DPD externalizado o DPD interno: ¿cuál elegir para su empresa?
·
Actualizado el ·
Por 
Aymeric Guyard · 10 min de lectura
En resumen
- El RGPD autoriza ambos modelos (artículo 37, apartado 6) y exige lo mismo de cada uno: competencia, independencia, ausencia de conflicto de intereses, medios suficientes y acceso directo a la dirección. El DPD interno es adecuado para las organizaciones que tratan datos a gran escala de forma continua y pueden dedicar un puesto a tiempo completo sin conflicto de intereses. El DPD externalizado es adecuado para la mayoría de las pymes, empresas medianas y entidades locales: cuesta menos que un puesto, aporta una experiencia multirreglamentaria inmediata y evita el riesgo de conflicto de intereses más frecuentemente sancionado por la autoridad francesa de protección de datos (CNIL).
¿Cuándo es obligatoria la designación de un DPD?
El artículo 37 del RGPD impone la designación de un delegado de protección de datos en tres casos:
- El tratamiento es efectuado por una autoridad u organismo público (salvo jurisdicciones en el ejercicio de su función jurisdiccional).
- Las actividades principales consisten en un seguimiento regular y sistemático a gran escala de las personas (elaboración de perfiles, geolocalización, publicidad comportamental, vigilancia).
- Las actividades principales consisten en un tratamiento a gran escala de datos sensibles (salud, biometría, opiniones, orientación sexual…) o de datos relativos a condenas.
Fuera de estos casos, la designación es voluntaria, pero la autoridad francesa de protección de datos (CNIL) la recomienda y se aplican las mismas normas en cuanto se designe un DPD. En la práctica, una empresa de selección de personal, una mutua, un editor de aplicaciones móviles con rastreadores, un establecimiento de salud o una entidad local están afectados. El DPD debe ser declarado a la autoridad francesa de protección de datos (CNIL) mediante el formulario en línea.
Lo que el RGPD exige del DPD, sea cual sea su estatuto
El artículo 38 establece garantías que el responsable del tratamiento debe asegurar:
- Asociación oportuna en todas las cuestiones relativas a la protección de datos.
- Medios necesarios: tiempo, presupuesto, acceso a los datos y a los tratamientos, formación continua.
- Independencia: el DPD no recibe ninguna instrucción sobre el ejercicio de sus funciones y no puede ser sancionado ni relevado de sus funciones por haberlas ejercido.
- Dependencia directa del nivel más alto de la dirección.
- Ausencia de conflicto de intereses: el DPD no puede determinar él mismo las finalidades y medios de los tratamientos. El Comité Europeo de Protección de Datos cita como incompatibles las funciones de director general, director de operaciones, director financiero, director de marketing, director de recursos humanos y director de sistemas de información.
Este último punto es el más discriminante. En una pyme, el DPD interno suele ser el CIO, el director financiero o el jurista único, precisamente las funciones listadas como incompatibles. Varias autoridades europeas, entre ellas la autoridad francesa de protección de datos (CNIL), han sancionado a organizaciones por conflicto de intereses del DPD, y la CNIL ha hecho de la verificación de estas garantías un punto sistemático de sus controles.
Comparativa DPD interno y DPD externalizado
| Criterio | DPD interno | DPD externalizado |
|---|---|---|
| Coste | Salario con cargas de un perfil jurídico o de cumplimiento experimentado, más formación y herramientas | Tarifa mensual o anual, dimensionada al volumen de tratamientos; a título orientativo, de unos cientos a unos miles de euros al mes para una pyme o una mediana empresa |
| Plazo de implementación | Reclutamiento o desarrollo de competencias: 3 a 9 meses | Contratación y toma de posesión: 2 a 4 semanas |
| Competencia | Depende del perfil; un solo ámbito con mayor frecuencia | Equipo pluridisciplinar (jurídico, seguridad, operacional), vigilancia garantizada, a menudo cobertura NIS2, DORA y AI Act |
| Independencia y conflicto de intereses | Riesgo elevado si se combina con una función operativa | Estructuralmente independiente; el conflicto de intereses se excluye contractualmente |
| Conocimiento de la empresa | Elevado, presencia diaria | Por construir; requiere un interlocutor interno y reuniones regulares |
| Continuidad | Frágil: salida, ausencia, cambio de puesto | Garantizada por el proveedor (binomio, sustitución) |
| Responsabilidad | El responsable del tratamiento sigue siendo responsable; el DPD no es personalmente responsable del cumplimiento | Ídem; el proveedor asume su responsabilidad contractual sobre sus entregables |
| Adaptado a | Grandes grupos, organismos que tratan datos sensibles a gran escala, sectores muy regulados | Pymes, medianas empresas, administraciones locales, grupos de pymes, filiales, organizaciones multirreglamentarias |
Las preguntas que plantear a un proveedor de DPD externalizado
- ¿Quién será designado nominalmente DPD ante la autoridad francesa de protección de datos (CNIL), y quién lo reemplaza en caso de ausencia?
- ¿Cuántos días u horas al mes están realmente dedicados a su organización?
- ¿Qué entregables están incluidos: registro, EIPD, respuestas a las solicitudes de derechos, gestión de violaciones, formación, informe anual a la dirección?
- ¿Cubre el proveedor también NIS2, DORA o el AI Act, o será necesario un segundo proveedor?
- ¿Qué herramienta de gestión se proporciona y a quién pertenecen los datos al finalizar el contrato?
- ¿Ha acompañado ya el proveedor un control de la CNIL, y con qué resultado?
- ¿Cómo accede el DPD a la dirección y con qué frecuencia?
El modelo híbrido, a menudo el más eficaz
Muchas organizaciones optan por una combinación: un DPD externalizado designado ante la CNIL, garante de la independencia y de la experiencia, y un referente interno (jurista, responsable de calidad, CIO) que aporta el conocimiento del terreno, recopila la información y despliega las acciones. El RGPD lo permite: exige un DPD, no un DPD solo. Este modelo permite además mutualizar la experiencia sobre varias reglamentaciones, lo que la multiplicación de textos (NIS2, DORA, AI Act) hace cada vez más necesario.
Cómo decidir en cuatro etapas
- Verificar la obligación de designación (artículo 37) y, si no existe, decidir si designar voluntariamente o no.
- Cartografiar los tratamientos: volumen, sensibilidad, número de personas afectadas; esto es lo que dimensiona la necesidad en días. Véase nuestro comparativo de proveedores de DPD externalizado.
- Evaluar el conflicto de intereses para cada candidato interno: ¿determina las finalidades y medios de los tratamientos (responsable del tratamiento)?
- Comparar el coste completo a tres años (salario cargado, formación, herramientas, sustitución) con una tarifa externalizada, integrando el coste del riesgo: la multa por ausencia o deficiencia del DPD puede alcanzar 10 millones de euros o el 2 % del volumen de negocios mundial (artículo 83, apartado 4). Comience por el autodiagnóstico RGPD.
Pase a la acción
Gestione su cumplimiento con Data Comply One: software todo en uno y expertos DPO/CISO externalizados.
Descubrir el DPO externalizado →Evaluar mi cumplimiento RGPD →Fuentes
- Reglamento (UE) 2016/679 (RGPD), artículos 37, 38, 39 y 83, EUR-Lex.
- Comité europeo de protección de datos, directrices sobre los delegados de protección de datos (WP243 rev.01).
- CNIL, «Designar un delegado de protección de datos» y guía práctica del DPD.