Lo primero que suelen decirme cuando me nombran DPD en una startup es algo como: «perfecto, a partir de ahora, tú te encargas de todo lo de datos».

Y ahí empieza el malentendido.

Un DPD externo no se encarga de «todo lo de datos». No es el responsable de que tu empresa cumpla el RGPD. No te libra de tener que hacer cosas para cumplir con la normativa. Y entender esto desde el primer día es lo que diferencia a las startups que funcionan bien en protección de datos de las que van apagando fuegos.

Esta guía explica, sin tecnicismos, qué hace realmente un Delegado de Protección de Datos externo, qué no hace, y qué necesitas tener claro antes de contratar uno, o de decidir que todavía no lo necesitas.

Qué es un DPD externo, en una frase

El DPD (Delegado de Protección de Datos) es la figura que el RGPD prevé para supervisar que una organización trata los datos personales de forma correcta. Puede ser un empleado interno o un profesional externo: el Reglamento permite ambas opciones en su artículo 37.

El DPD externo es ese mismo rol cubierto por alguien que no forma parte de tu plantilla: una persona física o jurídica con una capacitación muy específica que presta el servicio a varias empresas a la vez.

Para las startups, el DPD externo suele ser la única opción viable. Un DPD interno a jornada completa en España cuesta entre 45.000 y 75.000 euros al año; el externo funciona con una cuota mensual fija proporcional al volumen de trabajo y al tipo de datos que tratáis.

Qué hace un DPD externo: las funciones reales

El RGPD define las funciones del DPD en los articulos 37 a 39. En términos prácticos, para una startup, su trabajo se concentra en cuatro áreas:

1. Informar y asesorar

El DPD externo te dice qué tienes que hacer, y cuándo. Revisa si los tratamientos de datos que estáis haciendo tienen base legal. Te alerta cuando vais a lanzar una nueva funcionalidad que puede generar problemas. Os asesora antes de firmar un contrato con un proveedor que va a tratar datos de vuestros usuarios.

Es un asesor, no un ejecutor. Señala el camino; la empresa decide y actúa.

2. Supervisar el cumplimiento

Analiza si lo que hacéis en la práctica se corresponde con lo que tenéis documentado. Revisa si el registro de actividades de tratamiento está actualizado. Comprueba si las cláusulas de protección de datos que usáis en los contratos son correctas. Detecta gaps antes de que lo haga la AEPD.

Esta supervisión es continua, no es un trabajo puntual de «adaptación al RGPD» que se haga una vez y se olvida.

3. Apoyar en las Evaluaciones de Impacto (EIPD)

Cuando tu startup va a tratar datos de forma que implique un riesgo alto para las personas (perfilado de usuarios, datos de salud, sistemas de puntuación automática, etc.) es obligatorio hacer una Evaluación de Impacto relativa a la Proteccion de Datos. El DPD os asesora sobre cómo hacerla y valida el resultado.

4. Ser el punto de contacto con la AEPD y con los usuarios

Si la Agencia Española de Protección de Datos os contacta, el DPD es el interlocutor. Si un usuario os manda una solicitud de acceso o borrado de sus datos, el DPD os guía para resolverla correctamente. No lo resuelve por vosotros, pero os dice exactamente qué tenéis que hacer y en qué plazo.

Qué NO hace un DPD externo (y aquí está la clave)

Esta es la parte que más malentendidos genera, y la que los artículos sobre DPD raramente explican con claridad.

No es el responsable del cumplimiento

Esto sorprende a muchos fundadores de startups: el responsable del cumplimiento del RGPD sois vosotros, como empresa. El DPD supervisa y asesora; la responsabilidad legal recae sobre el responsable del tratamiento, es decir, sobre vuestra organización.

Si la AEPD sanciona a vuestra startup por un incumplimiento, la multa va dirigida a la empresa, no al DPD. Nombrarlo no os transfiere la responsabilidad.

No toma decisiones sobre qué datos tratas

El DPD no decide qué datos recogéis, con qué finalidad los usáis ni durante cuánto tiempo los guardáis. Esas decisiones son vuestras, como empresa. El DPD os asesora sobre si esas decisiones son correctas desde el punto de vista normativo, pero no las toma en vuestro lugar.

Si decidís hacer una campaña de marketing que implica tratar datos de usuarios de una forma concreta, el DPD os dirá si tiene o no base legal suficiente. Pero la decisión de hacerla o no hacerla es vuestra.

No redacta ni implementa tus documentos por defecto

Muchas startups esperan que el DPD externo les redacte la política de privacidad, el aviso legal, los contratos con proveedores y los procedimientos internos. Esto dependerá del alcance del servicio que hayan contratado, pues no es una función obligatoria del cargo de DPD, según el RGPD.

Un DPD revisa que esos documentos sean correctos. La redacción puede estar incluida en el servicio o no, según lo que hayáis acordado. Antes de firmar, es importante saber exactamente qué cubre vuestro contrato.

No forma a tu equipo de forma automática

Otra función del DPD es asegurarse de que el personal que trata datos está formado. Pero «asegurarse» no significa impartir la formación. El DPD puede organizar o recomendar formaciones, pero el compromiso de que tu equipo las haga es de la empresa.

No puede depender de tu empresa jerárquicamente

El RGPD exige que el DPD tenga independencia real: no puede recibir instrucciones sobre cómo ejercer sus funciones, ni puede ser sancionado por hacerlo. Esto significa que, si el DPD te dice que algo que estás haciendo no es correcto, no puedes simplemente decirle que lo ignore. Un DPD que se pliega a lo que quiere la empresa sin señalar los incumplimientos no está cumpliendo su función.

La confusión más habitual: creía que ya no tenía que preocuparme

Cuando una startup contrata un DPD externo, a veces se genera una sensación de «problema resuelto». Y eso es exactamente el riesgo.

El DPD no es el sistema de cumplimiento. Es el supervisor del sistema. Para que funcione, la empresa necesita:

• Tener documentados sus tratamientos de datos (registro de actividades)
• Responder a los requerimientos del DPD cuando los hace
• Implementar las medidas que el DPD recomienda
• Formar a su equipo
• Notificar al DPD cuando lanza nuevas funcionalidades o cambia procesos que afectan a datos

Si el DPD envía recomendaciones y nadie en la empresa las implementa, la empresa sigue incumpliendo. Y la responsabilidad, de nuevo, es de la empresa.

¿Cuándo necesita una startup un DPD externo?

Según el RGPD, el DPD es obligatorio cuando:

• Tu empresa trata datos a gran escala de forma habitual y sistemática (seguimiento de comportamiento de usuarios, perfilado, publicidad conductual)
• Tratáis datos especialmente sensibles a gran escala: salud, datos biométricos, datos genéticos, condenas penales…

La Ley Orgánica de Protección de Datos española (LOPDGDD) amplia esta lista con sectores concretos: empresas de seguridad privada, entidades financieras, centros sanitarios, entre otros.

Para muchas startups, el DPD no es obligatorio, pero puede ser conveniente nombrarlo voluntariamente. Los inversores y clientes corporativos cada vez lo valoran más como señal de madurez en cumplimiento. Y en algunos sectores (healthtech, fintech, edtech), es prácticamente imprescindible desde el inicio.

Si tienes dudas sobre si tu startup esta obligada, lo mas directo es hacer un analisis de los tratamientos que realizas. No hay una respuesta universal: depende de que datos tratas, con que volumen y con que finalidad.

Qué debes revisar antes de contratar un DPD externo

Si habéis decidido que queréis un DPD externo, ya sea por obligación o por elección, estos son los puntos clave que hay que revisar antes de firmar:

El alcance del servicio. ¿Quée está incluido? Solo el asesoramiento y la supervisión, o también la redacción de documentación, la atención a derechos de usuarios, la gestión de brechas? El RGPD define las funciones mínimas del cargo; lo demás es lo que cada proveedor incluya en su contrato.

La disponibilidad. ¿Cuántas horas mensuales tienes incluidas? ¿Cómo contactas con el DPD si surge un problema urgente (una brecha de datos, un requerimiento de la AEPD)? La disponibilidad real importa más que el precio.

La independencia. El contrato debe garantizar que el DPD puede ejercer sus funciones con independencia. Si el contrato incluye cláusulas que limitan esa independencia, es una señal de alarma.

La comunicación a la AEPD. Cuando el DPD es obligatorio, debes comunicar su nombramiento a la AEPD. El DPD externo que contrates debería guiarte en este trámite.

En resumen

Un DPD externo en una startup es un asesor especializado e independiente que supervisa que tratáis los datos correctamente, os guía cuando tenéis dudas y actúa como interlocutor con la autoridad de control. No es el responsable del cumplimiento, no toma decisiones en tu lugar y no resuelve los problemas si la empresa no implementa sus recomendaciones.

Para funcionar, la relación con un DPD externo requiere implicación activa por parte de la startup: responder, implementar, consultar antes de lanzar cosas nuevas, mantener la documentación actualizada.

Si lo entendéis así desde el principio, el DPD externo es una de las inversiones más eficientes que puede hacer una startup que quiere crecer sin sorpresas regulatorias.

¿Tu startup necesita un DPD externo o todavía no? En Emprender Seguro hacemos ese análisis contigo en una primera conversación. Cuéntanos tu caso, sin compromiso y sin tecnicismos.