La AEPD ha facilitado ejemplo de las preguntas que componen el examen, estas preguntas pueden ser teóricas o de escenario. Concretamente:

PREGUNTAS DE EJEMPLO

DOMINIO 1

Teórica

El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:

a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala;
c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales y de datos relativos a condenas e infracciones penales a que se refiere el Reglamento General de Protección de Datos.


a) Solo en el caso c)
b) En los casos a) y b)
c) En los casos b) y c)
d) En los tres casos a), b) y c)


Escenario

El DPD de una empresa recibe la consulta del responsable de la misma sobre la posibilidad de que los superiores jerárquicos tengan acceso al correo corporativo de los trabajadores. ¿Qué debería responder el DPD? 

a) El empresario necesita informar a los trabajadores de que va a existir ese control y obtener el consentimiento de cada uno de ellos, ya que se trata de un procedimiento de control de la actividad de los trabajadores en el ámbito del derecho laboral y amparado por el Estatuto de los Trabajadores.
b) El empresario puede informar e implantar un control sobre el uso del ordenador que realizan sus trabajadores, incluyendo el acceso al email y a las direcciones web visitadas siempre que la empresa haya establecido previamente las reglas de uso.
c) Este procedimiento de control de la actividad de los trabajadores en el ámbito del derecho laboral no tiene su amparo en el Estatuto de los Trabajadores, por ello hace falta informar al trabajador y obtener su consentimiento.
d) Como se trata de un procedimiento de control de la actividad de los trabajadores en el ámbito del derecho laboral que tiene su amparo en el Estatuto de los Trabajadores, no hace falta informar al trabajador tan sólo obtener su consentimiento.


DOMINIO 2 

Teórica
Cuando las operaciones de tratamiento entrañen un alto riesgo para los derechos y libertades de las personas físicas, debe incumbir al responsable del tratamiento la realización de una evaluación de impacto relativa a la protección de datos, que evalúe, en particular:

a) El origen, la frecuencia, la naturaleza y la gravedad de dicho riesgo.
b) El origen, la naturaleza, la particularidad y la gravedad de dicho riesgo.
c) El origen, la naturaleza, el nivel y la gravedad de dicho riesgo.
d) El origen, la naturaleza, la particularidad y el impacto del riesgo.


Escenario
Una entidad con establecimientos en varios Estados Miembros de la Unión Europea quiere realizar un tratamiento de alto riesgo; ha finalizado una evaluación de impacto y el resultado de la misma indica que existe un alto riesgo residual para los derechos y libertades de las personas físicas que no puede mitigar con medidas adecuadas en términos de tecnología disponible y costes de aplicación.


a) La entidad puede realizar el tratamiento si antes consulta la existencia de códigos de conducta que le sean aplicables.
b) No es necesario que la entidad realice una consulta a la autoridad de control si antes de realizar la evaluación de impacto informó a la autoridad de control sobre la importancia y necesidad del tratamiento que iba a realizar.
c) Debe consultar a la autoridad de control antes de realizar el tratamiento.
d) No es necesario que la entidad realice una consulta a la autoridad de control si el responsable recabó previamente la opinión de los interesados o de sus representantes en relación con el tratamiento previsto.

DOMINIO 3 

Teórica
Las auditorías de protección de datos:

a) Permiten realizar una transferencia mediante garantías adecuadas.
b) Deben realizarse cada dos años.
c) Están incluidas en los mecanismos establecidos dentro del grupo empresarial o de la unión de empresas dedicadas a una actividad económica conjunta para garantizar la verificación del cumplimiento de las normas corporativas vinculantes.
d) Deben realizarse solo si el riesgo es alto.


Escenario
Una empresa nacional del sector de la energía ha resultado afectada por un ataque cibernético y se ha producido la filtración de datos personales de un número elevado de sus clientes. ¿Esta violación de seguridad deberá ser notificada por el responsable a la AEPD?:

a) No, porque no es un operador de telecomunicaciones y sólo estos deben comunicar las brechas de seguridad.
b) No, la empresa sólo debe tener un procedimiento interno para que cualquier persona que detecte la violación se lo comunique a los gestores de la empresa implicados para que lo solucionen en un plazo de 72 horas.
c) Solo a la autoridad de control competente en un plazo de 24 horas desde que se tuvo constancia de la violación de seguridad con un primer análisis de lo acontecido y a los posibles afectados.
d) A la autoridad de control competente en un plazo de 72 horas desde que se tuvo constancia de la violación de seguridad, con un primer análisis de lo acontecido.