¿Necesito un DPO (delegado de protección de datos) en mi empresa?
Es una de las preguntas que más generan confusión entre pequeños empresarios: ¿nombrar un DPO es obligatorio para todos, es un capricho de grandes corporaciones, o depende de algo muy concreto que nadie te ha explicado bien?
Qué es un DPO y cuándo es obligatorio, en pocas palabras
Un DPO (Delegado de Protección de Datos) es la persona encargada de supervisar de forma independiente el cumplimiento del RGPD dentro de una organización, y es obligatorio nombrarlo solo en supuestos concretos definidos por la normativa —no para "cualquier empresa que trate datos personales", que sería prácticamente todas.
La confusión viene de mezclar dos cosas distintas: cumplir el RGPD (obligatorio para toda empresa, tenga o no DPO) y tener la figura formal del DPO (obligatoria solo en determinados casos). Puedes tener todas las obligaciones del RGPD perfectamente cumplidas sin necesidad de nombrar un DPO, si tu actividad no encaja en los supuestos que lo exigen.
Cuándo es obligatorio nombrar un DPO
- Organismos y administraciones públicas, con carácter general.
- Empresas cuya actividad principal consista en la observación habitual y sistemática de personas a gran escala — por ejemplo, empresas de publicidad basada en perfiles de comportamiento a gran volumen.
- Empresas cuya actividad principal implique el tratamiento a gran escala de categorías especiales de datos, como datos de salud, ideología o datos biométricos —piensa en centros médicos grandes o aseguradoras.
Fíjate en el matiz "actividad principal": una pyme que trata datos de salud de forma puntual (por ejemplo, una ficha con alergias en un centro de estética) no entra automáticamente en esta obligación solo por ese hecho, si no es el núcleo de su actividad a gran escala.
La pregunta que realmente importa si no estás obligado: aunque no necesites un DPO formal, ¿tiene tu empresa a alguien —interno o externo— que supervise de forma real el cumplimiento del RGPD? Muchas pymes no tienen obligación legal de DPO, pero tampoco tienen a nadie revisando si el registro de actividades de tratamiento está actualizado o si los contratos con proveedores incluyen las cláusulas necesarias.
Requisitos si decides nombrar uno (obligatorio o voluntario)
- Independencia funcional: el DPO no puede recibir instrucciones sobre cómo ejercer sus funciones ni ser sancionado por hacerlas bien.
- Sin conflicto de interés: no puede ser al mismo tiempo quien decide sobre los tratamientos de datos que debe supervisar (por ejemplo, el propio responsable de marketing o TI).
- Comunicación a la AEPD: el nombramiento debe notificarse formalmente a la Agencia Española de Protección de Datos.
- Puede ser interno o externo, contratado como servicio especializado, algo habitual entre pymes que quieren esta figura sin asumir un puesto a tiempo completo.
Qué hacer si no estás obligado pero quieres reforzar el cumplimiento
La alternativa realista para la mayoría de pymes es formalizar bien las obligaciones básicas del RGPD sin necesidad de un DPO dedicado: mantener actualizado el registro de actividades de tratamiento, revisar los contratos de encargado de tratamiento con proveedores, y tener claro el protocolo si ocurre un incidente. Puedes repasar el marco completo en RGPD para pymes: guía práctica.
¿Tu empresa cumple realmente el RGPD, con o sin DPO?
Diagnóstico gratuito de exposición y revisión básica de cumplimiento para pymes.
