que es requerida y a través digamos de
las distintas áreas que componen la
organización eso no quita que el dpo no
asesore pero voy a comentar no debe
representar esto Qué significa eh fijar
que estamos hablando del conflicto de
interés que no debe redactar el pliego
de respuesta o el recurso de respuesta
ante la autoridad de
control es un ejemplo de de ese de ese
evitar ese conflicto no Y además eh En
este nuevamente siguiendo con el informe
de la confederación Europea de delegados
de protección de datos dice siguiendo
tirando un poco del Wi paper eh Bueno
aquí creo que está al revés Esto está es
el 243 no el 234 se habla de los puestos
de alta dirección director general
director de operaciones director
financiero director médico jefe de
departamento de Mercado tecnia jefe de
recursos humanos director departamento
ti etcétera etcétera No de hecho todos
los que son la la digamos los puestos
que se relacionan con un nivel c C Suite
no co cdo cmo cto chro coo coo vale siso
acá vale todos estos entrarían por su
capacidad de toma de
decisiones e entrarían en claro
conflicto con un oficial de protección
de atro vale Este es un poco ya eh
siguiendo un poco la línea de lo que nos
está comentando ese paper 243 no y y
siguiendo ahí eh el grupo de trabajo
Dice que evidentemente se debe
determinar qué puestos concretos serían
incompatibles deben redactarse normas
internas que eviten esos conflicto
y una vez ya asignado eh Sería bueno que
el la persona que ha sido asignada como
oficial de prato y si es una declaración
expresa respecto a su ausencia de
conflicto de interés no es como una
finalidad un poco de de concienciación
para recordar todo esto no pero es que
además
de del entorno regulado legal en el
mundo de la normalización en el mundo de
Los estándares Internacionales
nuevamente voy un poco también a ese a
ese puntito tengo tanto cariño que es el
mundo de los estándares hizo el estndar
ISO 29151 del año 2017 que es el código
de prácticas para la protección de la
información identificación personal es
muy interesante porque dice las
obligaciones y el área de
responsabilidad de la de la información
edificación personal fijaros las
obligaciones y el área de
responsabilidad deben ser independientes
de la de seguridad de la
información Así que el mundo de la
normalización ya no solo el mundo
digamos el área legal sino el propio
mundo de la normalización nos está
indicando que estas áreas deben ser
claramente independientes porque de lo
contrario habría un problema que que
sería estaría en este caso en juego un
riesgo muy alto tanto para la
organización como para las las personas
por no atenderse digamos con este
digamos punto de de separación de de
roles y y de competencias
no siguiendo un poco con el contexto
europeo el artículo 38 del reglamento
nos dice claramente que el dpo tiene que
participar no de forma regular punto la
parte ional no fijaros tiene que ser
invitado a las reuniones eh A todas las
reuniones donde se van a tomar
decisiones que afectan a datos
personales procedimientos creación de
nuevos nuevos productos servicios
actividades no recibir información
relevante de forma puntual para que
muestre su parecer evidentemente dentro
de lo que es esa matriz rcii la sede
consultar tiene que estar ahí
perfectamente indicado Y por último ser
consultado nuevamente cuando se produzca
una brecha de seguridad o cualquier otro
incidente de seguridad nuevamente la
sede consultado de la matriz rcii vuelve
a aparecer como una cuestión importante
y por tanto Aunque la lo que es la
gestión y respuesta incidente en
cualquier procedimiento evidentemente y
en esa asignación de roles y
responsabilidades que podemos ver
perfectamente en ISO 27035 eh pertenece
a al área de seguridad de la información
al área al área ti en en en la parte
digamos de de respuesta pero voy a
comentar Ah el el siso el coo la los los
responsables de estas áreas no pueden
tomar decisiones si no eh eh está
colegiada esa decisión en este caso con
la visión el asesoramiento la
supervisión del oficial de protección de
datos una vez que ese incidente repito
una vez que ese incidente en el en la
primera cria la primera e digamos
revisión forense Se confirma la
existencia de datos personales afectados
a esa brecha de seguridad por tanto es
ya el plano de actuación no solamente el
ciso sino también del eh del oficial de
proteccion dat no siguiendo con el
dictamen 243 por ejemplo lo que se dice
claramente Es que la empresa responsable
tramiento tiene que apoyar no tiene que
apoyar activamente la función del dpo
tiene que permitirle al dpo tiempo
suficiente de calidad para poder
realizar su desempeño tiene que
prestarle apoyo suficiente en cuanto a
recursos infraestructura
personal asistencia a congresos
formación vale
e el nombramiento y sus funciones se
tienen que comunicar las partes
interesadas internas y externas se tiene
que facilitar la formación continua es
interesante por ejemplo porque la hay un
informe hao algunos añitos atrás dos o
tres años atrás de la nil francesa en en
el caso de los dpo nombrados en
administraciones públicas y lo que ponía
manifiesto es que 4 años después de su
nombramiento más del 70 por de los
oficiales de protección de datos
nombrados eh Y comunicados a a la
autoridad no habían recibido ninguna
formación de actualización esto es una
auténtica locura estamos en un entorno
donde el riesgo es como como factor como
propiedad como dice la ISO 31000 es
Dinámico es cambiante cada vez que nos
levantamos por la mañana el riesgo ha
cambiado en la forma en que se
manifiesta en nuestras operaciones de
tratamiento por tanto Los profesionales
no solamente tenemos que estar atentos a
ese cambio sino que tenemos que estar
atento a la formación en este tema no ya
de hace algunos años atrás más de 2 años
atrás recuerdo el año 2019 perdón el año
2023 exactamente en Málaga Leonardo
servera
eh miembro en este caso delviso europeo
de de protección de datos e decía
insistía en que eh los oficiales de
proteinato tenemos que eh ser la primera
gran defensa en el tema de la
Inteligencia artificial y este va a ser
nuestro mayor en desafío en este minuto
y por tanto muchos de nosotros estamos
realizando ya formación desde hace ya
algunos años atrás en tema de
Inteligencia artificial en gestión
gobierno tema de transparencia sesgo
etcétera Porque necesitamos comprender
mucho mejor Cómo opera Cómo funciona la
Inteligencia artificial y por tanto Cómo
esta puede tener impacto en derechos y
libertades a través del uso de esos
datos personales no y evidentemente se
nos tiene que dar el apoyo suficiente
para para los temas no Y por último dice
eh Hay que garantizar que el dpo no
reciba instrucciones es decir evente
ente estamos hablando también de que
para mantener esa posición lo hemos
dicho antes en esa lectura parcial que
hemos hecho del texto de Don Miguel
recio donde decía claramente que la
autonomía era digamos el el elemento de
protección ante el conflicto de interés
entonces Cuanto más autonomía Cuanto más
Independencia menos instrucciones menos
intención digamos de dirigir desde
negocio o afectar por eso es importante
eh que
dónde está ubicada orgánicamente o
estructuralmente en la jerarquía de la
organización la oficina del oficial de
pronato para evitar cualquier tipo
digamos de de injerencia Bueno pues
hasta aquí un poco la parte más
académica más académica de de de lo que
era la propuesta que traíamos hoy que es
entender el rol del oficial de
proteinato para centrarnos si me
permitís en la
parte menos académica y y más técnica de
la clase de hoy que vamos a hablar un
poco de la de los esquemas de
certificación la ISO
17024 es el estándar desde el año en
2012 que fue creado a nivel
internacional para tener la capacidad de
certificar a personas no en en el mundo
académico existe una norma ISO que es la
ISO 29001 que lo que hace es certificar
a las entidades de formación pero la ISO
2024 lo que certifica son a Los
profesionales
que se forman en esos centros académicos
y en la cláusula 8 de esa de ese
estándar ISO 1824 se establecen por
ejemplo los los elementos como serían
las categorías del esquema los elementos
del sistema de certificación los
requisitos de proceso el desarrollo y la
revisión de ese esquema la revisión
continua y validación del esquema para
personas y las obligaciones del
propietario del esquema cual una
organización diseña eh diseña ese
esquema es propietario de ese esquema
pero no puede formar a nadie contra ese
esquema lo vamos a ver un poco prente
para para evitar esta cuestión digamos
de
subjetividad y de conflictos de de
interés no Por tanto la norma lo que
hace es o fue creada para medir digamos
la competencia y por tanto a a la hora
de Definir la competencia de un
profesional en cualquier parte del mundo
lo que se va poner sobre la mesa son los
conocimientos la experiencia y las
habilidades requeridas y demostradas por
ese profesional repito conocimiento
habilidades y experiencias requeridas y
demostradas por tanto no solamente se te
tienen que pedir que tú las tengas Sino
tienes que estar en condición de
entregar evidencia de que estos tres
elementos que se conjugan según la ISO
1724 estás en capacidad de entregarlas
por tanto estamos sumando conocimiento y
formación con experiencia práctica antes
comentábamos que la propia normativa
española ya impulsaba la la acreditación
per Es que la propia normativa europea
en su Artículo 42 decía que el los
estados miembros las autoridades de
control el comité y la comisión europea
tendrían que promover la creación de
mecanismos de certificación y bueno Es
verdad que muchas veces cuando leemos el
artículo 42 estamos pensando en
mecanismos de certificación de tercera
parte que son capaces de certificar la
auditoría de nuestros entornos que
también está bien es ahí pero también
está artículo 42 cuando se habla de de
esta eh obligación que se le envía a los
Estados y al comité europeo y a la
comisión europea es que también estos
promuevan mecanismo de certificación en
este caso de personas de de
profesionales vale Y esta es la la otra
gran cuestión que no que nos trao aquí
no eh Por ejemplo en el artículo 35 eh
de la normativa española se dice que
efectivamente la posición del dpo se
puede mostrar a través de otros medios
como mecanismo voluntario de
certificación tanto es así que cuatro
artículos después o dos artículos
después del 37 en este caso el 39 se
cita con nombre y
apellido precisamente se está hablando
Ya de la ISO 1724 y se está colocando
ahí a enac que es la entidad Nacional de
acreditación en España Como quien podría
estar por encima en este caso para
vigilar que efectivamente esos esquemas
o esos mecanismos voluntarios de
certificación se supervisen con
criterios técnicos y por tanto conid
internacional no
e Qué elementos por ejemplo traería el
el esquema por ejemplo el esquema que
fue preparado por la agencia española de
protección de datos Bueno
pues en función de la experiencia que
podría traer el el usuario vale la
experiencia eh tendría que acreditar eh
más o menos horas de formación entonces
son paquetes de 60 100 180 horas mínimo
e trabaja se trabaja sobre tres dominios
de conocimiento y se tienen que eh esos
tres dominios de conocimiento están
repartidos porcentualmente entre un 50
primer dominio 30 segundo dominio 20
tercer dominio también se valida la
formación mediante un examen es decir al
final toda esta toda esta parte acaba en
un examen que va a definir si eres apto
o no apto y evidentemente
todo lo que es el modelo
eh el modelo de formativo que haga un
match contra ese esquema de
certificación tiene que ser eh tiene que
tener la capacidad de impar los
conocimientos técnicos prácticos y
también la realización de ejercicios en
grupo repito no es algo que alguien se
saque de la manga Esto está directamente
en el propio esquema dicho esto Es
evidente que en la la agencia española
aproximo lo que hizo fue en su momento
desarrollar en base a los requerimientos
sobre todo la cláusula 8 de la ISO
17024 desarrolló el esquema de
certificación de delegados de protección
de cómo funciona esto para que lo
entendamos Así que voy a intentar
dibujarlo la agencia es el
propietario del esquema y lo que ha
hecho la agencia evidentemente es
validarlo validarlo contra enac con lo
cual enac ha revisado que efectivamente
el esquema propuesto incluyendo las
revisiones ahora vamos por la versión
1.4 vale
eh todas estas eh están acorde con lo
que dice el modelo de de de de
certificación de personas de la 17 24 y
eso da lugar a la criatura que es la
certificación cdpd o certificación como
delegado de protección de datos conforme
al esquema de certificación de la
agencia española de protección de datos
objetivo eh justificar experiencia
profesional en este caso si alguien
justificaba una experiencia superior a 5
años eh podría
eh presentarse al examen si no tiene los
C año y tiene 3 años necesitaría al
menos acreditar 60 horas de formación
recientes vale eh si no tiene tres y
tiene 2 años de formación necesitaría eh
en pasar o superar un programa de
formación de 100 horas eh Para poder
presentarse digamos a al examen y en el
caso de que no tenga esa experiencia
práctica ni de cinco ni de tres ni de 2
años pues entonces tendrá que cubrir un
ciclo mucho más largo de 180 eh horas de
formación que equivaldría digamos a
poder dar tocó ese marco de de
competencia Y eso les permitiría a esas
personas entrar a presentarse en el
examen de hecho en el modelo que
nosotros ya propusimos el año pasado en
capacitación usat de la Universidad de
Santiago de Chile nuestro programa está
relacionado con este modelo porque
nuestro público Eh no cuenta en la
práctica real con con sí que hay algún
caso pero no la no es el denominador
común Eh no cuenta con la práctica e o
la experiencia acreditada en temas de
proteccion dat y nuestro programa no es
de 180 sino de 280 horas para poder
cubrir todo el programa completo del
tema eh dentro de esa de esa de esa
acreditación eh hay algunas entidades
que se han validado contra en para poder
ofrecer el esquema de certificación de
la agencia española profesion aquí
tenéis las distintas entidades que
tienen a día de hoy acreditado y en
vigor la capacidad para acreditar la
certificación de persona nosotros eh
estamos trabajando en este caso con el
isms Forum con la són de fomento de la
seguridad de la información el isms
Forum que es fue la segunda entidad
digamos en validar el este esquema y y
que lo mantiene a día de hoy por tanto
cómo funciona bueno hemos dicho enac es
quien supervisa en este caso una vez que
la agencia que es la propietaria de del
esquema y para que una entidad pueda eh
trabajar y eh certificar la la la forma
eh va a tener que contar con el visto
bueno de enac en este caso eh enac
acredita al isms Forum y lo que hemos
tenido que hacer nosotros en este
recorrido es que isms Forum ha
acreditado a capacitación usach ya del
año pasado estamos en el último trámite
de hecho si todo va bien en 15 días ya
recibimos oficialmente nuestro sello
como como entidad ninguna entidad cuando
se arranca en el momento cero tiene la
acreditación tiene que tener un un un un
ejercicio completo una una formación
completa terminada auditada y valorada
por las entidades que están aquí
afectadas veréis que agencia en Y en
este caso el isms vale Y por tanto eh eh
nosotros podemos ofrecer formación que
puede eh capacitar En este caso una
persona para que pueda optar
directamente a la certificación de la
agencia de protección de datos vale eh
ahí tenéis un poco el la documentación
del esquema el PDF se puede bajar
directamente ahí qué cualidades Y qué
aspectos importantes trae esta este
esquema bueno digamos que enumera una
16 16 puntos importante Por ejemplo
dentro de lo que es la programación nos
centramos en el cumplimiento de los
principios la identificación de base
jurídica valoración de compatibilidad de
finalidades tanto las primarias como las
secundarias determinación de la
existencia normativa sectorial diseño e
implementación de medidas de información
a Los afectados todo lo que es el
principio de transparencia
establecimiento de mecanismos de
recepción y gestión de solicitud de
ejero derecho valoración de esos de esas
solicitudes de ejero derecho
contratación de encargado incluyendo
todos los actos jurídicos que regulen
identificar los instrumentos de
transferencia internacional las
características y su funcionamiento
diseño e implementación de políticas de
protección de dato auditoría en
profesion dat esto es el marco que
tenemos que revisar vale Y que tenemos
que tener los conocimientos y las las
competencias suficiente establecimiento
y gestión del rad análisis de riesgo
vale implantación de medidas de
protección del diseño por defecto
implantación de medidas de seguridad
adecuad a los riesgos y la naturaleza de
las actividades y establecimiento de
procedimiento de gestión de brechas
incluida evaluación de riesgo para los
derechos y libertades este es el modelo
el modelo que propone la la la agencia
Por qué es un modelo Bueno yo voy voy
atito atrás Esto es lo que hace bueno el
tem es decir lo el programa que nosotros
impartimos señores el programa que
nosotros hemos impartido en la edición
del año pasado y que vamos a partir del
24 de marzo impartir en la segunda
edición tiene la validación de una de
las entidades que está acreditada en el
modelo español que a su vez tiene la
acreditación De nada que a su vez tiene
el visto bueno de la agencia española
deonato como propietaria del esquema
esto qué implica o qué significa esto es
un elemento digamos de validación de
reforzamiento de la
certificación se no es en una
certificación o un curso que digamos con
toda la voluntad del mundo desde la
institución desde la universidad desde
la academia hemos redactado más o menos
acertado con una propuesta programática
para entregar a los alumnos no no es así
es una propuesta madura revisada y
sesuda eh que además es ente revisada y
auditada en cada ciclo académico que
nosotros estamos revisando
incluyendo incluyendo que luego lo
veremos un poco la cualificación de los
profesores que participan en el programa
porque evidentemente si el requisito
para presentarte el examen sin formación
es acreditar 5 años de experiencia los
profesores tienen que acreditar como
mínimo 5 años de experiencia en la
práctica y esto se tiene que entregar
con documentación evidente ente para
poder pasar el el el control dicho esto
dejamos el punto cuatro metemos el punto
C Que es nuestro programa ejecutivo como
delegado de procesion según el esquema
de certificación que que prestamos en
primera edición en el año 2024 con una
tasa de éxito del 100% de todos los
alumnos que llegaron al al al empezaron
40 alumnos hubieron cuatro que tuvieron
que Cesar por temas personales de salud
algunos y otros por tema eh laborales eh
pero los 36 que llegaron a la parte
final los 36 aprobaron y aprobaron con
con nota muy muy alta esto creo que es
una satisfacción importante por el grado
de implicación del equipo docente que no
solamente se limitó a entregar los
conocimientos sino que hacemos un
seguimiento muy personalizado de los
alumnos y una un tutelaje bastante
importante si quieres participar en este
curso quizá La pregunta es qué
competencias vas a desarrollar por un
lado evidentemente
adquirir competencias como dpo aplicando
la legislación fundamentalmente la que
mana del reglamento general de procesion
y y la
normativa española en este caso la
lopd vamos a adquirir competencia en
temas de seguridad y tecnología porque
vamos a trabajar mucho en temas de
seguridad segú información
ciberseguridad y y gestión de
riesgos veremos efectivamente Cómo Este
es un rol que es requerido en distintas
legislaciones y y cuáles son digamos la
las habilidades que vamos a tener que
que trabajar y vamos a a estar en
condición evidentemente de de cumplir
con la función principal que es asesorar
supervisar y actuar como como punto de
contacto y cuando termine el programa
digamos que qué podría ser no Pues no no
solamente tener la capacidad digamos de
comprensión de la de la normativa
Europea y española eh Sino que además
evidentemente las propias medidas de
seguridad eh profundizando en el marco
jurídico comprendiendo las funciones y
responsabilidades eh teniendo capacidad
para verificar la correcta eh ejecución
y respuesta de ejercicio derecho eh
entender Cuáles son los elementos que
que entran que se procesan y que salen
en una evaluación de impacto garantizar
efectivamente la la cualificación de
estos de Los profesionales y y
garantizar efectivamente que e las
medidas de confidencial integridad y
disponibilidad de los sistemas de
información eh eh funcionan de manera
coherente igual que la res para poder
garantizar la seguridad de de todo los
datos personales dentro de los sistemas
de información no A quién está dirigido
el programa que es una de las grandes
preguntas Pues evidentemente
estamos está dirigida a a todos los
roles profesionales no no solamente
aquellos que vengan del mundo del
derecho o que vengan del mundo de la de
la ingeniería aquí nos encontramos con
muchos compañeros del mundo de gobierno
de datos el mundo de la auditoría con
compañeros que vienen de áreas
económicas con contadores públicos eh o
compañeros que vienen del mundo de de
otros entornos eh Por ejemplo en la
edición anterior eh una de nuestras
salud algunas eh destacadas de nuestro
programa eh era venía del mundo de la
psicología Industrial evidentemente
fijaros qué especialidad Tan lejos tan
lejos de las tecnologías tan lejos de
los procesos de negocio tan lejos del
derecho eh y sin embargo eh eh No
solamente eh curió completamente sino
fue comentado una de las alumnas
destacadas de del del programa por la
calidad académica y y y su alto grado de
compromiso a para sacar el el proyecto
no por tanto el curso está dirigido a a
profesionales del mundo de las
tecnología de la información
evidentemente a consultores y asesores a
responsables de seguridad a
profesionales que desean orientar su su
carrera laboral y encontrar un nuevo
rumbo y también auditores internos y
externos que quieran especializarse en
el mundo de de del cumplimiento Eh
normativo no eh dijimos antes que el
programa está dividido en tres dominios
Entonces estos son los tres dominios
dominio uno es normativa general El
dominio dos se llama responsa activa y
El dominio tres eh técnicas para
garantizar el cumplimiento y y un poco
en el timeline que utilizamos nosotros
aquí en capacitación usa en programas de
cinco semanas eh o ciclos como lo
llamamos nosotros acá pues decimos que
eh El dominio uno que es el más largo lo
dictamos en dos ciclos académicos vale
eh acá Vale entonces el primer ciclo lo
llamamos nosotros normativa general de
proteccion dat y el segundo ciclo
llamamos nosotros responsabilidad
proactiva pero en realidad es El dominio
uno normativa general no luego El
dominio eh dos lo daremos a partir del
mes de julio esto es marzo esto sería
mayo Y esto es Julio vale dominio dos
responsabilidad activa nos centramos ya
en la parte técnica y El dominio 3 ya en
el mes de septiembre con técnicas para
garantizar el cumplimiento por por
perfil un poco para para explicar un
poco el tema quienes vengan del mundo
jurídico en estos dos primeros ciclos eh
se lo van a pasar como como niño chico
es decir van a disfrutarlo muy bien e
los compañeros que mundo vengan del
mundo de las tecnologías de la
información Probablemente lo vayan a
pasar un un poquito mal eh pero los
términos se invierten porque a partir
del mes de julio quienes van a disfrutar
como niños chicos son los compañeros de
tecnologías de la información vale igual
que en El dominio 3 y quienes lo van a
pasar peor son los que vienen de de la
formación Ah jurídica Por qué Porque nos
meteremos fundamentalmente dentro de lo
que es la responsabilidad activa en en
los ámbitos de la seguridad en la
gestión de riesgo la metodología de
gestión de riesgo Las evaluaciones de
impacto la auditoría por ejemplo y nos
meteremos también dentro de lo que es la
la propia regulación de lo que sería
dentro de lo que son medidas de
seguridad el esquema nacional de
seguridad español o el la normativa nis2
que por ejemplo es muy cercana en el
modelo con la ley marco de
ciberseguridad de Chile muy muy muy
parecida no exactamente es mucho más
amplia el nce 2 pero Eh bueno Ahí está
Ah está ahí en un tema no cada uno de
estos ciclos eh Una vez que se concluyen
y se saca una nota superior en a 55 en
este caso la nota Es sobre 70 vale
eh supone eh certificar el El dominio y
se le va entregando evidentemente una
una insignia por cada uno de eh los cic
Una vez que se superan los cuatro
ciclos hay que optar a un examen final
que lo haremos en el ciclo número c es
un examen que lo lo comento brevemente
después es de 4 horas es un
examen supervisado y hay que aprobar con
un número de de respuestas que luego lo
voy a comentar no y quienes aprueben
evidentemente los cuatro ciclo más el
examen final evidentemente obtien
nuestro certificado final del programa
como oficiales de protección de datos
Una vez que se obtiene Este
certificado automáticamente y sin hacer
absolutamente nada dentro del convenio
internacional que tenemos firmado la
institución con el isms Forum los
alumnos van a optar de manera eh directa
sin eh sin validar ningún otro elemento
y sin presentarse el examen con la
certificación cdpp lo único que habrán
que hacer es enviar repito enviar creo
que es cédula de identidad Vale y el
certificado de la de capacitación usad
como como Data protection officier de
este programa que está bajo la tutela
del isms Y elms eso sí nos vaar una tasa
de
emisión de evaluación del tema y nos
emitirá la certificación
y también evidentemente una vez que
nosotros hemos aprobado todo el programa
estaremos en condición de presentarnos
al examen de certific ación de la
autoridad de proteccion española previo
pago del canón de las tasas de examen
que que que se emite evidentemente ese
examen por ahora es presencial en Nada
más estamos pendientes en ver si hay
alguna opción de que esa presencialidad
no se no no no esté Sencillamente
ubicado en territorio español sino que
hay una propuesta sobre la mesa de
apoyarnos la red iber americana de
protección de datos por tanto en los
países que cuenten con autoridad de
proteinato pero estamos en un momento de
impaz en la agencia española protección
de datos eh eh en cambio cambio de de de
dirección eh donde se han jubilado tanto
Director como directora perón la
directora como el director adjunto y eh
estamos pendiente digamos de reemplazo
de de estos roles y y bueno una vez que
esto est un poco caminando yo creo que
va a ser más fácil eh amarrar todo esto
el problema de la internidad interna en
la organización en la la agencia ha
impedido que podamos cerrar digamos de
manera documental firmado la posibilidad
de que esto se pueda materializar estos
exámenes presenciales en en territorio
latinoamericano vale eh aquí está un
poco la referencia vale eh dentro de lo
que sería el examen El dominio uno se
centra fundamentalmente en cumplimiento
normativo europeo normativa nacional
directiva Europea de privacy directrices
y guía del comit europeo Vale y pesa un
50% en la nota vale eh o dentro de lo
que es el volumen de de conocimiento el
El dominio dos eh nos centramos en
evaluación y gestión de riesgos
evaluación de impacto protección de dato
por diseño protección de dato por
defecto y tiene un peso del 30% en
conocimiento y El dominio número tres
nos centramos en auditorías auditoría de
protección de datos auditoría de
seguridad y protección de datos
fundamentalmente Y tiene un peso de de
de un 20% y aquí veis un poco lo que es
un poco la la ponderación de del peso en
el examen no hemos dicho eh cuatro horas
150 preguntas tipo test cuatro preguntas
posibles una sola en válida vale no se
penaliza la respuesta negativa el error
la respuesta no y eh En este caso eh
para probar hace falta eh superar el 75
por decir a menos 113 puntos pero eh No
vale que todos los puntos lo lo
alcancemos por ejemplo en El dominio uno
eh aquí tendríamos bueno en este caso
150 75 preguntas aquí eh Si nosotros acá
fallamos por debajo de la media que se
nos está indicando no vale Entonces
tenemos que superar siempre la el mínimo
que tenemos por dominio y como como aquí
se nos está indicando Vale no voy a
entrar mucho más no fijaros El dominio
número uno tiene 14 apartados contexto
fundamento principio legitimación
derechos de los individuos medidas de
cumplimiento responsa proactiva
delegados de protección dato
transferencia internacionales
autoridades de control directrices de
interpretación del reglamento normativas
sectoriales normativa española con
implicaciones en protección de datos
normativa europea con implicaciones
también en protección de datos El
dominio dos análisis gestión de riesgo
metodología
a meter con mager vale programa de
cumplimiento seguridad de la información
y evaluaciones de impacto y en El
dominio número tres pues auditoría eh
auditoría sistemas gestión de seguridad
de los tratamientos y y y luego tenemos
una parte de otros conocimientos que nos
centraremos sobre todo en tecnologías no
Cloud Smartphone iot Big Data redes
sociales tecnologías de seguimiento Vale
blockchain y Inteligencia artificial y y
todo esto sería un poco digamos los
contenidos académicos vale
eh equipo docente Quiénes se van a hacer
frente a todo esto no pues eh presento a
nuestra primera profesora en este caso
Viviana García que es abogada eh
compañera de Perú también se ha formado
en esta institución y es también
graduada de la primera edición de de
este programa vale es consultora legal
en la corporación in americana de
inversiones y ha trabajado en distintos
eh entornos internacionales eh Y con
amplia experiencia en protección de
datos de hecho su firma su consultora se
dedica monográfico a temas de profesion
desde hace bastantes años e aquí tenemos
a a auget letelier IL algo que es
chilena residente en España bueno
española tiene doble nacionalidad es
abogada tiene tres magister y también
cuenta con distintas certificaciones
nuevamente también formada en la parte
técnica en la parte de de de privacidad
y cumplimiento También en esta escuela
que es capacitación Ur no
eh Como tercera profesora Tenemos aquí a
Alejandra Bustamante también es alumna
de esta primera edición del programa de
delegados de protección de datos es
abogada especializada en ciberseguridad
y protección de datos seado en derecho
eh con licenciatura en ciencias
jurídicas y sociales y actualmente es
muy muy importante este tema se
desempeña como gestora de privacidad en
el banco bci responsable de instalación
del diseño y ejecución del programa de
privacidad de datos acelerar el cambio
cultural y la captura de de los
beneficios en toda la la corporación eh
nuestra cuarta profesora del equipo es
Jessica matus probablemente muy conocida
para muchos de vosotros abogada de la
Universidad de chile especializada en
derecho y tecnología
con especialidad en temas de protección
de datos más de 20 años de experiencia
diplomada en derecho eh informático con
estudio de magister también en derecho
informático y telecomunicaciones y
además siempre trabajando también en en
la administración pública y que nos va a
dar también eh Como docente director
también de diplomados en en distintas
academias universidades de de chile
también su su visión del tema Ah Mi Alma
Mater acá que es mi compañero Perdón
Aquí hay una error arriba no es Jessica
matus es marilia Moreno la rata es
abogada cuenta también con tres magister
cuenta con certificaciones muy
importantes también en el mundo de la
normalización y además es auditora de
tercera parte esto lo comento también y
también es académica en Ecuador por
ejemplo en la uide dentro lo que es el
el máster de de derecho digital e
innovación tecnológica eh desde España
en la parte técnica nos acompaña Adrián
murc Go Lobato especialista en cudad de
la información es director de de
seguridad privada es auditor de de
distintos normas de hecho auditores de
tercera parte tanto en 27001 como en
esquema nacional de seguridad eh cuenta
con con bastantes certificaciones como
podéis ver de distintos distinto también
tiene la certificación española de de
proteinato es miembro de de isaca y act
actualmente comp página su labor Como
auditor ya tiene una experiencia de más
de 15 años atrás también o 10 años creo
que son 10 años atrás en temas
de privacidad y auditoría de privacidad
no
eh con más de 20 años de experiencia
tenemos al amigo Daniel Fernández viaga
eh es un destacado delegado de protes
dato muy conocido en en redes sociales
cuenta con distintas certificaciones y
recientemente eh De hecho todavía no se
lo han entregado eh ha sido por la
agencia española Proc por su divulgación
en la red social tiktok en su digamos
dentro de su línea de de concienciación
en temas de seguridad de información y
protección de dato nos acompaña también
Alberto casaseca que es licenciado en
derecho por la universidad
complutense colegiado del colegio de
abogado de Madrid más de 15 años de
experiencia es el dpo actual se formó
inicialmente en naor estuve trabajando
muchos años en el mundo el mundo de de
la normalización como como abogado
tecnológico y actualmente es el dpo de
la multinacional clese que cotiza en
bolsa y cuenta con más de 35000
trabajadores eh veréis que hace una
semana bueno exactamente el jueves
pasado en el evento Internacional del de
la
17ava congreso del dpi del Data
protection institute junto con el icms
se presentó eh la segunda edición del
libro blanco del dpo del cual nuestro
compañero Alberto casaseca es coautor
del mismo y además fue entrevistado en
el congreso como parte digamos de la
autoría bueno y al frente de todo este
caos o todo esta este proyecto pues
estoy yo en este caso leocadio marrero
para los que no me conozcáis a seo en
este caso de grs por3 fundador de grs
sin frontera y delegado de protes de
distintas instituciones como podéis ver
miembro de distintos colectivos como
isaca y SMS
la iap la de delegados de profesion la
española de calidad el jefe eh foro de
la gobernanza la latinoamericana
privacidad y también de parte de la
internet society Eh y además instructor
de distintas certificaciones como es la
cedipi estos últimos sábados he estado
dando formación de la certificación
cedipi de de isaca para el capítulo de
de San Salvador vale eh Bueno ahí hay
otro otro Plus digamos de de
certificaciones eh a nivel nacional e
internacional eh a lo largo digamos de
de estos años que hemos ido acumulando y
quero volver a repetir las imágenes
Porque la idea es hemos dicho más de 5
años de experiencia individual fijaros
15 años Viviana más de 15 años marilia
más de 15 años Adrián más de 5 años en
este caso uget más de 15 años Alberto
Alberto más de 20 años Daniel más de 20
años Jessica más de 15 años Alejandra
Bustamante y en mi caso pues son casi 30
años de de experiencia práctica con más
de 430 proyectos ejecutados bueno para
concluir eh tengo algunas preguntas
Supongo que habrá preguntas eh No he
podido ver el chat eh pero sí que he
traído preparado una serie de preguntas
porque Supongo que vosotros también
queréis eh alguna de estas respuestas
Así que con mucho gusto voy a preparar
un par de preguntas que probablemente
estén saliendo no primera Cuál es el
valor del curso vale en en en peso
chilenos es Ahí está 1750,000 a
peso segunda cuestión hay
becas respuesta no hay becas y tampoco
hay descuento por ser alumno ni por
volumen de de matrícula vale Así que
verdad que se puede fraccionar la
matrícula se puede fraccionar En dos
pagos vale o eh se puede fraccionar creo
que en en cuatro creo que también est
por aquí incluido un primer pago de
600,000 y tres pagos de de 450,000 al
final el fraccionamiento tiene una un
unos pequeños gastos eh adicionales Por
tanto se suma se sube un poquitito por
encima de lo que es la la la matrícula
Segundo si apruebo este diplomado
obtengo inmediatamente la certificación
de la agencia hemos dicho no no
aprobar Este programa lo que hace es
capacitar a la persona para presentarse
al examen vale que es el el desafío
tercero si apruebo este diplomado
obtengo inmediatamente la certificación
del isms lo hemos dicho no hay que
entregar la documentación para homologar
pero en realidad no hay que hacer ningún
tipo de examen ahí sí que no hay que
hacer examen de ningún tipo entregamos
el título más la cédula de identidad nos
emiten
el la el lineal de pago para que
paguemos la tasa y con eso en dos
semanas obtenemos la la certificación de
la cdpp
Ah cuarto elemento cuarta pregunta la
certificación del diplomado como
delegado de profesado tiene alguna
vigencia para optar a rendir exámenes eh
No Ah pero es conveniente es conveniente
que una vez que nosotros hemos aprobado
el examen cuanto antes mejor porque por
un tema sencillamente de no de generar
los conocimientos adquiridos ni la
práctica adquirida cuanto antes pues era
mucho más fácil que lo podamos superar
prácticamente a la primera no puedo
convalidar curso realizado anteriormente
si he participado en algún otro
diplomado aquí dentro de diplomado en
ciberseguridad o alguna otra institución
formativa no no lo permite el el esquema
y el esquema es muy claro Hay que seguir
el itinerario que que ha sido marcado
por el dueño del esquema en este caso es
la agencia proteción de datos puedo
convalidar mi experiencia en el área o
materia no este no es el minuto para
hacer esta convalidación Este es el
momento de
e hacer acopio de los conocimientos y
las competencias suficientes para poder
rendir el examen eh pero no se puede
validar en este minuto eh experiencia
Qué pasa si
repruebo pues si repruebo el ciclo 1 eh
puedo seguir al ciclo dos sí puede
seguir haciendo el el ciclo completo eh
Lo que pasa es que no vas a poder optar
a al al programa ejecutivo a la
certificación final y evidentemente no
puedes optar ni a la homologación con el
isms y tampoco Al la al al la
presentación al examen de la de la
agencia española de protección dato
hasta ahora eso no ha pasado vale eh
puedo realizar el siguiente curso si
reprobé el un curso anterior no lo acabo
de responder sí podemos seguir vale
podemos seguir ya veremos exactamente
cuándo porque probablemente en una
tercera edición vamos a dar opciones de
que si alguien ha suspendido por ejemplo
el ciclo un eh pueda recuperarlo en el
siguiente eh la siguiente edición
probablemente buscaremos una una fórmula
eh intermedia para eh ayudar No pero
bueno como no se ha dado tampoco tenido
obligación o necesidad de diseñar la
respuesta vale los cursos tienen
asistencia obligatoria por eso de
trabajar síncrono asíncrono pues la
realidad es que sí vale eh salvo que el
alumno eh acredite una causa de fuerza
mayor con lo cual el equipo académico lo
valorará y le exonerará de eh eh la
necesidad de acreditar ese 70 por de
asistencia a clase vale eh voy a
comentar es el alumno que lo tiene que
pedir y y es el alumno el que tiene que
entregar digamos los elementos de prueba
para que el equipo académico le exonere
de este tema vale pregunta 10 cuál es la
duración acreditable del diplomado pues
Empezamos el 24 de marzo y estaremos
acabando pues sobre segunda semana del
mes de noviembre el examen se realiza en
el norment coincide con día 10 12 14 15
de noviembre más o menos el examen se
hace todo juntos y a la vez
vale todos juntos y a la vez con cámara
abierta vale Y es un examen
supervisado pregunta número 11 vamos
terminando vale Si no tengo experiencia
en la materia puedo participar en el
diplomado Sí pero pero es
preferible no
hacerlo salvo que lo hablemos
vale Cómo se puede adquirir experiencia
información pues optando por ejemplo por
el diplomado nosotros de privacidad y
cumplimiento que te puede dar digamos la
experiencia el acercamiento al mundo de
la privacidad y al mundo de de la
protección de datos para luego tener las
competencias adecuadas eh Y no sufrir
mucho en el arranque del programa de
prato es un programa muy exigente eh eh
voy a comentar los alumnos que cuando
han terminado lo que han dicho es un
programa que va a exigir mucho tiempo
por parte de los estudiantes eh uno de
los compañeros decía he estudiado más yo
creo que en los 4 años que estuve como
gresado en la universidad Bueno no sé si
si era una una verdad o una hipérbole no
pero sí que es verdad que es un programa
exigente exigente en en en el área de
conocimiento y en la parte de
experiencia hay muchos talleres vamos a
cubrir casi 14 talleres Durante los
cuatro ciclos académicos y los talleres
van a consumir tiempo nosotros eh Como
institución y además como parte del
esquema se nos exige en realizar
talleres prácticos y se nos exige eh que
además que esos talleres prácticos sean
grupales con lo cual es importante
también
e colaborar no e corriendo el riesgo en
un taller grupal de que algú algún
alumno intente esconderse y y y no hacer
su parte del trabajo pero aquí siempre
terminamos por descubrir quién se
esconde vale paramente son los propios
compañeros los que ponen en evidencia a
al que se esconde yo creo que esto es
importante que entendamos el grado de
compromiso y ya que hacemos una
inversión entender lo que significa el
retorno de de esa inversión no eh per
última pregunta e los cursos del
diplomado ejecutivo como delegado de
proteccion datos serán convalidables
para el diplomado de privacidad de
cumplimiento no son programas
completamente distintos con
orientaciones distintas Y por último
tengo que aprobar una con calificación
mayor o igual a 40 los cuatro cursos
Ah mira los quienes aprueben con una
nota e igual o mayor a 40 reciben un
certificado pero no tienen el curso eh
No no tienen la certificación no están
en condiciones la nota para eh presentar
eh obtener la certificación y
presentarte el examen tiene que ser
igual o superior a 55 en cada uno de los
ciclos vale Eh Esto con un con con Bueno
un poco lo que hemos comentado aquí
tengo un poco la parte de conclusión y
eh si queréis eh abrimos un poco esto a
a debate eh estaba ahí pendiente no sé
si está
e en el auditorio está
Lorena no sé si
estás un
segundito No no ha llegado bu no está No
no ha podido incorporarse Bueno si
queréis eh podéis abrir micrófono si
queréis hacer una pregunta levantar la
mano y podemos hablar de de de del
programa hablar de la de la presentación
de los objetivos Yo sé que en principio
de los más de casi 670 eh personas que
se han inscrito
eh más de
450 habían confirmado que tenían interés
en participar esto no significa que se
pueda participar todos no eh Supongo que
que es un poco la la cuestión no
actualmente tenemos casi 20 alumnos
matriculados son 40 40 plazas y
solamente quedan 20 eh Y probablemente
eh esta semana las plazas se se vayan a
cerrar pero es importante que podamos
hablar y y ver efectivamente qué es lo
que hay por detrás no que qué
intenciones Y qué dudas tenéis
Alejandro Sí leocadio buenas tardes
buenas tardes a todos eh No puedo abrir
la cámara porque no estoy un lugar que
que la me lo permita sin embargo quiero
felicitarte
Eh Yo estoy en México en Puebla y igual
como tú me apasiona la protección de
datos soy consultor en protección de
datos tengo 14 años dedicándome a esto
como bien dijiste son proyectos nuevos y
too apasiona y más que el programa se me
hace muy bueno y pues más que nada
quería felicitarte porque tocaste muchas
cosas que en México a pesar de que la
ley tiene 14 años
todavía hay mucho por hacer hay muy
pocos profesionales en la materia muy
muy pocos y tocaste un tema bien
importante que es el rol pero aquí
también juega un papel el departamento
de recursos humanos porque ni siquiera
lo tiene mapeado no no no tienen mapeado
ni siquiera la descripción de puesto y
mucho menos los roles y
responsabilidades que los empleados
tienen que asumir en el manejo de la
custodia de la conservación y de la
protección de la información Incluyendo
los datos personales Me encantó tu
ponencia Ahí te mandé un mensajito el
ledin aquí en mi caso particular eh
estamos acreditados por Secretaría de
Educación Pública del Sistema Nacional
de competencias y certificamos
protección de datos consultoría
ciberseguridad cap y Cómo ser instructor
porque hasta el hasta Debes de saber dar
dar capacitación como oficial de
protección de datos control interno y
voy a cerrar con un tema que que lo
tocaste a lo mejor no con la palabra que
yo les menciono que hasta aparte El
oficial de protección de datos yo le
Domino coordinador de Protección de
datos también debe tener conocimientos
en procesos administrativos en calidad
en control interno si es una
especialidad muy concreta pero tocaste
todo todo lo importante entonces más que
voy a ver la manada porque se empata con
otra otro diplomado que traigo voy a ver
si me encantaría ver si puedo coordinar
pero felicidades el programa está
buenísimo y y y gustoso de conocer
colegas que que les encanta este tema Sí
pues muchas gracias por permitirme
hablar Muchísimas gracias Alejandro Un
saludo para
México tenéis un desafío muy grande con
la desaparición del del inai y v a tener
que ser muy resiliente desde adentro y
muy imaginativo para ver cómo Cómo
resolver el el desafío de que las
competencias quede en una secretaría de
estado con lo cual la independencia de
la que se goza eh gozaba el inai en
desaparece entonces va a quedar un poco
ahí eh bastante expuesta vale eh Es
correcto es correcto y y nada más
ahorita diciendo no s conozcas a Claudia
Ávalos también es un referente como tú
Aquí ella fundó la asociación
iberoamericana de protección de datos y
ciberseguridad y y bueno también somos
miembros de la misma asociación Y sí
vemos lo que tocaba decir va a haber un
reto grande en México
Muchas gracias muchas gracias bueno el
programa es
tiene un marco amplio de competencias
vale el año pasado participaron personas
que en teoría tenían algún tipo de de
experiencia
eh Y después de de abordar el programa
yo creo que en la vida un poco les
cambió les cambió el concepto el
entendimiento La
percepción Bueno uno de ellos está ahí
levantando ahora la mano que es Freddy
eh Freddy eh Te
escuchamos Hola leocadio cómo estás
saludo a todos los participantes este yo
me había comprometido a comentar un poco
de la experiencia del diplomado el
diplomado pues a muchos les dará
eh motivos para pensar en si hacen la
inversión O
no la inversión al final del recorrido
está super justificada
es una
experiencia
realmente este
motivante Abre una cantidad
de amplía la visión del profesional que
que realiza el diplomado porque como
acaba mencionar locadio y el señor de
México
eh la protección de datos Abarca desde
la estrategia
organizacional hasta la parte operativa
de la persona que trabaja en algún
escritorio con alguna base de datos Y
desde la persona que recoge los datos en
algún formato o en
algún en alguna experiencia persona a
persona con el titular de los datos
entonces esa amplitud que la hace super
compleja este a lo que es la protección
de esos datos Y al como solicitar
es lo que también permite que el
profesional amplíe su visión Entonces yo
les
invito a que participen realmente del
diplomado
este y es una una carrera una profesión
que en algunos países tiene 20 años pero
todavía hay mucho por hacer todavía hay
mucho por hacer án a leocadio
suit arena porque hay mucho por hacer es
tan amplio el el el espectro de la
producción de los datos personales que
inclusive dentro de la misma
este profesión por darle algún nombre
este van a aparecer
sub áreas donde pueden especializarse
cómo recoger datos que puede ser una
operación muy sencilla resulta que puede
ser un área de especialidad el com
identificar las maneras correctas de
solicitar los datos personales es una de
las fallas más comunes en en los
esquemas de protección este Cómo hacer
programas de
concienciación para personal de
distintos sectores económicos puede ser
un área de especialidad Entonces yo les
invito a que sigan con el programa y
bueno locadio un saludo desde acá desde
Ecuador Muchísimas gracias Fredy bueno
el caso de Fredy como el caso de otros
muchos compañeros de de Ecuador o Perú
que participar en en la edición pasada o
de chile eh pone manifiesto una cosa que
creo que es interesante Eh Esto es una
pregunta que
algunos el momento que se inscribieron
lanzaron como esto Esta certificación
tiene algún tipo de valor para mi país
por ejemplo tendría algún tipo de valor
para
Perú estas son preguntas interesantes no
para para hacernos no que est
certificación española que está pensado
para el modelo español eh y de hecho la
la agencia española sinid dato se vio
sorprendido cuando nosotros decidimos
iniciar este proyecto de dar el Salto eh
cruzar el Atlántico y llevarlo a usas
porque nunca pensó que que su esquema
tuviese el atractivo
e y y de hecho Alguna algún compañero
compañera de de la primera edición tenía
dudas
existenciales sobre si de verdad le iba
a servir para su mercado local en este
caso Ecuador o Perú la respuesta eh le
dije de un minuto un es confía porque
los conocimientos y las competencias que
vas a recibir aunque estén ubicado en el
modelo español modelo europeo eh Son en
un 90 95 98 depende del país muy
cercanas a las tuyas y te va a dar la la
apreciación y el entendimiento de un
punto de vista de un enfoque digamos de
de de de más experimentado con mayor
grado digamos de jurisprudencia con
mayor luminosidad por parte digamos de
las propias guías de la de las distintas
autoridades de control por la abundancia
de procedimientos asignadores y que son
como como faros que te están ilustrando
Hacia dónde sobre todo no debes
acercarte y Y dónde puedes encontrar la
bocana para entrar digamos y encontrar
el
refugio en tu Puerto cuando estás en en
aguas turbias y y aguas turbulentas y en
medio de una de de un temporal no Esto
sí que es una pregunta que creo que es
importante que la que que la explique no
porque eh Por qué tendría validez no
porque ahora miso voy a comentar es es
la única formación eh que está planteado
con un esquema de ISO
17024 es decir esto no es un tema que la
agencia dicta se crea el esquema e
imparte la formación ellos a su buen
entender me explico porque uno puede ser
juez y parte uno puede ser yo creo el
esquema yo lo dicto como lo hacen muchas
universidades que crean Su contenido y
lo dictan se arriesgan a al éxito o al
fracaso bueno en este caso pues a al
a al logro o la ausencia de ese logro no
en este caso no vo comentar se crea el
esquema lo certifica una una una tercera
entidad y las entidades que se quieran
postular a impartir o a canalizar esto
se tienen que certificar con el tema y
tienen que ser objeto de auditoría sus
programas Se revisan todas las ediciones
Se revisan todas las ediciones tienen
que pasar auditoría todas las las eh las
ediciones y todos los profesores pasan
en un proceso arduo de evaluación eh
esto yo creo que es un poco el el
elemento diferenciador es decir y y por
eso también tenemos ese punto de de
confianza en que el modelo eh es válido
y esto también es una lección
o Quiz no quizá la palabra elección no
es la palabra más más acertada Pero
puede ser digamos un buen consejo eh
Para eh eh los países hermanos de
latinoamérica que están pensando en
desarrollar modelos también en materia
de proteon yo lo digo porque yo soy un
fiel defensor de los del mundo de la
estandarización del mundo de la
normalización y de hecho cuando estoy e
cuando estamos hablando eh de de
protección de dato me veréis muchas
veces hablar de normalización como hemos
dicho el día de hoy hablaremos de
estándares ISO hablaremos del nis
norteamericano hablemos de de de
framework bastante potente Por qué
Porque el gran problema de las leyes es
que te dicen el qué pero no dicen el
Cómo esto hay que resolverlo en el día a
día
entonces la la los aspectos importantes
Es que esto esté normalizado esté guiado
Entonces los propios máster que ofrecen
algunas universidades españolas eh que
pueden capacitar para presentarte a este
examen de certificación de la agencia
española aox tiene que pasar por esta
misma vía es decir se tienen que
certificar cada Universidad de esa con
cada una de esas ocho entidades que
nosotros hemos numerado que a su vez
están acreditadas contra na y para ese
esquema en concreto y esto da esto da eh
digamos cto de confianza igual cuando
nosotros realizamos en en cualquier
proceso de gestión realizamos una
auditoría de tercera parte lo hacemos
Sencillamente para dar validez o para
generar evidencia documental
suficiente a nivel interno pero también
a nivel externo para generar confianza
en los mercados vale en las buenas
prácticas que nosotros llamos en tema de
calidad en tema medioambiental en tema
de segad de información en tema de
continu continuad de negocio vale o en
tema de por ejemplo de gestión de de
riesgos legales no Esta es una son
cuestiones I que son importantes que
nosotros la la pongamos por eso el
modelo creo que es un modelo bastante
acertado No digo que sea el mejor digo
que es un modelo bastante acertado Y que
además como está en revisión continua
vuelvo comentar esos años que tenemos
2025 que se creó el esquema que fue casi
en el 2019 para acá pues vamos por la
versión 4 vale de del esquema por tanto
el esquema está en mejora continua esto
y esto es importante también
evidentemente esa ese ensayo y error
pues lo vamos dominando entonces alguien
preguntó Cuántas ediciones llevamos de
este programa una una y y esta semana
pasamos hemos pasado todas las
auditorías con nota muy alta muy alta
muy alta y esta semana ya no dan el
sello oficial entonces a partir de
semana lo pondremos en redes sociales
probablemente no sé si jueves o viernes
o lunes de la semana próxima pero ya
anunciaremos perfectamente que
capacitación Us aparece en el listado
oficial de instituciones acreditadas
para ofrecer Este programa V la primera
edición nunca porque Mostrar andando el
tema hemos pasado todas las auditorías
comentar y estamos ahí entonces ya para
la segunda edición para cuando empecemos
el 24 de marzo pues ya tendremos el
sellito perfectamente puesto a la
espalda yo creo que eso es un trabajo
grande que hemos hecho y y también parte
de este punto de locura que es cruzar el
el Atlántico con una certificación que
Aparentemente está hecho para el mercado
español pero que tiene también mucho
atractivo en el mercado latinoamericano
Y esto es un poco ya tenemos compañeros
vamos a tener compañeros desde México en
el programa vamos a tener compañeros de
Costa Rica vamos a tener compañeros de
del Salvador vamos a tener compañeros de
Panamá vamos a tener compañeros de
Colombia vamos a tener compañeros de
Ecuador de Perú de Argentina de España
Vale y de chile Eh bueno vamos a serer
eh un un pequeño mapa mundi Ian
americano de de de de compañeros vale
eh existe en plazo dice Lidia sí eh En
realidad el curso empieza el 24 de marzo
el problema liia eh Es que solo hay 40
plazas vale eh Hay una discusión con con
la institución para ver si podemos
llegar a 50 e y y va a ser bastante
complicado que podamos hacer esa
ampliación de 10 plazas más eh a día de
hoy voy a comentar Solo queda la mitad
de las plazas y hemos empezado muy tarde
las matrículas el año pasado las
matrículas empezamos en el mes de
noviembre este año por por unos
problemas internos que hemos tenido en
la institución las matrículas la hemos
empezado en enero con lo cual tenemos
dos meses y medio casi de retraso eh
pero estamos en los mismos números que
el año pasado es decir a esta semana más
o menos tenemos el mismo número de
alumnos y el año pasado tuvimos los 40
alumnos faltando 15 dantes ya estaban
las plazas completamente agotadas sin
hacer digamos esta esta actividad masiva
que estamos haciendo vo a comentar 670
personas se han inscrito a este webinar
vale esta masterclass de las cuales más
de 450 han dicho que querían participar
decir que quieres participar en el
programa no significa que lo vayas a
hacer pero voy a comentar con que un 10%
de esos 450 digan que sí ya tendríamos
45 más 20 son 65 plazas entonces cuanto
antes toméis una decisión eh Mejor eh
antes preguntaba cu Cuántas diones vamos
a tener por año una es imposible
nosotros estamos dirigiendo diplomados
en otros países eh estamos ahora mismo
terminando un diplomado en Ecuador
grandísimo eh vamos a iniciar diplomados
en El Salvador eh vamos a iniciar
programa de de capacitación
e en Costa Rica y también a partir de
junio en Panamá con lo cual
eh No no no no podemos Porque estos
programas son muy exigentes y en el caso
vuestro el horario que tenemos es un
horario de creo que va a ser las 18:00
eh teniendo en cuenta que más de la
mitad de los profesores se conectan
desde España
eh hacen un esfuerzo grande vale por el
diferencial horario con lo cual estamos
hablando de que a partir del mes de
marzo cuando se produzca el cambio de
uso horario eh el caso mío por ejemplo
que Ah ahora mismo tengo TR horas de
diferencia con con chile paso a cinco y
los compañeros desde desde la España
peninsul pasan a 6 horas de diferente
con lo cual eh No podemos hacer esto
mucho muchas veces es es muy muy
agotador eh Y de verdad es que la el
biorritmo y la salud se se ve afectado
ya son llevo ya casi 5 años eh dando
clases nocturnas ahí en la nocturna Para
mí muy nocturna de hecho empezando
clases a las 12 de la noche con con
chile y y desde luego no es el dinero lo
que me impulsa eh por dinero no lo haría
lo hago prente porque este es un
proyecto y una oportunidad enorme de de
poder ayudar al otro lado del Atlántico
Entonces si fuese por dinero me quedo en
Europa pero la La idea es importante es
que estamos liderando eh unos proyectos
que me en los que me siento
completamente identificado
lo he comentado pero muchos lo sabéis Yo
dentro de lo que es el territorio
español Yo vivo en las Islas Canarias y
como canario siempre digo que los
canarios somos los latinoamericanos
españoles entonces he estado mucho más
cerca de vuestra forma de hablar de
entender de de de vuestra cultura muchas
veces que más que que en el caso del
territorio español peninsul de hecho
estamos 1000 km de la Costa Sur de de de
de España a 100 km de la costa africana
por tanto geográficamente siempre digo
que soy africano no soy español pero
bueno Esas son algunas cuestiones que
que comento alguna preguntita más que
queráis
e Hay que aprovechar que est tu par
libre porque si no levantamos eh todavía
estamos 100 personas conectadas es
impresionante eh yasna
saludo el programa es fenomenal valor
del mismo se integra en principio por su
docent cualificado y con gran
experiencia nada invida los programas de
porg grado de España gracias Ya piropo
eh viniendo de de de ti y con el
expertiz que ya tú asumes y y los
doctorados que tienes en en en tu
mochila no Muchísimas gracias des luego
eh por encima del del nivel académico eh
Eh sí comento de que si hay algo que
caracteriza ya la primera edición y va a
caracterizar también todos los programas
que eh llevo impartiendo en la en la
usach es el compromiso de los profesores
con los alumnos vale aquí no se viene a
dar clase aquí se viene a
enseñar no sé si no nos entendemos pero
lo que quiero comentar es esto vale aquí
venimos a enseñar no a dar
clase y la enseñanza y la pedagogía
empieza con con no solamente con los
contenidos que compartimos sino con el
apoyo constante durante la semana
Durante los meses con el alumno
atendiendo al alumno en lo personal y en
lo académico lo que podamos nosotros
ayudar cada uno tiene sus problemas
personales laborales de salud y nos
hemos encontrado con compañeros con
situaciones muy desagradables des el
punto de vista de salud
y con
apoyo y compromiso
[Música]
eh con la altura de mira que como seres
humanos nos tenemos que caracterizar eh
hemos ayudado a sus alumnos también a a
concluir su ciclo académico de forma
exitosa entonces nuestro compromiso va
mucho más allá que llegar dar la clase y
marcharnos vale nuestro compromiso será
con todos y cada uno de los que decidan
acompañarnos durante och meses y
medio Dayana Gracias la certificación se
ve sensacional gracias Sí voy a comentar
ahora mismo no hay una certificación de
este tipo en todo lam vale hay propuesta
hay iniciativas eh tú lo sabes ahora
mismo en el caso de de de Ecuador se
está un poco atienda a tientas eh
buscando propuestas pero evidentemente
falta también mucha experiencia práctica
y y nosotros no solamente vamos a dar la
teoría sino que los alumnos van a
aprender
trabajando gracias Lidia por tu palabra
me alegro que que haya sido inspiradora
la la la la masterc o la pequeña eh
clase que hemos dado en el día de hoy
fundamentalmente Yo creo que es
importante también que que entendamos el
el rol del dpo creo que está mal mal mal
explicado en muchos en muchos sentidos
eh en muchos sitios yo no sé si mal
explicado es la palabra pero sí mal
aplicado es mal aplicado
eh Hay eh Auténticos pulpos eh en la
parte organizacional acumulando votas de
poder y y y están Bueno pues pues con
dos tres posiciones importantes que
además generan conflictos de interés
claramente y que no van a tener
capacidad de mostrar nunca ante una
autoridad de control la ausencia de ese
conflicto de interés por eso quería
reforzar eh como como elemento
tangencial que todas las normativas eh
insisten insisten en el eh en la
ausencia de conflicto de interés y el
conflicto de interés señores no se
enuncia se
demuestra vale
[Música]
eh josep dice no estoy seguro si me
estoy alejando de la ponencia de hoy
pero tengo una pregunta sobre la
confidencialidad de los contratos de
trabajo para colaboradores de clínica u
hospitales Bueno ya entramos en
preguntas concretas josep normalmente
ese tipo de preguntas requerirían un
elemento contextual pero eh
hay que hay que aterrizar lasas hay que
aterrizar lasas en en el tema si tienes
duda tienes mi perfil el linkedin me lo
mandas por el perfil de linkedin por el
chat privado y con la capa informativa
meo con el elemento contextual
desarrollado y yo con gusto te la te la
te la respondo hoy no porque aquí ya son
las 2:30 de la noche pero si mañana o o
pasado mañana con con con mil amores eh
evidentemente yo creo que una de las
cosas que me ha caracterizado de que
llego aquí en la eh en Chile
fundamentalmente en esta casa de
estudios es que del minuto uno eh he
llamado a todos eh los que están al otro
lado lo he llamado mis compañeros No lo
he llamado lugos vale
eh mir Por ahí está Germán Hola Germán
vale Ah para mí sois mis compañeros de
armas eh porque esta es una lucha de
todos eh Cuanto más eh tengamos las
competenci Cuanto más tengamos
conocimiento y habilidades más y mejor
no V no vaí a todo eh más y mejor le va
a ir la ciudadanía la sociedad digital
en la que nosotros nos desenvolvemos
donde comentaba Antes nos enfrentamos a
un riesgo muy importante donde no
solamente el capitalismo de vigilancia
eh está erosionando eh
nuestros nuestros derechos y libertades
sino que también eh aprovechando ese
caballo eh que pasa por ahí también los
países y los Estados están aprovechando
esa situación he comentado el caso antes
de de de Honduras pero es que no hace
mucho Repito no hace mucho eso mismo
también lo intentaron en México en
México que las las telcos Y en este caso
algunos políticos tían tomar la
iniciativa de que para mejorar la
seguridad y y evitar el fraude en las
telecomunicaciones pues no se le ocurría
en ninguna otra forma fórmula magistral
que intentar recabar los datos
biométricos Y nosotros hay que partir el
hecho de que estamos matando moscas a
cañamas cuando
se produce una brecha de seguridad
eh en la Dark web en nuestros datos
tienen un valor un valor que va
degenerando que va perdiendo valor a
medida que va pasando el tiempo es decir
una tarjeta de crédito un pin de una
tarjeta de crédito una contraseña que
nos hayan podido captar e el día que se
produce la brecha tiene un valor x y
pasados 100 días Pues tiene un valor x
menos no sé cuánto pero si el día que se
hay una brecha de un dato
biométrico el valor en el mercado web a
día de hoy seguirá siendo mismo valor
dentro de 5 y Dentro de 10 años señores
esto tenemos que
entenderlo tenemos que entenderlo porque
es un elemento Perpetuo que permite
perfectamente la suplantación de
identidad tenemos un problema y hay una
cultura del uso del dato biométrico por
todos lados sin eh en realizar eh un
juicio de idad necesidad y
proporcionalidad sino Sencillamente como
las tecnologías lo lo facilitan como las
tecnologías lo habilitan pues pensamos
que Sencillamente es por qué no ya que
las tecnologías están porque no la
usamos eh la tecnología utilizamos con
cabeza y con sentido común porque las
tecnologías eh pueden hacer o las
personas que trabajan con esas
tecnologías pueden tomar decisiones
equivocadas que pueden provocar mucho
daño sobre nosotros
[Música]
excelente información una consulta Qué
diferencia tiene este diplomado cono que
imparte la Us en relación a
ciberseguridad y protesis de
dat enfoque distinto estructura distinto
y objetivo
distinto
Vale cualquier máster tiene una
orientación tiene un objetivo esta
formación tiene un objetivo muy concreto
que es atacar una certificación y tener
unas competencias con el tema por tanto
hay un mix muy
importante en la parte jurídica con la
parte técnica muy importante con la
parte de gestión de riesgo y Y
evidentemente con todo lo que es el Core
de negocio que tiene que manejar eh un
oficial de protección de dat Entonces
está orientado a a dar las competencias
y las habilidades a esta a esta figura
en segunda línea un máster de y portees
indid datos es un tema mucho más abierto
que puede estar perfectamente orientado
primera segunda o tercera línea
complementa muy bien tu tu desarrollo
profesional en la parte que está
buscando pero no no está buscando este
marco de competencia entonces eh es
digamos es el tema y luego lo otro que
he comentaba eh sin querer faltar en
ningún momento porque quiero ser muy
respetuoso porque estamos en una casa de
estudio no es decir cuando se desarrolla
una casa de estudio ofrece un magister
eh sobre un marco determinado digamos de
de de de conocimiento lo hace
evidentemente bajo su experiencia
evidentemente lo lo registra en en el
correspondiente Ministerio de Educación
el el tema los objetivos que se quieren
buscar y eso pero vuelvo comentar no no
nos encontramos ante un órgano rector
que regule revise eh Y audite de forma
regular ese programa para saber si los
objetivos primero se cumplen y segundo
en el tiempo se mantienen eh Este es el
elemento también diferencial y esto creo
que también ese tema por eso también los
magister de protes en España que que
quieren habilitar para esto también son
auditados Este creo que es un elemento
que que marca perfectamente la la la
diferencia
Vale gracias Me alegro que que haya
quedado bien claro Bueno pues eh Ah una
mano ahí José Luis eh Sí buenas noches
locadio
e inicio felicitando por la masterclass
estaba super buena
e se se liberaron digamos algunas
preguntas que tenía pero me aparecen
otras que son este también complicadas
estoy interesado la verdad en el
diplomado eh No sé si es que esta
pregunta que voy a hacer entra ya en
materia del diplomado pero me doy cuenta
que la la ley de protección de datos es
distinta digamos en en los países sobre
todo de de latinoamérica en lo referente
a las competencias del
tpo por algún por un lado vi que en en
el caso de Ecuador por ejemplo es el
encargado de supervisar este los
controles digamos que se pongan o de
asesorar también digamos el tema del
cumplimiento sobre sobre la protección
de datos en el caso de Argentina vi que
vi que es es el responsable en cambio de
implementar esos controles que que que
básicamente hay una diferencia terrible
ahí eh mi pregunta básicamente es este
si es que estamos hablando de un dpo que
está asesorando y que al mismo tiempo es
es el encargado de supervisar digamos
esa implementación de controles Cómo
hacer Digamos como para que no solape
un poco las acciones que de pronto este
las tiene como competencias el
ciso primero tiene que ha mucha
comunicación Yo siempre digo Aquí la
regla paleto no dec paleto 80 20 vale
hay que escuchar 80 y hablar 20 hay que
escuchar mucho hay que comprender mucho
a las distintas área proceso y a los
compañeros que están al otro lado para
partir digamos de ese modo escucha e
poder
e hablar cuando nos toque y Y ser como
un
neurocirujano vale muy preciso en el
corte hay que tener mucha pausa
e y esto se consigue con los años se
consigue con con con mucha experiencia
con mucho experti porque es importante
que que las áreas entiendan que que no
pueden tomar decisiones que sus
decisiones y esto lo explicado también
mucho o sea el concepto del ciber
compliance eh es un tema eh que pega en
el waiting los Equipo blanco de
ciberseguridad pero es un tema muy poco
entendido muchas veces en muchos
entornos no es decir y yo insisto por
ejemplo en en alguno de los programas
que bueno casi todos los programas que
dirijo sobre todo el programa el
diplomado de dicia de
cumplimiento
que hay materias que deberían venir los
ISO los io las unidades de
riesgos el área legal los compliant
officers los desarrolladores los wbm
los programadores la gente de ox y no
viene no
viene no vienen porque siempre quieren
crecer en vertical y y
quieren mejorar sus competencias
técnicas sin entender que las
competencias técnicas no operan por sí
sola en un mundo que está completamente
entrelazado y que nosotros trabajamos en
mercados nacionales e internacionales
regulados y que por tanto cuando yo
tengo un análisis de riesgo y digo que
hay un determinado control que es que lo
mitiga no soy libre para elegir el
control porque el control me puede venir
impuesto en por mi contexto externo por
la propia regulación que si no la
conozco voy a tener un error gravísimo
me puede V impuesto por los contratos
con clientes o con
proveedores no soy no soy libre para
para Ela tengo que conocer efectivamente
el marco legal y tengo que saber mucho
de riesgo legal y esto evidentemente los
compañeros del área legal nos pueden
aportar muchísimo Conan Office también
pero voy a comentar esto es una
competencia del
ciso la primera edición que se hizo en
España del del primer curso de Cyber
compliant por el isms el Forum en España
que soy alumno de la primera edición y
ahora soy miembro del equipo de
conocimiento del
isms una de las cosas que que me
sorprendió agradablemente
es encontrar como alumno a la mayor
parte de los isos de las empresas que
cotizan el iex
35 vale o sea eh pensamos en inditex por
ejemplo inditex que es la dueña de de
Zara de todas las cadenas de retail que
podamos conocer por ahí la más
importante Eh pues está preciso Por qué
está aliso in curso Cyber comp es que no
tiene inditex área jurídica Claro que
tiene área jurídica pero es que un siso
tiene que entender un siso moderno tiene
que entender de derecho de derecho
tecnológico de hecho eh en la
transposición eh la transposición de la
directiva nis la primera en el modelo
español eh vino a crear el estatuto del
ciso
eh que es muy interesante y dice que
para postular para hacer un ciso en una
infraestructura crítica del país tiene
que tener un marco de competencias muy
muy muy muy maduro y además tienes que
saber mucho mucho mucho de
legislación Entonces ya no solo se te
mide dentro de los dominios de
conocimiento la parte técnica tanto en
ti como en tecnologías
operativas lo que se te mide es tu grado
de comprensión de cómo controlas esas
tecnologías de la información y esa
tecnología operativa en el marco
regulado en el que tú te mueves el marco
regulado nacional y en el marco lado
europeo tienes que saber mucho de ellos
o tienes que venir Pero qué pasa con los
desarrolladores de
software tenemos ese mismo problema o
sea yo imparto acá un curso levo 2 años
impartiendo que es el curso de
privacidad por diseño pasado en ISO
31700 Y la verdad es que las áreas de
calidad o las áreas de desarrollo de
servicio sobre todo las áreas de
desarrollo de software debería estar ahí
es que deberían estar porque es que les
pega desde el minuto uno hasta el
final y no solamente aprender a
codificar sino aprender que son la
primera línea de defensa porque son los
conocedores de cómo esa línea de código
puede pegar duro en las personas y por
tanto son los primeros que a poder
levantar defensas en el tema pero si no
hay formación yo me aplico el ciclo de
desarrollo seguro mi mi mi mi mi
codificación va a ser buena des el punto
de vista del security punto de vista
funcional y operacional Pero el punto de
la privacidad va a pegar puñetazos a los
derechos y a las libertades Esta es la
realidad Por qué Porque no tenemos una
comprensión del tema entonces voy a
comentar esto es un tema que es
totalmente
transversal tienen que venir compañeros
de distintas líneas es es un poco la la
la la idea no y bueno no sé si me me ha
alejado la respuesta porque como me
pongo a hablar
me voy mucho por la por fuera eh No sé
si queda alguna pregunta más eh si no
retiramos vale eh Creo que todavía se
está grabando esto voy a poner esto ya
en detener la grabación