DPO externo: el delegado de protección de datos de tu empresa

El artículo 37.1 del RGPD obliga a designar un DPO en tres supuestos: cuando el tratamiento lo realiza una autoridad u organismo público (salvo los tribunales en ejercicio de su función judicial); cuando la actividad principal del responsable o encargado consiste en operaciones que requieren una observación habitual y sistemática de interesados a gran escala; o cuando la actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos (art. 9 RGPD) o de datos relativos a condenas e infracciones penales (art. 10 RGPD). Además, el artículo 34 de la LOPDGDD amplía esta obligación en España a categorías adicionales de responsables, con independencia de que se cumplan o no los criterios generales del RGPD.

Es un error habitual pensar que la obligación depende de que el alumnado sea menor de edad. El artículo 34.1.b) de la LOPDGDD designa como sujetos obligados a "los centros docentes que ofrezcan enseñanzas reguladas en la Ley Orgánica 2/2006, de 3 de mayo, de Educación, así como las Universidades públicas y privadas". El criterio es que la enseñanza esté reglada conforme a la LOE, no la edad del alumnado: esto incluye colegios de infantil, primaria y secundaria, centros de formación profesional, y también universidades públicas y privadas, con independencia de que su alumnado sea mayor de edad.

El RGPD permite ambas opciones. El artículo 37.6 establece que el DPO puede ser un miembro del personal del responsable o del encargado, o bien desempeñar sus funciones sobre la base de un contrato de servicios (DPO externo). Lo determinante no es su relación laboral, sino que cuente con conocimientos especializados, actúe con independencia conforme al artículo 38.3 y no incurra en conflicto de intereses con otras funciones que desempeñe en la organización —por ejemplo, no debería ser simultáneamente quien decide los fines y medios del tratamiento en el área de sistemas o de marketing—.

Nada lo impide: el artículo 37.4 del RGPD permite designar un DPO de forma voluntaria aunque no concurra ninguno de los supuestos de obligatoriedad. Una vez designado voluntariamente, sin embargo, el DPO queda sujeto a los mismos requisitos y garantías de independencia que si la designación fuera obligatoria. Es una decisión habitual en empresas que quieren transmitir una señal clara de madurez en protección de datos ante clientes y socios, incluso sin estar legalmente obligadas.

No. El DPO es una figura de asesoramiento y supervisión, no el responsable del tratamiento. La responsabilidad por el cumplimiento del RGPD recae sobre el responsable o el encargado del tratamiento —la organización—, conforme al principio de responsabilidad proactiva del artículo 24 RGPD. El DPO informa, asesora y supervisa; no toma las decisiones sobre los fines y medios del tratamiento ni sustituye la responsabilidad legal de la dirección.

El artículo 37.7 RGPD obliga a comunicar la identidad y los datos de contacto del DPO a la autoridad de control. La AEPD dispone de un formulario específico de comunicación en su sede electrónica, y esta información debe mantenerse actualizada y también publicarse de forma que sea fácilmente accesible para los interesados —habitualmente dentro de la política de privacidad del responsable—.

Informa y asesora al responsable o al encargado del tratamiento, supervisa el cumplimiento del RGPD, coopera con la AEPD y actúa como su punto de contacto (art. 39 RGPD). Ejerce con independencia: no recibe instrucciones sobre cómo desempeñar sus funciones, no puede ser destituido por ejercerlas y reporta directamente al más alto nivel de la organización (art. 38.3).