DPO interno o externo: cuál elegir en una pyme

En corto. El Reglamento general de protección de datos permite las dos fórmulas: el delegado de protección de datos (DPO) puede formar parte de la plantilla o trabajar con un contrato de servicios (artículo 37.6). Ninguna es mejor por sí misma. La decisión depende de cuatro cosas que la norma sí fija: que no haya conflicto de intereses (artículo 38.6), que tenga conocimientos especializados (37.5), que disponga de recursos y tiempo (38.2) y que actúe sin recibir instrucciones (38.3). En una pyme sin un perfil que cumpla todo eso, el DPO externo suele ser lo más sencillo de sostener. En una organización grande con un perfil jurídico propio y sin cargos incompatibles, el interno puede encajar mejor.

Si todavía no sabes si estás obligado a designar un DPO, empieza por la guía de cuándo es obligatorio y qué funciones tiene. Si ya sabes que sí, aquí decides quién lo será.

¿Qué dice el RGPD sobre un DPO interno o externo?

Dice que las dos opciones valen. El artículo 37.6 del Reglamento (UE) 2016/679 establece que el DPO «podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios». Las directrices del Grupo de Trabajo del Artículo 29, que la Agencia Española de Protección de Datos (AEPD) publica en su web, lo confirman: el DPO puede ser una persona física o una organización, y en este caso varias personas pueden trabajar como equipo bajo un contacto principal.

Lo que no cambia según la opción es la lista de condiciones. Las cuatro que importan para elegir son las siguientes.

• Cualidades profesionales (artículo 37.5). Se designa por sus conocimientos especializados del Derecho y la práctica en protección de datos y por su capacidad para desempeñar las funciones del artículo 39.
• Independencia (artículo 38.3). No recibe instrucciones sobre el desempeño de sus funciones, no puede ser destituido ni sancionado por desempeñarlas y rinde cuentas directamente al más alto nivel jerárquico.
• Ausencia de conflicto de intereses (artículo 38.6). Puede tener otras funciones, pero la organización debe garantizar que no generen un conflicto.
• Recursos (artículo 38.2). La organización le facilita los recursos necesarios, el acceso a los datos y a las operaciones de tratamiento, y los medios para mantener sus conocimientos.

¿Qué es el conflicto de intereses y a quién afecta más?

El conflicto de intereses aparece cuando el DPO ocupa un cargo que le lleva a decidir para qué y cómo se tratan los datos personales. Es el criterio que suele descartar candidatos internos. Las directrices lo explican así: el DPO no puede ocupar un puesto en la organización que le lleve a determinar los fines y medios del tratamiento, y esto se valora caso por caso.

Como regla general, las directrices citan la alta dirección (director general, de operaciones, financiero o médico), la jefatura de mercadotecnia, la de recursos humanos y la del departamento de TI, y también cargos de menor nivel si implican decidir sobre el tratamiento. Y añaden un caso menos obvio: puede haber conflicto si se pide al DPO que represente a la organización ante los tribunales en asuntos de protección de datos.

En una pyme esto pesa mucho. Quien suele tener los conocimientos o la disponibilidad para hacerse cargo (el gerente, el responsable de informática, la persona de administración o de recursos humanos) es justo quien decide qué datos se recogen y cómo se guardan. Nombrarlo DPO es justo lo que la norma pide evitar, y la LOPDGDD lo tiene en cuenta en dos sitios: el artículo 36.2 exige garantizar la independencia del delegado dentro de la organización, «debiendo evitarse cualquier conflicto de intereses», y el artículo 73.w) tipifica como infracción grave no posibilitar su participación efectiva, no respaldarlo o interferir en el desempeño de sus funciones.

El conflicto también existe con un DPO externo, con otra forma. Las directrices advierten de que los conflictos pueden adoptar diversas formas según el DPO se contrate interna o externamente. Si el mismo proveedor te vende la implantación técnica, te gestiona los sistemas o te representa en un litigio de datos y a la vez actúa como DPO, conviene dejar por escrito qué hace en cada papel y que ese reparto no condiciona lo que dice como DPO.

¿Cuáles son las ventajas y los inconvenientes de un DPO interno?

Un DPO interno es una persona de la plantilla que asume la función. Su ventaja principal es que conoce la organización desde dentro: cómo se trabaja, quién tiene qué datos, dónde están los sistemas. Está presente para el personal y puede intervenir pronto en proyectos nuevos, algo que el artículo 38.1 exige («de forma adecuada y en tiempo oportuno»). Su inconveniente principal es encontrar a alguien con un cargo compatible, conocimientos y tiempo para hacerlo.

Sus inconvenientes salen de las cuatro condiciones de antes:

• Cargo compatible. Hay que encontrar a alguien cuyo puesto no determine fines ni medios del tratamiento. En estructuras pequeñas casi todos los puestos con visión global lo hacen.
• Conocimientos. La persona necesita formación jurídica y práctica en protección de datos y mantenerla al día. El artículo 38.2 obliga a facilitarle los medios para ello.
• Tiempo. Si compagina el cargo con otro trabajo, las directrices avisan de que el conflicto entre prioridades puede llevar al descuido de las obligaciones de DPO. El artículo 34.5 de la LOPDGDD permite fijar dedicación completa o parcial según el volumen de los tratamientos, la categoría especial de los datos o los riesgos para los derechos de los interesados.
• Posición. Debe poder decir lo que no gusta al más alto nivel sin que le afecte en su carrera. La protección frente a la remoción tiene su regla propia: para una persona física integrada en la organización, el artículo 36.2 de la LOPDGDD establece que no puede ser removida ni sancionada por desempeñar sus funciones salvo dolo o negligencia grave.

¿Cuáles son las ventajas y los inconvenientes de un DPO externo?

Un DPO externo trabaja con un contrato de servicios, como persona física o como organización. No ocupa ningún puesto en tu estructura, aporta conocimientos especializados sin que formes a nadie y es más fácil de dimensionar: el contrato fija el alcance, la periodicidad y los entregables. Su inconveniente principal es que al principio conoce poco tu operativa y que hay que pactar bien su disponibilidad.

Tiene sus propias exigencias:

• Accesibilidad. Los interesados y la plantilla deben poder contactarlo con facilidad. Las directrices destacan que debe comunicarse en el idioma de las autoridades de control y de los interesados, y que su disponibilidad es fundamental. Conviene pactar tiempos de respuesta.
• Conocimiento del negocio. Al principio sabe poco de tu operativa; la revisión inicial de los tratamientos es parte del trabajo.
• Contrato bien hecho. Las directrices recomiendan asignar con claridad las tareas, designar una persona de contacto principal y especificar estos puntos en el contrato de servicios. Deben quedar claros el alcance, la confidencialidad (artículo 38.5), la ausencia de instrucciones sobre el ejercicio de sus funciones y las condiciones de terminación, porque el artículo 38.3 también protege al externo de ser destituido por hacer su trabajo.
• Dependencia del proveedor. Si cambias de proveedor, hay que comunicar el cese y la nueva designación a la autoridad. Lo explico en la pieza sobre cómo designar un DPO y comunicarlo a la AEPD en diez días.

El externo no te libera de responsabilidad: la empresa sigue siendo responsable y debe garantizar que el DPO participa, tiene recursos y trabaja sin instrucciones.

Tabla comparativa: DPO interno frente a DPO externo

La tabla no incluye cifras de coste: dependen del volumen de tratamientos, del sector y de lo que incluya el servicio, y no hay tarifa oficial.

¿Cuándo conviene un DPO interno y cuándo uno externo?

Un DPO externo suele encajar mejor en una pyme sin perfil propio, y uno interno en una organización con una persona adecuada y sin cargo incompatible. Son criterios de orientación, no una regla legal.

Suele encajar mejor un DPO externo cuando:

• Ningún empleado reúne conocimientos de protección de datos y un puesto sin conflicto.
• La plantilla es pequeña y la carga de trabajo del DPO no justifica una persona dedicada.
• La organización trata datos especialmente sensibles o a gran escala y necesita una revisión inicial y acompañamiento antes que presencia diaria.

Suele encajar mejor un DPO interno cuando:

• Hay una persona con formación jurídica o de cumplimiento, sin cargo que decida sobre los datos, y con tiempo asignado.
• El volumen y la variedad de tratamientos exigen presencia continua en proyectos, contratos y sistemas.

Hay una tercera vía, que es criterio mío y no de la norma: DPO externo como figura legal y una persona interna que coordina el día a día y hace de enlace. Esa persona interna no es el DPO ni sustituye la designación formal. Sirve para que el externo tenga a quién pedir información y el personal sepa a quién acudir.

¿Se puede tener un solo DPO para varias empresas?

Sí, en el caso de un grupo empresarial. El artículo 37.2 del RGPD permite que un grupo empresarial nombre un único DPO siempre que sea fácilmente accesible desde cada establecimiento. Para las autoridades y organismos públicos, el artículo 37.3 admite un único DPO para varios, teniendo en cuenta su estructura organizativa y tamaño.

La condición que hay que cuidar es la accesibilidad. Cada responsable o encargado del grupo debe además publicar y comunicar los datos de contacto del DPO (artículo 37.7).

Consecuencias de elegir mal

La LOPDGDD tipifica estas conductas:

• No designar DPO cuando es exigible es una infracción grave (artículo 73.v).
• No posibilitar su participación efectiva, no respaldarlo o interferir en sus funciones es también infracción grave (artículo 73.w).
• No publicar ni comunicar sus datos de contacto, cuando su nombramiento sea exigible, es una infracción leve (artículo 74.p).

Además, el artículo 83.4.a) del RGPD sanciona el incumplimiento de las obligaciones de los artículos 25 a 39, entre ellos los de designar al DPO y garantizar su posición, con multas de hasta 10 millones de euros o, tratándose de una empresa, el 2 % del volumen de negocio total anual global del ejercicio anterior, optándose por la cuantía mayor. Puedes estimar el rango aplicable con la calculadora de sanciones del RGPD.

Cómo decidir, paso a paso

1. Confirma que estás obligado o que quieres designarlo de forma voluntaria. La designación voluntaria te somete al mismo régimen (artículo 34.2 de la LOPDGDD).
2. Lista las personas de la plantilla que podrían asumir el cargo y descarta las que deciden fines y medios del tratamiento.
3. Si queda alguien, comprueba sus conocimientos, el tiempo que puede dedicar y a quién rendiría cuentas.
4. Si no queda nadie, o el coste de formar y liberar horas supera el de contratar, pide propuestas a proveedores externos. Compara alcance, periodicidad, tiempos de respuesta, confidencialidad y qué otros servicios prestan a tu empresa.
5. Formaliza la decisión: nombramiento por escrito en el caso interno, contrato de servicios en el externo.
6. Comunica la designación a la AEPD, o a la autoridad autonómica que corresponda, y publica los datos de contacto.
7. Revisa cada año si el DPO participa de verdad en las decisiones que afectan a datos personales.

Si quieres contrastar la decisión con alguien que conozca el proceso, puedo acompañarte como DPO externo. La primera sesión de 30 minutos no tiene coste: reserva una consulta.

Preguntas frecuentes

¿Puede el gerente de una pyme ser el DPO?

No es aconsejable y, en la práctica, suele ser incompatible. El gerente determina los fines y medios del tratamiento, y las directrices del Grupo de Trabajo del Artículo 29 incluyen la alta dirección entre los puestos en conflicto. El artículo 38.6 del RGPD obliga a garantizar que las otras funciones del DPO no generen conflicto de intereses.

¿Puede ser DPO el responsable de informática o el de recursos humanos?

Suele haber conflicto. Las directrices citan expresamente la jefatura del departamento de TI y la de recursos humanos entre los cargos que pueden generarlo, porque deciden sobre sistemas y datos de personal. Lo determina cada organización caso por caso, pero la presunción práctica es que no encajan.

¿Un DPO externo puede ser una empresa y no una persona?

Sí. El artículo 37.6 del RGPD admite un contrato de servicios y las directrices aclaran que puede suscribirse con una persona física o con una organización. En ese caso, cada miembro del equipo que ejerza las funciones debe cumplir los requisitos del Reglamento, entre ellos la ausencia de conflicto de intereses, y se recomienda designar una persona de contacto principal para cada cliente.

¿Se puede despedir al DPO si no gusta lo que dice?

No por ejercer sus funciones. El artículo 38.3 del RGPD establece que no será destituido ni sancionado por el responsable o el encargado por desempeñarlas. Para la persona integrada en la organización, el artículo 36.2 de la LOPDGDD añade que no podrá ser removida ni sancionada por ello salvo dolo o negligencia grave en su ejercicio. Las directrices extienden la lógica al externo: el contrato de servicios no puede rescindirse de forma injustificada por la actividad del DPO.

¿Hay que comunicar a la AEPD si cambio de DPO interno a externo?

Sí. El artículo 34.3 de la LOPDGDD obliga a comunicar en el plazo de diez días las designaciones, los nombramientos y los ceses, tanto si el DPO es obligatorio como si es voluntario. Un cambio de interno a externo implica comunicar el cese del anterior y la designación del nuevo.

Para seguir

• Hub de protección de datos para empresas
• Evaluación de impacto en protección de datos (EIPD): guía
• Generador del registro de actividades de tratamiento
• Derechos de los interesados y cómo atenderlos

Fuentes

• Reglamento (UE) 2016/679 (RGPD), copia en el BOE (DOUE-L-2016-80807): artículos 37, 38, 39 y 83.4.
• Ley Orgánica 3/2018 (LOPDGDD), texto consolidado (BOE-A-2018-16673): artículos 34, 35, 36, 73 y 74.
• AEPD: Directrices sobre los delegados de protección de datos (WP 243 rev.01): apartados 2.3 a 2.6 (incluido el DPO en el marco de un contrato de servicios), 3.2, 3.4 y 3.5, y pregunta 7 de las preguntas frecuentes.
• AEPD: Designación de un delegado de protección de datos