¿Qué es el DPD y cuál es su relación con la AEPD?
El DPD (Delegado de Protección de Datos), también conocido como DPO por sus siglas en inglés (Data Protection Officer), es la persona responsable de supervisar el cumplimiento del RGPD dentro de una organización. Su figura está regulada en los artículos 37 a 39 del RGPD y desarrollada en España por la Ley Orgánica 3/2018 (LOPDGDD).
La AEPD (Agencia Española de Protección de Datos) es el organismo público encargado de supervisar la aplicación de la normativa de privacidad en España. Actúa como interlocutora oficial del DPD, recibe su registro obligatorio y puede requerir su intervención en caso de investigación o sanción.
Diferencia entre DPD interno y externo
El DPD puede ser un empleado de la propia organización (DPD interno) o un profesional o entidad contratada externamente (DPD externo).
Optar por un DPD externo tiene ventajas claras: mayor independencia y objetividad, conocimiento actualizado de la normativa sin coste de formación continua, y cobertura inmediata sin necesidad de crear un nuevo puesto en la empresa.
"La AEPD no busca sancionar por sancionar. Busca que las empresas tomen en serio los derechos de las personas. Cuando lo hacen, los problemas se evitan."
Mario P. Talamillo · Socio director, Certix®
¿Cuándo es obligatorio nombrar un DPD según la AEPD?
El RGPD establece tres supuestos en los que el nombramiento es obligatorio:
- Autoridades u organismos públicos
- Organizaciones que realizan tratamientos a gran escala de categorías especiales de datos: datos de salud, biométricos, genéticos, ideología, religión, orientación sexual, etc.
- Organizaciones que llevan a cabo una observación habitual y sistemática de personas a gran escala: empresas de videovigilancia masiva, plataformas digitales, publicidad comportamental, etc.
El artículo 34 de la LOPDGDD contempla supuestos adicionales para determinados sectores en España —colegios profesionales, centros educativos, entidades de crédito, aseguradoras, empresas de valores, distribuidoras de energía, empresas de seguridad privada, federaciones deportivas cuando traten datos de menores, entre otros—, a excepción de los profesionales de la salud que ejerzan a título individual. La obligatoriedad concreta depende del análisis individualizado de cada organización; esta información es orientativa y cada caso debe estudiarse de forma individual.
¿Y si no soy ninguno de estos casos?
Si tu organización no está en ninguno de los supuestos anteriores, no estás obligado, pero es altamente recomendable contar con un DPD o con asesoramiento especializado. La AEPD recuerda que el cumplimiento proactivo reduce significativamente el riesgo de sanciones.
Funciones del DPD: qué hace realmente este profesional
Supervisión del cumplimiento normativo
El DPD analiza los tratamientos de datos que realiza la organización y verifica que se ajustan al RGPD y la LOPDGDD. Revisa contratos con terceros, evalúa a los encargados del tratamiento y audita los procedimientos internos.
Asesoramiento y formación
Informa y asesora al responsable del tratamiento, a los empleados y a todos los que participan en el tratamiento de datos. Supervisa que el personal recibe formación adecuada y actualizada.
Punto de contacto con la AEPD
El DPD actúa como interlocutor oficial entre la organización y la Agencia Española de Protección de Datos en investigaciones o requerimientos de información.
Evaluaciones de Impacto (EIPD)
Cuando se prevén tratamientos de alto riesgo, el DPD supervisa y asesora en la elaboración de las Evaluaciones de Impacto relativas a la Protección de Datos.
Gestión de brechas de seguridad
Ante una brecha de seguridad, el DPD coordina la respuesta, evalúa si debe notificarse a la AEPD en un plazo máximo de 72 horas y gestiona la comunicación con los afectados si procede.
Consulta y comunicación del DPD a la AEPD: cómo registrarlo paso a paso
La consulta del DPD en la AEPD y su comunicación son, en la práctica, el mismo trámite: una vez nombrado el DPD, la organización debe comunicarlo (registrarlo) a la AEPD a través del servicio habilitado en su sede electrónica (sedeagpd.gob.es). Es la vía oficial para que la AEPD identifique quién es el Delegado de Protección de Datos de cada entidad. Este registro es obligatorio y gratuito.
- Accede a la sede electrónica de la AEPD
- Selecciona el trámite de comunicación de DPD
- Identifícate mediante certificado digital, DNIe o Cl@ve
- Cumplimenta los datos del responsable del tratamiento y del DPD designado
- Envía la comunicación y guarda el justificante
Qué implica no designar o no comunicar el DPD
Si tu organización está obligada a contar con un DPD y no lo designa —o lo designa pero no lo comunica a la AEPD— incumple una obligación del RGPD (art. 37.7) y de la LOPDGDD. Más allá del régimen sancionador del art. 83 RGPD, lo relevante es práctico: sin DPD la empresa se queda sin la figura que supervisa el cumplimiento, asesora internamente y actúa como punto de contacto con la AEPD.
Designar al DPD y comunicarlo bien es, sobre todo, una cuestión de diligencia y de proteger a las personas cuyos datos tratas. Hacerlo de forma ordenada evita problemas y transmite confianza a clientes y proveedores.
DPD y AEPD en Burgos: servicio local con alcance nacional
En Certix, con sede central en Burgos, llevamos años ayudando a empresas de toda España con su protección de datos. Te ayudamos a determinar si tu empresa necesita un DPD, a entender sus funciones y a comunicarlo correctamente a la AEPD, con asesoramiento continuo. Sin comerciales, sin intermediarios: siempre hablarás directamente con un experto.