05 May ¿Cuándo es obligatorio el Delegado de Protección de Datos?
Imagina que abres una farmacia. Desde el primer día sabes que necesitarás ciertos registros sanitarios. No te los piden solo cuando tienes un problema: son obligatorios desde que empiezas, porque el tipo de actividad que realizas lo exige por ley.
Con la protección de datos ocurre lo mismo. Hay empresas que, por el tipo de actividad que realizan o por el sector en el que operan, han de designar un Delegado de Protección de Datos obligatorio (DPD o DPO, en inglés) desde el primer día. Muchas no lo saben hasta que la Agencia Española de Protección de Datos llama a la puerta.
Este artículo te explica cuándo la ley te obliga, cómo saber si tu caso entra en el supuesto y qué pasa si deberías tener un DPD y no lo tienes.
Qué es el DPD (en dos líneas)
El Delegado de Protección de Datos es el profesional encargado de velar por que tu empresa cumpla con la normativa de protección de datos. Puede ser un empleado interno o un profesional externo contratado para ejercer esa función.
Su trabajo no es solo revisar documentos: asesora, supervisa, forma al equipo y actúa como punto de contacto con la AEPD si hay una reclamación o inspección.
Cuándo es obligatorio por ley
La obligación de designar un DPD viene de dos normas: el Reglamento General de Protección de Datos europeo (RGPD) y la Ley Orgánica de Protección de Datos española (LOPDGDD).
Lo que establece el RGPD (Art. 37)
El artículo 37 del RGPD establece tres casos en los que hay que designar un Delegado de Protección de Datos obligatorio:
1. Autoridades y organismos públicos. Si tu entidad es una administración pública, aplica directamente.
2. Observación habitual y sistemática de personas a gran escala. Esto afecta a plataformas digitales, apps que rastrean el comportamiento de usuarios, servicios de publicidad segmentada o empresas de analítica de datos. Si tu modelo de negocio se basa en monitorizar usuarios de forma continuada y a escala, probablemente entras en este supuesto.
3. Tratamiento a gran escala de datos especiales o datos penales. Los datos especiales son los relativos a salud, origen étnico, orientación sexual, religión, opiniones políticas, biometría o genética. Plataformas de salud digital, mutuas, aseguradoras con tratamiento masivo de datos médicos: este punto les afecta.
Lo que añade la ley española (Art. 34 LOPDGDD)
La ley española amplía esa lista. En España, además de los tres casos del RGPD, también están obligados a tener DPD:
- Colegios profesionales y sus consejos generales.
- Centros educativos: colegios, universidades públicas y privadas.
- Entidades financieras y de crédito.
- Entidades aseguradoras y reaseguradoras.
- Empresas de servicios de inversión.
- Distribuidores y comercializadores de energía eléctrica y gas.
- Entidades de publicidad y prospección comercial que elaboren perfiles de personas.
- Prestadores de servicios de la sociedad de la información que elaboren perfiles de sus usuarios a gran escala.
- Centros sanitarios (con excepciones para profesionales que ejercen en solitario).
- Operadores de juego online.
- Empresas de seguridad privada.
- Federaciones deportivas que traten datos de menores.
El último punto en negrita es el que más frecuentemente pasa desapercibido en el ecosistema startup. Si tienes una plataforma SaaS, una app o un servicio digital que elabora perfiles de usuarios a gran escala, estás en la lista.
Importante:
Si tu empresa aparece en alguna de estas categorías, la obligación existe desde que empezaste a operar. No desde que te lo pidan.
El caso concreto de las startups tecnológicas
Aquí es donde se genera más confusión. Una startup puede no encajar claramente en ninguna de las categorías anteriores y, aun así, estar obligada.
Hay dos preguntas que te ayudan a saberlo:
¿Tu actividad principal implica tratar datos de usuarios a gran escala? La ley no fija un número exacto. La AEPD valora el volumen de personas afectadas, la cantidad de datos tratados, la duración del tratamiento y su alcance geográfico. Como referencia práctica: si tienes decenas de miles de usuarios registrados y analizas su comportamiento de forma continuada, probablemente estás en el umbral.
¿Tu modelo de negocio consiste en elaborar perfiles de usuarios? Una plataforma de marketing, un comparador de seguros, una app de salud, una herramienta de análisis de comportamiento del consumidor… todas entran en este supuesto.
Si la respuesta a alguna de las dos preguntas es sí, lo más prudente es hacer una evaluación con un profesional antes de asumir que no necesitas DPD.
Cuándo no es obligatorio pero conviene tenerlo igualmente
La mayoría de las pymes generalistas, pequeños negocios, autónomos y startups en fase muy inicial no están obligadas a designar un DPD.
Pero eso no significa que no sea recomendable.
Designar un DPD de forma voluntaria tiene ventajas concretas:
- La AEPD valora positivamente la designación voluntaria si abre una inspección o recibe una reclamación sobre tu empresa.
- Actúa como mediador entre tu empresa y la AEPD antes de que una queja se convierta en sanción, lo que en muchos casos evita el procedimiento sancionador.
- Garantiza que alguien está pendiente de que tu empresa cumple con la normativa en todo momento, no solo cuando hay un problema.
Para una startup en crecimiento que maneja datos de clientes, usuarios y empleados, un DPD externo a cuota mensual es la forma más eficiente de cubrir esa responsabilidad sin un coste elevado.
Qué pasa si no nombras un DPD cuando deberías
La sanción específica por no designar un DPD cuando la ley lo exige va de 40.001 euros a 300.000 euros. El plazo de prescripción es de dos años.
Aparte de la sanción económica, hay una consecuencia más inmediata: si la AEPD recibe una reclamación de uno de tus usuarios y no tienes DPD nombrado, pierdes el canal de mediación. Sin DPD, no hay posibilidad de resolver el conflicto internamente antes de que llegue a la Agencia Española de Protección de Datos.
Cómo nombrar un DPD y comunicarlo a la AEPD
Si determinas que has de nombrar un Delegado de Protección de Datos obligatorio —o que quieres designarlo de forma voluntaria—, el proceso es este:
1. Elige al DPD: puede ser un empleado interno con la formación adecuada o un profesional externo especializado.
2. Formaliza el nombramiento mediante contrato o acuerdo de prestación de servicios.
3. Comunícalo a la AEPD en un plazo máximo de 10 días desde la designación, a través del registro habilitado en su sede electrónica.
4. Incluye los datos de contacto del DPD en tu política de privacidad, para que usuarios y afectados sepan a quién dirigirse.
El DPD debe poder actuar con independencia total. No puede recibir instrucciones sobre cómo ejercer sus funciones de protección de datos y no puede ser sancionado ni cesado por ejercerlas.
¿No tienes claro si tu empresa necesita un DPD?
Es la duda más frecuente que recibo en las formaciones que imparto en aceleradoras e incubadoras. Y tiene sentido: la ley no fija un número exacto ni un criterio único que sirva para todos los casos.
Si tienes dudas sobre si tu startup o pyme está obligada a designar un Delegado de Protección de Datos, o si quieres que seamos tu DPD externo, puedo ayudarte. Contacta con nosotros.