«Vamos a nombrar un responsable de protección de datos interno.» Es una frase que se oye con frecuencia en empresas que quieren cumplir. Y no tiene nada de malo: tener a alguien que coordine internamente la gestión de datos es una buena práctica. Pero ese responsable interno no es un DPD. Y la diferencia importa, porque la AEPD sí la distingue.
1. El responsable del tratamiento: quién decide
El responsable del tratamiento es la empresa (o persona física) que determina los fines y los medios del tratamiento de datos personales. No es un cargo laboral: es una condición legal.
Si tu empresa recopila datos de clientes para enviarles facturas, eres el responsable del tratamiento. Si gestionas nóminas de empleados, eres el responsable del tratamiento. Esta responsabilidad no se puede delegar ni externalizar. Puedes contratar a alguien para que gestione el cumplimiento, pero la responsabilidad legal sigue siendo tuya.
El responsable del tratamiento decide: qué datos se recogen, para qué, durante cuánto tiempo y quién tiene acceso. Es quien responde ante la AEPD cuando hay un problema.
2. El DPD: la figura regulada por el RGPD
El Delegado de Protección de Datos es una figura creada específicamente por el RGPD (artículo 37). No es un empleado normal ni un cargo directivo: es una función de supervisión independiente.
Sus funciones están definidas por la normativa:
- Informar y asesorar al responsable y a los encargados del tratamiento y a sus empleados sobre sus obligaciones.
- Supervisar el cumplimiento del RGPD y de otras disposiciones de protección de datos.
- Cooperar con la autoridad de control (la AEPD) y actuar como punto de contacto con ella.
- Atender las consultas de los interesados sobre el ejercicio de sus derechos.
Lo crítico: el DPD actúa con independencia. No puede recibir instrucciones del responsable del tratamiento sobre cómo ejercer sus funciones. Tampoco puede tener un rol en la empresa que genere conflicto de interés: no puede ser el director de IT, el responsable de RRHH ni el asesor jurídico que toma decisiones sobre el tratamiento de datos.
El DPD no decide qué datos se tratan. Supervisa que el tratamiento se haga correctamente.
¿Tu empresa necesita nombrar un DPD? Compruébalo: → Cuándo es obligatorio tener un DPD
3. El responsable interno de protección de datos: rol no regulado
Muchas empresas crean un rol informal de «responsable interno de protección de datos» o «coordinador de PD». Esto no está regulado por el RGPD: es simplemente un empleado al que la empresa asigna tareas operativas de gestión de datos.
Puede ser muy útil: esta persona puede llevar el día a día de las solicitudes de derechos, actualizar el registro de actividades, coordinar la formación del equipo. Pero no cumple la obligación de nombramiento de DPD si esta existe. No está inscrito ante la AEPD. Y cuando la agencia pregunta por el DPD, un «responsable interno» sin la cualificación ni el registro correspondiente no sirve.
Este error es más frecuente de lo que parece. Empresas que creen que «ya tienen la protección de datos cubierta» porque nombraron a alguien internamente, y que luego descubren que ese nombramiento no tiene ninguna validez legal.
4. El encargado del tratamiento: el tercero que procesa tus datos
Hay una tercera figura que a menudo genera confusión: el encargado del tratamiento. Es cualquier persona física o jurídica que trata datos personales por cuenta del responsable.
Ejemplos concretos: tu gestoría que procesa las nóminas, tu proveedor de software CRM que almacena datos de clientes, tu empresa de correo que gestiona las comunicaciones de marketing. Todos ellos son encargados del tratamiento.
Con todos ellos debes tener un contrato de encargado de tratamiento (DPA en inglés) que regule cómo pueden usar los datos, durante cuánto tiempo y bajo qué condiciones de seguridad. Si no tienes estos contratos, estás incumpliendo el RGPD.
5. Cómo interactúan estas figuras en la práctica
Para entenderlo de forma clara:
- El responsable del tratamiento (tu empresa) decide qué se hace con los datos y responde de todo.
- El DPD supervisa que esas decisiones sean conformes con la normativa, asesora y actúa como punto de contacto con la AEPD.
- El encargado del tratamiento (proveedor externo) procesa datos por cuenta tuya, bajo las instrucciones del responsable y dentro de lo que permite el contrato.
- El responsable interno (si existe) coordina operativamente el día a día bajo la orientación del DPD.
Son roles distintos, con responsabilidades distintas. Confundirlos es un error con consecuencias prácticas.
6. Por qué esta distinción importa al contratar un DPD
Cuando contratas un servicio de DPD externalizado, no estás transfiriendo tu responsabilidad como responsable del tratamiento. Sigues siendo tú quien responde. Lo que contratas es una función de supervisión especializada, con la cualificación y el registro necesarios, que actúa con independencia.
Un buen servicio de DPD externalizado hace algo más que darte documentos: revisa que tus tratamientos tengan base legal, que tus contratos con encargados estén en orden, que el registro de actividades esté actualizado, y que cuando llegue una inspección o una brecha, haya alguien con criterio gestionando la respuesta.
Más sobre las figuras del tratamiento de datos: Diferencias entre encargado y responsable del tratamiento
Todo lo que necesitas saber sobre el DPD: Delegado de Protección de Datos: qué es y cuándo es obligatorio
Cumple con el RGPD con un DPD que actúa de verdad → Consulta sin compromiso