DPD interno o externo: cuál conviene a su empresa

La elección entre un DPD interno o externo no es una simple decisión de personal. Afecta a la independencia con la que se supervisa el cumplimiento, a la capacidad de responder ante una inspección y al coste real de mantener la protección de datos activa durante todo el año. Nombrar a alguien solo para cubrir el expediente puede salir caro si esa persona no dispone de conocimientos, tiempo o autonomía suficientes.

El delegado de protección de datos, también conocido como DPD, debe ayudar a la organización a cumplir el RGPD y la LOPDGDD, asesorar sobre sus obligaciones, supervisar las medidas implantadas y actuar como punto de contacto con las personas afectadas y con la autoridad de control. La ley permite que esta función se desempeñe dentro de la empresa o mediante un profesional o entidad externa. La opción adecuada depende de la actividad, el volumen de datos, la estructura interna y el nivel de riesgo.

Cuándo es obligatorio designar un DPD

Antes de valorar si conviene un modelo interno o externo, hay que confirmar si su organización está obligada a contar con delegado. El artículo 37 del RGPD exige designarlo, entre otros supuestos, cuando el tratamiento lo realiza una autoridad u organismo público, cuando las actividades principales requieren una observación habitual y sistemática de personas a gran escala o cuando se tratan a gran escala categorías especiales de datos, como información sanitaria.

Además, el artículo 34 de la LOPDGDD amplía y concreta supuestos en España. Por ejemplo, deben designar DPD determinados centros docentes, entidades aseguradoras, empresas de servicios de inversión, prestadores de servicios de comunicaciones electrónicas, centros sanitarios obligados legalmente a mantener historias clínicas y entidades que explotan redes o prestan servicios de comunicaciones electrónicas cuando corresponda.

No estar incluido expresamente en estos casos no significa que pueda ignorar la protección de datos. Una pyme que trata datos de clientes, empleados, proveedores o usuarios debe cumplir igualmente con el RGPD. Y si la actividad implica tratamientos sensibles, videovigilancia extensa, perfiles comerciales complejos o gestión continuada de información de menores, conviene analizar con rigor si el DPD es necesario o recomendable.

DPD interno o externo: la diferencia decisiva es la independencia

Un DPD interno es normalmente una persona trabajadora de la propia organización que asume este cometido junto con otras funciones, o de forma exclusiva en empresas de mayor tamaño. Su ventaja aparente es que conoce el negocio, los procesos, las aplicaciones y a los equipos desde dentro. Puede detectar con rapidez cambios en la operativa y participar desde el inicio en nuevos proyectos.

Sin embargo, ese conocimiento no basta. El DPD debe actuar con independencia, informar al nivel más alto de dirección y no recibir instrucciones sobre el ejercicio de sus funciones. Tampoco puede ser penalizado por expresar una advertencia o recomendar una medida que resulte incómoda para la empresa.

Aquí aparece uno de los errores más frecuentes: nombrar DPD a quien decide sobre las finalidades y medios del tratamiento. Dirección general, recursos humanos, informática, marketing o responsables comerciales pueden tener un conflicto de intereses si, además de tomar decisiones sobre los datos, deben supervisar si esas decisiones cumplen la normativa. No siempre el conflicto es automático, pero debe analizarse función por función y documentarse.

El DPD externo aporta una separación más clara entre quien opera los tratamientos y quien asesora y supervisa el cumplimiento. Es una alternativa especialmente útil para autónomos, comunidades, asociaciones y pymes que no tienen un perfil especializado en plantilla ni necesitan una dedicación completa. También permite acceder a conocimientos actualizados sin asumir el coste laboral de incorporar un especialista.

Ventajas y límites de un DPD interno

La designación interna puede funcionar bien en organizaciones con suficiente estructura, personal formado y una cultura de cumplimiento consolidada. Cuando el delegado conoce en profundidad la actividad, puede facilitar la aplicación práctica de políticas, controles de acceso, plazos de conservación, procedimientos de atención de derechos y formación al personal.

Pero debe existir tiempo real para el cargo. No es razonable atribuir la función a una persona que ya gestiona una carga completa de trabajo y esperar que supervise contratos con encargados, análisis de riesgos, brechas de seguridad, evaluaciones de impacto y consultas internas sin recursos adicionales. El problema no se corrige con una designación formal en un documento.

También debe valorarse la continuidad. Si el DPD interno causa baja, cambia de puesto o abandona la empresa, el conocimiento y la función pueden quedar desatendidos. Además, la formación debe mantenerse: la normativa, los criterios de la Agencia Española de Protección de Datos y las tecnologías utilizadas cambian con frecuencia.

El coste de un DPD interno no se limita a su salario. Hay que sumar formación, tiempo de coordinación, sustituciones, herramientas, asesoramiento puntual y el coste de oportunidad de apartar a un perfil clave de su actividad principal. En una empresa pequeña, ese cálculo suele inclinar la balanza hacia la externalización.

Qué aporta un DPD externo a una pyme

El DPD externo no debe limitarse a enviar modelos genéricos o a aparecer cuando surge una reclamación. Su valor está en mantener un seguimiento razonable y continuado, adaptado a los tratamientos reales de la organización. Eso incluye revisar la documentación, resolver dudas, orientar sobre medidas de seguridad, revisar contratos cuando sea necesario y establecer un criterio de actuación ante incidentes.

Para una pyme, el principal beneficio es disponer de un profesional especializado sin crear una estructura interna compleja. La dirección conserva el control de sus decisiones de negocio, mientras recibe asesoramiento independiente sobre los límites legales y los riesgos de cada tratamiento.

El modelo externo también favorece una respuesta más ordenada ante situaciones que suelen generar tensión: una solicitud de acceso o supresión, una denuncia de un cliente, la pérdida de un dispositivo, un envío de correos con destinatarios visibles o la contratación de una nueva plataforma que almacenará datos personales. Esperar a que el problema ocurra para buscar asesoramiento es una mala estrategia.

Ahora bien, externalizar no libera a la empresa de sus responsabilidades. El responsable del tratamiento sigue siendo la organización. Debe facilitar información al DPD, atender sus recomendaciones, dotar de medios al cumplimiento y aplicar las medidas que correspondan. El delegado asesora y supervisa; no sustituye a la dirección ni asume por sí solo las decisiones empresariales.

Cómo decidir entre DPD interno o externo

La respuesta depende de hechos concretos, no de una preferencia genérica. Una empresa con cientos de empleados, sistemas propios, múltiples sedes y tratamientos complejos puede necesitar un DPD interno dedicado, apoyado por especialistas externos en asuntos puntuales. Una pequeña clínica, un centro educativo, una comunidad de propietarios o una entidad social puede obtener una cobertura más proporcionada mediante un DPD externo con experiencia en su sector.

Conviene revisar cuatro cuestiones antes de decidir:

• El tipo y volumen de datos tratados, especialmente si hay datos de salud, menores, información financiera o perfiles de comportamiento.
• La existencia de una persona interna con formación suficiente, disponibilidad efectiva e independencia respecto de las decisiones sobre datos.
• El presupuesto total, comparando el coste laboral y operativo interno con una tarifa externa clara y continuada.
• La necesidad de respuesta ante consultas, incidencias, contratos, derechos de interesados o requerimientos de la autoridad de control.

Si opta por un DPD externo, compruebe que el servicio define el alcance del acompañamiento, los canales de contacto, la periodicidad de las revisiones y el modo en que se gestionarán las incidencias. Si elige un DPD interno, documente la ausencia de conflictos, proporcione formación y garantice acceso directo a la dirección.

La designación formal también tiene obligaciones

Una vez nombrado el delegado, sus datos de contacto deben publicarse y comunicarse a la Agencia Española de Protección de Datos cuando proceda. No es necesario publicar su nombre si se facilitan medios eficaces para contactar con él, pero el canal debe ser claro y accesible para clientes, empleados, usuarios y autoridades.

La organización debe poder demostrar que la designación responde a una necesidad real y que el DPD puede ejercer sus funciones. Ante una inspección, no basta con señalar un nombre. Será relevante acreditar qué tratamientos existen, qué medidas se han adoptado, cómo se atienden los derechos y cuál ha sido la intervención del delegado en los asuntos relevantes.

Un DPD correctamente integrado no añade burocracia inútil. Evita decisiones improvisadas, reduce errores repetidos y ayuda a detectar incumplimientos antes de que deriven en reclamaciones, sanciones o pérdida de confianza. Consultoría Rosario Polo analiza cada caso para proponer una designación proporcionada, con apoyo continuo y criterios claros de cumplimiento.

La mejor elección no es la más barata en apariencia, sino la que permite a su empresa cumplir de forma estable, demostrar diligencia y actuar con rapidez cuando un dato personal deja de ser un trámite y se convierte en un riesgo.