Una de las preguntas más frecuentes que recibimos de gerentes y responsables de empresa es exactamente esta: «¿Tengo que tener un DPD o no?». La respuesta depende de varios factores que no siempre están claros, porque la obligación viene definida en el RGPD europeo pero también en la LOPDGDD española, con criterios distintos en cada caso.
En este artículo te explicamos cuándo es obligatorio, cuándo no lo es (aunque sea recomendable) y cómo saber si tu empresa entra en alguno de los supuestos.
Qué dice el artículo 37 del RGPD sobre la obligatoriedad del DPD
El Reglamento General de Protección de Datos establece en su artículo 37 tres supuestos en los que el nombramiento de un DPD es obligatorio:
- Cuando el responsable o encargado del tratamiento es una autoridad u organismo público. Esto incluye administraciones públicas, organismos reguladores, juzgados y cualquier entidad de derecho público.
- Cuando las actividades principales del responsable o encargado consisten en operaciones de tratamiento que, por su naturaleza, alcance o fines, requieren una observación habitual y sistemática de interesados a gran escala. Por ejemplo: empresas de telecomunicaciones, plataformas digitales, aseguradoras o entidades financieras con grandes bases de datos de clientes.
- Cuando las actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos (datos de salud, ideología, religión, orientación sexual, datos biométricos…) o de datos relativos a condenas e infracciones penales.
La clave en los dos últimos supuestos es la expresión «a gran escala». El RGPD no define con exactitud qué es gran escala, pero el Grupo de Trabajo del Artículo 29 (ahora Comité Europeo de Protección de Datos) señala que hay que tener en cuenta el número de personas afectadas, el volumen de datos, la duración del tratamiento y la extensión geográfica.
Cuándo es obligatorio según la LOPDGDD española
La Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) amplía en España los casos de obligatoriedad más allá del RGPD. En su artículo 34, establece que están obligados a designar DPD, entre otros:
- Los colegios profesionales y sus consejos generales
- Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del sistema educativo
- Las entidades que exploten redes y presten servicios de comunicaciones electrónicas (operadoras de telefonía, proveedores de internet…)
- Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio
- Las entidades que traten a gran escala datos relativos a la salud o que ofrezcan servicios médicos o sanitarios
- Las entidades aseguradoras y reaseguradoras
- Las entidades que realicen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos
- Los establecimientos financieros de crédito
- Las entidades de servicios de inversión y las demás entidades autorizadas para la realización de actividades de inversión
- Las distribuidoras y comercializadoras de energía eléctrica y gas natural
- Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude
¿Y si mi empresa no entra en ninguno de estos supuestos?
Si tu empresa es una pyme que no realiza tratamiento de datos a gran escala ni pertenece a ninguno de los sectores mencionados, técnicamente no estás obligado a nombrar un DPD.
Sin embargo, hay que tener en cuenta dos matices importantes:
- La obligación de cumplir el RGPD existe aunque no seas obligado a tener DPD. Debes tener el Registro de Actividades de Tratamiento, las bases legales definidas, los contratos con encargados y las medidas de seguridad adecuadas, independientemente de si tienes o no un DPD.
- Tener un DPD aunque no seas obligado es altamente recomendable si tu empresa trata datos de forma habitual, aunque sea en volúmenes pequeños. La complejidad normativa y la actualización constante justifican este acompañamiento profesional.
Checklist: ¿está tu empresa obligada a tener DPD?
Responde estas preguntas para determinar tu situación:
| Supuesto de obligatoriedad | Sí | No | No sé |
| 1. ¿Tu empresa es una autoridad u organismo público? | □ | □ | □ |
| 2. ¿Realizas observación habitual y sistemática de personas a gran escala (más de 10.000 personas de forma continua)? | □ | □ | □ |
| 3. ¿Tratas datos de salud, biométricos, ideológicos, religiosos o de orientación sexual a gran escala? | □ | □ | □ |
| 4. ¿Tu empresa es un colegio profesional, consejo general u organización profesional? | □ | □ | □ |
| 5. ¿Eres un centro docente con enseñanzas regladas? | □ | □ | □ |
| 6. ¿Ofreces servicios de telecomunicaciones o internet? | □ | □ | □ |
| 7. ¿Elaboras perfiles de usuarios a gran escala para publicidad o marketing? | □ | □ | □ |
| 8. ¿Eres una entidad aseguradora, financiera o de inversión? | □ | □ | □ |
| 9. ¿Eres una distribuidora de energía eléctrica o gas natural? | □ | □ | □ |
Cómo interpretar el resultado
- Si has marcado «sí» en cualquiera de estos puntos: tu empresa está obligada a nombrar un DPD.
- Si has marcado «no sé» en alguno: conviene hacer una revisión con un especialista antes de asumir que no estás obligado.
- Si todos son «no»: no tienes obligación formal, aunque el DPD puede ser una decisión estratégica muy recomendable.
Qué implica nombrar un DPD: derechos y obligaciones
Si estás obligado, el DPD debe cumplir una serie de condiciones establecidas en el RGPD:
- Independencia: el DPD no puede recibir instrucciones sobre el ejercicio de sus funciones ni ser sancionado por ellas.
- Cualificación: debe tener conocimientos especializados en derecho y práctica de protección de datos.
- Recursos suficientes: la empresa debe proporcionarle acceso a la información, formación y tiempo para ejercer sus funciones.
- Comunicación directa con la alta dirección y con la AEPD.
El DPD puede ser un empleado interno o un proveedor externo. Para la mayoría de pymes, la externalización es la opción más práctica y económicamente eficiente.
¿Tienes dudas sobre si tu empresa está obligada? Nuestros especialistas analizan tu caso sin compromiso. → Ver el servicio de DPD para empresas
Si ya sabes que necesitas contratar un DPD, puedes ver cómo funciona el proceso en nuestra guía sobre cómo contratar un Delegado de Protección de Datos.