¿Necesito un DPO?
El RGPD y la LOPDGDD dicen cuándo es obligatorio designar un delegado de protección de datos. Responde unas preguntas y sabrás si tu empresa está obligada, con el artículo exacto en el que se apoya el resultado. Si la norma deja la respuesta abierta (gran escala, actividad principal), la herramienta te dice «depende» y por qué, en lugar de adivinar.
Cuándo es obligatorio un DPO, en una tabla.
| Supuesto | ¿Obligado? | Fundamento |
|---|---|---|
| Autoridad u organismo público (salvo los tribunales cuando actúan en ejercicio de su función judicial) | Sí | RGPD, art. 37.1.a) |
| Tu actividad principal exige una observación habitual y sistemática de personas a gran escala | Sí | RGPD, art. 37.1.b) |
| Tu actividad principal es tratar a gran escala categorías especiales de datos (art. 9) o datos de condenas e infracciones penales (art. 10) | Sí | RGPD, art. 37.1.c) |
| Eres una de las entidades que el art. 34.1 de la LOPDGDD obliga «en todo caso»: colegios profesionales y sus consejos generales, centros docentes y universidades, entidades de crédito, establecimientos financieros de crédito, aseguradoras y reaseguradoras, empresas de servicios de inversión, distribuidores y comercializadores de energía eléctrica y de gas natural, ficheros comunes de solvencia o de prevención del fraude, informes comerciales sobre personas físicas, operadores de juego por canales electrónicos y empresas de seguridad privada | Sí | LOPDGDD, art. 34.1 a), b), e) a j), m), n) y ñ) |
| Eres otra entidad del art. 34.1 LOPDGDD, pero solo si se da su condición: comunicaciones electrónicas (c, si tratas datos a gran escala de forma habitual y sistemática), servicios de la sociedad de la información (d, si elaboras perfiles a gran escala), publicidad y prospección comercial (k, si tratas según preferencias o elaboras perfiles), centros sanitarios con historias clínicas (l, salvo profesionales de la salud a título individual) y federaciones deportivas (o, si tratas datos de menores) | Según la condición | LOPDGDD, art. 34.1 c), d), k), l) y o) |
| Si no estás en ninguno de esos supuestos no estás obligado, pero puedes designar un DPO voluntariamente (RGPD art. 37.4; LOPDGDD art. 34.2). En ese caso quedas sometido al mismo régimen que si fuera obligatorio y debes comunicar el nombramiento en diez días a la AEPD o a la autoridad autonómica que corresponda (art. 34.3). El texto de ninguna de las dos normas fija un umbral de empleados. | ||
Fuentes oficiales: Reglamento (UE) 2016/679, RGPD (EUR-Lex) · LOPDGDD, texto consolidado (BOE-A-2018-16673) · AEPD, delegado de protección de datos.
Última verificación: 18 de octubre de 2026
Pocas preguntas, ningún dato enviado.
Respondes de 3 a 5 preguntas
Naturaleza de tu entidad, si figuras en la lista del art. 34.1 de la LOPDGDD y si tu actividad principal supone observación sistemática o datos sensibles a gran escala. Todo ocurre en tu navegador: nada se envía ni se guarda.
Aplicamos el art. 37 del RGPD y el art. 34 de la LOPDGDD
Cada rama del resultado cita el apartado y la letra de donde sale. Cuando la norma depende de conceptos abiertos, como la gran escala, no se inventa un umbral.
Obtienes veredicto, pasos y riesgo
«Sí, estás obligado», «no estás obligado, pero…» o «depende», con qué hacer a continuación, quién puede ser el DPO y la sanción que corresponde. Imprimible para tu expediente.
¿Tu entidad es una autoridad u organismo público?
El artículo 37.1.a) del RGPD obliga a designar DPO cuando el tratamiento lo lleva a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial.
¿Eres una de estas entidades del artículo 34.1 de la LOPDGDD?
La ley orgánica obliga a designar DPO «en todo caso» a estas entidades. En algunas la obligación depende de una condición que te preguntaremos a continuación.
¿Tratas datos personales de forma habitual y sistemática y a gran escala?
Art. 34.1.c) LOPDGDD: las entidades que exploten redes y presten servicios de comunicaciones electrónicas están obligadas «cuando traten habitual y sistemáticamente datos personales a gran escala».
¿Elaboras a gran escala perfiles de los usuarios del servicio?
Art. 34.1.d) LOPDGDD: los prestadores de servicios de la sociedad de la información están obligados «cuando elaboren a gran escala perfiles de los usuarios del servicio».
¿Tus tratamientos se basan en las preferencias de las personas o implican elaborar perfiles de ellas?
Art. 34.1.k) LOPDGDD: la publicidad, la prospección comercial y la investigación comercial y de mercados obligan «cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos».
¿Ejerces tu actividad a título individual como profesional de la salud?
Art. 34.1.l) LOPDGDD: los centros sanitarios obligados a mantener historias clínicas deben designar DPO, pero «se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual».
¿Tratas datos de menores de edad?
Art. 34.1.o) LOPDGDD: las federaciones deportivas están obligadas «cuando traten datos de menores de edad».
¿Tu actividad principal exige observar de forma habitual y sistemática a personas, y a gran escala?
Es el supuesto del art. 37.1.b) del RGPD. La actividad principal es la actividad primaria de tu organización, no el tratamiento de datos como apoyo (considerando 97). Observación habitual y sistemática incluye el seguimiento y la elaboración de perfiles en internet, por ejemplo para publicidad comportamental, y no se limita al entorno online (directrices WP 243).
¿Tu actividad principal es tratar a gran escala datos de salud u otras categorías especiales, o datos de condenas e infracciones penales?
Es el supuesto del art. 37.1.c) del RGPD. Las categorías especiales del art. 9 incluyen los datos relativos a la salud, los biométricos dirigidos a identificar a una persona, el origen étnico o racial, las opiniones políticas o la afiliación sindical, entre otros. Los datos de condenas e infracciones son los del art. 10.
¿Estás obligado a designar un DPO?
Dos normas, una sola pregunta.
Última verificación de artículos y textos: 18 de octubre de 2026 (fuentes oficiales al final).
La obligación de nombrar delegado de protección de datos (DPO, o DPD en la LOPDGDD) sale de dos sitios que se suman. El artículo 37.1 del RGPD la impone en tres casos generales: autoridades y organismos públicos, actividad principal de observación habitual y sistemática a gran escala, y actividad principal de tratamiento a gran escala de categorías especiales o de datos penales. El artículo 34.1 de la LOPDGDD la extiende «en todo caso» a una lista cerrada de entidades. Ninguno de los dos textos usa el número de empleados como criterio, así que una pyme puede estar obligada y una gran empresa no. Si quieres el panorama completo, tienes la guía sobre qué es el DPO, cuándo es obligatorio y qué funciones tiene.
La lista del artículo 34.1 de la LOPDGDD, letra a letra
| Letra | Entidad | Condición que fija la ley |
|---|---|---|
| a) | Colegios profesionales y sus consejos generales | Ninguna |
| b) | Centros docentes de cualquier nivel regulado por la legislación del derecho a la educación, y universidades públicas y privadas | Ninguna |
| c) | Entidades que exploten redes y presten servicios de comunicaciones electrónicas | Cuando traten habitual y sistemáticamente datos personales a gran escala |
| d) | Prestadores de servicios de la sociedad de la información | Cuando elaboren a gran escala perfiles de los usuarios del servicio |
| e) | Entidades del artículo 1 de la Ley 10/2014 (ordenación, supervisión y solvencia de entidades de crédito) | Ninguna |
| f) | Establecimientos financieros de crédito | Ninguna |
| g) | Entidades aseguradoras y reaseguradoras | Ninguna |
| h) | Empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores | Ninguna |
| i) | Distribuidores y comercializadores de energía eléctrica y de gas natural | Ninguna |
| j) | Entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o para la gestión y prevención del fraude, incluidos los regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo | Ninguna |
| k) | Entidades de publicidad y prospección comercial, incluidas las de investigación comercial y de mercados | Cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles |
| l) | Centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes | Se exceptúan los profesionales de la salud que ejerzan su actividad a título individual |
| m) | Entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas | Ninguna |
| n) | Operadores de juego a través de canales electrónicos, informáticos, telemáticos e interactivos | Ninguna |
| ñ) | Empresas de seguridad privada | Ninguna |
| o) | Federaciones deportivas | Cuando traten datos de menores de edad |
Gran escala y actividad principal: lo que la norma no define
Los supuestos b) y c) del artículo 37.1 dependen de dos conceptos abiertos. La actividad principal es, según el considerando 97, la actividad primaria del responsable, no el tratamiento de datos como actividad auxiliar. La gran escala no tiene umbral numérico: las directrices WP 243 del Grupo del Artículo 29 recomiendan valorar el número de afectados, el volumen y variedad de los datos, la duración del tratamiento y su extensión geográfica. Cuando no es evidente que no estás obligado, esas mismas directrices recomiendan documentar el análisis interno que lleva a nombrar o no un DPO, para poder demostrar que se valoraron los factores. Por eso, cuando la respuesta depende de ellos, la herramienta te dice «depende» y no te da un «no» que no podría sostener.
Interno o externo, y quién puede serlo
El DPO puede formar parte de tu plantilla o actuar en el marco de un contrato de servicios (art. 37.6 RGPD), y puede ser persona física o jurídica (art. 35 LOPDGDD). Se designa por sus cualidades profesionales y sus conocimientos especializados de Derecho y práctica de protección de datos (art. 37.5). No puede recibir instrucciones sobre sus funciones ni ser destituido o sancionado por ejercerlas, y debes evitar que otras funciones suyas le generen un conflicto de intereses (art. 38). Un grupo empresarial puede nombrar un único DPO si es fácilmente accesible desde cada establecimiento (art. 37.2). Si lo que buscas es un DPO que no sea de tu plantilla, ese es mi servicio de DPO externo.
Después de designarlo
Hay que publicar los datos de contacto del DPO y comunicarlos a la autoridad de control (art. 37.7 RGPD). La LOPDGDD fija el plazo: diez días a la AEPD, o a la autoridad autonómica que corresponda, para designaciones, nombramientos y ceses, incluso si la designación es voluntaria (art. 34.3). Como las brechas de seguridad suelen ser lo primero que activa al DPO, te puede venir bien el simulador de brecha de datos: ¿notificar a la AEPD?, la herramienta para generar tu registro de actividades de tratamiento y la calculadora de sanciones del RGPD. Y si quieres ver cómo encaja con el resto de tus obligaciones, empieza por el mapa de cumplimiento normativo.
BOE — Ley Orgánica 3/2018, LOPDGDD, texto consolidado (BOE-A-2018-16673): arts. 34, 35, 73 y 77
Grupo del Artículo 29 — Directrices sobre los delegados de protección de datos (WP 243)
AEPD — Delegado de protección de datos
Las dudas típicas sobre el DPO.
¿Qué empresas están obligadas a tener un DPO?+
Las que cumplen alguno de estos supuestos: son una autoridad u organismo público (art. 37.1.a del RGPD); su actividad principal exige una observación habitual y sistemática de personas a gran escala (37.1.b); su actividad principal es tratar a gran escala categorías especiales de datos o datos de condenas e infracciones penales (37.1.c); o figuran en la lista del artículo 34.1 de la LOPDGDD, que obliga «en todo caso» a colegios profesionales, centros docentes, entidades financieras y aseguradoras, empresas de seguridad privada, operadores de juego online y otras. El tamaño de la plantilla no aparece como criterio en ninguno de los dos textos.
¿Qué significa «a gran escala»?+
El RGPD no lo define ni fija un número de empleados o de afectados. Las directrices del Grupo del Artículo 29 sobre DPO (WP 243) recomiendan valorar cuatro factores: el número de afectados, el volumen y la variedad de datos, la duración del tratamiento y su extensión geográfica. Como ejemplos de gran escala citan los datos de pacientes de un hospital o los de clientes de un banco; y como ejemplo de lo contrario, los datos de pacientes de un médico individual. Entre los dos extremos hay una zona gris, y por eso esta herramienta responde «depende» en esos casos en lugar de adivinar.
¿Qué es la «actividad principal» del artículo 37?+
Según el considerando 97 del RGPD, las actividades principales de un responsable son sus actividades primarias, no el tratamiento de datos personales como actividad auxiliar. Las directrices WP 243 añaden que no se excluye cuando el tratamiento es inseparable de esa actividad: tratar historias clínicas es parte de la actividad principal de un hospital, mientras que pagar nóminas o dar soporte informático son funciones auxiliares.
¿El DPO tiene que ser un empleado o puede ser externo?+
Puede ser cualquiera de las dos cosas. El artículo 37.6 del RGPD permite que el DPO forme parte de la plantilla o que desempeñe sus funciones en el marco de un contrato de servicios, y el artículo 35 de la LOPDGDD admite que sea persona física o jurídica. En ambos casos el artículo 38 exige que no reciba instrucciones sobre sus funciones y que no tenga conflicto de intereses con otras funciones que desempeñe.
¿Hay que comunicar el nombramiento del DPO a la AEPD?+
Sí. El artículo 37.7 del RGPD obliga a publicar los datos de contacto del DPO y a comunicarlos a la autoridad de control. El artículo 34.3 de la LOPDGDD concreta el plazo: diez días para comunicar designaciones, nombramientos y ceses a la AEPD o a la autoridad autonómica, tanto si la designación es obligatoria como si es voluntaria.
¿Qué multa hay por no designar un DPO cuando es obligatorio?+
El incumplimiento de las obligaciones de los artículos 25 a 39 del RGPD, entre ellas la de designar DPO, se sanciona con multas de hasta 10.000.000 € o, en una empresa, hasta el 2 % del volumen de negocio total anual global del ejercicio anterior, la cuantía que sea mayor (art. 83.4.a). La LOPDGDD lo tipifica como infracción grave, que prescribe a los dos años (art. 73.v). Las entidades del artículo 77.1 de la LOPDGDD, como la Administración General del Estado o las universidades públicas, tienen un régimen propio: la autoridad dicta una resolución que declara la infracción y fija medidas.
¿Tiene que tener el DPO una certificación?+
No hay una titulación obligatoria. El artículo 37.5 del RGPD pide designarlo por sus cualidades profesionales y sus conocimientos especializados de Derecho y práctica de protección de datos. El artículo 35 de la LOPDGDD dice que esos requisitos «podrán demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación»; la AEPD promueve un Esquema de Certificación de DPD, y es una vía voluntaria para acreditarlo.
Si te sale que sí, lo resolvemos juntos.
Puedo ser tu DPO externo: asumo la función, compruebo que cumples y me encargo de la comunicación a la AEPD. Y si todavía dudas de si te toca, agenda una sesión gratuita de 30 minutos y lo repasamos con tu caso real. Y si quieres ver el resto de materiales, los tienes reunidos en el hub de protección de datos.
Conoce el servicio de DPO externo → Agendar sesión gratuita →