Un Delegado de Protección de Datos (DPD) externo, designado y con experiencia, para su empresa tecnológica, comunicado a la Agencia Española de Protección de Datos (AEPD), sin necesidad de contratación fija.
La respuesta breve: si su empresa necesita un DPD conforme al artículo 37 del RGPD o a la lista sectorial de la LOPDGDD, puede designar un DPD externo bajo un contrato de servicios, con la misma validez legal que una contratación interna. El artículo 37(6) del RGPD lo permite de forma expresa.
Qué es un DPD externo
Un DPD externo es un Delegado de Protección de Datos cualificado que ejerce la función legal prevista en los artículos 37 a 39 del RGPD en virtud de un contrato de servicios, en lugar de como empleado. La designación se comunica a la AEPD del mismo modo que una designación interna, y las funciones (asesorar, supervisar el cumplimiento, cooperar con la autoridad, actuar como punto de contacto) son idénticas.
Quién lo necesita
Conforme al artículo 37(1) del RGPD, la designación es obligatoria cuando el tratamiento lo realiza una autoridad pública, cuando la actividad principal exige una observación habitual y sistemática de interesados a gran escala, o cuando implica el tratamiento a gran escala de categorías especiales de datos.
La LOPDGDD añade una disposición propia: una lista de sectores (centros sanitarios, entidades de crédito, aseguradoras, empresas de telecomunicaciones y proveedores de servicios de la sociedad de la información que elaboren perfiles de usuarios a gran escala, entre otros) que deben nombrar un DPD con independencia de si cumplen el criterio general del artículo 37. Muchas empresas tecnológicas y SaaS españolas también designan un DPD de forma voluntaria porque los clientes empresariales y los inversores lo esperan.
Qué hacemos
- Designación del DPD, comunicada a la AEPD y publicada en su aviso de privacidad conforme al artículo 13.
- Registro de actividades de tratamiento (artículo 30), elaborado y mantenido al día.
- Evaluaciones de impacto (EIPD) cuando el artículo 35 lo exige, con la decisión documentada en caso contrario.
- Ejercicio de derechos de los interesados, gestionado dentro del plazo de un mes con las prórrogas documentadas.
- Gestión de brechas de seguridad, la decisión de notificación de 72 horas conforme al artículo 33 y el registro correspondiente.
- Contacto con la AEPD, actuando como punto de contacto para consultas e inspecciones.
- Formación para los equipos de ingeniería, ventas y soporte.
Cómo funciona
Llamada de alcance y cuestionario. Analizamos su tratamiento, sistemas, transferencias y compromisos con clientes, y le indicamos con claridad si la designación es obligatoria o voluntaria.
Designación y comunicación. Contrato firmado, DPD designado, formulario presentado ante la AEPD, datos de contacto incorporados a su aviso de privacidad. Normalmente completo en dos semanas.
Evaluación inicial. Un plan priorizado frente a las obligaciones que realmente le aplican, con el registro de actividades iniciado.
Servicio continuado. Tiempo de asesoramiento programado, gestión de solicitudes y brechas conforme surjan, informes trimestrales, y el mismo DPD senior durante toda la relación.
Qué cuesta
- DPO Foundation, desde €1.000 al mes.
- DPO Partner, desde €2.500 al mes.
- DPO Complete, desde €4.500 al mes.
- Enterprise, a medida.
- Privacy Advisory, desde €600 al mes, asesoramiento sin designación formal.
Facturación anual. Un DPD senior interno en España suele costar entre €60.000 y €100.000 al año más cargas sociales, con un proceso de contratación de varios meses. Consulte la guía de costes de un DPO externalizado para el desglose completo.
Por qué Engage Compliance
Trabaja directamente con un DPD senior, la misma persona durante toda la relación, comunicado a la autoridad de control. Experiencia en más de 100 startups y empresas, incluidas Amazon, Coinbase y Robinhood. Su DPD es un experto, nunca un traspaso a un perfil junior. Cada contrato incluye seguro de responsabilidad civil profesional y de ciberseguridad.
Fuentes y referencias
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos, artículos 13, 30, 33, 35, 37, 38 y 39
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, Agencia Estatal Boletín Oficial del Estado
- Agencia Española de Protección de Datos (AEPD)