¿Necesito un DPO si tengo una pyme de menos de 10 empleados?

Tener menos de diez empleados no exime de designar un Delegado de Protección de Datos (DPO). La obligación no depende del tamaño de la plantilla, sino de la actividad: la fija el artículo 37 del RGPD según el tipo de tratamiento que realices. Una pyme generalista no suele necesitarlo, pero si haces perfilado a gran escala o tratas datos de salud, sí. El criterio es la actividad, no el número de personas.

⏱ Lectura estimada: 18 minutos

Circula un mito muy extendido entre autónomos y pequeñas empresas: que si tienes menos de diez trabajadores no necesitas preocuparte por el Delegado de Protección de Datos. Es falso, y creérselo puede salir caro. La obligación de tener DPO se decide por lo que haces con los datos, no por cuánta gente trabaje contigo.

En Clyvert acompañamos a pymes y profesionales en su cumplimiento digital, y esta es una de las dudas que más se repite. En esta guía aclaramos cuándo es obligatorio el DPO según el RGPD y la ley española, qué sectores están obligados, en qué se diferencia de un DPO voluntario y cómo designarlo. Información rigurosa para que tomes la decisión con criterio. Ten en cuenta que esta guía es divulgativa y no sustituye al asesoramiento jurídico personalizado.

¿Qué es un Delegado de Protección de Datos (DPO)?

El Delegado de Protección de Datos, o DPO por sus siglas en inglés, es la figura encargada de supervisar que una organización cumple la normativa de protección de datos. Informa, asesora, vigila el cumplimiento del RGPD y actúa como punto de contacto con la Agencia Española de Protección de Datos. Debe ejercer su función con independencia y conocimiento experto en la materia.

En España también se le denomina Delegado de Protección de Datos, abreviado DPD. Sus funciones están recogidas en el artículo 39 del RGPD: informa y asesora a la empresa, supervisa el cumplimiento, ofrece consejo sobre las evaluaciones de impacto y coopera con la autoridad de control. No es un mero trámite: es la persona que vela por que el tratamiento de datos personales se haga conforme a la ley.

Qué hace exactamente un DPO en el día a día

Más allá de la definición legal, estas son sus tareas concretas dentro de una organización:

• Asesorar a la dirección y a los empleados sobre sus obligaciones en materia de protección de datos.
• Supervisar el cumplimiento del RGPD, las políticas internas y la formación del personal.
• Asistir en las evaluaciones de impacto relativas a la protección de datos cuando se requieran.
• Cooperar con la AEPD y ser su punto de contacto ante consultas o inspecciones.
• Atender las solicitudes de los ciudadanos que ejercen sus derechos sobre sus datos.

«El delegado de protección de datos desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta su naturaleza, alcance, contexto y fines.»— Reglamento General de Protección de Datos (RGPD), artículo 39.2

Qué perfil y conocimientos debe tener

El RGPD no exige una titulación concreta ni una certificación oficial obligatoria, pero sí conocimientos especializados en derecho y práctica de protección de datos, proporcionales a la complejidad del tratamiento. En España existe un esquema de certificación de DPD promovido por la AEPD que, aunque voluntario, aporta garantías. Lo esencial es que la persona entienda de verdad la normativa y pueda asesorar con criterio, no que acumule diplomas. Un DPO que no domina la materia es un riesgo, no una protección.

También importa su posición dentro de la organización. El DPO debe poder actuar con total independencia, reportar al más alto nivel directivo y no recibir instrucciones sobre cómo ejercer su función. La empresa está obligada a proporcionarle los recursos necesarios y a no penalizarlo por hacer su trabajo. Esa independencia es la garantía de que su supervisión sea real y no una firma de conveniencia.

¿Cuándo es obligatorio designar un DPO según el RGPD?

Según el artículo 37 del RGPD, designar un DPO es obligatorio en tres supuestos. El primero, cuando el tratamiento lo realiza una autoridad u organismo público. El segundo, cuando la actividad principal exige una observación habitual y sistemática de personas a gran escala. El tercero, cuando se tratan a gran escala categorías especiales de datos, como salud o ideología. Ninguno menciona el número de empleados.

Conviene detenerse en dos expresiones clave, porque son las que deciden tu caso. La primera es «a gran escala». No hay una cifra exacta, pero la AEPD valora el número de personas afectadas, el volumen de datos, la duración del tratamiento y su alcance geográfico. La segunda es «observación habitual y sistemática»: vigilancia continuada, como el seguimiento de comportamiento en internet o la videovigilancia masiva.

Ejemplos prácticos de cada supuesto

Para aterrizar la teoría, estos casos ilustran cuándo se activa la obligación:

• Observación a gran escala: una plataforma que rastrea el comportamiento de miles de usuarios para crear perfiles publicitarios.
• Datos sensibles a gran escala: una red de clínicas que trata historiales médicos de un gran número de pacientes.
• Organismo público: un ayuntamiento o una universidad, obligados siempre con independencia del volumen.
• Caso que NO obliga: una tienda online pequeña que solo gestiona los pedidos de sus clientes, sin perfilado masivo.

Fíjate en el último ejemplo. Una pyme que trata datos de clientes para lo normal de su actividad —facturar, enviar pedidos, responder consultas— no realiza un tratamiento «a gran escala» en el sentido del RGPD. Por eso la mayoría de pequeñas empresas generalistas no están obligadas a tener DPO. Pero la frontera la marca la actividad, así que conviene analizarla con honestidad.

Hay un matiz que genera muchas confusiones: el tratamiento de datos de empleados (nóminas, contratos) o la simple gestión de una cartera de clientes no convierten a una empresa en sujeto obligado. Tampoco lo hace tener cámaras de seguridad en un único local. La obligación surge cuando esa actividad de vigilancia o perfilado es el núcleo del negocio y se realiza de forma masiva. Distinguir entre un tratamiento ordinario y uno «a gran escala» es la clave de toda esta cuestión.

¿Qué empresas están obligadas a tener DPO según la LOPDGDD?

La ley española, en el artículo 34 de la LOPDGDD, amplía los supuestos del RGPD con una lista de entidades obligadas con independencia de su tamaño. Incluye colegios profesionales, centros educativos, entidades financieras y aseguradoras, empresas de telecomunicaciones, centros sanitarios, operadores de juego online, empresas de seguridad privada y prestadores que elaboren perfiles a gran escala, entre otros.

Esta lista es importante precisamente porque no atiende al número de empleados. Una pequeña academia, una correduría de seguros o una clínica dental con tres trabajadores pueden estar obligadas a designar DPO por el sector en el que operan, no por su tamaño. Revisar si tu actividad aparece en este listado es el primer paso para salir de dudas.

El artículo 34 también incluye a los prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala. Abarca asimismo a las empresas que desarrollen actividades de publicidad y prospección comercial basadas en preferencias o comportamientos, y a las entidades obligadas a disponer de un canal interno de denuncias. Como ves, son supuestos definidos por la naturaleza de la actividad. Conviene leer el listado completo con atención, porque sectores que parecen ajenos pueden estar incluidos por la forma en que tratan los datos de sus clientes.

Para interpretar estos supuestos con criterio, conviene apoyarse en fuentes oficiales. Tanto las directrices del Comité Europeo de Protección de Datos (antes Grupo de Trabajo del Artículo 29) como las resoluciones publicadas en el Boletín Oficial del Estado ayudan a entender qué se considera «gran escala» en cada sector. Ante la duda, esas fuentes pesan más que cualquier interpretación improvisada.

Qué hacer si dudas si tu sector está incluido

El listado del artículo 34 es extenso y contiene matices. Si tu actividad roza alguno de los supuestos —por ejemplo, elaboras perfiles de clientes o tratas datos de salud aunque sea de forma limitada—, lo prudente es analizar tu caso con un profesional. Equivocarse por exceso de confianza es el error que más caro sale en protección de datos. Ante la duda, mejor confirmar que asumir.

¿Qué diferencia hay entre un DPO obligatorio y uno voluntario?

Un DPO obligatorio es el que exige la ley por tu actividad; no tenerlo es sancionable. Un DPO voluntario es el que designas aunque no estés obligado, como medida de buenas prácticas. La AEPD valora positivamente la designación voluntaria como ejemplo de responsabilidad proactiva. Eso sí, una vez nombrado, el DPO voluntario queda sujeto a las mismas reglas que el obligatorio.

Aquí está el matiz que muchos pasan por alto. Si decides nombrar un DPO voluntario, no puedes tratarlo como una figura decorativa. En cuanto lo designas, debe cumplir todos los requisitos del RGPD: independencia, ausencia de conflicto de intereses, recursos para ejercer su función y comunicación a la AEPD. Por eso conviene decidirlo con conocimiento, no por impulso.

Por qué algunas pymes nombran un DPO sin estar obligadas

Designar un DPO voluntario aporta ventajas que van más allá del cumplimiento estricto. Transmite confianza a clientes y socios, ayuda a prevenir incidentes antes de que ocurran y demuestra diligencia ante una eventual inspección. Para una empresa que maneja datos como activo central, tener a alguien que vele por su tratamiento correcto puede ser una inversión inteligente, no un gasto. Es una decisión de gestión del riesgo, no solo de cumplimiento.

Existe una alternativa intermedia para quien no quiere designar un DPO formal: contar con un asesor o responsable interno de cumplimiento que vigile la protección de datos sin asumir la figura legal del DPO. Es válido siempre que no estés obligado a designar uno. Esta opción te permite mantener el control sin contraer las obligaciones formales asociadas al nombramiento, y encaja bien en pymes que quieren hacer las cosas bien sin sobredimensionar su estructura.

¿DPO interno o DPO externo: qué conviene a tu pyme?

El DPO puede ser un empleado de la empresa (interno) o un profesional o consultora contratada (externo). Para una pyme, el DPO externo suele ser la opción más práctica y económica: aporta experiencia especializada sin el coste de un puesto a tiempo completo y garantiza la independencia que exige la ley. El interno encaja mejor en organizaciones grandes con volumen suficiente.

Un punto crítico del DPO interno es el conflicto de intereses. El RGPD prohíbe que el DPO ocupe a la vez un puesto que determine los fines del tratamiento, como dirección, marketing o sistemas. En una pyme pequeña, donde una misma persona hace de todo, encontrar a alguien interno sin ese conflicto es difícil. De ahí que el DPO externo sea, casi siempre, la solución más limpia.

Cuánto cuesta aproximadamente un DPO externo

El coste de un DPO externo varía mucho según el tamaño de la empresa, la complejidad del tratamiento y el alcance del servicio contratado. Para una pyme con un tratamiento de datos moderado, suele plantearse como una cuota mensual o anual de servicio, sensiblemente más asumible que el salario de un empleado especializado a tiempo completo. Conviene pedir varias propuestas y comparar qué incluye cada una: no es lo mismo una designación formal que un acompañamiento continuo con auditorías y formación. Estas cifras dependen del proveedor y del mercado, así que lo prudente es solicitar presupuestos concretos para tu caso.

¿Cómo designar un DPO y comunicarlo a la AEPD?

Designar un DPO tiene dos fases: el nombramiento interno y la comunicación a la Agencia Española de Protección de Datos. Eliges a la persona o empresa, formalizas el nombramiento y publicas sus datos de contacto, por ejemplo en tu política de privacidad. Después comunicas la designación a la AEPD a través de su sede electrónica, en un plazo de diez días.

El procedimiento, paso a paso, es el siguiente:

1. Elige al DPO, interno o externo, con conocimientos en protección de datos y sin conflicto de intereses.
2. Formaliza el nombramiento por escrito, definiendo sus funciones y garantizando su independencia y recursos.
3. Publica sus datos de contacto de forma accesible, habitualmente en la política de privacidad de tu web.
4. Comunica la designación a la AEPD a través de su sede electrónica, en el plazo de diez días desde el nombramiento.
5. Mantén la comunicación actualizada: si cambia el DPO o sus datos, debes notificarlo de nuevo.

¿Qué errores debes evitar con la figura del DPO?

El error más extendido es creer que la obligación depende del número de empleados. Le siguen nombrar a alguien con conflicto de intereses, no comunicar la designación a la AEPD, tratar al DPO como una figura simbólica sin recursos y no documentar nada. Cualquiera de estos fallos puede convertir una buena intención en un incumplimiento sancionable.

Los tropiezos que más vemos en pequeñas empresas:

• Contar empleados en lugar de analizar la actividad. El número de trabajadores es irrelevante; lo que cuenta es qué haces con los datos.
• Nombrar a quien tiene conflicto de intereses. El gerente o el responsable de marketing no pueden ser DPO de su propia empresa.
• No comunicarlo a la AEPD. El nombramiento sin comunicación incumple la obligación formal y deja rastro de negligencia.
• DPO de adorno. Designar a alguien sin darle tiempo, formación ni independencia es tan grave como no tenerlo.
• No documentar las decisiones. Sin registro de actividades de tratamiento ni evidencias, demostrar el cumplimiento es imposible.

Una reflexión desde la experiencia: en Clyvert observamos que muchas pymes confunden tener una política de privacidad copiada con estar al día en protección de datos. No es lo mismo. Siguiendo los criterios de la AEPD, el RGPD exige diligencia real, no documentos de plantilla. Tanto si necesitas DPO como si no, ordenar tu tratamiento de datos es una inversión en confianza y en tranquilidad. Y si gestionas campañas, esa diligencia también afecta a tu estrategia de email marketing, donde el consentimiento y la base legal son igual de exigibles.

La conclusión práctica para una pyme de menos de diez empleados es sencilla: olvídate del recuento de plantilla y mira tu actividad. Si tratas datos de salud, perfilas clientes a gran escala o tu sector aparece en el artículo 34 de la LOPDGDD, designa DPO. Si eres un negocio generalista, probablemente no lo necesites, pero confirma tu caso con un profesional antes de descartarlo. La tranquilidad de saberlo con certeza vale mucho más que la consulta que cuesta resolverla.

Preguntas frecuentes

Referencias

Pon en orden la protección de datos de tu negocio

Saber si necesitas un DPO es solo una pieza del cumplimiento digital de tu empresa. En Clyvert somos tu partner digital y te ayudamos a ordenar tu presencia online con garantías: webs conformes, políticas reales y campañas que respetan la normativa. Solicita tu auditoría estratégica gratuita por WhatsApp y, si no encontramos al menos 5 mejoras significativas en tu estrategia, te pagamos 50 €.

¿Prefieres que lo veamos juntos? Escríbenos por WhatsApp o visita Clyvert y solicita tu auditoría gratuita.