Cuánto cuesta un DPO externo: qué pagas, cuándo es obligatorio y de qué depende

Un DPO externo no tiene precio oficial: ni el RGPD ni la LOPDGDD fijan honorarios. Lo que sí fija la ley es cuándo tienes que designarlo, qué funciones debe cumplir y qué recursos le debes dar. El coste depende, como dice el art. 34.5 de la LOPDGDD para la dedicación, del volumen de tratamientos, de las categorías especiales de datos y de los riesgos para los interesados. Nuestras tarifas están publicadas en packs LOPD.

Primero: ¿estás obligado a designarlo?

La pregunta del precio cambia si el DPO es obligatorio o voluntario. El art. 37.1 del Reglamento (UE) 2016/679 (RGPD) lo exige en tres supuestos:

• cuando el tratamiento lo lleva a cabo una autoridad u organismo público;
• cuando las actividades principales consisten en tratamientos que requieren «una observación habitual y sistemática de interesados a gran escala»;
• cuando las actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos o de datos sobre condenas e infracciones penales.

España añade una lista cerrada. El art. 34.1 de la LOPDGDD obliga «en todo caso» a dieciséis tipos de entidad, entre ellos las entidades de crédito, los establecimientos financieros de crédito, las aseguradoras y reaseguradoras, las empresas de servicios de inversión, los operadores de juego online y los responsables de ficheros regulados por la normativa de prevención del blanqueo. Si eres financiero, lo explicamos con detalle en DPO externo: cuándo es obligatorio.

Si no estás obligado, puedes designarlo de forma voluntaria. Pero el art. 34.2 de la LOPDGDD lo somete al mismo régimen del RGPD y de la ley: un DPO voluntario tiene las mismas exigencias que uno obligatorio.

Qué pagas: lo que la ley pone a cargo del DPO

Hay un coste que no aparece en la factura del DPO, pero que la ley pone a tu cargo: el art. 38.2 del RGPD te obliga a respaldarlo facilitando los recursos necesarios para sus funciones, el acceso a los datos y a las operaciones de tratamiento y el mantenimiento de sus conocimientos especializados. Las Directrices del Grupo del Artículo 29 sobre los DPD (WP 243, publicadas en español por la AEPD) citan entre esos recursos el tiempo suficiente para cumplir sus funciones.

De qué depende el precio

• Volumen y tipo de tratamientos. El art. 34.5 de la LOPDGDD permite fijar una dedicación completa o parcial en función del volumen de tratamientos, de las categorías especiales de datos y de los riesgos. Es la variable que más pesa.
• Escala. Para valorar si hay «gran escala», las Directrices WP 243 miran el número de interesados, el volumen y la variedad de datos, la duración de la actividad y su alcance geográfico. Lo que te obliga a designarlo también dimensiona el servicio.
• Grupo de empresas. El art. 37.2 del RGPD permite un solo DPO para un grupo, siempre que sea fácilmente accesible desde cada establecimiento. Un DPO para varias sociedades no cuesta lo mismo que varios.
• Tratamientos de alto riesgo. Evaluaciones de impacto, perfilado, biometría, videovigilancia o scoring exigen más horas de asesoramiento y revisión.
• Proveedores y encargados. Cuantos más terceros tratan datos por tu cuenta, más contratos y más supervisión.
• Derechos, brechas y reclamaciones. El volumen de solicitudes y de incidencias marca la carga del día a día.
• Punto de partida. Si el registro de actividades, las cláusulas y los contratos están al día, el DPO supervisa. Si no, primero hay que ordenarlo.

Un consejo para comparar ofertas: las Directrices WP 243 recomiendan, cuando el DPO no trabaja a tiempo completo, fijar un porcentaje de tiempo para esa labor. Pide que el presupuesto diga qué dedicación incluye.

DPO interno o externo: qué cambia en el coste

En ninguno de los dos casos se traslada la responsabilidad. Las Directrices WP 243 recuerdan que los DPO «no son personalmente responsables en caso de incumplimiento del RGPD»: el responsable es la empresa.

Qué incluye nuestro servicio de DPO externo

Según nuestra página de DPO externo, el servicio cubre:

• Análisis de si estás obligado a designar DPO y de qué alcance necesitas.
• Designación y puesta en marcha: encaje documental, canales de contacto y comunicación a la AEPD.
• Supervisión continua: registros, contratos, cookies, derechos, proveedores y formación.
• Evaluaciones de impacto y tratamientos sensibles.
• Brechas de seguridad, ejercicio de derechos y reclamaciones.
• Revisión de encargados del tratamiento y subcontratación.

La asunción como DPO externo está incluida en el plan Premium de nuestras tarifas publicadas. Si tus tratamientos son complejos o eres una entidad del art. 34 de la LOPDGDD, hacemos un diagnóstico y te damos un presupuesto cerrado. Si aún no tienes la base de cumplimiento, empieza por nuestros servicios de protección de datos.

Preguntas frecuentes

¿Puede ser DPO externo una empresa en vez de una persona?

Sí. El art. 37.6 del RGPD permite que el delegado desempeñe sus funciones en el marco de un contrato de servicios, y el art. 35 de la LOPDGDD habla del delegado «sea persona física o jurídica». Las Directrices WP 243 añaden que cada miembro de la organización que ejerza las funciones debe cumplir los requisitos y recomiendan designar una única persona de contacto para cada cliente.

¿Un grupo de empresas puede tener un solo DPO?

Sí. El art. 37.2 del RGPD permite que un grupo empresarial nombre un único delegado, siempre que sea fácilmente accesible desde cada establecimiento. Aun así, cada sociedad que lo designe debe comunicarlo a la AEPD en diez días (art. 34.3 LOPDGDD), y el contrato debe dejar claro a qué sociedades presta el servicio y con qué dedicación.

¿El DPO externo tiene que estar certificado?

No es obligatorio. El art. 35 de la LOPDGDD dice que la cualificación puede demostrarse, entre otros medios, con mecanismos voluntarios de certificación. ENAC acredita a entidades que certifican personas como delegado de protección de datos. Un certificado facilita comprobar la cualificación, pero lo que exige la ley son conocimientos especializados adecuados a tus tratamientos.

¿Qué debe decir el contrato con el DPO externo?

Como mínimo, qué funciones del art. 39 del RGPD asume, qué dedicación incluye, quién es la persona de contacto, cómo accede a los datos y procesos (art. 36.3 LOPDGDD) y que no recibirá instrucciones sobre el desempeño de sus funciones (art. 38.3 RGPD). Un contrato sin alcance definido es la causa más habitual de presupuestos que no se pueden comparar.

¿Puedo cesar a un DPO que designé sin estar obligado?

Sí, pero no por desempeñar sus funciones: el art. 38.3 del RGPD lo impide. El cese se comunica a la AEPD en diez días, igual que la designación (art. 34.3 LOPDGDD). Y mientras esté designado, el DPO voluntario queda sometido al mismo régimen que el obligatorio (art. 34.2), así que conviene decidir antes si lo quieres como función estable y presupuestarlo como tal.