El delegado de protección de datos (DPO) es una figura central del modelo de cumplimiento establecido por el Reglamento General de Protección de Datos. Su función consiste en informar, asesorar, supervisar y servir de punto de contacto, con independencia respecto de las decisiones que debe adoptar el responsable o el encargado. En España conviven los supuestos generales del artículo 37 del RGPD con los sectores enumerados en el artículo 34 de la LOPDGDD. Una designación útil exige acceso a los proyectos, recursos y una vía de comunicación real para las personas afectadas.
Este artículo ofrece una guía completa sobre el delegado de protección de datos: quién debe designarlo, qué funciones desempeña, qué cualificación se requiere y cómo se articula esta figura en el marco normativo español.
¿Quién debe designar un delegado de protección de datos?
El artículo 37 del RGPD establece tres supuestos en los que la designación de un delegado de protección de datos es obligatoria: cuando el tratamiento lo lleve a cabo una autoridad u organismo público, cuando las actividades principales del responsable consistan en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala, y cuando las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales.
Obligaciones adicionales en la LOPDGDD
La LOPDGDD amplía significativamente el ámbito de designación obligatoria. Su artículo 34 enumera una lista extensa de entidades que deben contar con un delegado de protección de datos en España, incluyendo colegios profesionales, centros docentes, entidades aseguradoras, entidades financieras, empresas de seguridad privada, federaciones deportivas, centros sanitarios y distribuidoras y comercializadoras de energía.
Esta ampliación supone que miles de organizaciones en España que, bajo el RGPD, podrían argumentar que no encajan en los tres supuestos generales, están obligadas por la legislación nacional a designar un DPO.
Nombramiento voluntario
Las organizaciones no obligadas pueden designar voluntariamente un delegado de protección de datos. Puede ser una decisión de gobierno útil, pero no equivale por sí sola a una reducción automática de sanciones ante la AEPD. La AEPD aclara que la designación voluntaria queda sometida a las reglas del RGPD sobre nombramiento, posición y funciones del DPD.
Funciones del delegado de protección de datos
El artículo 39 del RGPD define las funciones mínimas que debe desempeñar el delegado de protección de datos. Estas funciones configuran un perfil profesional que combina competencias jurídicas, técnicas y de gestión.
Asesoramiento y supervisión
El delegado de protección de datos informa y asesora al responsable, al encargado del tratamiento y a los empleados que participen en las operaciones de tratamiento sobre sus obligaciones en virtud del RGPD y de la normativa nacional aplicable. Además, supervisa el cumplimiento del reglamento, incluida la asignación de responsabilidades, la sensibilización y formación del personal y las auditorías correspondientes.
Una función crítica es ofrecer asesoramiento sobre la evaluación de impacto relativa a la protección de datos y supervisar su realización. El DPO debe participar en el proceso desde las fases más tempranas del diseño de nuevas actividades de tratamiento.
Punto de contacto. El delegado de protección de datos actúa como punto de contacto con la AEPD y coopera con ella en relación con las cuestiones vinculadas al tratamiento. También es el interlocutor de los interesados para el ejercicio de sus derechos ARCO y demás derechos reconocidos por el RGPD.
La organización debe publicar los datos de contacto del DPO y comunicarlos a la AEPD. En España, esta comunicación se realiza a través del canal electrónico habilitado en la sede electrónica de la AEPD.
¿Qué cualificación necesita un delegado de protección de datos?
El RGPD no exige una titulación específica ni una certificación obligatoria para ejercer como delegado de protección de datos. Sin embargo, el artículo 37.5 establece que el DPO será designado atendiendo a sus cualidades profesionales, en particular a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos.
Perfil profesional y formación
En la práctica, los delegados de protección de datos efectivos combinan conocimientos jurídicos sólidos sobre el RGPD y la LOPDGDD con comprensión técnica de los sistemas de información, experiencia en gestión de riesgos y cumplimiento normativo, y habilidades de comunicación y negociación.
La AEPD ha publicado un esquema de certificación de DPO conforme a la norma UNE, aunque esta certificación no es legalmente obligatoria. Existen actualmente múltiples entidades de certificación acreditadas por ENAC que ofrecen programas de certificación para delegados de protección de datos.
Posición del delegado en la organización
El RGPD establece garantías específicas para proteger la independencia del delegado de protección de datos. Estas garantías son esenciales para que el DPO pueda desempeñar sus funciones sin interferencias.
Independencia y ausencia de conflicto de intereses
El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de sus funciones. No podrá ser destituido ni sancionado por el ejercicio de sus funciones. El DPO rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado. Además, el delegado de protección de datos no podrá desempeñar funciones que generen un conflicto de intereses, lo que excluye posiciones como director general, director financiero, director de informática o director de recursos humanos.
La independencia se comprueba en las funciones reales y en el acceso del delegado a la dirección, además del organigrama. Conviene documentar el análisis de conflictos y volver a examinarlo si cambia el puesto de la persona designada.
¿Puede externalizarse la función de delegado de protección de datos?
El artículo 37.6 del RGPD permite expresamente que la función del delegado de protección de datos sea ejercida por un profesional externo mediante un contrato de servicios. La externalización es una opción especialmente adecuada para pymes que necesitan cumplir con la obligación de designación pero no disponen de recursos para mantener un DPO interno a tiempo completo.
La organización que externalice la función debe asegurarse de que el profesional o empresa externa cumpla con todos los requisitos del RGPD, incluyendo la accesibilidad, la independencia y la cualificación. El contrato debe definir claramente las funciones, la disponibilidad y los mecanismos de reporte.
Para garantizar que la designación del DPO se integra adecuadamente en el programa general de cumplimiento, es recomendable utilizar una checklist RGPD que contemple todos los aspectos de gobernanza. Consulte también nuestra guía sobre cumplimiento RGPD para una visión integral, así como la guía sobre evaluación de impacto que el DPO debe supervisar.
Qué hace y qué no hace el delegado en un proyecto
Imagine que una empresa incorpora una herramienta para analizar el comportamiento de clientes. El responsable define qué quiere medir y con qué base jurídica, pide información al proveedor y decide si lanza el proyecto. El DPD debe participar a tiempo: pregunta por los datos, los riesgos, los destinatarios y la conservación; asesora sobre si procede una evaluación de impacto y supervisa que se realice. Puede dejar constancia de una objeción. El responsable conserva la decisión y la obligación de demostrar cumplimiento.
La misma separación rige en una brecha de seguridad. El equipo técnico contiene el incidente, investiga y entrega información. El DPD asesora sobre el análisis del riesgo y los deberes de notificación, y actúa de enlace con la autoridad si procede. No se le debe convertir en el único buzón de incidentes ni asumir que su nombramiento cumple por sí solo el plazo del artículo 33. Resulta útil practicar el circuito con la guía de notificación de brechas.
Elegir a la persona y darle medios
La aptitud profesional se mide frente a los tratamientos de la entidad. Para una organización sanitaria harán falta conocimientos de datos de salud y de los procesos clínicos; una plataforma de perfiles necesita comprensión de sus flujos técnicos. El RGPD no reserva el puesto a una profesión ni exige el certificado de un proveedor determinado. Una certificación puede ayudar a evaluar competencias, pero revise igualmente experiencia, independencia, disponibilidad y capacidad de explicar decisiones a los equipos.
El delegado puede formar parte de la plantilla o prestar servicios mediante contrato. Si es externo, concrete quién dentro de la organización responde a sus solicitudes, qué sistemas puede consultar, cómo se le informa de nuevos tratamientos y qué ocurre durante vacaciones o una incidencia urgente. Si es interno, reserve tiempo y presupuesto para la función. El artículo 38 del RGPD exige recursos, acceso a datos y tratamientos y mantenimiento de conocimientos especializados.
Una persona puede asumir otras tareas si estas no la obligan a evaluar decisiones propias. No basta con comprobar el cargo. Un responsable de marketing que decide finalidades y medios de campañas presenta un conflicto claro; un profesional de asesoría puede ser compatible o no según su autoridad concreta. La AEPD explica las garantías de independencia y los medios de que debe disponer. Registre por qué el puesto elegido permite ejercer la función, y vuelva a revisar el análisis tras una reorganización.
Designación y comunicación en España
Una vez comprobado el supuesto, formalice la designación y describa la función, la línea de reporte y los recursos. Publique datos de contacto que permitan a las personas dirigirse al DPD y comuníquelos a la autoridad competente. El artículo 34.3 de la LOPDGDD fija diez días para comunicar designaciones, nombramientos y ceses, tanto obligatorios como voluntarios, a la AEPD o, cuando corresponda, a la autoridad autonómica. Conserve el justificante; compruebe que el correo publicado llega a una persona con acceso al delegado.
La página de designación de la AEPD se actualizó en junio de 2026 y reúne los supuestos generales y nacionales. El catálogo del artículo 34 tiene matices. Por ejemplo, para las federaciones deportivas el apartado correspondiente se refiere al tratamiento de datos de menores; para los centros sanitarios existe una excepción para profesionales que ejercen a título individual. La guía específica cuándo es obligatorio en España desarrolla los sectores. Este artículo se centra en cómo funciona el cargo una vez se plantea la designación.
La relación con personas y autoridad
Las personas afectadas pueden contactar con el DPD sobre cualquier cuestión relativa al tratamiento y al ejercicio de sus derechos. Ese canal no sustituye necesariamente al canal operativo que localiza los datos y redacta la respuesta; sí debe permitir que el delegado conozca problemas repetidos y aconseje mejoras. Si llega una solicitud de acceso, identifique al responsable de tramitarla y mantenga al DPD informado de obstáculos relevantes. La guía de derechos de las personas ayuda a distinguir acceso, rectificación, oposición y supresión.
Ante una reclamación, la LOPDGDD reconoce al delegado un papel de interlocución y prevé un cauce para que la persona afectada se dirija a él antes de acudir a la autoridad. Evite prometer que toda queja queda resuelta automáticamente por el DPD: debe poder investigar, pedir antecedentes y trasladar sus conclusiones sin recibir instrucciones sobre ellas. Una organización que bloquea su acceso o ignora sistemáticamente sus recomendaciones mantiene el nombre del cargo, pero vacía su función.
Revisar si la función es efectiva
La dirección puede comprobar al cierre del año si el DPD fue consultado antes de introducir tratamientos, si emitió recomendaciones sobre evaluaciones de impacto, si recibió respuestas motivadas y si dispone de un canal directo con la dirección. La cantidad de informes no mide por sí sola la calidad: importa que las decisiones y sus riesgos sean rastreables. Si el delegado cubre varias entidades, verifique que cada una pueda acceder a él y que conozca sus operaciones específicas.
Cuando cambia el modelo de negocio, reexamine también si sigue siendo obligatorio el nombramiento y si la persona designada conserva las competencias necesarias. Documente cambios de contacto y el cese ante la autoridad; mantener un dato antiguo en la web frustra el derecho de las personas a plantear dudas. El registro de actividades y los responsables de cada proceso son buenos puntos de partida para organizar este examen.
FAQ
¿Es obligatorio designar un DPO en todas las empresas españolas?
No en todas, pero la LOPDGDD ha ampliado sustancialmente los supuestos de designación obligatoria respecto al RGPD. Además de los tres supuestos del artículo 37 del RGPD, el artículo 34 de la LOPDGDD enumera una lista extensa de entidades obligadas que abarca sectores como la sanidad, la educación, las telecomunicaciones, los seguros y la energía. Incluso cuando no sea obligatorio, la designación voluntaria se recomienda como buena práctica.
¿Cuánto cuesta un delegado de protección de datos externo?
El coste varía significativamente según el tamaño de la organización, la complejidad de los tratamientos y el alcance de los servicios contratados. No existe una tarifa legal ni una horquilla fiable aplicable a todas las organizaciones. Compare presupuestos con el mismo alcance: tiempo disponible, sedes cubiertas, auditorías, atención a las personas, apoyo en evaluaciones de impacto y respuesta a incidentes. Pida que se indiquen exclusiones y costes de trabajos extraordinarios.
¿Qué ocurre si no designo un DPO cuando es obligatorio?
La ausencia de designación cuando es obligatoria constituye una infracción del RGPD que puede dar lugar a sanciones administrativas. La autoridad puede ejercer sus poderes correctivos y sancionadores según los hechos del caso. Documente primero el supuesto que exigía la designación y subsane la ausencia sin suponer que una designación tardía borra otros incumplimientos. Para conocer el régimen sancionador completo, consulte nuestra guía sobre sanciones RGPD y la guía sobre derecho de supresión.