Aplicable en España — basado en normativa española (BOE).El profesional cuya designación es obligatoria en más casos de los que parece
Resumen rápido: El delegado de protección de datos es la persona que el responsable o el encargado del tratamiento deben designar, en los supuestos que fija el Reglamento General de Protección de Datos, para supervisar internamente el cumplimiento de la normativa y asesorar sobre las obligaciones en materia de protección de datos: su designación es obligatoria en los tres casos que enumera el artículo 37.1 del RGPD y, en España, en las entidades que enumera el artículo 34.1 de la LOPDGDD.
Definición flash: Persona que supervisa la protección de datos en una organización; es obligatoria en los casos del art. 37.1 RGPD y en las entidades del art. 34 LOPDGDD.
Etiqueta lingüística
«Delegado» expresa bien su función: no sustituye al responsable del tratamiento en sus obligaciones legales, sino que actúa en su nombre para supervisar, asesorar y servir de punto de contacto, conservando su propia independencia funcional dentro de la organización.
Definición técnica
En sentido técnico, el artículo 37.1 del RGPD obliga a designar un delegado de protección de datos en tres supuestos: cuando el tratamiento lo lleve a cabo una autoridad u organismo público, salvo los tribunales en ejercicio de su función judicial; cuando las actividades principales del responsable o encargado consistan en operaciones que requieran una observación habitual y sistemática de interesados a gran escala; o cuando esas actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales. El RGPD añade que también deberá designarse cuando lo exija el Derecho de un Estado miembro (art. 37.4), y en España el artículo 34.1 de la LOPDGDD lo exige «en todo caso» a una larga lista de entidades: colegios profesionales, centros docentes y universidades, entidades de crédito, aseguradoras, empresas de servicios de inversión, comercializadoras de electricidad y gas, centros sanitarios obligados a llevar historias clínicas, empresas de seguridad privada, operadores de juego en línea o federaciones deportivas que traten datos de menores, entre otras; de los centros sanitarios se exceptúa al profesional que ejerce a título individual. Fuera de esos supuestos, cualquier organización puede designarlo de forma voluntaria (art. 34.2 LOPDGDD). La designación, el nombramiento y el cese deben comunicarse a la autoridad de protección de datos en diez días (art. 34.3).
Aplicación práctica
En la práctica, muchas organizaciones deben designar delegado de protección de datos sin ser plenamente conscientes de que están en alguno de los tres supuestos del artículo 37.1 -por ejemplo, empresas cuya actividad implica seguimiento sistemático de usuarios a través de perfiles de comportamiento online, o entidades sanitarias que tratan a gran escala datos de salud, una categoría especial de datos-. El delegado puede ser un empleado de la propia organización o un profesional externo contratado para esa función, pero en ambos casos debe actuar con independencia funcional, sin recibir instrucciones sobre cómo desempeñar sus tareas de supervisión y asesoramiento.
Contexto legal en España
El delegado de protección de datos se regula en el artículo 37 del Reglamento General de Protección de Datos, dentro de la sección dedicada a esta figura, y en España también en los artículos 34 a 37 de la LOPDGDD, que amplían los supuestos obligatorios.
Normas clave a tener en cuenta
- Ley Orgánica de Protección de Datos, artículo 31
- Ley Orgánica de Protección de Datos, artículo 70
- Reglamento (UE) 2016/679 (RGPD), artículo 37.1 (supuestos de designación obligatoria del delegado de protección de datos)
- Ley Orgánica 3/2018 (LOPDGDD), artículo 34 (designación de un delegado de protección de datos: supuestos obligatorios en el ámbito español)
Qué no es / diferencias clave
- Responsable del tratamiento
- El responsable del tratamiento es quien decide los fines y medios del tratamiento de datos, y sobre quien recaen las obligaciones legales. El delegado supervisa y asesora, pero no sustituye al responsable en su responsabilidad legal.
- Encargado del tratamiento
- El encargado del tratamiento trata datos por cuenta del responsable, siguiendo sus instrucciones. El delegado de protección de datos puede designarse tanto por el responsable como por el encargado, pero su función es de supervisión, no de tratamiento.
- Autoridad de control
- La autoridad de control -en España, la Agencia Española de Protección de Datos- es el organismo público externo que supervisa el cumplimiento de la normativa. El delegado es una figura interna de cada organización, sin potestad sancionadora.
Términos relacionados
La idea
No todas las organizaciones necesitan un delegado de protección de datos, pero cuando el tipo de tratamiento que realizan entra en alguno de los supuestos que fija la ley, designarlo deja de ser una opción y se convierte en una obligación legal.
Los tres supuestos obligatorios del artículo 37.1
Según el RGPD, la designación es obligatoria cuando (en España hay que sumar las entidades del artículo 34.1 de la LOPDGDD):
- El tratamiento lo realiza una autoridad u organismo público, salvo tribunales en su función judicial
- La actividad principal exige observación habitual y sistemática de interesados a gran escala
- La actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos o de datos penales
Independencia funcional
Sea empleado interno o profesional externo, el delegado debe actuar con independencia, sin recibir instrucciones sobre cómo desempeñar sus funciones de supervisión y asesoramiento, y no puede ser destituido ni sancionado por desempeñarlas (art. 38.3 RGPD; art. 36.2 LOPDGDD, salvo dolo o negligencia grave).
Dato de autoridad
Un dato con relevancia práctica poco conocida: la obligación de designar delegado no depende del tamaño de la empresa, sino del tipo de tratamiento que realiza. Una pequeña clínica obligada a llevar historias clínicas debe designarlo en todo caso (art. 34.1.l LOPDGDD; no así el profesional sanitario que ejerce a título individual), mientras que una gran empresa cuya actividad no implique observación sistemática ni datos de categorías especiales puede no estarlo -el criterio legal es funcional, no de volumen de negocio ni de plantilla-.
Encuentra un abogado
Preguntas frecuentes sobre delegado de protección de datos
¿Qué es el delegado de protección de datos?
La persona designada para supervisar el cumplimiento de la normativa de protección de datos y asesorar a la organización, obligatoria en los supuestos del artículo 37.1 del RGPD y, en España, en las entidades del artículo 34.1 de la LOPDGDD.
¿Cuándo es obligatorio designar un delegado de protección de datos?
Cuando el tratamiento lo realiza una autoridad pública, cuando implica observación sistemática a gran escala, o cuando consiste en el tratamiento a gran escala de categorías especiales de datos o datos penales. Además, en España el artículo 34.1 de la LOPDGDD la impone en todo caso a entidades como colegios profesionales, centros docentes y universidades, entidades de crédito, aseguradoras, empresas de servicios de inversión, comercializadoras de electricidad y gas, centros sanitarios obligados a llevar historias clínicas, empresas de seguridad privada, operadores de juego en línea o federaciones deportivas que traten datos de menores.
¿La obligación depende del tamaño de la empresa?
No. Depende del tipo de tratamiento que realiza la organización y, en España, también del tipo de entidad (art. 34.1 LOPDGDD), no de su volumen de negocio ni del número de empleados.
¿El delegado de protección de datos puede ser externo a la organización?
Sí. Puede ser un empleado interno o un profesional externo contratado para esa función, siempre que actúe con independencia funcional.
¿El delegado sustituye al responsable del tratamiento en sus obligaciones legales?
No. El delegado supervisa y asesora, pero la responsabilidad legal sobre el tratamiento sigue recayendo en el responsable o el encargado que lo designó.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.