En corto. Quien designa un delegado de protección de datos (DPO) debe hacer tres cosas: formalizar el nombramiento o el contrato de servicios, publicar sus datos de contacto y comunicarlo a la autoridad de control (artículo 37.7 del RGPD). En España, el artículo 34.3 de la LOPDGDD fija el plazo: diez días para comunicar a la Agencia Española de Protección de Datos (AEPD), o a la autoridad autonómica que corresponda, las designaciones, los nombramientos y los ceses. Vale tanto si el DPO es obligatorio como si lo has nombrado por voluntad propia. La AEPD ofrece en su sede electrónica un formulario específico para hacerlo. No comunicarlo o no publicarlo, cuando el nombramiento es exigible, es una infracción leve (artículo 74.p de la LOPDGDD).
Si todavía no sabes si estás obligado, mira primero la guía de cuándo es obligatorio designar un DPO. Si dudas entre un empleado y un proveedor, la comparación está en DPO interno o externo: cuál elegir.
Antes de designar: quién está obligado
Tienen que designarlo los responsables y encargados del tratamiento que caen en alguno de estos supuestos del artículo 37.1 del RGPD:
- El tratamiento lo lleva a cabo una autoridad u organismo público, salvo los tribunales cuando actúan en ejercicio de su función judicial.
- Sus actividades principales requieren una observación habitual y sistemática de interesados a gran escala.
- Sus actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos o de datos sobre condenas e infracciones penales.
A eso se suma el listado del artículo 34.1 de la LOPDGDD, que obliga «en todo caso» a las entidades que enumera, con independencia de su tamaño. Entre ellas están los colegios profesionales, los centros docentes de cualquier nivel y las universidades, las entidades de crédito, las aseguradoras, las empresas de seguridad privada, los centros sanitarios obligados a mantener historias clínicas (con la excepción del profesional de la salud que ejerce a título individual) y las federaciones deportivas cuando tratan datos de menores. El texto completo tiene letras de la a) a la o).
El resto puede designarlo de manera voluntaria (artículo 34.2). Un DPO voluntario queda sometido al mismo régimen que uno obligatorio. Para comprobarlo con tu caso, la guía de obligatoriedad y funciones desarrolla los supuestos.
¿Quién puede ser delegado de protección de datos?
El artículo 37.5 del RGPD dice que se designa por sus cualidades profesionales, en particular por sus conocimientos especializados del Derecho y la práctica en protección de datos y por su capacidad para desempeñar las funciones del artículo 39. No exige un título concreto.
El artículo 35 de la LOPDGDD añade que el cumplimiento de esos requisitos «podrá demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación», que tendrán en cuenta una titulación universitaria con conocimientos especializados en derecho y práctica de la materia. Es decir, la certificación es una forma de acreditar, no un requisito para poder ser nombrado.
Además, puede ser una persona de la plantilla o un tercero con contrato de servicios (artículo 37.6), y no puede tener un conflicto de intereses con otras funciones (artículo 38.6). Esos criterios, con sus ventajas e inconvenientes, están en la comparación de DPO interno o externo.
Pasos para designar un DPO
- Confirma si es obligatorio o voluntario. La respuesta decide si una omisión es infracción (artículos 73.v y 74.p de la LOPDGDD) y qué comunicar.
- Elige a la persona o a la entidad. Comprueba conocimientos, tiempo disponible y ausencia de conflicto de intereses.
- Formaliza la designación. Si es de la plantilla, un nombramiento escrito con fecha, funciones y recursos. Si es externo, un contrato de servicios. Las directrices del Grupo de Trabajo del Artículo 29 recomiendan especificar en el contrato las tareas, el equipo y una persona de contacto principal.
- Garantiza su posición. Participa en tiempo oportuno en las cuestiones de protección de datos (artículo 38.1), dispone de recursos y acceso a los datos (38.2), no recibe instrucciones sobre el ejercicio de sus funciones (38.3) y está sujeto a confidencialidad (38.5).
- Publica sus datos de contacto. Dirección postal, teléfono o correo específico. Lo veremos en el apartado siguiente.
- Comunícalo a la autoridad de control en diez días.
- Actualiza tus documentos. El aviso de privacidad debe llevar los datos de contacto del DPO «en su caso» (artículo 13.1.b del RGPD), y lo mismo la información cuando los datos no se obtienen del interesado (artículo 14.1.b). Avisa también a la plantilla de quién es.
¿Qué hay que publicar y qué hay que comunicar?
El artículo 37.7 del RGPD obliga al responsable o al encargado a publicar los datos de contacto del DPO y a comunicarlos a la autoridad de control. Son dos acciones distintas. Publicar es para los interesados; comunicar es para la autoridad.
Las directrices del Grupo de Trabajo del Artículo 29, que la AEPD publica en su web, explican qué debe contener la publicación: datos que permitan a interesados y autoridades comunicarse de forma sencilla, como una dirección postal, un teléfono específico o un correo electrónico específico. Si procede, pueden ofrecerse otros medios, como una línea directa o un formulario de contacto específico en la web. El objetivo es que cualquiera pueda contactar con el DPO sin pasar por otra parte de la organización.
El artículo 37.7 no exige que la publicación incluya el nombre del DPO. Las directrices dicen que podría ser una buena práctica, y que corresponde decidirlo en cada caso. En cambio, el nombre sí debe comunicarse a la autoridad de control, porque el DPO actúa como su punto de contacto (artículo 39.1.e del RGPD).
¿Cuándo hay que comunicarlo a la AEPD y en qué plazo?
El artículo 34.3 de la LOPDGDD establece que los responsables y encargados «comunicarán en el plazo de diez días» a la AEPD o, en su caso, a las autoridades autonómicas de protección de datos, «las designaciones, nombramientos y ceses» de los delegados, tanto cuando la designación es obligatoria como cuando es voluntaria.
Hay tres cosas que conviene tener claras:
- Los ceses también se comunican. No solo el alta. Si el DPO deja el cargo o termina el contrato, empieza otro plazo de diez días.
- Se comunica aunque sea voluntario. La obligación de comunicar no depende de que el nombramiento sea exigible.
- La LOPDGDD no precisa desde cuándo se cuentan los diez días ni si son hábiles o naturales. La regla general del artículo 30.2 de la Ley 39/2015 es que los plazos señalados por días son hábiles, salvo que una ley diga otra cosa. Como criterio prudente mío, cuéntalos como naturales desde que el nombramiento o el cese surte efecto y comunica sin esperar al último día.
Si tu organización depende de una autoridad autonómica de protección de datos, la comunicación se dirige a esa autoridad. El texto legal habla de «autoridades autonómicas» sin enumerarlas, así que comprueba cuál te corresponde.
¿Cómo se comunica en la sede electrónica de la AEPD?
La página de la AEPD sobre la designación de un delegado de protección de datos indica que pone a disposición de responsables y encargados, a través de su sede electrónica, el «Formulario de Comunicación de persona delegada de protección de datos». La misma página enlaza una consulta pública de los datos de contacto de los delegados comunicados.
No describo aquí el formulario campo por campo. La interfaz de la sede puede cambiar y lo fiable es abrir el formulario desde la página oficial: AEPD, Designación de un delegado de protección de datos. Ten a mano antes de empezar los datos de tu organización, los del DPO, su fecha de nombramiento y los datos de contacto que vas a publicar.
Una vez comunicado, la AEPD mantiene una lista actualizada de delegados accesible por medios electrónicos (artículo 34.4 de la LOPDGDD).
¿Qué pasa si no se comunica o no se designa?
Depende de la conducta: no designar un DPO exigible es infracción grave (artículo 73.v de la LOPDGDD), no posibilitar su participación efectiva también (73.w), y no publicar ni comunicar sus datos de contacto es infracción leve (74.p).
| Conducta | Calificación | Artículo |
|---|---|---|
| No designar DPO cuando es exigible según el artículo 37 del RGPD y el 34 de la LOPDGDD | Grave | 73.v |
| No posibilitar su participación efectiva en las cuestiones de protección de datos, no respaldarlo o interferir en sus funciones | Grave | 73.w |
| No publicar los datos de contacto del DPO o no comunicarlos a la autoridad, cuando su nombramiento sea exigible | Leve | 74.p |
Según el artículo 73, las infracciones graves prescriben a los dos años. Según el artículo 74, las leves prescriben al año.
Fíjate en la letra p) del artículo 74: habla de nombramiento «exigible». Para un DPO voluntario, la obligación de comunicar existe igualmente en el artículo 34.3, pero la tipificación de esa letra se refiere al caso exigible. No desarrollo aquí cómo encajaría el incumplimiento en un DPO voluntario.
Por encima de la LOPDGDD, el artículo 83.4.a del RGPD sanciona las infracciones de las obligaciones de los artículos 25 a 39 con multas de hasta 10 millones de euros o, tratándose de una empresa, de hasta el 2 % del volumen de negocio total anual global del ejercicio anterior, optándose por la cuantía mayor. Son topes máximos, no tarifas. Para estimar un rango con tus datos puedes usar la calculadora de sanciones del RGPD.
¿Qué hay que hacer si cambia el DPO o cesa?
Cualquier cambio de persona o de entidad es un cese y un nombramiento, y las dos cosas se comunican en diez días (artículo 34.3 de la LOPDGDD). Un cese sin sustituto, cuando la designación es obligatoria, deja a la organización sin DPO y activa el riesgo del artículo 73.v.
Un orden razonable:
- Nombrar al nuevo DPO antes de que termine el anterior, para evitar un vacío.
- Comunicar el cese y la nueva designación.
- Actualizar los datos de contacto publicados, el aviso de privacidad y la información interna.
- Pedir al saliente que entregue la documentación que haya generado.
Aunque el texto no menciona expresamente la actualización de los datos de contacto, si estos cambian conviene comunicarlos también, porque la AEPD mantiene una lista actualizada (artículo 34.4). Es una deducción mía, no una obligación literal.
La protección del DPO ante un cese forzado también cuenta. El artículo 38.3 del RGPD impide destituirlo o sancionarlo por desempeñar sus funciones. Para la persona integrada en la organización, el artículo 36.2 de la LOPDGDD precisa que no puede ser removida ni sancionada salvo dolo o negligencia grave. Si el cese viene de una discrepancia con su criterio, el riesgo es doble: la sanción por el cese y la del artículo 73.w por interferir en su trabajo.
Preguntas frecuentes
¿Hay que comunicar a la AEPD un DPO voluntario?
Sí. El artículo 34.3 de la LOPDGDD obliga a comunicar las designaciones, nombramientos y ceses de los delegados «tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria». Además, el DPO voluntario queda sometido al mismo régimen que el obligatorio (artículo 34.2).
¿En qué plazo hay que comunicar el nombramiento del DPO?
En diez días, según el artículo 34.3 de la LOPDGDD. La LOPDGDD no aclara si son naturales o hábiles ni desde qué momento se cuentan; la regla general del artículo 30.2 de la Ley 39/2015 es que los plazos por días son hábiles. Lo prudente es contarlos como naturales, comunicar cuanto antes y conservar el justificante con la fecha del nombramiento y la de la comunicación.
¿Hay que publicar el nombre del DPO?
No necesariamente. El artículo 37.7 del RGPD pide publicar «los datos de contacto», y las directrices del Grupo de Trabajo del Artículo 29 aclaran que no requiere incluir el nombre, aunque puede ser buena práctica. Sí hay que comunicar el nombre a la autoridad de control.
¿Qué ocurre si no comunico el cese de mi DPO?
El artículo 34.3 de la LOPDGDD incluye los ceses entre lo que hay que comunicar en diez días. Si el DPO era exigible y no lo has comunicado ni lo has publicado, encaja en la infracción leve del artículo 74.p. Si además te quedas sin DPO cuando es obligatorio, entra la infracción grave del artículo 73.v.
¿Quién comunica la designación si el DPO es externo?
El responsable o el encargado del tratamiento, no el DPO. El artículo 37.7 del RGPD pone la obligación de publicar y comunicar en «el responsable o el encargado del tratamiento». Un DPO externo puede ayudarte a preparar los datos y a presentar la comunicación, pero la obligación es de la organización que lo designa.
¿Un grupo de empresas puede comunicar un único DPO?
El artículo 37.2 del RGPD permite que un grupo empresarial nombre un único DPO si es fácilmente accesible desde cada establecimiento. La obligación de publicar y comunicar sus datos corresponde a cada responsable o encargado, según el artículo 37.7. Cuántas comunicaciones hacen falta en un grupo concreto depende de cuántas entidades sean responsables o encargadas.
Ayuda para designar y comunicar
Si quieres un DPO que te acompañe desde la designación, mira el servicio de DPO externo. Si solo necesitas revisar tu caso antes de decidir, reserva una consulta: la primera sesión de 30 minutos no tiene coste. El resto del tema está recogido en el hub de protección de datos para empresas.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), copia en el BOE (DOUE-L-2016-80807): artículos 13.1.b, 14.1.b, 37, 38, 39 y 83.4.
- Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, texto consolidado (BOE-A-2015-10565): artículo 30.2.
- Ley Orgánica 3/2018 (LOPDGDD), texto consolidado (BOE-A-2018-16673): artículos 34, 35, 36, 73 y 74.
- AEPD: Designación de un delegado de protección de datos: formulario de comunicación en la sede electrónica y consulta de la lista de delegados.
- AEPD: Directrices sobre los delegados de protección de datos (WP 243 rev.01): apartado 2.6, publicación y comunicación de los datos de contacto.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.