# DPO externo con varios clientes: cómo gestionar el RGPD de todos sin ahogarse
URL: https://pulsaiq.com/es/guias/dpo-externo-varios-clientes/
Última revisión: 2026-10-23
Idioma: es
Base jurídica: RGPD, arts. 37 a 39
Una rutina para quien trabaja como DPO externo, el delegado de protección de datos (DPO) de varias organizaciones a la vez: lo que exige la ley, dónde termina su papel y cómo organizar clientes, plazos y evidencias para llegar al viernes con todo al día.
## En dos minutos
- **Puede ser DPO de varias organizaciones.** El RGPD prevé expresamente un DPO con un contrato de servicios. La condición es tener tiempo y recursos suficientes para cada cliente, y las autoridades han empezado a comprobarlo.
- **El DPO asesora y supervisa; el cliente decide.** Si es usted quien decide los fines y los medios, o quien hace por su cuenta las evaluaciones de impacto relativas a la protección de datos (EIPD), su independencia está en juego.
- **Los plazos son del cliente, no suyos.** Las 72 horas de una brecha de datos personales cuentan desde que el cliente tiene conocimiento de ella, y el mes para responder a una solicitud de acceso cuenta desde el día en que llegó, aunque nadie la haya leído. Por eso el triaje siempre empieza ahí.
- **Se escala con un único método.** Clasifique a los clientes por riesgo, use la misma estructura de carpetas y el mismo formato de registro para todos, siga un calendario anual y anote cada dictamen que da.
## Para quién es esta guía: DPO externos y consultores
Pensada para
DPO externos, consultores y equipos pequeños que llevan desde cinco hasta unas decenas de organizaciones.
Útil también, en parte
Si es el DPO interno de una sola empresa, las partes sobre independencia y evidencias también le servirán; el resto quizá no.
## Catorce clientes, catorce formas de organizarse
Inês abre el correo con el primer café. Nada de esto es extraordinario. El problema es que todos los clientes parecen urgentes y cada uno tiene su propio sistema.
La bandeja de entrada de Inês
3mensajes con el asunto «¿esto es una brecha?», dos de ellos de clientes distintos
2solicitudes de acceso reenviadas por recepción, una de hace nueve días
1informe anual para el consejo rector de una cooperativa agrícola, que vence el jueves
14carpetas compartidas, cada una organizada como le pareció a quien la creó
Inês no necesita trabajar más horas; necesita una sola forma de trabajar con todos. Esa rutina es lo que describe esta guía.
Inês, la Oficina Rocha y los demás clientes son ficticios. Inês trabaja en Portugal; señalamos lo que cambia en España.
## Lo que la ley permite, y lo que exige, a un DPO con varios clientes
El RGPD dice con claridad que el DPO puede formar parte de la plantilla de la organización o desempeñar sus funciones «en el marco de un contrato de servicios». En España, la Ley Orgánica 3/2018 (LOPDGDD) lo confirma: el DPO puede ser una persona física o jurídica, y su cualificación puede acreditarse, entre otros medios, con mecanismos voluntarios de certificación, que no son obligatorios.
Art. 37, apartado 6, del RGPD; [LOPDGDD](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673), arts. 34 y 35
Ser externo no cambia las obligaciones de quien le contrata. Cada cliente sigue teniendo que:
- implicarle, de forma adecuada y en tiempo oportuno, en todas las cuestiones de protección de datos;
- darle los recursos necesarios, incluido el acceso a los datos personales y a las operaciones de tratamiento;
- no darle instrucciones sobre cómo desempeñar sus funciones, y permitirle rendir cuentas directamente al más alto nivel de la dirección;
- publicar sus datos de contacto y comunicarlos a la autoridad de control. En España, la designación se comunica a la Agencia Española de Protección de Datos (AEPD) o, en su caso, a la autoridad autonómica, en un plazo de diez días, y lo hace cada organización por su cuenta.
Art. 37, apartado 7, y art. 38, apartados 1 a 3, del RGPD; LOPDGDD, art. 34, apartado 3
Por su parte, hay tres reglas que pesan más cuando hay muchos clientes. Está obligado al secreto profesional, que continúa cuando termina su función. Puede tener otras funciones, siempre que no den lugar a un conflicto de intereses. Y tiene que prestar la debida atención a los riesgos de las operaciones de tratamiento, lo que en la práctica significa dar prioridad a lo más arriesgado, sin descuidar el resto.
Art. 38, apartados 5 y 6, y art. 39, apartado 2, del RGPD
La LOPDGDD le da dos protecciones y una función más. No pueden destituirle ni sancionarle por desempeñar sus funciones, salvo dolo o negligencia grave (art. 36). Y las personas pueden dirigirse a usted antes de reclamar ante la AEPD: en ese caso tiene dos meses para comunicarles la decisión, y si la AEPD le traslada una reclamación, un mes para responder (art. 37). Esto importa para el triaje: esas reclamaciones también tienen reloj.
[LOPDGDD](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673), arts. 36 y 37 (BOE)
Si trabaja en equipo, las directrices europeas sobre los DPO aceptan que un grupo de personas desempeñe la función, pero recomiendan una regla sencilla: una persona designada como contacto principal y responsable de cada cliente. Para el cliente, nunca debería ser «el equipo».
[Directrices WP243 sobre los delegados de protección de datos, sección 2.5](https://www.aepd.es/documento/wp243rev01-es.pdf) (asumidas por el Comité Europeo de Protección de Datos, CEPD)
## Lo que encontraron las autoridades
En 2023, 25 autoridades europeas, entre ellas la AEPD, llevaron a cabo una acción coordinada sobre la designación y la posición de los DPO. El informe del CEPD, publicado en enero de 2024, retrata el día a día de quienes leen esta guía.
Respuestas recogidas (organizaciones y DPO)17 490Es la imagen más completa de la profesión en Europa.
Respuestas en las que el DPO prepara y hace las EIPD≈ 1 de 3La evaluación de impacto es tarea del responsable. Si la hace usted, ya no puede supervisarla con imparcialidad.
Frecuencia más habitual de informes a la alta dirección1–2 al añoUn informe anual es el mínimo. En cuatro países, el 30 % o más dijo que ni siquiera eso estaba previsto.
Formación anual de los DPO≤ 24 hLa mayoría se queda por debajo de esta cifra. Planifique su propia formación como planifica la de sus clientes.
Fuente: CEPD, informe de la acción coordinada de 2023 sobre la designación y la posición de los DPO (valores medianos entre autoridades).
Dos conclusiones afectan directamente al DPO externo. Varias autoridades advirtieron de que un DPO que trabaja para muchos clientes puede acabar «dispersándose demasiado». Y el CEPD recomienda que, al contratar un DPO externo, la organización compruebe cuántos clientes tiene, para confirmar que hay tiempo y capacidad suficientes. También recomienda que las funciones y las condiciones consten en una carta de encargo.
No hay un número máximo de clientes ni en la ley ni en el informe. Lo que se espera es que pueda demostrar que el tiempo es suficiente. El paso 4 explica cómo.
[CEPD, informe de la acción coordinada de 2023 sobre la designación y la posición de los DPO](https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf), secciones 4.2 a 4.6 (en inglés)
## Dónde termina su papel
Cuanto más confía un cliente en usted, más tentador es decidir por él. Aquí es donde se pierde la independencia, casi siempre por buena voluntad.
La escena · martes, 15:20
«Vamos a poner reconocimiento facial en la entrada. Haznos tú la evaluación de impacto y fírmala, confiamos en ti».La directora de una clínica dental, por teléfono
Inês propone otra cosa: la clínica hace la evaluación con una plantilla que ella le facilita, ella da por escrito su dictamen sobre el método y las conclusiones, y la decisión final queda registrada como de la dirección.
Escena ficticia.
Las directrices europeas son directas: es el responsable del tratamiento, no el DPO, quien hace la evaluación de impacto cuando es necesaria. El DPO asesora sobre si hace falta, qué metodología seguir y si las conclusiones se ajustan al RGPD.
Art. 35, apartado 2, y art. 39, apartado 1, letra c), del RGPD; WP243, sección 4.2
Sobre los conflictos de intereses, el Tribunal de Justicia de la Unión Europea (TJUE) declaró en el asunto X-FAB que hay conflicto cuando el DPO tiene otras funciones que le llevan a determinar los fines y los medios del tratamiento, y que se analiza caso por caso. Las directrices europeas dan un ejemplo que importa a los consultores: hay conflicto si se pide al DPO externo que represente al cliente ante los tribunales en un asunto de protección de datos.
[TJUE, C-453/21, X-FAB Dresden](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62021CJ0453); WP243, sección 3.5
En la práctica, tres hábitos le protegen:
- Dé sus dictámenes por escrito, aunque sean breves.
- Cuando el cliente no siga su dictamen, pídale que deje constancia del motivo. Las directrices europeas lo describen como buena práctica, y la evaluación de impacto tiene que justificar por qué no se siguió el dictamen.
- Rechace tareas que le pongan del lado de quien decide, como aprobar campañas, elegir proveedores o firmar en nombre del cliente.
WP243, secciones 3.1 y 4.2; art. 38, apartado 6, del RGPD
## Clasifique a los clientes por riesgo, no por honorarios
El cliente que más paga no es necesariamente el que más atención necesita. El RGPD pide al DPO que preste atención a los riesgos de las operaciones de tratamiento, y eso es lo que define con qué frecuencia sigue a cada uno. Un modelo sencillo, con seis criterios puntuados de 0 a 2:
0 puntos1 punto2 puntos
Número de interesadosMenos de 1000De 1000 a 50 000Más de 50 000
Categorías especiales o datos penales (arts. 9 y 10)NoOcasionalmenteActividad principal
Observación sistemática (videovigilancia, localización, perfiles)NoLimitadaA gran escala
Transferencias fuera del EEENoCon decisión de adecuaciónCon otras garantías
Brechas o reclamaciones en los últimos 12 mesesNingunaUnaDos o más
Cambio en curso (sistema nuevo, fusión, producto nuevo)NoPequeñoImportante
Modelo de trabajo propuesto por Pulsaiq, basado en el art. 39, apartado 2, del RGPD. No es un criterio legal: ajústelo a su cartera de clientes.
Nivel A8–12 puntos
Reunión mensual, revisión trimestral del registro8 h al mes
Nivel B4–7 puntos
Reunión trimestral, revisión semestral del registro4 h al mes
Nivel C0–3 puntos
Reunión semestral, revisión anual del registro2 h al mes
Horas al mes como punto de partida.
La cuenta de Inês3 clientes A · 6 B · 5 C
A 24 h · B 24 h · C 10 hmargen 12 h70 h disponibles
Las horas sirven para una cuenta que conviene hacer antes de aceptar un cliente más. Inês tiene 3 clientes de nivel A, 6 de nivel B y 5 de nivel C: 24 + 24 + 10 = 58 horas al mes de seguimiento previsto, antes de brechas, solicitudes e imprevistos. Si solo tiene 70 horas al mes para este trabajo, el margen es escaso. Es exactamente la comprobación que el CEPD recomienda a los clientes, y es mejor que la haga usted primero.
Revise la clasificación una vez al año y cada vez que ocurra algo del último criterio.
## El mismo kit de incorporación para todos los clientes
El tiempo se pierde sobre todo al cambiar de contexto: cada cliente se organiza a su manera. Resuélvalo el primer día, con cuatro piezas.
Es la recomendación del CEPD, y también su protección. Debe indicar, como mínimo:
las funciones del DPO (art. 39 del RGPD y, en España, arts. 36 y 37 de la LOPDGDD) y lo que usted no hace, como tomar decisiones o redactar evaluaciones de impacto;
el tiempo previsto al mes y qué pasa cuando se supera;
a quién informa, al más alto nivel de la dirección, y con qué frecuencia;
que no recibe instrucciones sobre cómo desempeñar sus funciones;
el acceso que tendrá a personas, sistemas y documentos;
el compromiso del cliente de avisarle el mismo día de cualquier incidente y de cualquier solicitud o reclamación de un interesado;
quién comunica la designación del DPO a la autoridad de control, y cuándo.
2. Cuestionario inicial
Una sola lista de preguntas para todos. Las respuestas alimentan la clasificación de riesgo y la primera versión del registro de actividades de tratamiento (RAT).
áreas de negociosistemasproveedores que tratan datos personalestransferenciasvideovigilanciaincidentes anterioresdocumentación existente
3. La misma estructura de carpetas
Nombre_Cliente/
01_Designacion_y_contratocarta, comunicación a la autoridad02_Registro_actividadesun formato para todos03_EIPDevaluaciones y dictámenes04_Brechasregistro del art. 33, apartado 505_Solicitudes_interesadosregistro y respuestas06_Encargadoscontratos del art. 2807_Formacionasistencia y materiales08_Informes_direccioninforme anual09_Dictamenes_y_evidenciasregistro de evidencias
Abrir la carpeta 04 de cualquier cliente y saber al instante dónde está el registro de brechas ahorra minutos cada día. En un año, ahorra días.
4. Contactos con nombre
Para cada cliente, una persona para los incidentes y otra para las solicitudes de los interesados, con un suplente. Y una dirección de contacto del DPO que no sea su correo personal, para que ninguna solicitud se pierda en un buzón que solo mira los viernes.
## El calendario anual
Con el mismo calendario para todos, el trabajo recurrente deja de depender de la memoria. Cada cliente tiene estas tareas en los mismos meses; el nivel de riesgo solo fija la frecuencia de las revisiones y las reuniones.
Todos los clientesSolo los niveles indicados
EneroInforme anual a la dirección
Febrero—
MarzoRevisión del registro de actividades
AbrilFormación y sensibilización
MayoRevisión de encargados (art. 28)
JunioRevisión del registro · solo A
JulioAuditoría interna
AgostoVacío a propósito
SeptiembreRevisión del registro · A y BRevisión de la clasificación de riesgo
OctubreFormación y sensibilización
NoviembreSimulacro de brecha de datos
DiciembreRevisión del registro · solo A
Propuesta de Pulsaiq; la ley no fija estas fechas.
Agosto queda vacío a propósito. Los incidentes no se van de vacaciones, pero sus clientes sí, y las reuniones de ese mes rara vez se celebran.
## Triaje: cuando todo llega a la vez
Volvamos al lunes de Inês. El orden no depende de quién grita más, sino de qué reloj está corriendo.
1
Posibles brechas de datos personales
72 horas
El responsable tiene 72 horas, desde que tuvo conocimiento, para notificar a la autoridad de control (la AEPD en España, la CNPD en Portugal), salvo que sea improbable que la brecha suponga un riesgo. El reloj es del cliente y ya ha empezado. Si el cliente es encargado, tiene que avisar al responsable sin dilación indebida. Y toda brecha se registra, también las que no se notifican.
Un mes desde la recepción, prorrogable otros dos si la solicitud es compleja o son muchas, siempre que se informe al interesado dentro del primer mes. La solicitud de hace nueve días que tiene Inês ya ha consumido casi un tercio del plazo.
Requerimientos de información de la autoridad de control, reclamaciones que la AEPD le traslada (un mes para responder, art. 37 de la LOPDGDD), reuniones de dirección, lanzamientos de productos.
4
Todo lo demás
Al calendario
Va al calendario, con fecha, en lugar de quedarse en la bandeja de entrada.
15min
Los primeros 15 minutos de cada día
Revise los buzones de contacto de todos sus clientes buscando solo dos cosas: incidentes y solicitudes de los interesados. Anótelos enseguida: la fecha y la hora en que el cliente tuvo conocimiento, para las brechas, y la fecha en que llegó la solicitud, para las solicitudes. Ese registro es lo que después demuestra que se cumplieron los plazos.
## Un registro de evidencias que demuestra el trabajo
El principio de responsabilidad proactiva exige al cliente cumplir el RGPD y poder demostrarlo. Gran parte de esa demostración se apoya en su trabajo: los dictámenes, la formación, las revisiones. Si no está por escrito, ante una inspección es como si nunca hubiera pasado.
Art. 5, apartado 2, y art. 24 del RGPD
Basta con una línea por trabajo, en un único registro para todos los clientes:
Clínica Sorriso · Reconocimiento facial en la entrada2026-10-13
DictamenEIPD obligatoria; propone una alternativa con tarjeta
Decisión del clienteHacer la EIPD y decidir en noviembre
¿Se siguió?Sí
Siguiente pasoRevisar la EIPD antes del 2026-11-10
Oficina Rocha · Correo con datos de clientes enviado por error2026-10-16
DictamenNotificar a la CNPD en 72 h (no se puede descartar el riesgo); no contactar por ahora con los clientes; reevaluar si hay indicios de uso indebido
Decisión del clienteNotificado el 19/10 a las 09:30; información adicional enviada
¿Se siguió?Sí
Siguiente pasoFormación sobre el envío de adjuntos
Coop. Vale Verde · Conservación de los currículos de candidatos2026-10-16
DictamenBorrar a los 12 meses salvo que haya consentimiento
Decisión del clienteConservar 3 años
¿Se siguió?No motivo registrado por la dirección
Siguiente pasoIncluir en el informe anual
Ejemplos ficticios. En la práctica, añada una columna con el enlace al documento en la carpeta 09 del cliente.
Este registro hace tres cosas a la vez
Muestra lo que hizo por cada cliente.
Le escribe la mitad del informe anual.
Le protege si un día alguien pregunta por qué no se siguió su dictamen.
## ¿Hojas de cálculo o software?
Todo lo de esta guía funciona con hojas de cálculo y una buena estructura de carpetas. Para muchos DPO con pocos clientes, es suficiente. Los problemas aparecen con la escala, y casi siempre en los mismos sitios:
| Dónde duele | Con hojas de cálculo | Lo que debería resolver una herramienta específica |
|----------------------------|--------------------------------------------------------------|---------------------------------------------------------------------------|
| Versiones | «Registro_v4_final_revisado.xlsx» en tres sitios | Una sola versión, con historial de cambios |
| Plazos | Recordatorios en su calendario personal, creados a mano | Plazos de 72 horas y de un mes calculados al registrar el caso |
| Visión de conjunto | Abrir 14 archivos para saber cómo está todo | Un panel con todos los clientes y lo que está vencido |
| Evidencias | Copiar dictámenes de los correos al registro | Dictámenes, decisiones y documentos enlazados entre sí |
| Compartir con el cliente | Adjuntos de correo con datos personales dentro | Acceso controlado a un área propia de cada cliente |
Elija lo que elija, el método va primero. Una herramienta no arregla una cartera sin clasificación de riesgo ni un cliente que no comunica los incidentes.
Actualizado el 21 de octubre de 2026
### Lo que puede cambiar
Hay dos propuestas de la UE en curso que modifican el RGPD. Ninguna cambia el núcleo de esta guía: las funciones y la posición del DPO. Pero sí cambian el trabajo que hace para sus clientes.
- **Registro de actividades de tratamiento (Omnibus IV).** La Comisión propuso ampliar la exención del registro a las organizaciones con menos de 750 trabajadores. En el acuerdo provisional del 26 de junio de 2026, el Consejo y el Parlamento elevaron el umbral a menos de 1000 personas, manteniendo el registro obligatorio para las actividades de alto riesgo, para las que exigen un DPO y para los organismos públicos. La votación en el pleno está prevista para el 23 de noviembre de 2026. Algunos clientes de nivel C pueden dejar de estar obligados a llevar el registro, pero seguirán necesitando conocer sus datos para responder a las solicitudes y demostrar el cumplimiento.
- **Brechas y solicitudes (Digital Omnibus).** La propuesta de noviembre de 2025 obligaría a notificar a la autoridad solo las brechas de alto riesgo, ampliaría el plazo a 96 horas, crearía un punto de entrada único de la UE para las notificaciones y aclararía cuándo una solicitud de acceso es abusiva. También prevé listas comunes de la UE de tratamientos que requieren, o no, una evaluación de impacto. El CEPD y el Supervisor Europeo de Protección de Datos (SEPD) apoyan varias de estas medidas con reservas. Los embajadores de los Estados miembros debatían el mandato de negociación del Consejo el 21 de octubre de 2026.
**Hasta que las nuevas normas se publiquen en el Diario Oficial y se apliquen, rigen las actuales:** 72 horas, notificación siempre que haya riesgo, y el registro con la exención actual del art. 30, apartado 5.
Explicamos lo que cambia el Digital Omnibus para las brechas de datos y las solicitudes de acceso en nuestro artículo sobre el Digital Omnibus.
[Procedimiento 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29); [COM(2025) 837](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex:52025PC0837); [CEPD y SEPD, Dictamen conjunto 2/2026](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf); [orden del día del Coreper, 21 oct 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf)
## Checklist del DPO externo con varios clientes
0 de 11 marcados
Designación
Cartera y capacidad
Método común
Rutina e independencia
## Preguntas frecuentes
### ¿Cuántos clientes puede tener un DPO externo?
La ley no fija un máximo, y el informe del CEPD tampoco. Lo que se espera es que pueda demostrar que tiene tiempo y recursos para cada cliente, y el CEPD recomienda que las organizaciones lo comprueben antes de contratar. La hoja Capacidad del kit del DPO con varios clientes hace ese cálculo por usted.
### ¿Puede un DPO externo hacer la evaluación de impacto del cliente?
No debería. La evaluación de impacto es tarea del responsable del tratamiento (art. 35, apartado 2). El DPO asesora sobre si es necesaria, qué metodología usar y si las conclusiones se ajustan al RGPD (art. 39, apartado 1, letra c). Puede facilitar la plantilla, pero la decisión queda registrada como del cliente.
### ¿Necesita un DPO una certificación en España?
No es obligatoria. La LOPDGDD permite acreditar la cualificación, entre otros medios, con mecanismos voluntarios de certificación (art. 35). Lo que exige el RGPD es que el DPO se designe por sus cualidades profesionales y, en particular, por sus conocimientos especializados del Derecho y la práctica en protección de datos (art. 37, apartado 5).
### ¿Quién comunica a la autoridad los datos del DPO?
Cada cliente, por su cuenta. La organización que designa al DPO publica sus datos de contacto y los comunica a la autoridad de control (art. 37, apartado 7). En España, la designación se comunica a la AEPD o a la autoridad autonómica en un plazo de diez días (LOPDGDD, art. 34, apartado 3). La carta de encargo debe decir quién lo hace y cuándo.
### ¿Y si el cliente no sigue el dictamen del DPO?
Pida que quede constancia del motivo. El dictamen por escrito y la decisión del cliente van al registro de evidencias, y una evaluación de impacto tiene que justificar por qué no se siguió el dictamen. Así la decisión queda en manos de quien la tomó, y su trabajo queda documentado.
## Fuentes
### Legislación y jurisprudencia
- [Reglamento (UE) 2016/679 (RGPD)](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679), arts. 5, 12, 24, 33, 35 y 37 a 39 (EUR-Lex)
- [Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673), arts. 34 a 37 (BOE)
- [TJUE, sentencia de 9 de febrero de 2023, C-453/21, X-FAB Dresden](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62021CJ0453)
### CEPD y autoridades nacionales
- [Directrices sobre los delegados de protección de datos (WP243 rev.01)](https://www.aepd.es/documento/wp243rev01-es.pdf), asumidas por el CEPD (versión en español publicada por la AEPD)
- [CEPD, acción coordinada de 2023: designación y posición de los DPO](https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf) (enero de 2024, en inglés)
### Cambios en curso
- [Parlamento Europeo, procedimiento 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29) (Omnibus IV)
- [COM(2025) 837, propuesta Digital Omnibus](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex:52025PC0837)
- [CEPD y SEPD, Dictamen conjunto 2/2026](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (en inglés)
- [Consejo de la UE, orden del día del Coreper del 21 de octubre de 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf) (en inglés)
**Última revisión:** 21 de octubre de 2026. Revisamos esta guía cada vez que cambian la ley o las orientaciones de las autoridades.
Esta guía es información general y no sustituye el asesoramiento jurídico sobre un caso concreto. Las personas, las empresas y las situaciones de las escenas son ficticias.