Una vez establecida la obligación, enseguida surge otra pregunta: ¿quién? ¿Un empleado de la casa, un proveedor externo, un DPO compartido entre varias entidades? No existe una elección buena en términos absolutos: existe la que se adapta a tu carga real de trabajo y a una trampa que casi siempre se pasa por alto.

Primero, la trampa: el conflicto de intereses

El DPO supervisa el cumplimiento de los tratamientos de datos, así que no puede ser quien decide sobre esos tratamientos. Un directivo, un director de sistemas de información, un director de marketing o un responsable de seguridad informática con poder de decisión acabaría controlándose a sí mismo, algo que la justicia europea ha descartado de forma explícita.

Acumular funciones no está prohibido en sí mismo. Lo está en cuanto el otro cargo permite fijar los fines o los medios de un tratamiento. Es el motivo más habitual por el que «se lo encargamos a nuestro responsable de informática» es una mala idea.

No se puede ser a la vez quien decide el tratamiento y quien comprueba que es legal.

Interno: cercanía, si la carga lo justifica

Un DPO interno conoce a fondo la organización y está disponible a diario. Resulta pertinente en una mediana o gran empresa, o en un sector sensible, con tratamientos continuos. El riesgo: el aislamiento, una dependencia jerárquica inadecuada y un tiempo realmente insuficiente cuando el puesto es a media jornada.

Externo: experiencia e independencia

Un DPO externo aporta experiencia especializada y una independencia organizativa natural. Para una pyme con una carga regular pero limitada, suele ser la mejor relación entre seguridad y coste, siempre que el contrato garantice disponibilidad, un sustituto y un conocimiento real de tus procesos. Un servicio de unas pocas horas al año no sirve para una plataforma digital ni para una empresa que maneja datos sensibles.

Compartido e híbrido: para estructuras con varias entidades

Un grupo puede designar un único DPO, siempre que sea fácilmente localizable desde cada establecimiento. El modelo híbrido, con un DPO central, una red de referentes internos y expertos externos, encaja bien en medianas empresas y grupos: el DPO conserva la independencia del control, y los referentes recogen la información y ponen en marcha las acciones.

El criterio decisivo: la carga real

Antes de comparar presupuestos, estima la carga: número de entidades, de empleados y de clientes, volumen de proyectos, solicitudes de derechos, incidentes, evaluaciones de impacto, subencargados, países implicados. Esa cifra, y no el precio que figura en la oferta, te dice si una tarifa cerrada se sostiene.

  • Pocos tratamientos, sin datos sensibles → externo compartido, tarifa cerrada con un mínimo garantizado.
  • Actividad digital, RR. HH., salud o publicidad → externo especializado o interno con dedicación significativa, con suplente obligatorio.
  • Varias entidades, gobernanza común → DPO central + referentes, con líneas de escalado formalizadas.

La prueba del conflicto de intereses

Haz una lista de las funciones de la persona que tienes en mente y pregúntate si alguna le permite decidir sobre un tratamiento. Si es así, busca en otro sitio. Después, calcula tu carga anual antes de mirar ninguna tarifa: es la única base honesta para elegir un modelo que aguante a largo plazo.

Un DPO mal elegido cuesta menos que uno bueno, hasta el día de la inspección.