DPD interno externo: qué opción le conviene

Nombrar un delegado de protección de datos no consiste en asignar un cargo y archivar una carta de designación. La elección entre un DPD interno externo afecta a la independencia del asesoramiento, al coste real del cumplimiento y a la capacidad de responder ante una reclamación, una brecha de seguridad o una inspección. Para muchas empresas, el error no es no tener DPD, sino designar a alguien que no puede ejercer el puesto con garantías.

El Reglamento General de Protección de Datos permite que el delegado forme parte de la plantilla o preste el servicio mediante un contrato. Ambas alternativas son legales. Sin embargo, no producen el mismo resultado operativo ni ofrecen el mismo nivel de protección frente a los riesgos de incumplimiento.

Cuándo es obligatorio nombrar un DPD

Antes de decidir si el DPD será interno o externo, hay que confirmar si su organización está obligada a designarlo. El artículo 37 del RGPD establece esta obligación para autoridades y organismos públicos, entidades que realizan una observación habitual y sistemática de personas a gran escala y organizaciones que tratan a gran escala categorías especiales de datos, como los datos de salud.

La LOPDGDD amplía y concreta esta obligación para determinados sectores y entidades en España. Entre otros supuestos, pueden estar obligados centros sanitarios, centros docentes, entidades aseguradoras, empresas de publicidad y prospección comercial, prestadores de servicios de comunicaciones electrónicas, colegios profesionales o entidades de crédito. No basta con pensar que una empresa es pequeña para descartar la obligación: importa la actividad, el tipo de datos tratados y la forma en que se realiza el tratamiento.

Aunque no exista obligación legal, algunas empresas optan por designar un delegado de forma voluntaria. Es una decisión razonable cuando manejan datos sensibles, cuentan con numerosos clientes o trabajadores, utilizan videovigilancia, realizan campañas comerciales frecuentes o necesitan una figura de referencia para gestionar derechos de acceso, supresión u oposición.

DPD interno externo: diferencias que sí importan

Un DPD interno es una persona integrada en la plantilla de la empresa. Puede conocer a fondo los procesos, la cultura organizativa y las herramientas utilizadas. Esta cercanía puede ser positiva, especialmente en organizaciones con estructura suficiente, tratamiento de datos complejo y recursos para formar y respaldar al delegado.

El problema aparece cuando se confunde conocimiento del negocio con aptitud para ejercer el cargo. El delegado debe actuar con independencia, informar a la dirección, supervisar el cumplimiento y cooperar con la Agencia Española de Protección de Datos. Si la persona designada ocupa simultáneamente un puesto que decide para qué se usan los datos personales y cómo se tratan, puede existir un conflicto de intereses.

Es habitual encontrar designaciones problemáticas en responsables de recursos humanos, responsables de sistemas, dirección comercial o gerencia. No significa que estos perfiles nunca puedan colaborar con el DPD. Significa que, si determinan los fines o medios del tratamiento, no deberían supervisar con independencia decisiones que ellos mismos han tomado.

El DPD externo presta el servicio desde fuera de la organización, normalmente a través de una consultora o profesional especializado. Aporta una visión independiente, experiencia acumulada en distintos sectores y actualización normativa continua. También permite disponer de soporte sin asumir el coste estructural de incorporar un perfil especializado a la plantilla.

Externalizar no elimina las obligaciones de la empresa. El responsable del tratamiento sigue siendo la organización y debe facilitar al DPD acceso a la información, participación temprana en los proyectos que afecten a datos personales y recursos suficientes para desarrollar sus funciones. Un DPD externo no puede trabajar correctamente si recibe información incompleta o solo es llamado cuando ya ha surgido un problema.

Ventajas y límites del DPD interno

La principal ventaja de un delegado interno es su disponibilidad cotidiana. Puede participar de forma directa en nuevos procedimientos, reuniones de dirección, cambios de software o campañas que impliquen datos personales. Cuando dispone de autoridad, formación y tiempo, puede integrarse con eficacia en la toma de decisiones preventivas.

No obstante, esta modalidad exige una inversión que muchas pymes no han calculado. No se trata solo de salario. Hay que considerar formación especializada, actualización constante, disponibilidad para atender a interesados y autoridades, capacidad para analizar contratos y medidas de seguridad, y tiempo real para revisar tratamientos. Nombrar a un trabajador sin liberar parte de su carga habitual suele convertir el puesto en una formalidad sin seguimiento efectivo.

También debe protegerse su posición. El RGPD prohíbe que reciba instrucciones sobre el desempeño de sus funciones y que sea destituido o sancionado por realizarlas. Si la dirección espera que el DPD valide cualquier decisión sin plantear objeciones, el modelo ya ha perdido su finalidad preventiva.

Por qué el DPD externo encaja en muchas pymes

Para autónomos, microempresas y pymes, el servicio externo suele ofrecer una relación más equilibrada entre coste, especialización y continuidad. La empresa cuenta con un profesional que revisa sus tratamientos, asesora ante dudas, ayuda a ordenar documentación y actúa como punto de contacto en materia de protección de datos, sin tener que crear una estructura interna específica.

La independencia es otro factor decisivo. Un delegado externo puede señalar deficiencias con mayor objetividad: cláusulas informativas mal planteadas, contratos de encargado incompletos, falta de registro de actividades de tratamiento, plazos de conservación indefinidos o medidas insuficientes ante una posible brecha de seguridad. Esta capacidad de advertir a tiempo puede evitar reclamaciones y sanciones que superan ampliamente el coste de una correcta adaptación.

La contrapartida es que el servicio debe ser real y accesible. Un DPD externo que se limita a entregar plantillas no cumple adecuadamente su función. La empresa necesita saber a quién consultar, recibir respuesta cuando aparece una incidencia y contar con revisiones adaptadas a sus procesos. Conviene exigir claridad sobre el alcance del servicio, la periodicidad de las revisiones y la atención ante requerimientos.

Cómo elegir la opción adecuada para su empresa

No existe una respuesta idéntica para todas las organizaciones. Una empresa mediana con departamento jurídico, equipo de cumplimiento, tratamientos complejos y recursos suficientes puede valorar un DPD interno. Aun así, deberá acreditar su cualificación, prevenir conflictos de intereses y garantizar que puede ejercer sus funciones de forma autónoma.

En cambio, una pyme sin estructura jurídica propia suele obtener mejores resultados con un DPD externo. Es una solución especialmente práctica cuando se requiere asesoramiento especializado sin incrementar plantilla, cuando se tratan datos sensibles o cuando la dirección necesita resolver obligaciones normativas con rapidez y control de costes.

Antes de decidir, revise cuatro cuestiones: qué datos personales trata, cuántas personas intervienen en esos tratamientos, quién toma las decisiones sobre los datos y qué recursos puede destinar de forma estable al puesto. Si la respuesta revela falta de tiempo, formación o independencia, la designación interna puede convertirse en un riesgo añadido.

Errores que pueden dejar su designación sin efecto práctico

El primer error es pensar que el DPD asume toda la responsabilidad legal. No es así. El delegado asesora, supervisa y coopera, pero la empresa sigue siendo responsable de cumplir el RGPD y la LOPDGDD. Por eso la dirección debe implicarse y aplicar las medidas recomendadas.

El segundo es no comunicar correctamente la designación cuando resulta obligatoria. Los datos de contacto del delegado deben publicarse y comunicarse a la autoridad de control correspondiente. También deben ser claros para clientes, trabajadores, proveedores y cualquier persona que quiera ejercer sus derechos.

El tercero es designar un DPD sin revisar previamente la situación real de la empresa. Si no se han identificado tratamientos, encargados, riesgos, bases jurídicas y plazos de conservación, el delegado empieza a trabajar a ciegas. El nombramiento debe acompañarse de una adaptación documental y operativa, no sustituirla.

Por último, conviene evitar los contratos ambiguos. Si se opta por externalizar, deben quedar definidas las funciones, canales de consulta, responsables internos, confidencialidad y forma de actuar ante incidentes. Un servicio claro facilita que el cumplimiento sea continuo y no una reacción apresurada ante una denuncia.

La elección no debe hacerse por comodidad ni por una designación nominal. Debe responder a la capacidad de su empresa para proteger datos personales de forma constante. Si necesita valorar si está obligado a nombrar delegado o si un modelo externo se ajusta mejor a su actividad, una revisión profesional permite tomar la decisión con seguridad jurídica y sin asumir costes innecesarios.