Delegado de protección de datos: a partir de cuándo una empresa necesita uno

A partir de 20 empleados que se ocupan de forma regular del tratamiento automatizado de datos personales, las empresas deben designar un delegado de protección de datos y comunicar esa designación a la autoridad de control competente.

Resumen: un delegado de protección de datos (DPD) supervisa el cumplimiento del RGPD en la empresa. La designación es obligatoria en cuanto, por regla general, al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos o, con independencia de ello, en determinados supuestos de evaluación de impacto relativa a la protección de datos o de transferencias. Si falta el DPD pese a la obligación, se prevén multas de hasta 10 millones de euros o el 2 % de la facturación anual.

¿A quién afecta la obligación de designar un delegado de protección de datos?

Afecta a las empresas en las que, según el § 38 BDSG (ley federal alemana de protección de datos) en relación con el art. 37 RGPD, por regla general al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos personales. Solo es determinante este número de empleados vinculados al tratamiento de datos, no la plantilla total ni la facturación de la empresa. Una pequeña empresa con muchos empleados en atención al cliente o en contabilidad, que trabajan a diario con bases de datos o sistemas CRM, puede alcanzar el umbral antes de lo que cree. Con independencia de esta cifra, la obligación existe también cuando en la empresa son necesarias determinadas evaluaciones de impacto relativas a la protección de datos o se dan determinados supuestos de transferencia de datos. Quien no esté seguro de si su empresa pertenece a este grupo debería registrar de forma sistemática el tratamiento interno de datos y documentar el número de empleados vinculados a datos.

¿Qué funciones asume el delegado de protección de datos?

El delegado de protección de datos es la persona de contacto central para las cuestiones de protección de datos en la empresa: supervisa que los datos personales se traten de forma lícita, asesora a la dirección y a los empleados ante nuevos tratamientos y es, al mismo tiempo, punto de contacto para los interesados y para la autoridad de control. Esta doble función —asesorar internamente y estar localizable externamente— es la razón por la que deben publicarse los datos de contacto y comunicarse la designación.

¿Qué debe hacer usted en concreto?

Una vez establecido que la obligación se aplica, el camino hacia el delegado de protección de datos pasa por los siguientes pasos:

1. Comprobar si se alcanza el umbral de 20 personas con tratamiento automatizado de datos.
2. Decidir: delegado de protección de datos interno o externo.
3. Cualificar profesionalmente al DPD o encargar el servicio a un proveedor con experiencia acreditada.
4. Publicar los datos de contacto del DPD en el sitio web.
5. Comunicar la designación a la autoridad de control competente.

Al decidir entre una solución interna y una externa conviene examinar con atención los posibles conflictos de intereses: un delegado externo queda fuera de la jerarquía de la empresa y evita así cuestiones de responsabilidad que pueden surgir con un nombramiento interno en la propia empresa. Ya en la selección conviene tener en cuenta las formaciones o certificaciones pertinentes, para que la cualificación profesional pueda acreditarse en caso de litigio.

¿Hasta cuándo y con qué frecuencia rige la obligación?

La obligación de designación surge en cuanto se cumple por primera vez alguno de los requisitos mencionados. No se trata de una fecha única que se marca una vez como hecha: mientras se alcance el umbral de 20 personas con tratamiento automatizado de datos o se dé un supuesto correspondiente de evaluación de impacto o de transferencia, debe haber de forma continuada un delegado de protección de datos designado. Esto rige también cuando el puesto debe volver a cubrirse entretanto, por ejemplo porque un DPD interno abandona la empresa. Por ello, las empresas deberían revisar periódicamente el número de empleados relevante para detectar a tiempo una obligación que surja de nuevo; en fases de crecimiento, el umbral puede superarse sin advertirlo.

¿Qué ocurre si se incumple la obligación de designación?

Si no se designa un delegado de protección de datos pese a la obligación existente, se prevén multas de hasta 10 millones de euros o el 2 % de la facturación anual. Esta magnitud deja claro que la designación no es una formalidad, sino que las autoridades de control la toman en serio. Qué obligaciones se aplican en concreto a su empresa lo muestra de un vistazo una herramienta como Company Audit.

Los puntos clave de un vistazo:

Preguntas frecuentes

Las siguientes respuestas profundizan en las principales cuestiones en torno a la obligación de designación.

¿Toda empresa debe designar un delegado de protección de datos?

No. La obligación solo surge cuando, por regla general, al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos personales o cuando, con independencia de ello, se dan determinados supuestos de evaluación de impacto relativa a la protección de datos o de transferencias.

¿Es más conveniente un delegado interno o externo?

Ambos son admisibles. Un delegado externo evita conflictos de intereses y cuestiones de responsabilidad que pueden surgir con un nombramiento interno en la propia empresa.

¿Rige la obligación también por debajo de 20 empleados?

Formalmente no es obligatoria, pero también por debajo de ese umbral puede ser conveniente un delegado de protección de datos si en la empresa se tratan datos especialmente sensibles.

¿Dónde deben publicarse los datos de contacto del delegado de protección de datos?

Los datos de contacto deben publicarse en el sitio web de la empresa, para que los interesados y la autoridad de control puedan localizar al delegado de protección de datos.

¿A quién debe comunicarse la designación del delegado de protección de datos?

La designación debe comunicarse a la autoridad de control competente, además de publicar los datos de contacto en el propio sitio web.

Fuente: § 38 BDSG · Art. 37 RGPD. Este artículo es una información general y no sustituye el asesoramiento jurídico en un caso concreto. Fecha: julio de 2026.