Precio de un DPO externo: qué incluye y de qué depende

En corto: cuánto cuesta un DPO externo y qué incluye

El precio de un DPO externo depende de la dedicación que necesite tu empresa, y por eso no publico una tarifa cerrada. Lo mueven el tamaño de la organización, el número y el tipo de tratamientos, los datos de categorías especiales, las evaluaciones de impacto, las sedes y lo que ya tengas documentado.

Qué hago, cómo trabajo y cómo contratarlo está en la página del servicio de DPO externo. Aquí explico de qué depende el presupuesto, qué incluye y cómo comparar ofertas.

Un DPO externo es un delegado de protección de datos que trabaja para tu empresa con un contrato de servicios, en lugar de figurar en tu plantilla. El Reglamento lo permite expresamente: el delegado «podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios» (art. 37.6 RGPD).

Nombrar un delegado, interno o externo, es obligatorio si tu actividad cae en alguno de los supuestos del artículo 37.1 del RGPD o del artículo 34.1 de la LOPDGDD. Si no cae en ninguno, puedes nombrarlo igualmente de forma voluntaria (art. 34.2 LOPDGDD).

Yo presto este servicio. Si quieres que revise contigo si te obliga y cómo sería la dedicación, reserva una consulta.

De qué depende el precio de un DPO externo

No publico una tarifa cerrada, porque la dedicación cambia mucho de una empresa a otra. Estos son los factores que mueven el presupuesto:

No cito horquillas de precio de otros proveedores: una cifra sin su alcance (tratamientos, horas, servicios incluidos) no permite comparar. Con los datos de tu empresa te preparo un presupuesto con el alcance y la dedicación por escrito.

Qué datos necesito para preparar tu presupuesto

Con esta información puedo ajustar el presupuesto desde la primera conversación:

• Cuántas personas trabajan en la organización y cuántas sedes o sociedades hay.
• Qué datos tratas y para qué: clientes, personal, web, cámaras, proveedores.
• Si tratas datos de salud, de menores u otras categorías especiales.
• Si ya tienes registro de actividades de tratamiento, política de privacidad y contratos con encargados.
• Si hay evaluaciones de impacto pendientes o brechas de seguridad anteriores.
• Si estás obligado a nombrar delegado o lo harías de forma voluntaria.

Con eso, reserva una consulta. La primera sesión de 30 minutos es sin coste.

Qué incluye mi servicio de DPO externo

Esto es lo que incluye; la descripción completa del servicio está en la página de DPO externo. Me ocupo personalmente del servicio y adapto la dedicación a tu empresa (el art. 34.5 de la LOPDGDD permite fijar dedicación completa o parcial según el volumen de tratamientos, si se tratan categorías especiales de datos y los riesgos). El servicio cubre:

• Revisión inicial de tus tratamientos y de lo que ya tienes documentado, con una lista de lo que falta.
• Apoyo para elaborar y mantener el registro de actividades de tratamiento. Si quieres adelantar trabajo, puedes usar el generador del registro de actividades de tratamiento.
• Asesoramiento en evaluaciones de impacto y supervisión de las medidas que salgan de ellas. Tienes una explicación en la guía de evaluación de impacto.
• Atención a consultas internas de tu equipo sobre protección de datos.
• Formación y concienciación del personal que trata datos.
• Apoyo ante una brecha de seguridad, incluida la valoración de si hay que notificarla. Puedes consultar antes la herramienta para saber si notificar una brecha a la AEPD.
• Punto de contacto con la AEPD y con las personas que ejerzan sus derechos.
• Informe periódico a tu dirección sobre el estado del cumplimiento.

Para conocer lo que está en juego si no se cumple, la calculadora de sanciones RGPD te da una referencia. El marco general está en la guía de cumplimiento del RGPD para empresas.

Cómo comparar presupuestos de DPO externo

Dos ofertas con la misma cifra pueden cubrir cosas distintas. Antes de decidir, pide que el presupuesto diga por escrito:

• Qué funciones del artículo 39.1 del RGPD cubre y cuáles quedan fuera.
• Qué dedicación incluye y qué ocurre cuando se supera.
• Si las evaluaciones de impacto, la formación y el apoyo ante brechas están dentro o se facturan aparte.
• Cómo se garantiza su independencia: que no reciba instrucciones sobre cómo desempeñar sus funciones y rinda cuentas al más alto nivel (art. 38.3).
• Cómo se hace la comunicación del nombramiento a la AEPD en diez días (art. 34.3 LOPDGDD) y la publicación de sus datos de contacto (art. 37.7 RGPD).
• Que no tenga otras funciones que den lugar a conflicto de intereses (art. 38.6).
• Si el contrato recoge el deber de confidencialidad (art. 38.5) y el acceso a datos y tratamientos que necesita (art. 38.2).
• Qué formación y actualización acredita quien presta el servicio.

Antes de contratarlo: si tu empresa está obligada

La obligación sale de dos normas que se suman. El RGPD lo exige cuando el tratamiento lo lleva a cabo una autoridad u organismo público (salvo los tribunales en su función judicial), cuando tu actividad principal exige observar de forma habitual y sistemática a personas a gran escala, o cuando tu actividad principal consiste en tratar a gran escala categorías especiales de datos, como los de salud, o datos de condenas e infracciones penales. La LOPDGDD añade una lista de entidades obligadas en todo caso: colegios profesionales, centros docentes, aseguradoras, centros sanitarios obligados a mantener historias clínicas (se exceptúan los profesionales de la salud que ejercen a título individual), empresas de seguridad privada y otras.

El detalle completo, con ejemplos de pymes obligadas y no obligadas, está en la guía sobre cuándo es obligatorio el delegado de protección de datos. Aquí me centro en el coste y en contratarlo. Si dudas entre un delegado de plantilla y uno externo, mira DPO interno o externo: cuál elegir.

Qué asume el delegado externo en tu empresa

Sus funciones mínimas las fija el artículo 39.1 del RGPD: informar y asesorar, supervisar el cumplimiento del Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de tus políticas internas, asesorar sobre la evaluación de impacto cuando se le solicite, y cooperar con la autoridad de control como su punto de contacto. La lista completa, función por función, está en la guía sobre las funciones del DPO.

El artículo 39.2 añade que debe hacerlo atendiendo a los riesgos de cada tratamiento, según su naturaleza, alcance, contexto y fines. Por eso una academia pequeña necesita menos dedicación que un centro sanitario.

La LOPDGDD suma dos cosas. El delegado es el interlocutor de tu empresa ante la Agencia Española de Protección de Datos y las autoridades autonómicas, y puede inspeccionar los procedimientos relacionados con la ley y emitir recomendaciones (art. 36.1). Y si aprecia una vulneración relevante, la documenta y la comunica de inmediato a tu dirección (art. 36.4).

Requisitos: quién puede ser DPO y si puede ser externo

El delegado se designa por sus cualidades profesionales y, en particular, por sus conocimientos especializados del Derecho y la práctica en protección de datos y por su capacidad para desempeñar las funciones del artículo 39 (art. 37.5 RGPD). No hay un carné obligatorio.

La LOPDGDD dice que el cumplimiento de estos requisitos, sea persona física o jurídica, «podrá demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación», que tienen en cuenta en particular una titulación universitaria en la materia (art. 35). La certificación es voluntaria y sirve para acreditar esa cualificación. La AEPD promueve el Esquema AEPD-DPD, con entidades certificadoras acreditadas por ENAC, y aclara que esta certificación no es obligatoria para ejercer como DPD. Al elegir proveedor, pide que te explique su formación y cómo mantiene sus conocimientos.

Sí puede ser externo, y puede ser una persona o una empresa. Dos obligaciones de tu lado no cambian por contratarlo fuera: publicar los datos de contacto del delegado y comunicarlos a la autoridad de control (art. 37.7 RGPD), y respaldarlo con los recursos y el acceso a datos y tratamientos que necesite (art. 38.2).

Independencia y conflicto de intereses

Contratarlo fuera no te libera de garantizar su posición. El artículo 38 del RGPD exige que:

• Participe de forma adecuada y en tiempo oportuno en todas las cuestiones de protección de datos (art. 38.1).
• No reciba instrucciones sobre cómo desempeñar sus funciones, no sea destituido ni sancionado por desempeñarlas, y rinda cuentas al más alto nivel jerárquico (art. 38.3).
• Mantenga el secreto o la confidencialidad (art. 38.5).
• Si hace otras funciones, no tenga conflicto de intereses (art. 38.6).

En la práctica, un delegado externo no debe ser la misma persona que decide sobre tus tratamientos. Y con un delegado externo, el riesgo es avisarle tarde: si se le informa cuando el proyecto ya está en marcha, la participación en tiempo oportuno no se cumple. Por eso en mi servicio acordamos desde el principio cómo y cuándo me consulta tu equipo.

Comunicación del nombramiento a la AEPD

Los responsables y encargados comunican a la Agencia Española de Protección de Datos, o a la autoridad autonómica que corresponda, las designaciones, nombramientos y ceses de delegados en el plazo de diez días, tanto si la designación es obligatoria como si es voluntaria (art. 34.3 LOPDGDD). Además, los datos de contacto deben publicarse, por ejemplo en tu política de privacidad (art. 37.7 RGPD).

La Agencia mantiene una lista actualizada de delegados, accesible por medios electrónicos (art. 34.4). En el alta te acompaño en esa comunicación. El paso a paso, con los plazos y la sanción por no hacerla, está en cómo designar al DPO y comunicarlo a la AEPD en diez días.

Cómo empezamos

1. Hablamos en una primera consulta para ver tu actividad, los datos que tratas y si estás obligado o te conviene nombrarlo.
2. Te envío una propuesta con el alcance y la dedicación que propongo.
3. Firmamos el contrato de servicios, que recoge mis funciones, el deber de confidencialidad y mi independencia (no recibo instrucciones sobre cómo desempeñar mis funciones).
4. Hago la revisión inicial y acordamos un plan de trabajo.
5. Comunicas el nombramiento a la AEPD en diez días, con mi acompañamiento, y publicas mis datos de contacto.
6. Seguimos con el trabajo recurrente y el informe periódico.

Preguntas frecuentes

¿Puede una empresa contratar un DPO externo?

Sí. El artículo 37.6 del RGPD permite que el delegado desempeñe sus funciones en el marco de un contrato de servicios, y la LOPDGDD admite que sea persona física o jurídica (art. 35). Ante la autoridad de control es tan válido como uno interno, siempre que tenga la cualificación exigida y se respete su independencia.

¿Qué incluye el servicio de DPO externo?

Incluye, como mínimo, las funciones del artículo 39.1 del RGPD: informar y asesorar, supervisar el cumplimiento, asesorar sobre la evaluación de impacto, cooperar con la autoridad de control y ser su punto de contacto. En mi servicio las concreto en revisión inicial, registro de actividades de tratamiento, evaluaciones de impacto, formación, gestión de brechas, informe periódico a la dirección y acompañamiento ante la AEPD.

¿Hay que comunicar a la AEPD que se ha contratado un DPO?

Sí. La LOPDGDD obliga a comunicar la designación, el nombramiento y el cese en el plazo de diez días a la AEPD o a la autoridad autonómica, tanto si la designación es obligatoria como voluntaria (art. 34.3). Además, hay que publicar los datos de contacto del delegado (art. 37.7 RGPD).

¿Hace falta un título o certificado para ser DPO?

No hay un título obligatorio. El RGPD pide cualidades profesionales y conocimientos especializados de Derecho y práctica de protección de datos (art. 37.5). La LOPDGDD dice que pueden demostrarse, entre otros medios, mediante certificaciones voluntarias, con una titulación universitaria en la materia como elemento que esos mecanismos tienen en cuenta (art. 35). La certificación ayuda a acreditarlo, pero no es una condición legal.

¿Puede ser DPO el responsable de sistemas o el director financiero?

Por regla general, no. El artículo 38.6 del RGPD permite que el delegado haga otras funciones, siempre que no den lugar a conflicto de intereses, y las directrices europeas sobre el delegado de protección de datos (WP243) citan al director financiero y al director de TI entre los cargos que suelen estar en conflicto. Quien decide los medios y fines de los tratamientos, como suele ocurrir con dirección, finanzas, recursos humanos o sistemas, estaría supervisándose a sí mismo.

¿Cuánto cuesta un DPO externo para una pyme?

Depende de la dedicación que necesite la empresa, y no publico una tarifa cerrada. Pesan el tamaño de la organización, el número de tratamientos, los datos de categorías especiales, si hacen falta evaluaciones de impacto, el número de sedes y lo que ya esté documentado. Tras una primera consulta te envío un presupuesto con el alcance y la dedicación.

¿Cómo pido presupuesto de un DPO externo?

Reservando la primera sesión de 30 minutos, sin coste, en la página de reservas. Qué incluye y cómo trabajo está en la página del servicio de DPO externo.

¿Quién responde si hay una sanción: el DPO o la empresa?

La responsabilidad de cumplir el Reglamento sigue siendo de tu empresa como responsable del tratamiento (art. 24 RGPD). El delegado supervisa y asesora (art. 39.1), y el artículo 70.2 de la LOPDGDD dice que no se le aplica el régimen sancionador de su título IX. Contratar un DPO no traslada la responsabilidad a nadie, aunque sí ayuda a cumplir y a demostrarlo.

Pide presupuesto para tu empresa

Si quieres saber si estás obligado a nombrar un delegado, o ya sabes que lo necesitas y buscas un DPO externo, empieza por el servicio de DPO externo o reserva una consulta. Te digo qué dedicación necesitaría tu caso y te preparo el presupuesto.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), texto consolidado, arts. 24 y 37 a 39, EUR-Lex
• Ley Orgánica 3/2018 (LOPDGDD), texto consolidado, arts. 34 a 36 y 70, BOE
• Agencia Española de Protección de Datos: delegado de protección de datos
• Agencia Española de Protección de Datos: certificación de delegados (Esquema AEPD-DPD)
• Directrices sobre los delegados de protección de datos (WP243 rev.01), copia publicada por la AEPD