Aplicable en España — basado en normativa española (BOE).El profesional cuya designación es obligatoria en más casos de los que parece
Resumen rápido: El delegado de protección de datos es la persona que el responsable o el encargado del tratamiento deben designar, en los supuestos que fija el Reglamento General de Protección de Datos, para supervisar internamente el cumplimiento de la normativa y asesorar sobre las obligaciones en materia de protección de datos: su designación es obligatoria en los tres casos que enumera el artículo 37.1 del RGPD.
Definición flash: Persona designada para supervisar el cumplimiento de la protección de datos, obligatoria cuando el tratamiento lo realiza una autoridad pública o implica observación sistemática a gran escala -art. 37.1 RGPD-.
Etiqueta lingüística
«Delegado» expresa bien su función: no sustituye al responsable del tratamiento en sus obligaciones legales, sino que actúa en su nombre para supervisar, asesorar y servir de punto de contacto, conservando su propia independencia funcional dentro de la organización.
Definición técnica
En sentido técnico, el artículo 37.1 del RGPD obliga a designar un delegado de protección de datos en tres supuestos: cuando el tratamiento lo lleve a cabo una autoridad u organismo público, salvo los tribunales en ejercicio de su función judicial; cuando las actividades principales del responsable o encargado consistan en operaciones que requieran una observación habitual y sistemática de interesados a gran escala; o cuando esas actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales. Fuera de estos supuestos obligatorios, cualquier organización puede designar un delegado de protección de datos de forma voluntaria.
Aplicación práctica
En la práctica, muchas organizaciones deben designar delegado de protección de datos sin ser plenamente conscientes de que están en alguno de los tres supuestos del artículo 37.1 -por ejemplo, empresas cuya actividad implica seguimiento sistemático de usuarios a través de perfiles de comportamiento online, o entidades sanitarias que tratan a gran escala datos de salud, una categoría especial de datos-. El delegado puede ser un empleado de la propia organización o un profesional externo contratado para esa función, pero en ambos casos debe actuar con independencia funcional, sin recibir instrucciones sobre cómo desempeñar sus tareas de supervisión y asesoramiento.
Contexto legal en España
El delegado de protección de datos se regula en el artículo 37 del Reglamento General de Protección de Datos, dentro de la sección dedicada a esta figura.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Responsable del tratamiento
- El responsable del tratamiento es quien decide los fines y medios del tratamiento de datos, y sobre quien recaen las obligaciones legales. El delegado supervisa y asesora, pero no sustituye al responsable en su responsabilidad legal.
- Encargado del tratamiento
- El encargado del tratamiento trata datos por cuenta del responsable, siguiendo sus instrucciones. El delegado de protección de datos puede designarse tanto por el responsable como por el encargado, pero su función es de supervisión, no de tratamiento.
- Autoridad de control
- La autoridad de control -en España, la Agencia Española de Protección de Datos- es el organismo público externo que supervisa el cumplimiento de la normativa. El delegado es una figura interna de cada organización, sin potestad sancionadora.
Términos relacionados
La idea
No todas las organizaciones necesitan un delegado de protección de datos, pero cuando el tipo de tratamiento que realizan entra en alguno de los supuestos que fija la ley, designarlo deja de ser una opción y se convierte en una obligación legal.
Los tres supuestos obligatorios del artículo 37.1
La designación es obligatoria cuando:
- El tratamiento lo realiza una autoridad u organismo público, salvo tribunales en su función judicial
- La actividad principal exige observación habitual y sistemática de interesados a gran escala
- La actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos o de datos penales
Independencia funcional
Sea empleado interno o profesional externo, el delegado debe actuar con independencia, sin recibir instrucciones sobre cómo desempeñar sus funciones de supervisión y asesoramiento.
Dato de autoridad
Un dato con relevancia práctica poco conocida: la obligación de designar delegado no depende del tamaño de la empresa, sino del tipo de tratamiento que realiza. Una pequeña clínica que trate datos de salud a gran escala puede estar obligada a designarlo, mientras que una gran empresa cuya actividad no implique observación sistemática ni datos de categorías especiales puede no estarlo -el criterio legal es funcional, no de volumen de negocio ni de plantilla-.
Encuentra un abogado
Preguntas frecuentes sobre delegado de protección de datos
¿Qué es el delegado de protección de datos?
La persona designada para supervisar el cumplimiento de la normativa de protección de datos y asesorar a la organización, obligatoria en los supuestos del artículo 37.1 del RGPD.
¿Cuándo es obligatorio designar un delegado de protección de datos?
Cuando el tratamiento lo realiza una autoridad pública, cuando implica observación sistemática a gran escala, o cuando consiste en el tratamiento a gran escala de categorías especiales de datos o datos penales.
¿La obligación depende del tamaño de la empresa?
No. Depende del tipo de tratamiento que realiza la organización, no de su volumen de negocio ni del número de empleados.
¿El delegado de protección de datos puede ser externo a la organización?
Sí. Puede ser un empleado interno o un profesional externo contratado para esa función, siempre que actúe con independencia funcional.
¿El delegado sustituye al responsable del tratamiento en sus obligaciones legales?
No. El delegado supervisa y asesora, pero la responsabilidad legal sobre el tratamiento sigue recayendo en el responsable o el encargado que lo designó.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.