DPO externo vs. interno: cuándo es obligatorio tenerlo

El Delegado de Protección de Datos (DPO) no es obligatorio para todos los negocios, pero la lista de quién sí está obligado es más larga de lo que mucha gente cree —y bastante concreta, no depende de una valoración subjetiva—.

Cuándo es obligatorio según el RGPD

El artículo 37 del RGPD fija tres supuestos generales en los que designar un DPO es obligatorio: cuando el tratamiento lo lleva a cabo una autoridad u organismo público, cuando la actividad principal consiste en operaciones que exigen una observación habitual y sistemática de personas a gran escala, o cuando la actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos (salud, ideología, orientación sexual, datos biométricos, etc.) o de datos relativos a condenas e infracciones penales.

Los sectores que la ley española añade expresamente

La LOPDGDD (art. 34) va más allá y obliga a designar DPO, sea cual sea su tamaño, a sectores muy concretos: colegios profesionales, centros docentes, entidades que exploten redes de comunicaciones electrónicas, prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala, entidades financieras, aseguradoras, empresas de servicios de inversión, distribuidoras de energía eléctrica o gas, entidades de solvencia patrimonial y crédito, empresas de publicidad y prospección comercial (incluidos estudios de mercado), centros sanitarios, empresas de seguridad privada, operadores de juego, y federaciones deportivas, entre otros.

Si tu negocio no encaja en ninguno de estos supuestos, no estás obligado a tener DPO —pero sí sigues obligado a cumplir el resto del RGPD—.

Externo o interno

Cuando la obligación existe, la ley permite que el DPO sea un empleado de la propia empresa o un externo contratado por servicios. En la práctica, para una pyme o un autónomo, el DPO externo suele salir más a cuenta por tres motivos:

• Independencia real: el DPO no puede recibir instrucciones sobre cómo hacer su trabajo, algo más fácil de garantizar cuando no depende jerárquicamente de nadie de la empresa.
• Coste: mantener a una persona formada y actualizada en RGPD a tiempo completo rara vez compensa por debajo de cierto tamaño.
• Continuidad: un DPO externo no coge bajas ni cambia de puesto dentro de la empresa, lo que evita huecos sin cobertura.

En Guardián de Datos actuamos como Delegado de Protección de Datos externo para negocios que están obligados a tenerlo, y como asesores de protección de datos para los que no lo están pero quieren cumplir de forma correcta desde el principio.