Saber si una empresa necesita DPO no depende de su tamaño, sino de qué datos trata y cómo. Hay dos puertas de entrada a la obligación: los tres supuestos generales del RGPD y una lista de entidades concretas que añade la ley española. Esta guía las explica con ejemplos de pyme, con los artículos verificados.
Respuesta directa: la designación de DPO es obligatoria cuando se cumple alguno de los 3 supuestos del art. 37.1 RGPD (organismo público; observación habitual y sistemática de interesados a gran escala; tratamiento a gran escala de categorías especiales de datos o de datos penales) o cuando la entidad encaja en alguno de los supuestos tasados del art. 34 LOPDGDD, que enumera tipos concretos de entidades en España (entre ellas centros sanitarios con historias clínicas, aseguradoras, entidades de crédito, centros docentes o prestadores que elaboren perfiles a gran escala). La designación, obligatoria o voluntaria, debe comunicarse a la AEPD en el plazo de 10 días (art. 34.3 LOPDGDD).
¿Cuándo es obligatorio designar un DPO?
Es obligatorio en dos escenarios que conviene comprobar por separado. El primero son los tres supuestos del artículo 37.1 del RGPD, que se aplican en toda la UE:
- Autoridad u organismo público que lleve a cabo el tratamiento (salvo tribunales en su función judicial).
- Observación habitual y sistemática de interesados a gran escala como actividad principal del responsable o encargado.
- Tratamiento a gran escala de categorías especiales de datos (salud, datos biométricos, ideología, etc.) o de datos relativos a condenas e infracciones penales como actividad principal.
El segundo escenario es propio de España: el artículo 34 de la LOPDGDD (Ley Orgánica 3/2018) añade una lista tasada de entidades que deben designar DPO “en todo caso”, al margen de los supuestos del RGPD. Si tu cliente encaja en uno de esos tipos, la obligación existe aunque no llegue al umbral de “gran escala”. Fuente oficial del artículo: art. 34 LOPDGDD (BOE).
Los supuestos del art. 34 LOPDGDD con ejemplos de pyme
El art. 34.1 LOPDGDD enumera un conjunto cerrado de entidades obligadas, identificadas con letras de la a) a la o) (incluyendo la ñ, según la enumeración legal). No es una lista que convenga citar de memoria con un número redondo: lo importante es comprobar si tu cliente concreto encaja en alguno de los tipos. Entre los que con más frecuencia afectan a pymes están:
- Centros sanitarios obligados a mantener historias clínicas. Una clínica dental que conserva historiales de pacientes encaja aquí, aunque sea pequeña: sí necesita DPO. (La ley excepciona a los profesionales que ejercen a título individual.)
- Entidades aseguradoras y reaseguradoras. Una correduría o aseguradora pequeña entra por este supuesto.
- Entidades de crédito y establecimientos financieros de crédito.
- Centros docentes de cualquier nivel y universidades.
- Prestadores de servicios de la sociedad de la información que elaboren perfiles de usuarios a gran escala. Un ecommerce que perfila a gran escala a sus usuarios puede caer aquí: sí necesita DPO.
- Colegios profesionales, distribuidoras y comercializadoras de energía, empresas de publicidad y prospección comercial, empresas de seguridad privada y federaciones deportivas cuando traten datos de menores, entre otras.
Frente a estos, un caso típico de no obligación: un estudio de diseño o un comercio pequeño con tratamientos ordinarios (clientes, proveedores, nóminas) que no encaja en ningún tipo del art. 34 ni alcanza los umbrales del art. 37 RGPD. Ahí el DPO es voluntario, no obligatorio.
La regla práctica: la obligación se mira por actividad y tipo de datos, no por número de empleados. Una clínica de tres personas puede estar obligada y una consultora de cincuenta puede no estarlo.
La comunicación a la AEPD del DPO
Designar al DPO no termina el trámite: hay que comunicarlo a la AEPD. El artículo 34.3 de la LOPDGDD obliga a los responsables y encargados a comunicar a la AEPD (o a la autoridad autonómica que corresponda) las designaciones, nombramientos y ceses del DPO en el plazo de diez días, tanto cuando la designación es obligatoria como cuando es voluntaria.
Además, la AEPD mantiene una lista actualizada de delegados de protección de datos accesible por medios electrónicos. Esto tiene una implicación práctica: si designas DPO voluntariamente, también debes comunicarlo, y el DPO queda sometido al mismo régimen del RGPD y la LOPDGDD que si fuera obligatorio.
DPO interno vs externo o fraccional
El DPO no tiene por qué ser un empleado: puede contratarse como servicio externo. El artículo 37.6 del RGPD admite expresamente que el delegado “forme parte de la plantilla del responsable o del encargado” o que “desempeñe sus funciones en el marco de un contrato de servicios”. Esto abre tres vías:
- DPO interno: un empleado con la cualificación y la independencia que exige el art. 38 (sin conflicto de interés, reportando al más alto nivel).
- DPO externo: un profesional o firma que asume la función por contrato. Es la opción habitual para pymes obligadas que no justifican un puesto a tiempo completo.
- DPO fraccional o de cartera: un mismo DPO externo que atiende a varias entidades. Aquí la clave es la trazabilidad: poder demostrar, por cada cliente, qué se revisó y cuándo.
Para un DPO que lleva varias entidades, lo que marca la diferencia no es solo cumplir, sino poder probarlo cliente a cliente. Una novedad de la AEPD que afecta a las clínicas de tu cartera, pero no a los ecommerce, debe quedar trazada en el expediente de quien corresponde.
Preguntas frecuentes
¿Cuándo es obligatorio designar un delegado de protección de datos?
Cuando se cumple alguno de los 3 supuestos del art. 37.1 RGPD (organismo público; observación habitual y sistemática a gran escala; tratamiento a gran escala de categorías especiales o de datos penales) o cuando la entidad encaja en alguno de los supuestos tasados del art. 34 LOPDGDD, que enumera tipos concretos de entidades en España.
¿Una pyme está obligada a tener DPO?
Depende de su actividad, no de su tamaño. Una clínica dental obligada a mantener historias clínicas, una aseguradora o un prestador que elabore perfiles de usuarios a gran escala están obligados aunque sean pequeños. Un estudio o comercio pequeño con tratamientos ordinarios normalmente no lo está.
¿Hay que comunicar a la AEPD que se ha nombrado un DPO?
Sí. El art. 34.3 LOPDGDD obliga a comunicar a la AEPD las designaciones, nombramientos y ceses del DPO en el plazo de diez días, tanto si la designación es obligatoria como si es voluntaria. La AEPD mantiene una lista pública de delegados accesible por medios electrónicos.
¿El DPO puede ser externo o tiene que ser un empleado?
Puede ser externo. El art. 37.6 RGPD permite que el DPO sea personal del responsable o desempeñe sus funciones en el marco de un contrato de servicios. Por eso el DPO externo o fraccional es una opción habitual para pymes que necesitan la figura pero no un puesto a tiempo completo.
¿Llevas la protección de datos de varias entidades y quieres que cada novedad de la AEPD llegue ya cruzada con los clientes de tu cartera a los que afecta, con la fuente oficial lista para el expediente? Reserva tu plaza en el grupo fundador de Vigía DPO: vigiadpo.com/#reserva.