Inicio/El servicio/DPO externo
Delegado de protección de datos externo
El delegado de protección de datos es una figura con funciones tasadas por el Reglamento General de Protección de Datos: supervisar, asesorar, cooperar con la autoridad de control y actuar como punto de contacto. No es el responsable del cumplimiento —eso sigue siendo del responsable del tratamiento— y no puede recibir instrucciones sobre cómo ejercer su función.
Cuándo es obligatorio designarlo
El RGPD lo exige en tres supuestos: cuando el tratamiento lo efectúa una autoridad u organismo público; cuando las actividades principales consisten en operaciones que requieran una observación habitual y sistemática de interesados a gran escala; y cuando consisten en el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales. Además, la ley española añade un listado de entidades obligadas que conviene revisar caso por caso, porque incluye supuestos que muchas empresas no esperan.
Nada impide designar un delegado sin estar obligado, y en muchas empresas es una decisión razonable. Ahora bien, una vez designado y comunicado a la autoridad, se aplican íntegramente las reglas del RGPD sobre su posición e independencia.
Funciones
- Informar y asesorar al responsable, al encargado y a los empleados sobre sus obligaciones.
- Supervisar el cumplimiento del RGPD y de las políticas internas, incluida la asignación de responsabilidades y la formación.
- Asesorar sobre la evaluación de impacto y supervisar su aplicación cuando proceda.
- Cooperar con la autoridad de control y actuar como punto de contacto ante ella.
- Atender a los interesados en las cuestiones relativas al tratamiento de sus datos y al ejercicio de sus derechos.
Por qué externo
Porque la independencia es el núcleo de la figura. El delegado no puede recibir instrucciones sobre el ejercicio de sus funciones, no puede ser destituido ni sancionado por desempeñarlas y no puede ocupar un puesto que le lleve a determinar los fines y medios del tratamiento. Ese último requisito descarta en la práctica al responsable de sistemas, al de marketing y al de recursos humanos, que son precisamente los perfiles a los que muchas empresas asignan la función por comodidad. Un delegado externo evita el conflicto y aporta además la especialización que la figura exige.
Designar como delegado al director de sistemas. Es quien decide las medidas técnicas y los proveedores tecnológicos, es decir, quien determina medios del tratamiento. Difícilmente puede supervisarse a sí mismo, y así lo han entendido las autoridades europeas en varias resoluciones sancionadoras.
Cómo se articula el servicio
Con un contrato que fija el alcance, la dedicación y el acceso a la información, la comunicación de la designación a la Agencia Española de Protección de Datos, la publicación de los datos de contacto y la integración del delegado en los procesos que lo requieren: nuevos tratamientos, contratos con encargados, incidentes de seguridad y ejercicio de derechos. Se acompaña de un plan de supervisión anual con las verificaciones previstas y su evidencia.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre el DPO externo
¿El delegado responde de las sanciones?
No. La responsabilidad por el incumplimiento corresponde al responsable o al encargado del tratamiento, que es la empresa. El delegado responde de la diligencia de su asesoramiento y supervisión, con la responsabilidad profesional propia, pero no sustituye a la empresa ante la autoridad de control. Precisamente por eso el RGPD prohíbe destituirlo por desempeñar sus funciones: su papel es advertir, incluso cuando la advertencia incomoda.
¿Tenemos que designarlo si somos una pyme?
El tamaño no es el criterio: lo son la naturaleza y la escala de los tratamientos. Una pyme que hace observación sistemática de personas o que trata datos de salud puede estar obligada, mientras que una empresa grande con tratamientos ordinarios de clientes y empleados puede no estarlo. Es una de las primeras cosas que se determina en la auditoría RGPD, y conviene documentar el análisis aunque la conclusión sea negativa.
¿Qué diferencia hay entre el DPO y un consultor de protección de datos?
El consultor ejecuta: redacta documentación, implanta medidas y adapta procesos. El delegado supervisa que todo eso se cumpla y asesora con independencia, y su designación se comunica a la autoridad. Son funciones distintas y, en rigor, quien implanta no debería ser el único que supervisa. En la práctica ambas pueden prestarse por el mismo despacho si se separan adecuadamente los roles y se documenta esa separación.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.