Preguntas frecuentes
sobre el Examen de Certificación DPD

Es un examen en modalidad test de 150 preguntas, con cuatro posibles respuestas por pregunta de las que solo una de ellas es correcta. Duración máxima cuatro horas.

Puede consultar toda la información referente al examen de certificación pulsando aquí.

La AEPD ha facilitado ejemplo de las preguntas que componen el examen, estas preguntas pueden ser teóricas o de escenario. Concretamente:

PREGUNTAS DE EJEMPLO

DOMINIO 1

Teórica

El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:

a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala;
c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales y de datos relativos a condenas e infracciones penales a que se refiere el Reglamento General de Protección de Datos.


a) Solo en el caso c)
b) En los casos a) y b)
c) En los casos b) y c)
d) En los tres casos a), b) y c)


Escenario

El DPD de una empresa recibe la consulta del responsable de la misma sobre la posibilidad de que los superiores jerárquicos tengan acceso al correo corporativo de los trabajadores. ¿Qué debería responder el DPD? 

a) El empresario necesita informar a los trabajadores de que va a existir ese control y obtener el consentimiento de cada uno de ellos, ya que se trata de un procedimiento de control de la actividad de los trabajadores en el ámbito del derecho laboral y amparado por el Estatuto de los Trabajadores.
b) El empresario puede informar e implantar un control sobre el uso del ordenador que realizan sus trabajadores, incluyendo el acceso al email y a las direcciones web visitadas siempre que la empresa haya establecido previamente las reglas de uso.
c) Este procedimiento de control de la actividad de los trabajadores en el ámbito del derecho laboral no tiene su amparo en el Estatuto de los Trabajadores, por ello hace falta informar al trabajador y obtener su consentimiento.
d) Como se trata de un procedimiento de control de la actividad de los trabajadores en el ámbito del derecho laboral que tiene su amparo en el Estatuto de los Trabajadores, no hace falta informar al trabajador tan sólo obtener su consentimiento.


DOMINIO 2 

Teórica
Cuando las operaciones de tratamiento entrañen un alto riesgo para los derechos y libertades de las personas físicas, debe incumbir al responsable del tratamiento la realización de una evaluación de impacto relativa a la protección de datos, que evalúe, en particular:

a) El origen, la frecuencia, la naturaleza y la gravedad de dicho riesgo.
b) El origen, la naturaleza, la particularidad y la gravedad de dicho riesgo.
c) El origen, la naturaleza, el nivel y la gravedad de dicho riesgo.
d) El origen, la naturaleza, la particularidad y el impacto del riesgo.


Escenario
Una entidad con establecimientos en varios Estados Miembros de la Unión Europea quiere realizar un tratamiento de alto riesgo; ha finalizado una evaluación de impacto y el resultado de la misma indica que existe un alto riesgo residual para los derechos y libertades de las personas físicas que no puede mitigar con medidas adecuadas en términos de tecnología disponible y costes de aplicación.


a) La entidad puede realizar el tratamiento si antes consulta la existencia de códigos de conducta que le sean aplicables.
b) No es necesario que la entidad realice una consulta a la autoridad de control si antes de realizar la evaluación de impacto informó a la autoridad de control sobre la importancia y necesidad del tratamiento que iba a realizar.
c) Debe consultar a la autoridad de control antes de realizar el tratamiento.
d) No es necesario que la entidad realice una consulta a la autoridad de control si el responsable recabó previamente la opinión de los interesados o de sus representantes en relación con el tratamiento previsto.

DOMINIO 3 

Teórica
Las auditorías de protección de datos:

a) Permiten realizar una transferencia mediante garantías adecuadas.
b) Deben realizarse cada dos años.
c) Están incluidas en los mecanismos establecidos dentro del grupo empresarial o de la unión de empresas dedicadas a una actividad económica conjunta para garantizar la verificación del cumplimiento de las normas corporativas vinculantes.
d) Deben realizarse solo si el riesgo es alto.


Escenario
Una empresa nacional del sector de la energía ha resultado afectada por un ataque cibernético y se ha producido la filtración de datos personales de un número elevado de sus clientes. ¿Esta violación de seguridad deberá ser notificada por el responsable a la AEPD?:

a) No, porque no es un operador de telecomunicaciones y sólo estos deben comunicar las brechas de seguridad.
b) No, la empresa sólo debe tener un procedimiento interno para que cualquier persona que detecte la violación se lo comunique a los gestores de la empresa implicados para que lo solucionen en un plazo de 72 horas.
c) Solo a la autoridad de control competente en un plazo de 24 horas desde que se tuvo constancia de la violación de seguridad con un primer análisis de lo acontecido y a los posibles afectados.
d) A la autoridad de control competente en un plazo de 72 horas desde que se tuvo constancia de la violación de seguridad, con un primer análisis de lo acontecido.

• Dominio 1 – 50%, 75 preguntas, de ellas 15 con escenario.
• Dominio 2 – 30%, 45 preguntas, de ellas 9 con escenario.
• Dominio 3 – 20%, 30 preguntas, de ellas 6 con escenario.

Cada pregunta, sea de escenario o test, tiene valor de un punto. Las preguntas no contestadas no computan, las respuestas erróneas no computan.

Debes de alcanzar los 113 puntos, y las preguntas correctas deben de alcanzar como mínimo el 50 % de cada dominio. Es decir, por dominio el número de preguntas mínimo acertadas serán:

• Dominio 1: 38 preguntas correctas de las 75 realizadas.
• Dominio 2: 23 preguntas correctas de las 45 realizadas.
• Dominio 3: 15 preguntas correctas de las 30 realizadas.

Hasta los 113 puntos requeridos se computarán la preguntas del conjunto de dominios.

Sí. Puedes solicitar una revisión. Esta revisión es gratuita y la realiza el mismo evaluador que emitió el resultado. Si una vez emitida la revisión no estás conforme con el resultado, tienes la posibilidad de realizar una apelación ante el Comité de Expertos.

Los procesos de revisión y apelación no son presenciales.

Si tampoco estás conforme con el resultado de evaluación, puedes tramitar una reclamación ante la Agencia Española de Protección de Datos.

No. Ninguno de estos procesos es presencial, con el objeto de preservar la independencia del evaluador y miembro del Comité de Expertos en la adopción de decisiones. El examen está previsto para evaluar la adquisición de conocimiento del candidato, no se contempla como un medio para adquirir conocimiento.

El control del proceso de evaluación implantando, está diseñado para impedir el error humano y el error en la lógica de programación. Además, dispone de procedimiento de revisión llevado a cabo por experto acreditado y, si aún mantiene su disconformidad, puede apelar libre y gratuitamente al Comité de Expertos, órgano independiente de la EC, el cual realizará una nueva evaluación.