Cuándo es obligatorio un delegado de protección de datos

La pregunta cuándo es obligatorio un delegado de protección de datos no se resuelve con una cifra de empleados ni con el volumen de negocio. Cada responsable y cada encargado debe examinar cuatro vías respecto de una entidad jurídica concreta y de sus tratamientos reales: tres proceden directamente del artículo 37 y otra abre el Derecho adicional aplicable ¹.

Una respuesta afirmativa no termina en el nombramiento: abre una función protegida con independencia, recursos, acceso y tareas concretas ². Una respuesta negativa tampoco permite cerrar la carpeta: debe producir una evaluación fechada, sustentada por hechos y preparada para revisarse cuando cambie la actividad.

Respuesta rápida Para decidir cuándo es obligatorio un delegado de protección de datos, comprueba cuatro vías: autoridad pública, observación habitual y sistemática a gran escala, tratamiento principal a gran escala de datos sensibles o penales y leyes adicionales aplicables ¹. Un sí exige una función protegida; un no exige una evaluación fechada, fundada y revisable.

Última actualización: 26 de agosto de 2026

Empiece por cuatro vías, no por la plantilla

La evaluación pertenece a una entidad jurídica en su papel real de responsable o encargado del tratamiento. Una respuesta para todo el grupo resulta insuficiente cuando las sociedades deciden o ejecutan operaciones distintas. Tampoco cabe trasladar la carga al cliente: el artículo 37 obliga a comprobar ambos papeles ¹. Cada entidad delimita sus actividades principales, las personas observadas, las categorías de datos y el ordenamiento que le resulta aplicable.

El orden práctico es sencillo: primero se pregunta si el tratamiento lo realiza una autoridad u organismo público. Después se comprueba si una actividad principal exige observación habitual y sistemática a gran escala. La tercera vía examina si una actividad principal trata a gran escala categorías especiales del artículo 9 o datos sobre condenas e infracciones del artículo 10. Por último, aunque las tres respuestas sean negativas, se revisan el Derecho de la Unión y el Derecho nacional aplicable ¹.

El flujo separa necesidad e implantación. Cualquier respuesta afirmativa cierra la primera cuestión; no es necesario acumular dos supuestos. Solo entonces se decide si la función será interna, externa o compartida y se calculan conocimientos, accesibilidad, tiempo y recursos. Empezar por una persona o por un contrato puede conducir a diseñar el puesto antes de haber probado por qué existe.

La ficha inicial debería identificar la entidad, sus papeles, la actividad, el propietario de los hechos y la fecha; también distingue lo confirmado, lo descartado y lo pendiente. Una casilla vacía no es un no; requiere una persona que obtenga la evidencia. El expediente termina con un resultado por vía y una conclusión conjunta que otra persona pueda reconstruir sin asistir a la reunión.

Ni la plantilla ni la cifra de negocio aparecen como pruebas autónomas en el artículo 37 ¹. Pueden aportar contexto para entender capacidad, organización o escala, pero no sustituyen los elementos jurídicos. Una pequeña empresa que presta un servicio de observación intensiva puede necesitar delegado, mientras una entidad con muchos empleados puede concluir que ninguna vía se activa para sus actividades actuales. La diferencia está en los hechos documentados.

Compruebe los tres supuestos del artículo 37

La primera vía comprende el tratamiento efectuado por una autoridad u organismo público, salvo los tribunales que actúen en ejercicio de su función judicial ¹. La salvedad corresponde a esa función concreta, no a cualquier tratamiento administrativo de una institución judicial. Para las demás autoridades u organismos públicos, esta vía no exige demostrar gran escala.

La segunda vía reúne varios elementos que no deben separarse: las actividades principales del responsable o encargado han de consistir en operaciones que, por su naturaleza, alcance o fines, requieran una observación habitual y sistemática de personas a gran escala ¹. Que exista analítica, videovigilancia o una base de clientes no basta por su nombre. El expediente debe explicar la observación, su organización, recurrencia, alcance y relación con el núcleo de la actividad.

La tercera vía también exige una combinación completa: actividad principal y tratamiento a gran escala de categorías especiales del artículo 9 o de datos relativos a condenas e infracciones del artículo 10 ¹. Un campo sensible aislado no demuestra gran escala, y un archivo voluminoso de datos ordinarios no satisface esta ruta. Deben identificarse las categorías, el papel que cumplen en la prestación central y los factores de escala.

Responsable y encargado aplican las tres vías por separado ¹. Si la actividad principal de un encargado consiste en operar observación a gran escala para numerosos clientes, la evaluación de uno de ellos no cubre su propia obligación. En sentido contrario, un acceso técnico esporádico no transforma por sí mismo toda la prestación en observación principal. La conclusión sigue a la función efectiva, no a la etiqueta del contrato.

El artículo no ofrece un número universal de personas, registros, territorios o meses. Las directrices WP243 recomiendan una apreciación conjunta y cualitativa ⁴. Por eso el expediente registra valores reales y su contexto, en lugar de buscar una cifra que pueda reutilizarse sin volver a analizar la actividad.

La condición pública depende del Derecho nacional

El RGPD no define de forma autónoma qué es una «autoridad u organismo público». La entidad debe resolver esa condición conforme al Derecho nacional que le sea aplicable ⁴. Importar la definición de otro Estado miembro, o una categoría tomada de un régimen británico, puede producir una conclusión elegante y jurídicamente ajena al caso.

La investigación parte de la norma que crea, reconoce o regula la entidad y de las funciones que esta ejerce. La forma jurídica, la financiación, el control público o las potestades pueden orientar la búsqueda, pero no forman una prueba europea cerrada. La respuesta se apoya en una disposición nacional vigente y aplicable; parecerse a otra organización no sustituye esa fuente.

Conviene conservar el título oficial de la norma, la disposición exacta, su versión o fecha de vigencia, el enlace oficial y la fecha de consulta. La nota explica por qué la entidad entra o no en la categoría y separa cualquier función jurisdiccional relevante. Si la respuesta depende de un hecho institucional pendiente, la vía queda abierta; no se rellena con una conclusión negativa provisional.

El método evita presentar una autoridad nacional como interlocutora universal; además, admite que varias entidades de un grupo lleguen a resultados distintos cuando cambia su estatuto. La pregunta común procede del artículo 37 ¹. La necesidad de resolver el concepto mediante el Derecho nacional se apoya en las directrices WP243 ⁴.

Cuando una entidad pública comparte delegado con otras, debe considerar estructura y tamaño, y asegurar que la persona sea realmente accesible ¹. La posibilidad organizativa llega después de confirmar la obligación; no corrige una clasificación pública incompleta ni permite distribuir una dedicación que resulte insuficiente para las tareas reales.

Defina actividad principal, escala y observación

Son actividades principales las operaciones esenciales para alcanzar los objetivos del responsable o del encargado. El tratamiento puede constituir el corazón del servicio aunque el lenguaje comercial no lo diga. Las funciones corrientes de apoyo, como la gestión de nóminas o la asistencia informática ordinaria, suelen ser auxiliares; aun así, sus propios hechos pueden quedar afectados por una regla distinta o por el Derecho nacional ⁴.

La escala se documenta con un conjunto de factores: número de personas y proporción respecto de la población pertinente, volumen y variedad de datos, duración o permanencia del tratamiento y extensión geográfica ⁴. Ninguno constituye por sí solo un umbral europeo: una operación puede tener pocos campos pero cubrir a una población muy amplia durante años, mientras otra puede manejar datos intensos de un grupo limitado en un periodo breve. La conclusión explica la combinación.

La observación es habitual cuando se realiza de forma continua, recurrente o en periodos determinados, y sistemática cuando está organizada, planificada, metódica o integrada en una estrategia ⁴. Pueden ser relevantes el perfilado, el seguimiento de ubicación, los programas de fidelización, la publicidad basada en comportamiento o la supervisión de dispositivos conectados. La lista ilustra formas de observar; no declara que cada herramienta active la obligación.

La ficha debe convertir cada adjetivo en algo comprobable: descripción del servicio, número y proporción de personas, clases y volumen de datos, mapa de eventos, frecuencia, territorios, decisiones afectadas y responsable operativo. Las métricas llevan fecha y perímetro; escribir «gran escala» sin periodo ni población de referencia impide revisar, mientras presentar cifras sin explicar por qué pesan en la conclusión tampoco resuelve la prueba.

La evaluación debe reflejar crecimiento previsto cuando forma parte del diseño, pero no inventar un futuro para forzar el resultado. Se registra qué está aprobado y qué sigue siendo una hipótesis; el desencadenante puede ser superar el perímetro documentado, añadir una categoría de datos, ampliar territorios o convertir una medición ocasional en observación planificada.

Revise de forma visible la ley adicional aplicable

El apartado 4 del artículo 37 permite que el Derecho de la Unión o de un Estado miembro exija designar delegado en otros casos ¹. Esta rama no es una nota secundaria: debe aparecer en la misma decisión que las tres vías del apartado 1, porque una entidad puede responder no a todas ellas y seguir obligada por una disposición adicional.

Primero se determina qué ordenamientos alcanzan a la entidad y a la actividad; después se consultan sus fuentes oficiales vigentes. El registro cita título nacional exacto, disposición, URL oficial, versión o fecha de vigencia y fecha de consulta. Una breve motivación enlaza el ámbito de la norma con los hechos. Si no consta dónde, cuándo y con qué alcance se buscó, la frase «no se encontró obligación» no es reproducible.

No hay un umbral nacional único que pueda generalizarse a toda la Unión; este artículo tampoco traslada categorías de un país a otro. Si existe más de un establecimiento o una actividad sujeta a varios ordenamientos, cada fuente se analiza por separado y se explica qué entidad o tratamiento cubre. La duda sobre la ley aplicable se trata como una cuestión pendiente, no como permiso para cerrar la vía.

Para una organización sometida al régimen del Reino Unido, la pregunta pertenece a otro marco y debe revisarse en la guía sobre la necesidad de un delegado de protección de datos en el Reino Unido^EN(artículo en inglés). Esa presentación separada evita importar la legislación británica en una decisión regida por el RGPD de la Unión.

La revisión no termina el día de la evaluación: un cambio legislativo, una nueva entidad, otra jurisdicción o una ampliación de actividad debe activar una nueva consulta. Asignar a una persona responsable y conservar la fuente nacional convierte la cuarta vía en un control repetible, no en la frase «legal confirmó» perdida en un correo.

Un nombramiento voluntario mantiene todas las garantías

Una organización puede designar delegado voluntariamente ¹. Al utilizar ese título, activa el régimen completo de los artículos 37 a 39. La elección es voluntaria solo en su origen; después no permite seleccionar unas garantías y omitir otras. La persona se elige por sus cualidades profesionales, conocimiento especializado del Derecho y la práctica de protección de datos y capacidad para realizar las tareas legales.

Existe una alternativa honesta cuando la entidad quiere asignar coordinación de privacidad sin crear el puesto protegido. Puede nombrar a una persona responsable de privacidad, coordinadora de cumplimiento u otra función claramente distinta. La denominación, la comunicación interna y la información pública no deben hacer creer que es el delegado. Esta separación protege tanto a la organización como a las personas que necesiten contactar con la verdadera función.

El delegado puede pertenecer a la plantilla o prestar servicios mediante contrato ¹. Un grupo puede designar uno común si resulta fácilmente accesible desde cada establecimiento; varias autoridades u organismos públicos también pueden compartirlo teniendo en cuenta estructura y tamaño: son formas de organizar la función, no rebajas de su estatuto.

Antes de compartir o externalizar, se calcula la carga real: entidades, idiomas, ubicaciones, volumen de consultas, evaluaciones de impacto, auditorías, incidentes y relación con autoridades. Deben existir canales de contacto claros, disponibilidad suficiente y sustitución razonable. Un contrato que asigna muchas entidades sin tiempo para comprenderlas cumple el organigrama, pero no demuestra capacidad.

También se comprueban conflictos: la misma persona puede asumir otras tareas solo si no determinan los fines y medios del tratamiento ni comprometen su independencia ². El análisis se hace sobre decisiones reales, no sobre títulos: dirección general, operaciones, recursos humanos o tecnología pueden generar conflictos cuando sus funciones incluyen decidir el tratamiento que después deberían supervisar.

Si la respuesta es sí, haga real la función

La designación debe desembocar en un plan de implantación, no en una línea del organigrama. El artículo 38 regula la posición protegida y la relación con dirección, equipos y personas interesadas ². El artículo 39 define las tareas de asesoramiento, supervisión y cooperación ³. En la práctica, la organización prueba que el delegado conoce los tratamientos, interviene a tiempo y puede sostener un criterio independiente.

Las tareas mínimas abarcan informar y asesorar al responsable o encargado y a su personal; supervisar el cumplimiento, las responsabilidades, la sensibilización, la formación y las auditorías; asesorar sobre evaluaciones de impacto y vigilar su ejecución; cooperar con la autoridad de control y actuar como punto de contacto ³. No basta con repartir estas palabras en una descripción de puesto; cada tarea necesita entradas, calendario o desencadenante, responsable de aportar información y evidencia de salida.

El desempeño presta la debida atención al riesgo asociado a cada operación, considerando naturaleza, alcance, contexto y fines ³. Esto permite priorizar sin abandonar obligaciones: un tratamiento de alto impacto puede requerir participación inmediata, mientras asuntos rutinarios siguen un cauce proporcionado. La priorización debe ser del delegado dentro de su mandato, no una instrucción para ignorar temas incómodos.

La dirección conserva la decisión y la rendición de cuentas: puede no seguir un consejo, pero debería documentar el motivo, el riesgo aceptado y quién aprobó la desviación. Convertir al delegado en aprobador universal crea una falsa transferencia de responsabilidad y puede debilitar su independencia. Su papel es informar, asesorar, supervisar y cooperar, no sustituir a quien decide fines y medios.

La implantación se prueba con muestras: participación antes de una nueva finalidad, acceso a una evaluación de impacto, informe a dirección, seguimiento de una recomendación, formación observada y comunicación con la autoridad cuando proceda. Las pruebas revelan si el diseño formal funciona y también permiten ajustar recursos cuando el número de entidades, consultas o proyectos crece.

Si la respuesta es no, documente la evaluación

Una conclusión negativa también es un producto de trabajo. Identifica la entidad analizada, sus papeles, las actividades principales y la respuesta razonada a cada vía; no se limita a constatar que nadie fue nombrado. La fecha fija el perímetro, porque pueden cambiar escala, tecnología, datos o Derecho aplicable mientras el nombre del servicio permanece igual.

La evidencia puede incluir estatutos, descripciones de servicio, inventario de tratamientos, métricas de personas y registros, duración, territorios, categorías de datos, mapas de observación y dictámenes internos. No es necesario copiar cada documento; el expediente debe identificarlo, fecharlo y explicar qué elemento prueba. La afirmación «no somos una gran empresa» no responde a ninguna vía.

La fuente de Derecho nacional merece un campo propio: título oficial, disposición, versión, URL, fecha de consulta, ámbito y conclusión. Si no hay una norma adicional aplicable, la nota explica qué ordenamiento se comprobó y por qué. Este detalle permite repetir la revisión después de una reforma y evita que otra entidad del grupo herede una respuesta que no le corresponde.

Cuando no se designa delegado, sigue siendo necesario asignar responsabilidad práctica por la privacidad. Ese puesto no debe llamarse delegado ni presentarse como tal; puede mantener el inventario, coordinar respuestas, reunir evidencia y activar asesoramiento especializado. La dirección continúa siendo responsable de los recursos y decisiones.

Los desencadenantes deben ser observables: una nueva actividad principal, observación planificada, crecimiento sustancial de personas o geografía, incorporación de datos de los artículos 9 o 10, cambio de estatuto público, entrada en otro Estado o una ley nueva. Una revisión periódica proporcional funciona como respaldo para detectar cambios que no llegaron por el canal previsto, pero no sustituye la actualización causada por eventos.

La entrega final a operaciones resume el perímetro del no y los cambios que no pueden introducirse sin volver a analizar; así, producto, contratación, recursos humanos y dirección saben cuándo avisar. La evaluación deja de ser una opinión estática y se convierte en un control reproducible.

Aplique la prueba a patrones concretos

Los patrones siguientes no crean puertos seguros. Aplican las vías directas del artículo 37 ¹ y los factores interpretativos de WP243 ⁴. En un caso real, cada descripción se sustituye por evidencia propia y se completa con la comprobación del Derecho adicional aplicable.

El primer patrón prescinde de la escala porque la condición pública ya abre su propia vía. El segundo distingue la simple presencia de una herramienta de una actividad principal de observación. El tercero reúne actividad principal, categoría y escala; el cuarto permite una negativa auténtica sin generalizarla a cualquier pequeña empresa, y el quinto conserva la incertidumbre como trabajo pendiente.

En la práctica, los casos pueden cambiar de fila: un servicio limitado puede añadir perfilado recurrente, un tratamiento auxiliar puede convertirse en oferta central, una expansión puede alterar población y geografía o una reforma puede abrir la vía adicional. El registro conserva la versión anterior y describe el cambio; no reescribe los hechos para que la conclusión parezca siempre igual.

La decisión se comunica en dos capas: una síntesis indica sí, no o pendiente, la vía y el siguiente paso. El expediente completo conserva fuentes, métricas, argumentos, responsable y revisión; quien ejecuta necesita la síntesis, mientras quien audita necesita reconstruir la cadena, y ambas capas deben coincidir.

Preguntas frecuentes sobre el delegado

¿Cuándo se necesita un delegado de protección de datos conforme al RGPD?

Se necesita cuando el tratamiento lo realiza una autoridad u organismo público, salvo la excepción jurisdiccional; cuando las actividades principales requieren observación habitual y sistemática a gran escala; cuando esas actividades tratan a gran escala datos de los artículos 9 o 10; o cuando otra ley aplicable lo exige ¹. Una sola vía afirmativa basta para decidir la necesidad.

¿El número de empleados obliga a nombrar un delegado de protección de datos?

No. El artículo 37 no fija un umbral general de empleados o facturación ¹. Para valorar escala, las directrices consideran número y proporción de personas, volumen y variedad de datos, duración y geografía ⁴. La evaluación pertenece a la entidad y al tratamiento reales; el tamaño de la organización no sustituye ninguna de las cuatro vías.

¿Qué significa tratamiento a gran escala para nombrar un delegado?

No existe una cifra universal. Se consideran conjuntamente el número y la proporción de personas, el volumen o amplitud de los datos, la duración o permanencia y la extensión geográfica ⁴. El expediente conserva cifras fechadas, su contexto y la inferencia. Si cambia uno de esos factores, compara el nuevo perímetro con el aprobado y reabre la conclusión cuando proceda.

¿Puede compartirse o externalizarse el delegado de protección de datos?

Sí. Un grupo puede compartirlo si resulta fácilmente accesible desde cada establecimiento, y la función puede prestarse mediante contrato ¹. El artículo 38 exige recursos, acceso, independencia y ausencia de conflictos ². La capacidad se calcula sobre entidades, idiomas, proyectos, consultas y riesgos reales; compartir o externalizar nunca justifica una presencia nominal.

¿Qué ocurre si se nombra voluntariamente un delegado de protección de datos?

El artículo 37 permite la designación voluntaria, pero no un título vacío ¹. Desde ese momento, la organización respeta la posición protegida del artículo 38 ² y las tareas del artículo 39 ³. Si solo necesita coordinación interna, puede crear un puesto de privacidad con otro nombre claro, sin presentarlo ante las personas o la autoridad de control como delegado.

¿Puede una ley nacional ampliar la obligación de nombrar un delegado?

Sí. El artículo 37 contempla expresamente exigencias adicionales del Derecho de la Unión o de los Estados miembros ¹. Cada entidad identifica el ordenamiento aplicable y registra título, disposición, versión, URL oficial, fecha de consulta y conexión con sus hechos. No se debe trasladar un umbral de un país a toda la Unión ni cerrar la vía mientras la fuente siga pendiente.