DPO: Qué Es el Delegado de Protección de Datos y Cuándo Es Obligatorio
El DPO (Delegado de Protección de Datos, DPD en español) es la persona u organización que supervisa el cumplimiento del RGPD dentro de una entidad. Es obligatorio para administraciones públicas, empresas con tratamientos a gran escala de datos sensibles o de observación sistemática, y para los sectores que enumera el artículo 34 de la LOPDGDD.
¿Te resulta útil BOE Hoy? Ayúdanos marcándonos como fuente preferida en Google.
El problema: te dicen que tu empresa necesita un DPO y no sabes si es obligatorio o solo recomendable
Un cliente, un proveedor o la propia Agencia Española de Protección de Datos (AEPD) te preguntan quién es tu Delegado de Protección de Datos, y no tienes claro si tu actividad te obliga a nombrar uno o si puedes prescindir de esa figura. La respuesta depende de criterios objetivos fijados por el RGPD y, en España, también por la LOPDGDD.
Qué es el DPO
El DPO (Data Protection Officer, en español Delegado de Protección de Datos o DPD) es la persona —o la organización externa— encargada de supervisar, de forma independiente, que una entidad cumple el Reglamento (UE) 2016/679 (RGPD) y la normativa española que lo desarrolla. Su régimen se regula en los artículos 37 a 39 del RGPD.
El DPO no toma las decisiones sobre los tratamientos de datos —esa responsabilidad sigue siendo del responsable o encargado del tratamiento—, sino que informa, asesora y supervisa el cumplimiento, actuando como punto de contacto con la AEPD y con los propios interesados.
Cuándo es obligatorio nombrar un DPO según el RGPD
El artículo 37.1 del RGPD obliga a designar un DPO en tres supuestos:
- El tratamiento lo lleva a cabo una autoridad u organismo público, salvo los tribunales en ejercicio de su función judicial.
- Las actividades principales del responsable o encargado consisten en operaciones que, por su naturaleza, alcance o fines, requieren una observación habitual y sistemática de interesados a gran escala.
- Las actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos (salud, ideología, orientación sexual, entre otras) o de datos relativos a condenas e infracciones penales.
Entidades obligadas en España: el artículo 34 de la LOPDGDD
Además de los tres supuestos del RGPD, el artículo 34 de la Ley Orgánica 3/2018 (LOPDGDD) amplía la obligación a una lista de sectores concretos, entre los que se incluyen:
- Colegios profesionales y centros docentes o universidades.
- Prestadores de servicios de comunicaciones electrónicas y de la sociedad de la información, cuando traten datos a gran escala.
- Entidades financieras y aseguradoras.
- Empresas de energía.
- Centros y establecimientos sanitarios.
- Empresas de seguridad privada.
- Federaciones deportivas, cuando traten datos de menores de edad.
Fuera de estos supuestos obligatorios, cualquier entidad puede designar un DPO de forma voluntaria si lo considera útil para su gestión del riesgo.
Funciones del DPO
El artículo 39 del RGPD enumera las funciones mínimas del DPO:
- Informar y asesorar al responsable o encargado y a los empleados que traten datos sobre sus obligaciones.
- Supervisar el cumplimiento del RGPD, de la LOPDGDD y de las políticas internas en materia de protección de datos.
- Cooperar con la autoridad de control (la AEPD en España) y actuar como su punto de contacto.
- Ofrecer asesoramiento sobre la evaluación de impacto relativa a la protección de datos (EIPD) cuando se solicite.
Requisitos y garantías del DPO
El RGPD no exige una titulación específica, pero sí que la persona designada tenga conocimientos especializados de la normativa y las prácticas de protección de datos, proporcionales a la complejidad del tratamiento. Además:
- Puede ser personal interno de la entidad o un profesional externo contratado mediante un contrato de servicios.
- Debe desempeñar sus funciones con independencia, sin recibir instrucciones sobre cómo ejercerlas ni ser destituido o sancionado por ejercerlas.
- Debe reportar directamente al nivel más alto de dirección de la entidad.
- Puede compartirse entre varias entidades de un grupo empresarial, siempre que sea fácilmente accesible desde cada centro.
Cómo se designa un DPO y qué obligaciones formales conlleva
La entidad que designe un DPO —obligatoria o voluntariamente— debe comunicarlo a la AEPD en el plazo de 10 días desde su nombramiento, y hacer pública su identidad y datos de contacto (habitualmente en la política de privacidad). El mismo plazo y procedimiento se aplican si el DPO cesa en su cargo.
Dónde seguir la normativa de protección de datos en el BOE
Las resoluciones sancionadoras de la AEPD y la normativa que desarrolla obligaciones sectoriales de protección de datos se publican en el Boletín Oficial del Estado (BOE). Puedes repasar el marco general en los términos del glosario dedicados al RGPD y a la Ley Orgánica de Protección de Datos, o localizar disposiciones concretas desde el buscador de BOE Hoy.
Los resúmenes son orientativos. Para efectos legales, consulta siempre el texto íntegro del Reglamento (UE) 2016/679 y de la LOPDGDD en boe.es.
Diferencias con conceptos similares
El DPO no es lo mismo que el responsable del tratamiento: el responsable decide los fines y medios del tratamiento de datos y asume la responsabilidad legal frente a la AEPD, mientras que el DPO supervisa de forma independiente que ese tratamiento cumple la normativa, sin tomar las decisiones ni asumir la responsabilidad del propio tratamiento. Puedes repasar el marco normativo completo que supervisa el DPO en el término dedicado al RGPD.
Tabla resumen
| Supuesto | Norma |
|---|---|
| Tratamiento por autoridad u organismo público | Art. 37.1.a RGPD |
| Observación habitual y sistemática a gran escala | Art. 37.1.b RGPD |
| Tratamiento a gran escala de categorías especiales de datos | Art. 37.1.c RGPD |
| Sectores específicos (colegios, sanidad, banca, seguros, energía...) | Art. 34 LOPDGDD |
Preguntas frecuentes
¿Qué es el DPO?
El DPO (Delegado de Protección de Datos, DPD en español) es la persona u organización que supervisa de forma independiente que una entidad cumple el RGPD y la normativa española que lo desarrolla, según los artículos 37 a 39 del RGPD.
¿Cuándo es obligatorio tener un DPO?
Cuando el tratamiento lo realiza una autoridad pública, cuando la actividad principal exige observación habitual y sistemática de interesados a gran escala, cuando se tratan a gran escala categorías especiales de datos (art. 37.1 RGPD), o cuando la entidad pertenece a uno de los sectores que enumera el artículo 34 de la LOPDGDD (sanidad, banca, seguros, energía, telecomunicaciones, entre otros).
¿El DPO tiene que ser un empleado de la empresa?
No necesariamente. Puede ser personal interno o un profesional externo contratado mediante un contrato de servicios, e incluso puede compartirse entre varias entidades de un mismo grupo empresarial, siempre que sea fácilmente accesible.
¿Hay que comunicar la designación del DPO a la AEPD?
Sí. La entidad debe comunicar el nombramiento del DPO a la AEPD en un plazo de 10 días y hacer pública su identidad y datos de contacto, habitualmente en la política de privacidad. El mismo plazo se aplica si el DPO cesa en su cargo.