Servicios de DPD / DPD externalizado
DPD externalizado: un delegado designado, independiente desde el diseño
Designe a un delegado de protección de datos cualificado y con nombre propio, bajo el RGPD o el UK GDPR — con la independencia que exige el artículo 38, un ritmo fijo de trabajo e informes escritos con los que su consejo puede actuar. La figura legal, sin crear un puesto.
Obligatorio — o elegido
Cuándo exigen un DPD el artículo 37 y la LOPDGDD
Organismos públicos y organizaciones cuyas actividades principales consisten en la observación habitual y sistemática de personas a gran escala, o en el tratamiento a gran escala de categorías especiales de datos o de datos sobre condenas penales. En España, el artículo 34 de la LOPDGDD añade una lista propia de entidades obligadas. Si se cumple un supuesto, la designación es obligatoria — y los datos de contacto del DPD deben publicarse y comunicarse a la autoridad de control. Hacer el test de supuestos.
Designación voluntaria
Muchas organizaciones designan sin estar obligadas — por confianza de los clientes, por cuestionarios de licitación o por disciplina interna. Conviene saberlo: un DPD designado voluntariamente asume las mismas obligaciones legales y exigencias de independencia que uno obligatorio, así que la decisión merece el mismo cuidado.
El modelo de servicio
Un DPD designado, no un buzón
Usted designa a una persona cualificada, con nombre y apellidos, comunicada a su autoridad de control como su DPD, que conoce su tratamiento y responde cuando importa — respaldada por nuestro equipo para dar profundidad y cobertura.
Ritmo fijo de trabajo
Un ritmo acordado de antemano: revisiones planificadas, mantenimiento de los registros, sesiones de formación y un canal fijo para las dudas del día a día de sus equipos.
Supervisión de EIPD y DSAR
Asesoramiento en el cribado previo de las EIPD, opiniones documentadas del DPD donde la ley las espera y supervisión de la gestión de las solicitudes de los interesados — los dos procesos que las autoridades de control examinan primero.
Interlocución con la autoridad e informes a la dirección
El DPD actúa como su punto de contacto ante las autoridades de control e informa al nivel más alto de la dirección — por escrito, con calendario fijo y en un lenguaje con el que un consejo puede actuar.
Independencia y conflictos de intereses, en serio
Un DPD no puede ocupar una función que decida sobre los fines y los medios del tratamiento — por eso designar a su CTO, a su responsable de personal o a su director de operaciones es el conflicto clásico contra el que advierte el Comité Europeo de Protección de Datos. Un DPD externo resuelve el problema estructural: no ocupamos ninguna otra posición en su organización, no recibimos instrucciones sobre el contenido de nuestro asesoramiento y lo documentamos, de modo que la independencia se demuestra y no solo se afirma. Si el asesoramiento no se sigue, la decisión y su motivación quedan documentadas — lo que protege a la organización tanto como al DPD.
Externalizado vs. interno vs. «coordinador de privacidad»
| DPD externalizado | Contratación interna | «Coordinador de privacidad» (sin DPD) | |
|---|---|---|---|
| Independencia | Estructuralmente independiente — ninguna otra función en la organización que genere conflictos | Alcanzable, pero difícil en equipos pequeños donde el DPD también decide sobre el tratamiento | Sin DPD: no hay figura legal ni estatuto de independencia protegido |
| Conocimiento y cobertura | Profesional experimentado más un equipo; vacaciones y ausencias cubiertas | La capacidad y especialización de una sola persona; la suplencia es problema suyo | Variable; normalmente la protección de datos es solo una fracción de su puesto |
| Estructura de coste | Honorario fijo previsible, que escala con la necesidad | Salario completo + formación + herramientas para un puesto que muchas pymes no pueden cubrir a tiempo completo | Oculto: riesgo sin gobernar y trabajo por rehacer |
| Cuándo encaja | Se cumple un supuesto del artículo 37 — o del artículo 34 LOPDGDD — o quiere la disciplina sin crear un puesto | Tratamiento amplio y complejo que exige presencia diaria | Solo si no se cumple ningún supuesto y el riesgo es realmente bajo — compruébelo primero |
Qué determina el coste de cada modelo: precios del DPD, explicados con franqueza.
Cómo transcurre la designación
1. Conversación de alcance
Se evalúan su tratamiento, su sector y si se cumple algún supuesto del artículo 37 o del artículo 34 LOPDGDD; se propone ritmo y alcance.
2. Designación
DPD designado, datos de contacto publicados donde procede, autoridad de control notificada, registros recibidos o creados.
3. Ritmo operativo
El ritmo acordado en marcha: revisiones, supervisión de EIPD/DSAR, formación, asesoramiento documentado.
4. Informes a la dirección
Informe escrito y planificado al nivel más alto de la dirección, con riesgos y decisiones bajo seguimiento.
Preguntas, respondidas
¿Necesitamos siquiera un DPD?
Depende del artículo 37 del RGPD — organismos públicos y organizaciones cuyas actividades principales consisten en la observación habitual y sistemática a gran escala o en el tratamiento a gran escala de categorías especiales de datos — y, en España, también de la lista del artículo 34 de la LOPDGDD, que obliga a designar DPD a más entidades. Nuestro test de dos minutos repasa los supuestos con franqueza: muchas organizaciones no lo necesitan, y también se lo decimos.
¿Es siquiera admisible un DPD externalizado?
Sí — el artículo 37.6 permite expresamente que el DPD desempeñe sus funciones en virtud de un contrato de servicios. Lo decisivo es que el DPD esté realmente implicado, dotado de recursos y sea independiente; al reglamento le importa la función, no la relación laboral.
¿Cómo se protege la independencia?
Al DPD no se le pueden dar instrucciones sobre el contenido de su asesoramiento, no puede ser penalizado por asesorar y debe evitar los conflictos de intereses. Un DPD externo simplifica estructuralmente el examen de conflictos: no ocupamos ninguna otra posición en su organización, no recibimos instrucciones sobre el contenido de nuestro criterio y lo documentamos, de modo que la independencia se demuestra, no solo se afirma. Si no se sigue el asesoramiento, la decisión y su motivación quedan documentadas — lo que protege tanto a la organización como al DPD.
¿Y si ya tenemos a alguien interno para la protección de datos?
A menudo funciona bien en combinación: su persona de referencia interna conserva la responsabilidad operativa, mientras el DPD externalizado aporta la figura legal, la independencia y un segundo par de ojos con experiencia. La comparativa de arriba muestra dónde encaja cada modelo.
¿Con qué autoridades de control pueden trabajar?
Autoridades de control de la UE — incluida la AEPD — y el ICO británico. Donde además necesite un representante del artículo 27 — una figura distinta del DPD — lo prestamos a través de nuestro servicio de representante en la UE y el Reino Unido, y el mismo equipo mantiene ambas funciones coherentes.
¿Con qué rapidez puede estar operativo el DPD?
La designación suele estar activa a los pocos días de la conversación de alcance: designación, comunicación a la autoridad y traspaso de los registros son el camino crítico, y ninguno de esos pasos es lento.
Relacionado: ¿DPD o representante RGPD — qué necesita?
Reservar una consulta de DPD
Cuéntenos su tratamiento y si cree que se cumple algún supuesto — se lo confirmamos con franqueza y le proponemos un honorario fijo bien acotado en un día laborable.
¿Prefiere el correo? info@privacycoreservices.com