DPO externo con varios clientes: cómo gestionar el RGPD de todos sin ahogarse

Para quién es

Para quién es esta guía: DPO externos y consultores

La escena · lunes, 9:05

Catorce clientes, catorce formas de organizarse

Plantilla gratuita: el Kit del DPO con varios clientes convierte esta guía en una hoja de cálculo lista para usar.

Paso 1

Lo que la ley permite, y lo que exige, a un DPO con varios clientes

El RGPD dice con claridad que el DPO puede formar parte de la plantilla de la organización o desempeñar sus funciones «en el marco de un contrato de servicios». En España, la Ley Orgánica 3/2018 (LOPDGDD) lo confirma: el DPO puede ser una persona física o jurídica, y su cualificación puede acreditarse, entre otros medios, con mecanismos voluntarios de certificación, que no son obligatorios. En Portugal, donde trabaja Inês, la Ley 58/2019 añade que el DPO actúa con autonomía técnica, sea cual sea la relación jurídica, y no necesita certificación profesional.

Art. 37, apartado 6, del RGPD; LOPDGDD, arts. 34 y 35; Ley 58/2019, art. 9

Ser externo no cambia las obligaciones de quien le contrata. Cada cliente sigue teniendo que:

• implicarle, de forma adecuada y en tiempo oportuno, en todas las cuestiones de protección de datos;
• darle los recursos necesarios, incluido el acceso a los datos personales y a las operaciones de tratamiento;
• no darle instrucciones sobre cómo desempeñar sus funciones, y permitirle rendir cuentas directamente al más alto nivel de la dirección;
• publicar sus datos de contacto y comunicarlos a la autoridad de control. En España, la designación se comunica a la Agencia Española de Protección de Datos (AEPD) o, en su caso, a la autoridad autonómica, en un plazo de diez días, y lo hace cada organización por su cuenta. En Portugal se comunica a la CNPD (la autoridad portuguesa de protección de datos), con su propio formulario.

Art. 37, apartado 7, y art. 38, apartados 1 a 3, del RGPD; LOPDGDD, art. 34, apartado 3; CNPD, Encarregado de proteção de dados (en portugués)

Por su parte, hay tres reglas que pesan más cuando hay muchos clientes. Está obligado al secreto profesional, que continúa cuando termina su función. Puede tener otras funciones, siempre que no den lugar a un conflicto de intereses. Y tiene que prestar la debida atención a los riesgos de las operaciones de tratamiento, lo que en la práctica significa dar prioridad a lo más arriesgado, sin descuidar el resto.

Art. 38, apartados 5 y 6, y art. 39, apartado 2, del RGPD

La LOPDGDD le da dos protecciones y una función más. No pueden destituirle ni sancionarle por desempeñar sus funciones, salvo dolo o negligencia grave (art. 36). Y las personas pueden dirigirse a usted antes de reclamar ante la AEPD: en ese caso tiene dos meses para comunicarles la decisión, y si la AEPD le traslada una reclamación, un mes para responder (art. 37). Esto importa para el triaje: esas reclamaciones también tienen reloj. En Portugal, la Ley 58/2019 encarga además al DPO las auditorías, la sensibilización para detectar incidentes y la relación con los interesados (art. 11).

LOPDGDD, arts. 36 y 37 (BOE); Ley 58/2019, art. 11 (Diário da República, en portugués)

Si trabaja en equipo, las directrices europeas sobre los DPO aceptan que un grupo de personas desempeñe la función, pero recomiendan una regla sencilla: una persona designada como contacto principal y responsable de cada cliente. Para el cliente, nunca debería ser «el equipo».

Directrices WP243 sobre los delegados de protección de datos, sección 2.5 (asumidas por el Comité Europeo de Protección de Datos, CEPD)

Paso 2

Lo que encontraron las autoridades

En 2023, 25 autoridades europeas, entre ellas la AEPD, llevaron a cabo una acción coordinada sobre la designación y la posición de los DPO. El informe del CEPD, publicado en enero de 2024, retrata el día a día de quienes leen esta guía.

Fuente: CEPD, informe de la acción coordinada de 2023 sobre la designación y la posición de los DPO (valores medianos entre autoridades).

Dos conclusiones afectan directamente al DPO externo. Varias autoridades advirtieron de que un DPO que trabaja para muchos clientes puede acabar «dispersándose demasiado». Y el CEPD recomienda que, al contratar un DPO externo, la organización compruebe cuántos clientes tiene, para confirmar que hay tiempo y capacidad suficientes. También recomienda que las funciones y las condiciones consten en una carta de encargo.

CEPD, informe de la acción coordinada de 2023 sobre la designación y la posición de los DPO, secciones 4.2 a 4.6 (en inglés)

Paso 3

Dónde termina su papel

Cuanto más confía un cliente en usted, más tentador es decidir por él. Aquí es donde se pierde la independencia, casi siempre por buena voluntad.

Las directrices europeas son directas: es el responsable del tratamiento, no el DPO, quien hace la evaluación de impacto cuando es necesaria. El DPO asesora sobre si hace falta, qué metodología seguir y si las conclusiones se ajustan al RGPD.

Art. 35, apartado 2, y art. 39, apartado 1, letra c), del RGPD; WP243, sección 4.2

Sobre los conflictos de intereses, el Tribunal de Justicia de la Unión Europea (TJUE) declaró en el asunto X-FAB que hay conflicto cuando el DPO tiene otras funciones que le llevan a determinar los fines y los medios del tratamiento, y que se analiza caso por caso. Las directrices europeas dan un ejemplo que importa a los consultores: hay conflicto si se pide al DPO externo que represente al cliente ante los tribunales en un asunto de protección de datos.

TJUE, C-453/21, X-FAB Dresden; WP243, sección 3.5

En la práctica, tres hábitos le protegen:

• Dé sus dictámenes por escrito, aunque sean breves.
• Cuando el cliente no siga su dictamen, pídale que deje constancia del motivo. Las directrices europeas lo describen como buena práctica, y la evaluación de impacto tiene que justificar por qué no se siguió el dictamen.
• Rechace tareas que le pongan del lado de quien decide, como aprobar campañas, elegir proveedores o firmar en nombre del cliente.

WP243, secciones 3.1 y 4.2; art. 38, apartado 6, del RGPD

Paso 4

Clasifique a los clientes por riesgo, no por honorarios

El cliente que más paga no es necesariamente el que más atención necesita. El RGPD pide al DPO que preste atención a los riesgos de las operaciones de tratamiento, y eso es lo que define con qué frecuencia sigue a cada uno. Un modelo sencillo, con seis criterios puntuados de 0 a 2:

Modelo de trabajo propuesto por Pulsaiq, basado en el art. 39, apartado 2, del RGPD. No es un criterio legal: ajústelo a su cartera de clientes.

Horas al mes como punto de partida.

Revise la clasificación una vez al año y cada vez que ocurra algo del último criterio.

Paso 5

El mismo kit de incorporación para todos los clientes

El tiempo se pierde sobre todo al cambiar de contexto: cada cliente se organiza a su manera. Resuélvalo el primer día, con cuatro piezas.

Paso 6

El calendario anual

Con el mismo calendario para todos, el trabajo recurrente deja de depender de la memoria. Cada cliente tiene estas tareas en los mismos meses; el nivel de riesgo solo fija la frecuencia de las revisiones y las reuniones.

1. EneroInforme anual a la dirección
2. Febrero—
3. MarzoRevisión del registro de actividades
4. AbrilFormación y sensibilización
5. MayoRevisión de encargados (art. 28)
6. JunioRevisión del registro · solo A
7. JulioAuditoría interna
8. AgostoVacío a propósito
9. SeptiembreRevisión del registro · A y BRevisión de la clasificación de riesgo
10. OctubreFormación y sensibilización
11. NoviembreSimulacro de brecha de datos
12. DiciembreRevisión del registro · solo A

Propuesta de Pulsaiq; la ley no fija estas fechas.

Agosto queda vacío a propósito. Los incidentes no se van de vacaciones, pero sus clientes sí, y las reuniones de ese mes rara vez se celebran.

Paso 7

Triaje: cuando todo llega a la vez

Volvamos al lunes de Inês. El orden no depende de quién grita más, sino de qué reloj está corriendo.

1. 1

   Posibles brechas de datos personales

   72 horas

   El responsable tiene 72 horas, desde que tuvo conocimiento, para notificar a la autoridad de control (la AEPD en España, la CNPD en Portugal), salvo que sea improbable que la brecha suponga un riesgo. El reloj es del cliente y ya ha empezado. Si el cliente es encargado, tiene que avisar al responsable sin dilación indebida. Y toda brecha se registra, también las que no se notifican.

   Art. 33, apartados 1, 2 y 5, del RGPD · vea la guía Brecha de datos personales: qué hacer en las primeras 72 horas
2. 2

   Solicitudes de los interesados

   1 mes

   Un mes desde la recepción, prorrogable otros dos si la solicitud es compleja o son muchas, siempre que se informe al interesado dentro del primer mes. La solicitud de hace nueve días que tiene Inês ya ha consumido casi un tercio del plazo.

   Art. 12, apartado 3, del RGPD · vea la guía Derecho de acceso y de supresión
3. 3

   Plazos fijados por el cliente o la autoridad

   Fecha fija

   Requerimientos de información de la autoridad de control, reclamaciones que la AEPD le traslada (un mes para responder, art. 37 de la LOPDGDD), reuniones de dirección, lanzamientos de productos.

4. 4

   Todo lo demás

   Al calendario

   Va al calendario, con fecha, en lugar de quedarse en la bandeja de entrada.

Paso 8

Un registro de evidencias que demuestra el trabajo

El principio de responsabilidad proactiva exige al cliente cumplir el RGPD y poder demostrarlo. Gran parte de esa demostración se apoya en su trabajo: los dictámenes, la formación, las revisiones. Si no está por escrito, ante una inspección es como si nunca hubiera pasado.

Art. 5, apartado 2, y art. 24 del RGPD

Basta con una línea por trabajo, en un único registro para todos los clientes:

Ejemplos ficticios. En la práctica, añada una columna con el enlace al documento en la carpeta 09 del cliente.

Paso 9

¿Hojas de cálculo o software?

Todo lo de esta guía funciona con hojas de cálculo y una buena estructura de carpetas. Para muchos DPO con pocos clientes, es suficiente. Los problemas aparecen con la escala, y casi siempre en los mismos sitios:

Elija lo que elija, el método va primero. Una herramienta no arregla una cartera sin clasificación de riesgo ni un cliente que no comunica los incidentes.

Actualizado el 21 de octubre de 2026

Lo que puede cambiar

Hay dos propuestas de la UE en curso que modifican el RGPD. Ninguna cambia el núcleo de esta guía: las funciones y la posición del DPO. Pero sí cambian el trabajo que hace para sus clientes.

• Registro de actividades de tratamiento (Omnibus IV). La Comisión propuso ampliar la exención del registro a las organizaciones con menos de 750 trabajadores. En el acuerdo provisional del 26 de junio de 2026, el Consejo y el Parlamento elevaron el umbral a menos de 1000 personas, manteniendo el registro obligatorio para las actividades de alto riesgo, para las que exigen un DPO y para los organismos públicos. La votación en el pleno está prevista para el 23 de noviembre de 2026. Algunos clientes de nivel C pueden dejar de estar obligados a llevar el registro, pero seguirán necesitando conocer sus datos para responder a las solicitudes y demostrar el cumplimiento.
• Brechas y solicitudes (Digital Omnibus). La propuesta de noviembre de 2025 obligaría a notificar a la autoridad solo las brechas de alto riesgo, ampliaría el plazo a 96 horas, crearía un punto de entrada único de la UE para las notificaciones y aclararía cuándo una solicitud de acceso es abusiva. También prevé listas comunes de la UE de tratamientos que requieren, o no, una evaluación de impacto. El CEPD y el Supervisor Europeo de Protección de Datos (SEPD) apoyan varias de estas medidas con reservas. Los embajadores de los Estados miembros debatían el mandato de negociación del Consejo el 21 de octubre de 2026.

Hasta que las nuevas normas se publiquen en el Diario Oficial y se apliquen, rigen las actuales: 72 horas, notificación siempre que haya riesgo, y el registro con la exención actual del art. 30, apartado 5.

Explicamos lo que cambia el Digital Omnibus para las brechas de datos y las solicitudes de acceso en nuestro artículo sobre el Digital Omnibus.

Procedimiento 2025/0130(COD); COM(2025) 837; CEPD y SEPD, Dictamen conjunto 2/2026; orden del día del Coreper, 21 oct 2026

Para imprimir

Checklist del DPO externo con varios clientes

Dudas habituales

Preguntas frecuentes

¿Cuántos clientes puede tener un DPO externo?

La ley no fija un máximo, y el informe del CEPD tampoco. Lo que se espera es que pueda demostrar que tiene tiempo y recursos para cada cliente, y el CEPD recomienda que las organizaciones lo comprueben antes de contratar. La hoja Capacidad del kit del DPO con varios clientes hace ese cálculo por usted.

¿Puede un DPO externo hacer la evaluación de impacto del cliente?

No debería. La evaluación de impacto es tarea del responsable del tratamiento (art. 35, apartado 2). El DPO asesora sobre si es necesaria, qué metodología usar y si las conclusiones se ajustan al RGPD (art. 39, apartado 1, letra c). Puede facilitar la plantilla, pero la decisión queda registrada como del cliente.

¿Necesita un DPO una certificación en España?

No es obligatoria. La LOPDGDD permite acreditar la cualificación, entre otros medios, con mecanismos voluntarios de certificación (art. 35). Lo que exige el RGPD es que el DPO se designe por sus cualidades profesionales y, en particular, por sus conocimientos especializados del Derecho y la práctica en protección de datos (art. 37, apartado 5).

¿Quién comunica a la autoridad los datos del DPO?

Cada cliente, por su cuenta. La organización que designa al DPO publica sus datos de contacto y los comunica a la autoridad de control (art. 37, apartado 7). En España, la designación se comunica a la AEPD o a la autoridad autonómica en un plazo de diez días (LOPDGDD, art. 34, apartado 3). La carta de encargo debe decir quién lo hace y cuándo.

¿Y si el cliente no sigue el dictamen del DPO?

Pida que quede constancia del motivo. El dictamen por escrito y la decisión del cliente van al registro de evidencias, y una evaluación de impacto tiene que justificar por qué no se siguió el dictamen. Así la decisión queda en manos de quien la tomó, y su trabajo queda documentado.

Solo fuentes oficiales

Fuentes

Legislación y jurisprudencia

• Reglamento (UE) 2016/679 (RGPD), arts. 5, 12, 24, 33, 35 y 37 a 39 (EUR-Lex)
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), arts. 34 a 37 (BOE)
• Lei n.º 58/2019, de 8 de agosto, arts. 9 a 11 (Diário da República, en portugués)
• TJUE, sentencia de 9 de febrero de 2023, C-453/21, X-FAB Dresden

CEPD y autoridades nacionales

• Directrices sobre los delegados de protección de datos (WP243 rev.01), asumidas por el CEPD (versión en español publicada por la AEPD)
• CEPD, acción coordinada de 2023: designación y posición de los DPO (enero de 2024, en inglés)
• CNPD, Encarregado de proteção de dados (en portugués)

Cambios en curso

• Parlamento Europeo, procedimiento 2025/0130(COD) (Omnibus IV)
• COM(2025) 837, propuesta Digital Omnibus
• CEPD y SEPD, Dictamen conjunto 2/2026 (en inglés)
• Consejo de la UE, orden del día del Coreper del 21 de octubre de 2026 (en inglés)

Última revisión: 21 de octubre de 2026. Revisamos esta guía cada vez que cambian la ley o las orientaciones de las autoridades.

Esta guía es información general y no sustituye el asesoramiento jurídico sobre un caso concreto. Las personas, las empresas y las situaciones de las escenas son ficticias.