DPO externo: delegado de protección de datos para tu empresa
Soy Ángel Ortega Castro. Presto el servicio de DPO externo a pymes y empresas de toda España, en remoto. Reviso cómo tratas los datos personales, ordeno el registro de actividades, te asesoro en las evaluaciones de impacto, formo a tu equipo, te acompaño ante una brecha, te entrego un informe periódico y, si llega el caso, te acompaño también ante la AEPD. Primera sesión de 30 minutos sin coste.
En corto: qué es un DPO externo y cuándo conviene
Un DPO externo es el delegado de protección de datos que trabaja para tu empresa mediante un contrato de servicios, sin formar parte de tu plantilla. El RGPD lo prevé en su artículo 37.6: el delegado «podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios». Puede ser una persona física o jurídica (art. 35 LOPDGDD).
Conviene cuando tu empresa está obligada a designar un DPO, o quiere tenerlo, y no justifica a una persona dedicada. La LOPDGDD permite fijar una dedicación completa o a tiempo parcial en función del volumen de los tratamientos, la categoría especial de los datos o los riesgos para los derechos y libertades de los interesados (art. 34.5). También conviene cuando el conocimiento especializado no está dentro de tu equipo.
Contratar un DPO virtual, externalizado o «delegado de protección de datos externo» es la misma figura con otros nombres: la ley solo distingue entre plantilla y contrato de servicios. Lo que no cambia es quién responde: tu empresa sigue siendo el responsable del tratamiento, que es quien determina los fines y medios (art. 4.7 RGPD). El DPO informa, asesora y supervisa (art. 39.1). Si todavía no sabes si te hace falta uno, empieza por la guía sobre cuándo es obligatorio el DPO y qué funciones tiene.
Quién está obligado a tener un DPO y cuándo es voluntario.
El artículo 37.1 del RGPD obliga a designar un DPO, al responsable y al encargado del tratamiento, siempre que se dé alguno de estos tres supuestos: que el tratamiento lo lleve a cabo una autoridad u organismo público (salvo los tribunales en su función judicial); que las actividades principales consistan en operaciones que requieran una observación habitual y sistemática de interesados a gran escala; o que consistan en el tratamiento a gran escala de categorías especiales de datos (art. 9) y de datos sobre condenas e infracciones penales (art. 10).
El artículo 37 no fija ninguna cifra para «gran escala», ni de empleados ni de personas afectadas, así que cada caso se razona con su contexto. La LOPDGDD añade una lista: además de los supuestos del RGPD, están obligadas «en todo caso» las entidades del artículo 34.1.
| Letra | Entidad |
|---|---|
| a) | Colegios profesionales y sus consejos generales. |
| b) | Centros docentes que ofrezcan enseñanzas en cualquiera de los niveles de la legislación reguladora del derecho a la educación, y universidades públicas y privadas. |
| c) | Entidades que exploten redes y presten servicios de comunicaciones electrónicas, cuando traten habitual y sistemáticamente datos personales a gran escala. |
| d) | Prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio. |
| e) | Entidades incluidas en el artículo 1 de la Ley 10/2014, de ordenación, supervisión y solvencia de entidades de crédito. |
| f) | Establecimientos financieros de crédito. |
| g) | Entidades aseguradoras y reaseguradoras. |
| h) | Empresas de servicios de inversión reguladas por la legislación del Mercado de Valores. |
| i) | Distribuidores y comercializadores de energía eléctrica y de gas natural. |
| j) | Entidades responsables de ficheros comunes de solvencia patrimonial y crédito o de gestión y prevención del fraude, incluidos los regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo. |
| k) | Entidades de publicidad y prospección comercial, incluidas la investigación comercial y de mercados, cuando traten datos según las preferencias de los afectados o elaboren perfiles. |
| l) | Centros sanitarios legalmente obligados a mantener las historias clínicas de los pacientes. Se exceptúan los profesionales de la salud que ejerzan su actividad a título individual. |
| m) | Entidades cuyo objeto incluya la emisión de informes comerciales que puedan referirse a personas físicas. |
| n) | Operadores de juego a través de canales electrónicos, informáticos, telemáticos e interactivos. |
| ñ) | Empresas de seguridad privada. |
| o) | Federaciones deportivas cuando traten datos de menores de edad. |
Fuente: artículo 34.1 de la LOPDGDD en su texto consolidado del BOE, última actualización publicada el 27 de diciembre de 2025.
Y si no estás en ninguno de los casos anteriores: puedes designar un DPO de forma voluntaria (art. 34.2 LOPDGDD). Si lo haces, queda sometido al mismo régimen: se comunica a la AEPD, se publican sus datos de contacto y se le garantizan las condiciones de independencia del artículo 38 del RGPD. Quien no designa un DPO cuando es exigible comete una infracción grave (art. 73.v LOPDGDD). Para saber qué te jugarías, tienes la calculadora de sanciones del RGPD.
Qué incluye mi servicio de DPO externo y qué entrego en cada punto.
Es el servicio completo de delegado de protección de datos, no una sola función. Tu empresa sigue siendo el responsable del tratamiento y toma las decisiones; yo asesoro, superviso y preparo la documentación.
- 1. Revisión inicial. Reviso qué datos personales tratas, para qué, con qué base y quién accede a ellos: contratos con proveedores que los manejan, avisos de privacidad, medidas de seguridad y cómo atiendes hoy las solicitudes de las personas. Te entrego un informe de situación con lo que falta, ordenado por riesgo, y un plan de trabajo.
- 2. Registro de actividades de tratamiento. Preparo el registro del artículo 30 del RGPD con el contenido que exige: responsable y datos de contacto del DPO, fines, categorías de interesados y de datos, destinatarios, transferencias, plazos de supresión y medidas de seguridad. La excepción para empresas de menos de 250 personas (art. 30.5) no vale si el tratamiento no es ocasional, entraña riesgo o incluye categorías especiales de datos o datos relativos a condenas e infracciones penales, y la gestión de clientes o de nóminas no es ocasional. Recibes el registro en un formato que tu equipo puede mantener; si quieres hacer un primer borrador tú, tienes el generador de registro de actividades de tratamiento.
- 3. Evaluaciones de impacto (EIPD). La evaluación la realiza el responsable, que debe recabar el asesoramiento del DPO (art. 35.2); yo superviso su aplicación (art. 39.1.c). Te ayudo a decidir si hace falta según el artículo 35.3 y las listas de la AEPD (art. 35.4), a describir el tratamiento, a valorar riesgos y a definir medidas, y te dejo la evaluación documentada. Si la evaluación muestra un alto riesgo que las medidas no llegan a mitigar, procede la consulta previa a la AEPD (art. 36) y te ayudo a plantearla. La metodología está en la guía de la evaluación de impacto (EIPD).
- 4. Formación. Formo a las personas que tratan datos en tu organización, con sesiones ajustadas a su puesto y material que se queda en la empresa. La concienciación y la formación del personal están entre las funciones de supervisión del DPO (art. 39.1.b).
- 5. Gestión de brechas. Preparo contigo el procedimiento: cómo se detecta una brecha, quién decide y qué se documenta. Cuando ocurre una, valoro si hay que notificarla a la AEPD sin dilación indebida y, de ser posible, en 72 horas desde que se tuvo constancia (art. 33.1 RGPD), y si hay que comunicarla a los afectados por alto riesgo (art. 34.1). La notificación la presenta el responsable; yo preparo su contenido y dejo la brecha documentada (art. 33.5). Antes de que ocurra, puedes probar la herramienta para decidir si notificar una brecha a la AEPD.
- 6. Informe periódico. Entrego a la dirección un informe de lo hecho y de lo pendiente: consultas atendidas, cambios en los tratamientos, incidentes, riesgos abiertos y próximas acciones. El DPO rinde cuentas directamente al más alto nivel jerárquico (art. 38.3 RGPD) y, si aprecia una vulneración relevante, la documenta y la comunica inmediatamente a la dirección (art. 36.4 LOPDGDD). La periodicidad la acordamos al contratar.
- 7. Acompañamiento ante la AEPD. Actúo como interlocutor de tu empresa ante la AEPD (art. 36.1 LOPDGDD) y como punto de contacto para las consultas, incluida la consulta previa (art. 39.1.e RGPD). Si una persona se dirige antes al DPO, la decisión se le comunica en un máximo de dos meses; si la AEPD te traslada una reclamación, el DPO responde en un mes (art. 37 LOPDGDD). Preparo esa respuesta y reúno la documentación.
Cómo trabajamos, del diagnóstico al informe periódico.
El orden importa: no se redactan procedimientos antes de saber qué datos tratas, ni se evalúa un impacto sin describir el tratamiento. Cada fase termina en algo que puedes revisar.
| Fase | Qué hacemos | Qué recibes |
|---|---|---|
| Fase 01 Primera sesión | 30 minutos, sin coste y en remoto. Me cuentas qué datos tratas y qué te preocupa, y vemos si estás obligado a designar un DPO. | Una orientación clara y, si encaja, una propuesta con alcance y honorarios. |
| Fase 02 Revisión inicial | Análisis de tus tratamientos, contratos con proveedores, avisos de privacidad, medidas de seguridad y atención de derechos. | Informe de situación y plan de trabajo ordenado por riesgo. |
| Fase 03 Puesta en orden | Registro de actividades, procedimientos para atender derechos y gestionar brechas, contrato de servicios y comunicación de la designación a la AEPD. | Registro de actividades, procedimientos escritos y designación comunicada. |
| Fase 04 Funcionamiento continuo | Consultas de tu equipo, evaluaciones de impacto cuando surge un tratamiento nuevo, brechas que se produzcan y formación. | Respuestas y documentación de cada evaluación, brecha y sesión. |
| Fase 05 Informe periódico | Repaso de lo hecho, de los cambios y de los riesgos abiertos, y ajuste del plan. Acompañamiento ante la AEPD cuando toca. | Informe a la dirección y plan actualizado. |
No publico plazos por fase porque dependen del punto de partida, del número de tratamientos y de la rapidez con que tu equipo me dé la información. Los fijo al terminar la revisión inicial.
Independencia, conflicto de intereses y cualificación del DPO.
Un DPO sirve si puede decirte lo que no quieres oír. Por eso el RGPD le da una posición protegida, y tu empresa tiene que respetarla también con un DPO externo.
| Artículo | Qué exige | Qué significa en la práctica |
|---|---|---|
| 38.1 RGPD | Que el DPO participe de forma adecuada y en tiempo oportuno en todas las cuestiones de protección de datos. | Se me consulta antes de lanzar un tratamiento nuevo, no después. |
| 38.2 RGPD | Respaldo, recursos, acceso a los datos y a las operaciones de tratamiento, y mantenimiento de sus conocimientos. | Tengo acceso a lo que necesito para supervisar. |
| 38.3 RGPD | Ninguna instrucción sobre el desempeño de sus funciones, ni destitución ni sanción por desempeñarlas, y rendición de cuentas al más alto nivel jerárquico. | Informo a la dirección, y la dirección no me dicta qué concluir. |
| 38.5 RGPD | Deber de secreto y confidencialidad en el desempeño de sus funciones. | Lo que conozco de tu empresa queda en el servicio. |
| 38.6 RGPD | Puede tener otras funciones, siempre que no den lugar a conflicto de intereses. | Ver el párrafo siguiente. |
| 36.2 y 36.3 LOPDGDD | Independencia dentro de la organización, evitar cualquier conflicto de intereses, y acceso a los datos sin que pueda oponerse un deber de confidencialidad. | La ley española refuerza la posición del DPO frente al responsable. |
El RGPD no enumera cargos incompatibles: obliga a garantizar que las otras funciones del DPO no den lugar a conflicto de intereses (art. 38.6). Por eso, en este servicio asesoro y superviso, y no decido por tu empresa los fines ni los medios del tratamiento. Eso lo decide tu dirección. Impedir la participación del DPO, no respaldarlo o interferir en su trabajo es una infracción grave (art. 73.w LOPDGDD). Todo esto queda por escrito en el contrato de servicios.
Cualificación: qué pide la ley y qué no
El DPO se designa atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en protección de datos y a su capacidad para desempeñar las funciones del artículo 39 (art. 37.5 RGPD). La LOPDGDD precisa que esos requisitos pueden demostrarse, entre otros medios, mediante mecanismos voluntarios de certificación que tengan en cuenta una titulación universitaria con conocimientos especializados en la materia (art. 35). La AEPD ha optado por promover un esquema de certificación de DPD, según explica en su página sobre la designación de un delegado de protección de datos.
La certificación es, por tanto, una vía voluntaria y no el único modo de acreditar conocimientos. Mi trayectoria está en Sobre mí. Pide a cualquier DPO que te explique su formación y su experiencia antes de firmar.
Designar al DPO externo y comunicarlo a la AEPD.
Contratar al DPO no termina el trámite. Hay cuatro pasos y uno de ellos tiene plazo.
- Decidir si es obligatorio o voluntario. Según los supuestos del artículo 37.1 del RGPD y del artículo 34.1 de la LOPDGDD, explicados más arriba.
- Firmar el contrato de servicios. Es la fórmula que prevé el artículo 37.6 del RGPD. Recoge el alcance de las funciones, el acceso a la información y la independencia del DPO.
- Comunicarlo a la AEPD en diez días. Los responsables y encargados comunican las designaciones, los nombramientos y los ceses, tanto si la designación es obligatoria como si es voluntaria (art. 34.3 LOPDGDD). La AEPD ofrece un formulario de comunicación en su sede electrónica y mantiene una lista de los DPO comunicados (art. 34.4 LOPDGDD; página de la AEPD citada arriba).
- Publicar los datos de contacto. El RGPD obliga a publicar los datos de contacto del DPO y a comunicarlos a la autoridad de control (art. 37.7). No publicarlos o no comunicarlos, cuando el nombramiento es exigible, es una infracción leve (art. 74.p LOPDGDD).
Las obligaciones de los artículos 25 a 39 del RGPD, entre ellas las del DPO, se sancionan con multas de hasta 10 millones de euros o, en una empresa, el 2 % del volumen de negocio total anual global del ejercicio anterior, optando por la cuantía mayor (art. 83.4.a RGPD). El procedimiento completo, con ejemplos, está en cómo designar al DPO y comunicarlo a la AEPD en diez días.
DPO interno o externo: las diferencias que fija la norma.
El RGPD admite las dos fórmulas (art. 37.6). Esto es lo que dicen la norma y su aplicación a cada una; la comparación completa, con criterios para decidir, está en DPO interno o externo: cuál elegir.
| Criterio | DPO interno | DPO externo |
|---|---|---|
| Vínculo | Forma parte de la plantilla. | Contrato de servicios, con una persona física o jurídica. |
| Dedicación | Completa o parcial, según volumen, datos y riesgos (art. 34.5 LOPDGDD). | La misma regla: se pacta en el contrato. |
| Independencia | Sin instrucciones ni destitución por sus funciones; la LOPDGDD (art. 36.2) lo refuerza con la protección frente a la remoción, salvo dolo o negligencia grave. | Sin instrucciones ni destitución ni sanción por desempeñar sus funciones (art. 38.3 RGPD). |
| Conflicto de intereses | Cuidado con otros puestos en la empresa (art. 38.6). | Se revisa el alcance del contrato para que no asuma decisiones propias del responsable. |
De qué depende el precio de un DPO externo.
No publico una cifra, porque sin conocer tu caso sería inventarla. Esto es lo que mueve el presupuesto de cualquier DPO externo.
- Volumen y tipo de tratamientos. No es lo mismo una pyme con clientes y nóminas que una entidad con muchos sistemas y proveedores.
- Categorías especiales de datos. Salud, datos de menores o perfiles aumentan el riesgo y el trabajo. La LOPDGDD los cita como criterios de dedicación (art. 34.5).
- Punto de partida. Una empresa con registro, contratos y avisos al día pide menos trabajo inicial que otra que parte de cero.
- Evaluaciones de impacto y brechas. Cada EIPD y cada incidente suman horas, y no se saben de antemano.
- Estructura. Un grupo empresarial puede nombrar un único DPO si es fácilmente accesible desde cada establecimiento (art. 37.2 RGPD).
- Dedicación y formación pactadas. Cuántas sesiones, qué periodicidad de informe y qué disponibilidad.
Tras la primera sesión de 30 minutos, que no tiene coste, te preparo una propuesta con alcance y honorarios. Para entender cada factor y qué debería incluir un presupuesto, tienes cuánto cuesta un DPO externo para una pyme y de qué depende.
DPO externo, ENS e ISO 27001: cómo encajan.
El RGPD exige aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (art. 32.1) y regula la notificación de las brechas (arts. 33 y 34). El Esquema Nacional de Seguridad y la norma ISO/IEC 27001 son marcos para organizar esa seguridad. No sustituyen al RGPD ni al DPO, y el DPO no sustituye a quien dirige la seguridad: supervisa que el tratamiento de datos personales cumpla.
Si vendes a la Administración y te piden el ENS, o un cliente te pide ISO 27001, parte del trabajo se apoya en las mismas piezas: inventario de lo que tratas, análisis de riesgos y gestión de incidentes. Merece la pena hacerlo de forma coordinada. Tienes mis servicios de consultoría ENS para empresas y de consultor ISO 27001 para pymes, y la guía sobre cómo encajan el ENS y el RGPD.
Dos sectores con dudas frecuentes.
Colegios y centros docentes
Los centros docentes de cualquier nivel y las universidades están en la lista del artículo 34.1.b de la LOPDGDD: deben designar un DPO. Lo desarrollo en DPO en colegios y centros educativos.
Comunidades de propietarios
Una comunidad de propietarios no está obligada a designar un DPO: no figura entre los supuestos del artículo 37 del RGPD ni en la lista del artículo 34.1 de la LOPDGDD, como confirma la AEPD. Puede designarlo de forma voluntaria (art. 34.2). Lo explico en ¿necesita DPO una comunidad de propietarios?.
Dudas habituales sobre el DPO externo.
¿Qué es un DPO externo?
Es el delegado de protección de datos (DPO o DPD) que presta sus servicios a tu empresa en virtud de un contrato de servicios, en lugar de formar parte de tu plantilla. El artículo 37.6 del RGPD lo permite expresamente. Sus funciones son las mismas que las de un DPO interno: informar y asesorar, supervisar el cumplimiento, asesorar en las evaluaciones de impacto y cooperar con la AEPD (art. 39.1). Los términos DPO virtual, DPO externalizado y delegado de protección de datos externo nombran lo mismo.
¿Es obligatorio contratar un DPO?
Solo en los supuestos del artículo 37.1 del RGPD (autoridad u organismo público; observación habitual y sistemática de interesados a gran escala; tratamiento a gran escala de categorías especiales de datos o de datos sobre condenas e infracciones penales) y en las entidades que lista el artículo 34.1 de la LOPDGDD, como centros docentes, aseguradoras, entidades financieras o centros sanitarios con historias clínicas. Si no estás en ninguno, puedes designarlo de forma voluntaria (art. 34.2 LOPDGDD) y entonces rige el mismo régimen. Los supuestos, uno a uno, están en la guía de obligatoriedad y funciones del DPO.
¿Cuándo conviene un DPO externo en vez de uno interno?
Cuando necesitas un DPO y no justificas una persona dedicada: la LOPDGDD permite fijar una dedicación completa o a tiempo parcial según el volumen de los tratamientos, la categoría especial de los datos o los riesgos (art. 34.5). También cuando el conocimiento especializado no está en tu equipo. El RGPD admite las dos fórmulas (art. 37.6). La comparación completa está en DPO interno o externo: cuál elegir.
¿Qué incluye tu servicio de DPO externo?
Revisión inicial de cómo tratas los datos personales, registro de actividades de tratamiento, asesoramiento en las evaluaciones de impacto, formación del personal, gestión de brechas de seguridad, informe periódico a la dirección y acompañamiento ante la AEPD. Cada punto, con lo que entrego, está explicado en la sección «Qué incluye mi servicio de DPO externo» de esta página.
¿Cuánto cuesta contratar un DPO externo?
Depende del volumen y el tipo de tratamientos, de si hay datos de categorías especiales, del punto de partida de tu documentación y de la dedicación que se pacte. No publico una cifra porque sin conocer tu caso sería inventarla: tras la primera sesión de 30 minutos, que no tiene coste, te preparo una propuesta con alcance y honorarios. Los factores, uno a uno, están en cuánto cuesta un DPO externo para una pyme.
¿Hay que comunicar el DPO a la AEPD y en qué plazo?
Sí. Las designaciones, los nombramientos y los ceses de los delegados se comunican a la AEPD, o a la autoridad autonómica que corresponda, en el plazo de diez días, tanto si la designación es obligatoria como si es voluntaria (art. 34.3 LOPDGDD). Además hay que publicar sus datos de contacto (art. 37.7 RGPD). El paso a paso está en designar al DPO y comunicarlo a la AEPD.
¿El DPO externo puede recibir instrucciones de la empresa?
No sobre cómo desempeña sus funciones. El responsable y el encargado deben garantizar que el DPO no reciba instrucciones al respecto, que no sea destituido ni sancionado por desempeñarlas y que rinda cuentas al más alto nivel jerárquico (art. 38.3 RGPD). Puede hacer otras funciones, siempre que no den lugar a conflicto de intereses (art. 38.6). Impedir su participación o interferir en su trabajo es una infracción grave (art. 73.w LOPDGDD).
¿El DPO tiene que estar certificado?
La ley exige cualidades profesionales y conocimientos especializados del Derecho y la práctica en protección de datos (art. 37.5 RGPD). La LOPDGDD (art. 35) dice que esos requisitos pueden demostrarse, entre otros medios, mediante mecanismos voluntarios de certificación. Es decir, la certificación es voluntaria. Al elegir DPO conviene pedir que explique su formación y su experiencia.
Guías y herramientas de protección de datos.
Todo el tema, ordenado, en el hub de protección de datos para empresas.
¿Hablamos de tu DPO externo?
Reserva una primera sesión de 30 minutos, en remoto y sin coste. Cuéntame qué datos tratas y si crees que estás obligado a designar un DPO. Te digo qué haría falta y, si encaja, te preparo una propuesta con alcance y honorarios.