¿Qué es el DPD y cuál es su relación con la AEPD?
El DPD (Delegado de Protección de Datos), también conocido como DPO por sus siglas en inglés (Data Protection Officer), es la persona responsable de supervisar el cumplimiento del RGPD dentro de una organización. Su figura está regulada en los artículos 37 a 39 del RGPD y desarrollada en España por la Ley Orgánica 3/2018 (LOPDGDD).
La AEPD (Agencia Española de Protección de Datos) es el organismo público encargado de supervisar la aplicación de la normativa de privacidad en España. Actúa como interlocutora oficial del DPD, recibe su registro obligatorio y puede requerir su intervención en caso de investigación o sanción.
Diferencia entre DPD interno y externo
El DPD puede ser un empleado de la propia organización (DPD interno) o un profesional o entidad contratada externamente (DPD externo).
Optar por un DPD externo tiene ventajas claras: mayor independencia y objetividad, conocimiento actualizado de la normativa sin coste de formación continua, y cobertura inmediata sin necesidad de crear un nuevo puesto en la empresa.
"La AEPD no busca sancionar por sancionar. Busca que las empresas tomen en serio los derechos de las personas. Cuando lo hacen, los problemas se evitan."
Mario P. Talamillo · Socio director, Certix®
¿Cuándo es obligatorio nombrar un DPD según la AEPD?
El RGPD establece tres supuestos en los que el nombramiento es obligatorio:
- Autoridades u organismos públicos
- Organizaciones que realizan tratamientos a gran escala de categorías especiales de datos: datos de salud, biométricos, genéticos, ideología, religión, orientación sexual, etc.
- Organizaciones que llevan a cabo una observación habitual y sistemática de personas a gran escala: empresas de videovigilancia masiva, plataformas digitales, publicidad comportamental, etc.
El artículo 34 de la LOPDGDD contempla supuestos adicionales para determinados sectores en España —colegios profesionales, centros educativos, entidades de crédito, aseguradoras, empresas de valores, distribuidoras de energía, empresas de seguridad privada, federaciones deportivas cuando traten datos de menores, entre otros—, a excepción de los profesionales de la salud que ejerzan a título individual. La obligatoriedad concreta depende del análisis individualizado de cada organización; esta información es orientativa y cada caso debe estudiarse de forma individual.
¿Y si no soy ninguno de estos casos?
Si tu organización no está en ninguno de los supuestos anteriores, no estás obligado, pero es altamente recomendable contar con un DPD o con asesoramiento especializado. La AEPD recuerda que el cumplimiento proactivo reduce significativamente el riesgo de sanciones.
Funciones del DPD: qué hace realmente este profesional
Supervisión del cumplimiento normativo
El DPD analiza los tratamientos de datos que realiza la organización y verifica que se ajustan al RGPD y la LOPDGDD. Revisa contratos con terceros, evalúa a los encargados del tratamiento y audita los procedimientos internos.
Asesoramiento y formación
Informa y asesora al responsable del tratamiento, a los empleados y a todos los que participan en el tratamiento de datos. Supervisa que el personal recibe formación adecuada y actualizada.
Punto de contacto con la AEPD
El DPD actúa como interlocutor oficial entre la organización y la Agencia Española de Protección de Datos en investigaciones o requerimientos de información.
Evaluaciones de Impacto (EIPD)
Cuando se prevén tratamientos de alto riesgo, el DPD supervisa y asesora en la elaboración de las Evaluaciones de Impacto relativas a la Protección de Datos.
Gestión de brechas de seguridad
Ante una brecha de seguridad, el DPD coordina la respuesta, evalúa si debe notificarse a la AEPD en un plazo máximo de 72 horas y gestiona la comunicación con los afectados si procede.
Cómo registrar el DPD ante la AEPD: paso a paso
Una vez nombrado el DPD, la organización debe comunicarlo a la AEPD a través del servicio habilitado en su sede electrónica (sedeagpd.gob.es). Este registro es obligatorio y gratuito.
- Accede a la sede electrónica de la AEPD
- Selecciona el trámite de comunicación de DPD
- Identifícate mediante certificado digital, DNIe o Cl@ve
- Cumplimenta los datos del responsable del tratamiento y del DPD designado
- Envía la comunicación y guarda el justificante
Sanciones por no cumplir con las obligaciones del DPD
No designar un DPD cuando es obligatorio o no registrarlo ante la AEPD son infracciones que pueden derivar en sanciones significativas:
- Infracciones leves: hasta 40.000 euros
- Infracciones graves: entre 40.001 y 300.000 euros
- Infracciones muy graves: hasta 20.000.000 euros o el 4% del volumen de negocio global
La AEPD publica resoluciones sancionadoras que quedan indexadas en buscadores y son accesibles para clientes, proveedores y socios. El cumplimiento no es solo una obligación legal: es una ventaja competitiva.
DPD y AEPD en Burgos: servicio local con alcance nacional
En Certix, con sede central en Burgos, llevamos años ayudando a empresas de toda España a cumplir con la normativa de protección de datos. Actuamos como DPD externo, gestionamos el registro ante la AEPD y supervisamos el cumplimiento continuo. Sin comerciales, sin intermediarios: siempre hablarás directamente con un experto.