Tener delegado de protección de datos es obligatorio si eres un organismo público, si observas de forma habitual y sistemática a personas a gran escala, si tratas a gran escala datos sensibles o penales, o si tu actividad está en la lista cerrada que fija la ley española. Fuera de esos casos, nombrarlo es voluntario, y la mayoría de las pymes no están obligadas. Conviene saber de qué lado estás, porque no designarlo cuando toca es una infracción con sanción.
La figura se llama delegado de protección de datos, DPD en España y DPO en el resto del mundo. Esto es lo que dice la norma y cómo se traduce en tu empresa.
Los tres casos del RGPD que obligan a nombrarlo
El artículo 37.1 del Reglamento General de Protección de Datos establece tres supuestos. La Agencia Española de Protección de Datos los resume así:
- Cuando el tratamiento lo lleva a cabo una autoridad u organismo público, salvo los tribunales en el ejercicio de su función judicial.
- Cuando las actividades principales implican una observación habitual y sistemática de interesados a gran escala.
- Cuando las actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos personales, o de datos relativos a condenas e infracciones penales.
Dos expresiones hacen todo el trabajo aquí. «Actividades principales» significa que el tratamiento de datos forme parte de tu negocio, no que lo hagas de rebote: una fábrica que tiene nóminas no está en este supuesto, porque las nóminas no son su actividad, son su administración. Y «a gran escala» apunta al volumen, a la variedad de datos, a la duración y al alcance geográfico, no a un número concreto que puedas consultar.
Las categorías especiales son las que el reglamento protege más: salud, datos biométricos y genéticos, origen étnico, opiniones políticas, creencias religiosas, afiliación sindical, vida u orientación sexual.
La lista española: actividades que lo tienen obligatorio en todo caso
La ley española amplía los casos. El artículo 34.1 de la Ley Orgánica 3/2018 de protección de datos y garantía de los derechos digitales obliga a designar delegado, entre otros, a:
- Colegios profesionales y sus consejos generales.
- Centros docentes y universidades, públicos y privados.
- Entidades que exploten redes o presten servicios de comunicaciones electrónicas cuando traten datos personales a gran escala de forma habitual y sistemática.
- Prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala de sus usuarios.
- Entidades de crédito, establecimientos financieros de crédito, aseguradoras, reaseguradoras y empresas de servicios de inversión.
- Distribuidores y comercializadores de electricidad y de gas natural.
- Responsables de ficheros comunes de solvencia, de prevención del fraude o de blanqueo de capitales.
- Entidades de publicidad, prospección comercial e investigación de mercados que traten datos según preferencias o elaboren perfiles.
- Centros sanitarios obligados a mantener historias clínicas, con la excepción de los profesionales sanitarios que ejercen a título individual.
- Entidades que emitan informes comerciales sobre personas físicas.
- Operadores de juego por canales electrónicos, informáticos, telemáticos e interactivos.
- Empresas de seguridad privada.
- Federaciones deportivas que traten datos de menores de edad.
Si tu actividad aparece ahí, no hay valoración que hacer: toca. La que más sorpresas da es la de los prestadores de servicios de la sociedad de la información que elaboran perfiles a gran escala, porque alcanza a negocios digitales que no se veían en ese espejo. Una plataforma que segmenta y perfila a cientos de miles de usuarios para recomendarles contenidos o productos debería revisarlo con detenimiento.
Qué hace exactamente un delegado de protección de datos
No es el que firma los papeles para quedar bien, ni el responsable de que la empresa cumpla. Esa responsabilidad sigue siendo de la empresa. Sus funciones son de asesoramiento y supervisión:
- Informar y asesorar a la dirección y al personal sobre sus obligaciones.
- Supervisar el cumplimiento del reglamento dentro de la organización.
- Asesorar en las evaluaciones de impacto cuando un tratamiento es de riesgo.
- Cooperar con la autoridad de control y actuar como punto de contacto con ella.
- Atender las consultas de las personas cuyos datos tratas.
El reglamento exige que desempeñe su función de manera independiente, sin recibir instrucciones sobre cómo ejercerla y sin ser sancionado por hacerlo. De ahí sale un criterio práctico que se incumple a menudo: no puede ser quien decide sobre los tratamientos. Nombrar delegado al gerente, al responsable de marketing o al de sistemas crea un conflicto de interés, porque tendría que supervisarse a sí mismo.
Interno, externo o compartido: cómo se cubre el puesto
El reglamento permite que el delegado sea un empleado o que preste sus servicios mediante un contrato, y que varias entidades compartan uno. Lo que no admite es que el puesto esté vacío de hecho.
| Opción | Cuándo encaja | Qué vigilar |
|---|---|---|
| Interno | Organizaciones grandes, con tratamientos continuos y complejos | Que tenga tiempo real, formación y acceso directo a dirección |
| Externo | Empresas medianas que necesitan la figura pero no el puesto completo | Que conozca tu sector y responda en plazo, no solo que firme |
| Compartido entre entidades | Grupos de empresas y entidades del mismo ámbito | Que sea accesible desde todas y que se le comunique cada incidencia |
Sobre titulación: la norma no exige una carrera concreta ni una certificación oficial, sino conocimientos especializados de derecho y práctica en protección de datos acordes al riesgo de tus tratamientos. La Agencia Española de Protección de Datos mantiene un esquema de certificación de delegados, que es voluntario y sirve como acreditación, no como requisito.
Cómo se comunica a la Agencia Española de Protección de Datos
Designarlo no basta: hay que comunicarlo. El artículo 34.3 de la ley española establece que las designaciones, nombramientos y ceses se comunican en el plazo de diez días a la Agencia Española de Protección de Datos o, cuando corresponda, a la autoridad autonómica. Se hace con el formulario de comunicación de delegado disponible en la sede electrónica de la Agencia, y el mismo plazo se aplica cuando el nombramiento es voluntario.
Además, los datos de contacto del delegado deben estar publicados y accesibles, normalmente en tu política de privacidad, para que cualquiera pueda dirigirse a él. La Agencia publica la relación de delegados comunicados.
Qué pasa si debías tenerlo y no lo tienes
La ley española tipifica como infracción no designar al delegado cuando su nombramiento sea exigible, y también incumplir las reglas sobre su posición e independencia. El reglamento europeo sitúa el incumplimiento de las obligaciones relativas al delegado en el tramo de sanciones de hasta diez millones de euros o el dos por ciento del volumen de negocio anual global del ejercicio anterior, optándose por la cuantía mayor. La Agencia ha resuelto ya expedientes contra entidades que carecían de delegado estando obligadas a tenerlo.
El riesgo real para una empresa mediana no es la cifra máxima, es el orden de los acontecimientos: la ausencia de delegado casi nunca se detecta sola, se descubre cuando alguien presenta una reclamación por otra cosa y la Agencia mira el expediente completo.
Y si no estás obligado, qué deberías hacer igualmente
Que no te toque delegado no te libera de nada más. Sigues necesitando el registro de actividades de tratamiento, las bases legales de cada tratamiento, los contratos con tus proveedores que acceden a datos, la información a los usuarios, la atención de derechos y medidas de seguridad proporcionadas al riesgo. Lo sensato en ese caso es designar un responsable interno de privacidad, sin el régimen formal del delegado, que sepa quién trata qué y a quién llamar cuando pase algo.
Y si tu negocio es digital y perfila usuarios, repasa el supuesto de la lista española antes de dar por hecho que no va contigo: es el que más empresas pasan por alto.
Si estás construyendo una plataforma o una app que va a tratar datos de muchas personas y quieres diseñarla desde el principio con esto resuelto, hablamos de tu proyecto y vemos qué decisiones técnicas te ahorran problemas después.
Artículos relacionados
Preguntas frecuentes sobre
Cómo mejorar mi negocio con la metodología Anticompetencia
En Tangram no queremos que la información pase por una cadena interminable de intermediarios donde se pierden los detalles importantes.
Contarás con un interlocutor que coordinará la comunicación y trasladará las decisiones al equipo responsable de tu proyecto.
Cuando sea necesario profundizar en cuestiones de estrategia, diseño o tecnología, podremos involucrar a los especialistas correspondientes.
Así tendrás una comunicación organizada, sin necesidad de gestionar personalmente a todos los profesionales que intervienen.
Queremos que tengas acceso al conocimiento de un equipo especializado, sin sufrir la complejidad de coordinarlo.
No tendrás que averiguar a quién escribir cada vez que tengas una duda.
En Tangram contemplamos la figura del Account Manager como interlocutor principal, encargado de acompañarte durante el proyecto, coordinar la comunicación y facilitar el seguimiento de las decisiones.
Nuestra metodología incluye reuniones de revisión, canales de comunicación y herramientas para que puedas participar en el trabajo.
La organización concreta, la frecuencia de las reuniones y los canales disponibles se establecerán según el proyecto contratado.
Lo importante es que sepas con quién hablar, en qué punto está tu proyecto y qué decisiones necesitan tu participación.
Sí, podemos valorar una colaboración con los profesionales que ya trabajan en tu empresa.
No siempre tiene sentido sustituir un equipo que conoce bien tu negocio. En muchas situaciones, lo más útil es complementar sus conocimientos con especialistas en determinadas áreas.
Podemos estudiar qué responsabilidades asumiría Tangram, cuáles mantendría tu equipo y cómo coordinar las decisiones para evitar duplicidades.
La forma concreta de colaboración dependerá de la organización, las herramientas y las necesidades del proyecto.
No se trata de reemplazar lo que ya funciona, sino de aportar el conocimiento que necesitas para llegar más lejos.
No tienes por qué cambiar de proveedor para explorar una colaboración con Tangram.
Durante nuestra trayectoria hemos trabajado con agencias y consultoras, participando en proyectos en los que cada empresa asumía una parte diferente del trabajo.
Esa experiencia nos permite comprender la importancia de definir responsabilidades y coordinar a los profesionales implicados.
Podemos valorar una colaboración para cubrir necesidades concretas que tu proveedor actual no ofrece o para reforzar determinadas áreas.
Si tienes una relación profesional que funciona, no queremos que la rompas sin motivo. Queremos encontrar dónde podemos aportar valor.
La confidencialidad es especialmente importante cuando hablamos de nuevas ideas de negocio, información económica, estrategias comerciales o desarrollos tecnológicos.
En Tangram tenemos experiencia trabajando en proyectos sujetos a acuerdos de confidencialidad, motivo por el que no podemos mostrar públicamente muchos de los trabajos en los que hemos participado.
Si tu proyecto requiere un acuerdo de confidencialidad (NDA) antes de compartir información sensible, podemos revisar sus condiciones y acordar cómo proteger esa información antes de entrar en los detalles.
Entendemos que la confianza empieza por respetar lo que todavía no quieres hacer público.