Una de las dudas más frecuentes entre empresas que se adaptan al RGPD es si necesitan o no un delegado de protección de datos. La confusión es comprensible: la normativa no obliga a todas las empresas a tenerlo, pero las consecuencias de no nombrarlo cuando sí es obligatorio pueden ser severas, como demuestran varias sanciones reales impuestas por la AEPD.
En este artículo te explicamos qué es exactamente esta figura, cuándo tu empresa está obligada a designarla, qué funciones tiene en el día a día, qué formación necesita y si te conviene más un DPO interno o externo.
¿Qué es el Delegado de Protección de Datos (DPO o DPD)?
El delegado de protección de datos, conocido en España indistintamente como DPD (Delegado de Protección de Datos) o por sus siglas en inglés DPO (Data Protection Officer), es la figura introducida por el Reglamento General de Protección de Datos (RGPD) en sus artículos 37 a 39, y desarrollada en España en los artículos 34 a 37 de la LOPDGDD.
Su función esencial es supervisar de forma independiente que la organización para la que trabaja cumple con la normativa de protección de datos, actuando como punto de contacto tanto para los interesados (clientes, empleados) como para la autoridad de control, en España la Agencia Española de Protección de Datos (AEPD).
El RGPD no exige que el DPO sea necesariamente un empleado de la empresa: puede ser una persona física o una entidad externa que preste el servicio mediante un contrato de prestación de servicios.
¿Cuándo es obligatorio tener un DPO?
El artículo 37.1 del RGPD establece tres supuestos generales en los que la designación de un DPO es obligatoria:
- Cuando el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial
- Cuando las actividades principales del responsable o encargado consistan en operaciones que, por su naturaleza, alcance o fines, requieran una observación habitual y sistemática de interesados a gran escala
- Cuando las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos (salud, ideología, origen étnico, datos biométricos) o de datos relativos a condenas e infracciones penales
Además de estos supuestos generales del RGPD, el artículo 34.1 de la LOPDGDD añade una lista de entidades que, en España, están obligadas a designar un DPO en todo caso, independientemente de si cumplen o no los criterios generales:
- Colegios profesionales y sus consejos generales
- Centros docentes que ofrezcan enseñanzas regladas y universidades públicas y privadas
- Entidades que exploten redes y presten servicios de comunicaciones electrónicas, cuando traten datos a gran escala
- Prestadores de servicios de la sociedad de la información que elaboren perfiles de usuarios a gran escala
- Entidades de crédito (bancos, cajas de ahorro, cooperativas de crédito) y establecimientos financieros de crédito
- Entidades aseguradoras y reaseguradoras
- Empresas de servicios de inversión
- Distribuidores y comercializadores de energía eléctrica y gas natural
- Entidades que desarrollen actividades de publicidad y prospección comercial con elaboración de perfiles, entre otras recogidas en la propia ley
Advertencia relevante en materia de protección de datos
Caso real: la AEPD sancionó a Glovoapp23, S.L. con 25.000 € por no designar un DPO siendo obligatorio, al considerar que la app realizaba una observación habitual y sistemática de datos personales a gran escala, incluyendo geolocalización. KFC Restaurants Spain, S.L. fue sancionada con 20.000 € por el mismo motivo. Ambos casos demuestran que la obligación se exige también a empresas privadas de consumo, no solo a grandes corporaciones o administraciones.
El caso de las administraciones públicas
Para las autoridades y organismos públicos, la designación de un DPO no es opcional ni depende de ningún criterio adicional: es obligatoria en todos los casos, salvo para los tribunales que actúen en el ejercicio de su función judicial. Además, el propio RGPD permite que varias autoridades u organismos públicos designen un único DPO compartido, teniendo en cuenta su estructura organizativa y tamaño.
¿Qué funciones tiene el DPO?
Las funciones del DPO están reguladas en el artículo 39 del RGPD y se pueden resumir en las siguientes:
- Informar y asesorar al responsable, al encargado del tratamiento y a los empleados sobre las obligaciones que les incumben en materia de protección de datos
- Supervisar el cumplimiento del RGPD, de la LOPDGDD y de las políticas internas de la organización en esta materia, incluyendo la asignación de responsabilidades y la formación del personal
- Asesorar y supervisar la elaboración de las evaluaciones de impacto relativas a la protección de datos (EIPD), cuando sean necesarias
- Cooperar con la autoridad de control, actuando como punto de contacto para todas las cuestiones relacionadas con el tratamiento
- Atender las consultas y reclamaciones de los interesados relacionadas con el tratamiento de sus datos y con el ejercicio de sus derechos
Es importante destacar que el DPO desempeña una función de asesoramiento y supervisión, pero no asume la responsabilidad legal del cumplimiento: esta sigue correspondiendo al responsable o al encargado del tratamiento, es decir, a la empresa.
¿Qué formación necesita un DPO? ¿Es obligatorio un certificado?
El RGPD exige que el DPO sea designado en función de sus cualidades profesionales y, en particular, de sus conocimientos especializados en Derecho y práctica en materia de protección de datos, así como de su capacidad para desempeñar las funciones descritas anteriormente. Sin embargo, la normativa no exige una titulación específica ni un certificado obligatorio.
Para facilitar la acreditación de estos conocimientos, la propia AEPD ha desarrollado el Esquema de Certificación de Delegados de Protección de Datos, un mecanismo voluntario de certificación que evalúa tanto los conocimientos teóricos como la experiencia profesional del candidato. Aunque no es obligatorio, contar con esta certificación aporta una garantía objetiva de cualificación, algo especialmente valorado en sectores con tratamientos de datos complejos o sensibles.
En la práctica, lo verdaderamente importante no es solo la formación inicial, sino la actualización constante: la normativa de protección de datos evoluciona con frecuencia, y un DPO debe mantenerse al día sobre nuevas resoluciones de la AEPD, sentencias relevantes y cambios normativos.
¿Cómo se comunica el nombramiento del DPO a la AEPD?
Una vez designado el DPO, la empresa tiene la obligación, conforme al artículo 37.7 del RGPD, de comunicarlo a la autoridad de control competente en un plazo máximo de 10 días, y de publicitar sus datos de contacto, normalmente a través de la política de privacidad de la web.
El procedimiento se realiza a través del formulario de Comunicación de persona delegada de protección de datos, disponible en la sede electrónica de la AEPD. Esta misma obligación de comunicación se aplica tanto si la designación es obligatoria por ley como si la empresa decide nombrar un DPO de forma voluntaria. La AEPD mantiene además un listado público y actualizado de todos los DPO comunicados, accesible desde su sede electrónica.
No publicitar ni comunicar los datos de contacto del DPO cuando su nombramiento es obligatorio se considera infracción leve según el artículo 74.p) de la LOPDGDD.
DPO interno vs DPO externo: ¿qué opción elegir?
El RGPD permite expresamente que la función de DPO se ejerza mediante un contrato de servicios con una persona o entidad externa a la organización. Ambas opciones son legalmente válidas, pero tienen implicaciones distintas:
DPO interno vs DPO externo
| Criterio | DPO interno | DPO externo |
|---|---|---|
| Coste | Salario fijo, independientemente de la carga real de trabajo | Coste ajustado al servicio prestado, normalmente más eficiente para pymes |
| Especialización | Depende de la formación continua que reciba esa persona | Equipos especializados con experiencia en múltiples sectores y casuísticas |
| Independencia | Puede verse comprometida por la relación laboral y jerárquica | Mayor independencia funcional respecto a la dirección de la empresa |
| Disponibilidad | Dedicación según jornada laboral | Disponibilidad pactada contractualmente, con respaldo de un equipo |
| Mejor opción para | Grandes organizaciones con volumen suficiente para justificar un puesto dedicado | Pymes y empresas medianas que necesitan cumplimiento garantizado sin asumir un coste fijo elevado |
Un mismo DPO externo puede prestar servicio a varias empresas simultáneamente, siempre que cumpla con los requisitos de capacitación, disponibilidad e independencia que exige el RGPD, y que pueda atender adecuadamente a todas ellas. Esta es la razón por la que muchas pymes y despachos profesionales optan por externalizar este servicio en lugar de asumir un puesto interno a tiempo completo.
¿Qué pasa si mi empresa no está obligada pero quiero tener un DPO?
Nada lo impide. El propio RGPD contempla la designación voluntaria del DPO, y de hecho recomienda esta práctica como parte del principio de responsabilidad proactiva que articula todo el reglamento.
Para una empresa no obligada legalmente, designar un DPO de forma voluntaria puede tener sentido cuando se manejan datos de cierta sensibilidad, cuando se quiere transmitir mayor confianza a clientes y socios, o simplemente como medida preventiva ante el crecimiento futuro de la actividad. Eso sí: una vez designado voluntariamente, el DPO queda sujeto a las mismas obligaciones de comunicación y publicidad que si la designación fuera obligatoria.
Conclusión: una figura que conviene no improvisar
El delegado de protección de datos no es un trámite simbólico ni un cargo que pueda asumir cualquier persona del equipo por tener conocimientos generales de informática. Es una figura con funciones legales concretas, que requiere conocimientos especializados y que, en determinados casos, es obligatoria por ley con consecuencias económicas reales si no se designa correctamente.
Si tienes dudas sobre si tu empresa está obligada a tener un DPO, o si quieres externalizar esta función con garantías, en GrupoPIC podemos ayudarte a analizar tu situación concreta y, si es necesario, asumir el servicio de DPO externo.
¿Tu empresa necesita un Delegado de Protección de Datos?
La obligación de contar con un DPO depende del tipo de actividad y del tratamiento de datos personales. En GrupoPIC analizamos tu caso y te indicamos, sin compromiso, si estás obligado y cómo cumplirlo correctamente.
Solicitar informaciónFuentes oficiales consultadas
Normativa y documentación oficial sobre la figura del Delegado de Protección de Datos.
Información revisada y verificada por los profesionales de GrupoPIC