ANF Autoridad de Certificación

• Certificado de Delegado de Protección de Datos conforme al Esquema de Certificación de la AEPD-DPD.

Sí. ANF AC ha sido acreditado por ENAC con el nº 23/C-PE031 como Entidad Certificadora de Personas en la categoría de Delegado de Protección de Datos conforme al Esquema de la Agencia Española de Protección de Datos de Certificación de Delegados de Protección de Datos (Esquema AEPD-DPD) v. 1.3. Pulse aquí.

Cada Entidad de Certificación publica los programas formativos que ha reconocido. Pulsa aquí para acceder a la página de Entidades de Formación/ programas reconocidos por ANF AC.

Sí. Deberás contar con experiencia laboral o profesional, formación impartida por una Entidad de Formación (EF) acreditada por una Entidad de Certificación (ver EF reconocidas por ANF AC) de acuerdo con los prerrequisitos que establece el apartado 6.3 del Esquema de Certificación AEPD-DPD, y formalizar la solicitud de inscripción en una de las convocatorias de examen. Concretamente el Esquema de la AEPD establece cuatro posibles itinerarios para acceder como candidato a una convocatoria de examen:

• 5 años de experiencia, o
• 3 años de experiencia y 60 horas de formación reconocida, o
• 2 años de experiencia y 100 horas de formación reconocida, o
• 180 horas de formación reconocida.

Se debe de acreditar documentalmente los prerrequisitos. Las reglas establecidas para computarlos esta detallada en el Anexo I del Esquema de Certificación AEPD-DPD. Pulsar aquí para descargar.

Debe de aportar un certificado o una declaración según sea su caso.
Ponemos a su disposición modelos que le pueden ser útiles:

• Modelo de certificado laboral o profesional. Pulse aquí para descarga
• Modelo de declaración para administradores únicos o autónomos de microempresas. Pulse aquí para descarga

Sí. El Esquema de Certificación de la AEPD – DPD en su versión 1.2 Anexo I, literalmente reseña “obtenida antes o después de la publicación del RGPD”. Además, ten en cuenta:

• Se valorará especialmente la experiencia en el tratamiento de datos personales de alto riesgo con el doble de tiempo que los años de experiencia en el tratamiento de datos personales de riesgo no alto.

• En el caso de que la experiencia no sea de un año completo, se valorará la experiencia que iguale o supere los seis meses y se valorará como la mitad de la puntuación anual.

• Como experiencia laboral se considerará también la formación impartida y en concreto, se valorará como el doble de horas de la formación recibida.

Existen otros aspectos importantes a tener en cuenta. Ver detalle en Anexo I del Esquema de la AEPD. Pulsar aquí para descargar.

Sí, pero teniendo en cuenta lo que establece el apartado I punto A del Anexo I del Esquema de la AEPD. Concretamente:

• Formación universitaria, incluso con prácticas o trabajo fin de carrera. Pero se deben de haber obtenido créditos ETCS o LRU, dado que es la forma de computar en el Esquema.

• Solo será valorable a efectos de los Dominios II y III, no es computable a efectos del Dominio I.

• En estos casos, el candidato no necesita cursar un programa de formación completo de 60, 100 o 180, tan sólo aquella materia que necesite para cumplimentar las horas de formación requeridas siguiendo los criterios del Esquema.

Créditos ECTS (según el Sistema Europeo de Transferencia de Créditos). Un crédito equivale a 25 horas.

Créditos LRU (según la Ley de Reforma Universitaria de 1983.). Un crédito equivale a 10 horas.

No podrás ser reconocido como candidato en la Convocatoria. Deberás complementar las horas que faltan para alcanzar los requerimientos del Esquema de Certificación de la AEPD-DPD.

En caso de duda sobre la adecuación de los prerrequisitos al Itinerario elegido, consulta a tu Entidad de Formación.

• La creación del expediente y evaluación de la documentación aportada por el solicitante con el fin de determinar si puede ser admitido como candidato y, en su caso, someterse a examen.

• La participación en la convocatoria de examen en conformidad con el Esquema de Certificación de la AEPD para DPD y su correspondiente evaluación. Las tasas permiten al candidato presentarse a una segunda convocatoria en caso de suspender la primera.

Las tasas de examen se deben abonar en el momento de la inscripción. En caso de transferencia bancaria, la creación del expediente y su evaluación quedará pendiente de confirmarse dicha transferencia.

De acuerdo al Esquema de Certificación de la AEPD-DPD, las solicitudes para participar en convocatorias de examen de certificación de DPD, son revisadas y evaluadas para asegurar el cumplimiento de los prerrequisitos marcados por el Esquema. ANF AC comunicará mediante escrito remitido por correo electrónico al solicitante la adecuación o no de su candidatura al examen. Caso de existir defectos formales subsanables, se informa al respecto y se establece un plazo de subsanación.

En el supuesto que tras la revisión de un expediente, ANF AC determine que el usuario no cumple alguno de los prerrequisitos exigidos por el Esquema AEPD-DPD, ANF AC informa mediante correo electrónico al solicitante las circunstancias que impiden aceptarlo como candidato. ANF AC devolverá las tasas abonadas deduciendo los gastos administrativos correspondientes a la creación del expediente y evaluación de documentación, el importe de dichos gastos es de 150 euros. Le recomendamos que antes de realizar el proceso de inscripción le recomendamos que consulte a su Centro de Formación si reúne los requisitos establecidos por el Esquema de Certificación AEPD-DPD.

Sí, pero debe de tratarse de una Entidad de Formación que haya sido acreditada por una Entidad de Certificación. El tramite a seguir es el mismo y puede realizarlo telemáticamente. Deberá seleccionar una Sala de Examen de acceso no restringido a Centros de Formación Homologados por ANF AC.

El plazo válido para presentar la solicitud se inicia una vez hecho público el procedimiento de inscripción, hasta dos semanas antes de la fecha del examen.

Puede cancelar su inscripción al examen, teniendo en cuenta que le será devuelta la tasa abonada menos los gastos de gestión anteriormente indicados (150€). En caso de desear cancelar su inscripción, contacte con ANF AC mediante correo electrónico o llamada. Puede cancelar su inscripción al examen hasta una semana antes de la fecha del examen.

Si no dispone de toda la documentación no podrá completar su inscripción, le recomendamos que no inicie el trámite hasta disponer de todos los documentos que son requeridos. Recuerde que si supera el plazo establecido para realizar la inscripción, su solicitud será rechazada y perderá el importe correspondiente a los gastos de gestión.

Para este tipo de incidencias contacte con ANF AC.

Puede obtener toda la información que precise sobre Entidades de Formación acreditadas por ANF AC pulsando aquí.

Los prerrequisitos para que pueda presentarse al examen de certificación son los estipulados en el Esquema de Certificación de la AEPD-DPD. Puede obtener una copia del Esquema pulsando aquí.

Sí. Puedes solicitar una revisión. Esta revisión es gratuita y la realiza el mismo evaluador que emitió el resultado. Si una vez emitida la revisión no estas conforme con el resultado, tienes la posibilidad de realizar una apelación ante el Comité de Expertos. Esta apelación es atendida por uno de los expertos que forman parte del Comité.

Los procesos de revisión y apelación no son presenciales.

Si tampoco estas conforme con el resultado de evaluación, puedes tramitar una reclamación ante la Agencia Española de Protección de Datos.

No. Desgraciadamente eso no es posible. Ninguno de estos procesos es presencial, con el objeto de preservar la independencia del evaluador y miembro del Comité de Expertos en la adopción de decisiones.

Si, siempre y cuando se cumplan los requerimientos establecidos por la legislación vigente en firmas electrónicas equiparables a las manuscritas:

a) Que la firma haya sido elaborada utilizando un certificado de firma electrónica emitido con la calificación de cualificado.
b) Que la firma haya sido elaborada con un dispositivo seguro de creación de firma electrónica.
c) Que el emisor del certificado disponga de un sistema de validación de firmas y certificados electrónicos.
d) La firma tiene que incorporar un procedimiento (Sello cualificado de tiempo electrónico) que garantice la validación del certificado empleado en la elaboración de la firma a largo plazo.

Es un examen en modalidad test de 150 preguntas, con cuatro posibles respuestas por pregunta de las que solo una de ellas es correcta. Duración máxima cuatro horas.

Puede consultar toda la información referente al examen de certificación pulsando aquí.

La AEPD ha facilitado ejemplo de las pregunta que componen el examen, estas preguntas pueden ser teóricas o de escenario. Concretamente:

PREGUNTAS DE EJEMPLO

DOMINIO 1

Teórica

El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:

a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala;
c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales y de datos relativos a condenas e infracciones penales a que se refiere el Reglamento General de Protección de Datos.

a) Solo en el caso c)
b) En los casos a) y b)
c) En los casos b) y c)
d) En los tres casos a), b) y c)

Escenario

El DPD de una empresa recibe la consulta del responsable de la misma sobre la posibilidad de que los superiores jerárquicos tengan acceso al correo corporativo de los trabajadores. ¿Qué debería responder el DPD?

a) El empresario necesita informar a los trabajadores de que va a existir ese control y obtener el consentimiento de cada uno de ellos, ya que se trata de un procedimiento de control de la actividad de los trabajadores en el ámbito del derecho laboral y amparado por el Estatuto de los Trabajadores.
b) El empresario puede informar e implantar un control sobre el uso del ordenador que realizan sus trabajadores, incluyendo el acceso al email y a las direcciones web visitadas siempre que la empresa haya establecido previamente las reglas de uso.
c) Este procedimiento de control de la actividad de los trabajadores en el ámbito del derecho laboral no tiene su amparo en el Estatuto de los Trabajadores, por ello hace falta informar al trabajador y obtener su consentimiento.
d) Como se trata de un procedimiento de control de la actividad de los trabajadores en el ámbito del derecho laboral que tiene su amparo en el Estatuto de los Trabajadores, no hace falta informar al trabajador tan sólo obtener su consentimiento.

DOMINIO 2

Teórica
Cuando las operaciones de tratamiento entrañen un alto riesgo para los derechos y libertades de las personas físicas, debe incumbir al responsable del tratamiento la realización de una evaluación de impacto relativa a la protección de datos, que evalúe, en particular:

a) El origen, la frecuencia, la naturaleza y la gravedad de dicho riesgo.
b) El origen, la naturaleza, la particularidad y la gravedad de dicho riesgo.
c) El origen, la naturaleza, el nivel y la gravedad de dicho riesgo.
d) El origen, la naturaleza, la particularidad y el impacto del riesgo.

Escenario
Una entidad con establecimientos en varios Estados Miembros de la Unión Europea quiere realizar un tratamiento de alto riesgo; ha finalizado una evaluación de impacto y el resultado de la misma indica que existe un alto riesgo residual para los derechos y libertades de las personas físicas que no puede mitigar con medidas adecuadas en términos de tecnología disponible y costes de aplicación.

a) La entidad puede realizar el tratamiento si antes consulta la existencia de códigos de conducta que le sean aplicables.
b) No es necesario que la entidad realice una consulta a la autoridad de control si antes de realizar la evaluación de impacto informó a la autoridad de control sobre la importancia y necesidad del tratamiento que iba a realizar.
c) Debe consultar a la autoridad de control antes de realizar el tratamiento.
d) No es necesario que la entidad realice una consulta a la autoridad de control si el responsable recabó previamente la opinión de los interesados o de sus representantes en relación con el tratamiento previsto.

DOMINIO 3

Teórica
Las auditorías de protección de datos:

a) Permiten realizar una transferencia mediante garantías adecuadas.
b) Deben realizarse cada dos años.
c) Están incluidas en los mecanismos establecidos dentro del grupo empresarial o de la unión de empresas dedicadas a una actividad económica conjunta para garantizar la verificación del cumplimiento de las normas corporativas vinculantes.
d) Deben realizarse solo si el riesgo es alto.

Escenario
Una empresa nacional del sector de la energía ha resultado afectada por un ataque cibernético y se ha producido la filtración de datos personales de un número elevado de sus clientes. ¿Esta violación de seguridad deberá ser notificada por el responsable a la AEPD?:

a) No, porque no es un operador de telecomunicaciones y sólo estos deben comunicar las brechas de seguridad.
b) No, la empresa sólo debe tener un procedimiento interno para que cualquier persona que detecte la violación se lo comunique a los gestores de la empresa implicados para que lo solucionen en un plazo de 72 horas.
c) Solo a la autoridad de control competente en un plazo de 24 horas desde que se tuvo constancia de la violación de seguridad con un primer análisis de lo acontecido y a los posibles afectados.
d) A la autoridad de control competente en un plazo de 72 horas desde que se tuvo constancia de la violación de seguridad, con un primer análisis de lo acontecido.

• Dominio 1 – 50%, 75 preguntas, de ellas 15 con escenario.
• Dominio 2 – 30%, 45 preguntas, de ellas 9 con escenario.
• Dominio 3 – 20%, 30 preguntas, de ellas 6 con escenario.

Cada pregunta, sea de escenario o test, tiene valor de un punto. Las preguntas no contestadas no computan, las respuestas erróneas no computan.

Debes de alcanzar los 113 puntos, y las preguntas correctas deben de alcanzar como mínimo el 50 % de cada dominio. Es decir, por dominio el número de preguntas mínimo acertadas serán:

• Dominio 1: 38 preguntas correctas de las 75 realizadas.
• Dominio 2: 23 preguntas correctas de las 45 realizadas.
• Dominio 3 : 15 preguntas correctas de las 30 realizadas.

Hasta los 113 puntos requeridos se computaran la preguntas del conjunto de dominios.

No. Una vez iniciado el examen abandonar la sala podría presuponer que el Supervisor de por anulada su participación en la Convocatoria.

No. Las preguntas del examen no pueden ser copiadas por medio alguno.

Sí. En el momento de concluir y firmar el final de examen el candidato abandonar la sala.

Se establece un plazo de 15 días, aunque por causas justificadas se podría extender hasta los 30 días.

En general, en Madrid y Barcelona. Se podrá celebrar en otras poblaciones en las que exista un número mínimo de interesados en presentarse al examen de certificación de DPD.

Las tasas de examen dan derecho a participar en una segunda convocatoria.

Sí. Puedes solicitar una revisión. Esta revisión es gratuita y la realiza el mismo evaluador que emitió el resultado. Si una vez emitida la revisión no estas conforme con el resultado, tienes la posibilidad de realizar una apelación ante el Comité de Expertos.

Los procesos de revisión y apelación no son presenciales.

Si tampoco estas conforme con el resultado de evaluación, puedes tramitar una reclamación ante la Agencia Española de Protección de Datos.

No. Ninguno de estos procesos es presencial, con el objeto de preservar la independencia del evaluador y miembro del Comité de Expertos en la adopción de decisiones. El examen está previsto para evaluar la adquisición de conocimiento del candidato, no se contempla como un medio para adquirir conocimiento.

No. El evaluador no tiene conocimiento de la identidad del candidato cuyo examen está evaluando. El evaluador tiene que realizar su actividad de forma independiente y sin presión alguna.

Las preguntas y respuestas han sido revisadas y aprobadas por la AEPD.

El control del proceso de evaluación implantando, está diseñado para impedir el error humano y el error en la lógica de programación. Además, dispone de procedimiento de revisión llevado a cabo por experto acreditado y, si aun mantiene su disconformidad, puede apelar libre y gratuitamente al Comité de Expertos, órgano independiente de la EC, el cual realizará una nueva evaluación.

Puede contactar con ANF Autoridad de Certificación, a través de su servicio de atención 902 902 172, y le derivarán al Responsable correspondiente. Puede también, cumplimentar el formulario de solicitud que encontrará en la dirección: https://anf.es/es/requisitosAcreditacion.

Si. Póngalo en conocimiento del Responsable de Entidades de Formación de ANF Autoridad de Certificación. Su petición será revisada, y tras comprobar si cumple con los requisitos exigidos, se le comunicará la aceptación o rechazo de su solicitud como Centro de Examen Oficial.

Para la admisión de alumnos en los cursos que ofrecerá su Entidad de Formación, deberá seguir las indicaciones del Esquema de Certificación AEPD – DPD, en lo relacionado a la valoración de los prerrequisitos y la definición de itinerarios.

Se reconoce el programa formativo impartido por una Entidad de Formación determinada.

ANF AC te comunica por escrito a tu dirección de correo electrónico el resultado del examen. En este correo recibirás instrucciones detalladas de los pasos a realizar, además te facilitamos enlaces para que te descargues los documentos que debes de firmar de acuerdo con el Esquema de Certificación AEPD-DPD. Concretamente:

• Código Ético
• Normas de Uso de la Marca del Esquema

No, pero será necesario que justifiques:

• Mínimo de 60 horas de formación recibida y/o impartida durante el periodo de validez del certificado, requiriéndose un mínimo anual de 15 horas en materias objeto del programa del Esquema, y
• al menos, un año de experiencia profesional en proyectos y/o actividades y tareas relacionadas con las funciones del DPD en materia de protección de datos de carácter personal y/o de la seguridad de la información, evidenciada por tercera parte (empleador o similar).

Se valorará la formación impartida con el doble de horas que la formación recibida.

No será valorada la formación en la que no conste su duración, el temario, la entidad de formación y el título de la formación. En el caso de no poder justificar la formación anual mínima requerida durante alguno de los tres años exigidos, se permite la cumplimentación de esa formación en alguno de los otros dos años restantes.

Sí, siempre y cuando se cumplan los requerimientos establecidos por la legislación vigente en firmas electrónicas equiparables a las manuscritas:

a) Que la firma haya sido elaborada utilizando un certificado de firma electrónica emitido con la calificación de cualificado.
b) Que la firma haya sido elaborada con un dispositivo seguro de creación de firma electrónica.
c) Que el emisor del certificado disponga de un sistema de validación de firmas y certificados electrónicos.
d) La firma tiene que incorporar un procedimiento (Sello cualificado de tiempo electrónico) que garantice la validación del certificado empleado en la elaboración de la firma a largo plazo.