Delegado de Protección de Datos
La persona, interna o externa, que supervisa el cumplimiento del RGPD dentro de una organización, obligatoria solo en determinados casos.
El Delegado de Protección de Datos (DPO, por sus siglas en inglés) es la persona, interna o externa a la organización, que supervisa el cumplimiento del RGPD y actúa como punto de contacto con la AEPD y con las personas interesadas. Se regula en los artículos 37 a 39 del RGPD.
Cuándo es obligatorio nombrarlo
| Situación | Obligatoriedad |
|---|---|
| Administraciones públicas | Siempre obligatorio, salvo excepciones muy concretas |
| Tratamiento a gran escala con seguimiento habitual | Por ejemplo, publicidad basada en perfiles a gran escala |
| Categorías especiales de datos a gran escala | Datos de salud, origen étnico u otros datos sensibles |
| Sitio web pequeño sin estos rasgos | Normalmente no es obligatorio |
Qué hace un DPO
Informa y asesora al responsable y a los encargados sobre sus obligaciones, supervisa el cumplimiento interno de la normativa, coopera con la autoridad de control y actúa como punto de contacto tanto para la AEPD como para las personas cuyos datos se tratan.
¿Debe ser un cargo interno?
No necesariamente. Puede ser un empleado ya contratado con formación adecuada, un DPO externo contratado como servicio, o incluso un DPO compartido entre varias organizaciones pequeñas del mismo grupo o sector.
Nombrar un delegado de protección de datos sin estar obligado
Nombrar un DPO de forma voluntaria, aunque no sea obligatorio para tu sitio web, transmite seriedad y facilita gestionar consultas y solicitudes de derechos de forma centralizada. Una vez nombrado, incluso voluntariamente, debe cumplir las mismas obligaciones que un DPO obligatorio.
Independencia y garantías del cargo
El RGPD exige que el DPO actúe con independencia, sin recibir instrucciones sobre cómo desempeñar sus funciones, y que no pueda ser destituido ni penalizado por ejercerlas correctamente, aunque eso implique señalar incumplimientos internos. Por este motivo, no puede ocupar simultáneamente un puesto que determine los fines y medios del tratamiento, como el de director general o responsable de marketing, ya que entraría en conflicto de intereses con su propia función de supervisión.
Qué comprobar antes de contratar uno externo
Si optas por un DPO externo, comprueba que tiene conocimientos demostrables tanto de la normativa de protección de datos como del sector en el que opera tu sitio web, y que el contrato deja claro el alcance de sus funciones. Un DPO externo mal elegido, sin conocimiento real de cómo funciona tu negocio, puede limitarse a informes genéricos poco útiles en la práctica.
Sigue explorando
Términos relacionados: Brecha de seguridad.
Artículos del blog: El delegado de protección de datos: cuándo es obligatorio tenerlo, Qué hacer ante una brecha de seguridad en tu sitio web.
Incorpora esto correctamente en tu política de privacidad
Nuestro generador redacta este tipo de cláusulas automáticamente, listas en pocos minutos.