¿Cuánto cuesta un DPO externo? Precio y qué debe incluir
De qué depende el precio de un delegado de protección de datos externalizado, qué debe incluir el servicio y cómo comprobar que está certificado.
- No hay un precio oficial: un DPO externo suele pagarse con una cuota anual según el tamaño, los tratamientos y los datos sensibles.
- Antes de comparar cifras, compara qué incluye: nombramiento ante la AEPD, documentación, formación, seguimiento y atención de consultas.
- La certificación AEPD-DPD no es obligatoria, pero puedes comprobarla en los listados públicos de las entidades certificadoras.
Si tu empresa necesita un delegado, la primera duda es económica: cuánto cuesta un DPO externo y qué recibes a cambio. No existe una tarifa oficial. Cada proveedor fija su precio según el trabajo que exige tu organización.
En esta guía verás qué hace un delegado externalizado, de qué depende su precio y qué debe incluir el servicio. También cómo comprobar que está certificado, con las fuentes de la AEPD en la mano.
Qué es un DPO externo y qué hace por tu empresa
El DPO (o DPD, delegado de protección de datos) asesora a la organización sobre el RGPD y supervisa que lo cumpla. Además, es el punto de contacto con la Agencia Española de Protección de Datos y con las personas cuyos datos se tratan.
Las directrices europeas sobre el DPD, que publica la AEPD, aclaran que esta función puede ejercerse «en el marco de un contrato de servicios». Eso es un delegado de protección de datos externalizado: una persona o una organización ajena a la plantilla.
Si el servicio lo presta un equipo, las directrices recomiendan asignar una única persona como contacto principal de cada cliente. Y repartir las tareas de forma clara, preferiblemente por escrito en el contrato.
Su trabajo diario se traduce en tareas concretas. Revisa cómo se recogen y guardan los datos, propone mejoras y orienta al personal. También atiende consultas y solicitudes de derechos, y responde a la AEPD cuando la Agencia le traslada una reclamación.
Algo que conviene tener claro: el delegado no responde personalmente del incumplimiento. Según esas mismas directrices, la responsabilidad sigue siendo del responsable o del encargado del tratamiento. Quién está obligado a nombrarlo lo detallamos en la guía sobre cuándo es obligatorio el delegado de protección de datos.
Cuánto cuesta un DPO externo: de qué depende el precio
El DPO externo precio no se calcula por horas sueltas, sino por la carga de trabajo que supone tu organización durante el año. Las directrices europeas lo resumen así: cuanto más complejos o sensibles son los tratamientos, más recursos necesita el delegado.
Estos son los factores que más mueven el presupuesto:
- 01Tamaño de la organizaciónNúmero de empleados, sedes y departamentos que tratan datos. Una consulta con dos personas no exige lo mismo que una empresa con varias oficinas.
- 02Número y tipo de tratamientosClientes, proveedores, personal, videovigilancia, marketing, web con formularios o tienda online. Cada actividad debe documentarse y revisarse.
- 03Datos sensibles o de menoresSalud, datos biométricos o información de menores elevan el riesgo. Suelen requerir más análisis y, a veces, evaluaciones de impacto.
- 04Volumen de personas afectadasNo es lo mismo gestionar unos cientos de fichas que una base de datos con miles de clientes y comunicaciones comerciales periódicas.
- 05Proveedores y encargadosGestorías, alojamiento web, CRM, nóminas o servicios en la nube. Cada encargado necesita su contrato y su control.
- 06Cualificación del delegadoUn profesional certificado conforme al Esquema AEPD-DPD ha acreditado su formación y experiencia, y debe mantenerlas para renovar.
- 07Alcance y dedicación pactadosDocumentación inicial, formación, revisiones periódicas, atención de consultas y reclamaciones. Cuanto más incluye, más completa es la cuota.
Por eso dos empresas del mismo sector pueden recibir presupuestos distintos. Una peluquería con agenda en papel y otra con app de reservas, fichas de clientes y campañas por email no tienen el mismo trabajo detrás.
Cuota anual, mensual o por proyecto
Lo habitual es una cuota anual cerrada, porque la función del delegado es continua: no termina al entregar los documentos. Algunos proveedores la fraccionan por meses.
Desconfía de los servicios que cobran solo por una adecuación puntual y luego desaparecen. El DPD tiene que estar localizable y supervisar el cumplimiento a lo largo del tiempo.
DPO interno o externo: cuál sale más a cuenta
El RGPD permite que el delegado forme parte de la plantilla o que preste el servicio mediante un contrato. La decisión depende sobre todo del volumen de trabajo y de si tienes a alguien preparado y sin conflicto de interés.
DPO internoPersona de la plantilla
Encaja si tu organización trata datos a gran escala y el trabajo justifica una dedicación propia y estable.
Ten en cuenta que no basta con el sueldo: hay que sumar formación, tiempo y recursos. Además, no puede ocupar un puesto que decida fines y medios del tratamiento, como la dirección general o la dirección financiera.
DPO externoContrato de servicios
Encaja si eres una pyme, un centro o una asociación sin perfil especializado dentro. El coste es fijo y previsible.
Ten en cuenta que debe conocer tu actividad. El contrato tiene que dejar claro qué incluye, quién es tu contacto y cómo se atienden las consultas.
Si te preguntas cuánto cuesta un DPO externo frente a uno interno, piensa en el coste total. Para la mayoría de pequeñas empresas, contratar un DPO externo resulta más sencillo que formar a alguien de la casa. Evita también el riesgo de nombrar a una persona que, por su cargo, no puede ser independiente.
Un grupo de empresas puede designar un único delegado, siempre que sea fácilmente accesible desde cada establecimiento. Es otra forma de repartir el coste.
Qué debe incluir un servicio de delegado de protección de datos externo
Saber cuánto cuesta un DPO externo sirve de poco si no sabes qué entra en la cuota. Comparar solo la cifra anual es el error más común. Un presupuesto bajo puede dejar fuera justo lo que te piden en una inspección. Un servicio completo debería cubrir, como mínimo, esto:
- Nombramiento y comunicación a la AEPD. La designación se comunica en un plazo de diez días mediante el formulario de la sede electrónica de la Agencia.
- Documentación del negocio. Registro de actividades de tratamiento, cláusulas informativas, contratos con encargados y análisis de riesgos.
- Textos legales de la web. Política de privacidad con los datos de contacto del delegado, aviso legal, política de cookies y cláusulas en los formularios.
- Formación del personal. Al menos una sesión inicial para que el equipo sepa qué puede hacer con los datos y qué no.
- Seguimiento periódico. Revisiones y notas informativas sobre cambios normativos o criterios nuevos de la AEPD.
- Consultas y derechos. Respuesta a solicitudes de acceso o supresión, a dudas internas y a las reclamaciones que traslade la Agencia.
La empresa debe además publicar por medios electrónicos los datos de contacto del delegado. Si tienes web, lo normal es incluirlos en la política de privacidad. Ten en cuenta que la parte legal no sustituye la seguridad técnica: también cuentan las actualizaciones, las copias y la ciberseguridad de la empresa.
Cómo comprobar que el delegado está certificado
La AEPD indica que la certificación no es obligatoria para ejercer como DPD. Aun así, es la forma más rápida de saber que el profesional tiene la formación y la experiencia que exige el Esquema AEPD-DPD.
Solo pueden certificar las entidades acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17024. El esquema obliga a que publiquen en su web un registro de personas certificadas. Para comprobarlo, sigue estos pasos:
- Pide al proveedor el nombre del delegado que te asignará, el número de certificado y la entidad que lo emitió.
- Entra en la página de certificación de DPD de la AEPD. Allí enlaza la consulta de delegados certificados de cada entidad acreditada.
- Busca el nombre en el listado de esa entidad y revisa la fecha de caducidad y el estado del certificado.
- Recuerda que el certificado dura tres años. Para renovarlo, el delegado debe acreditar formación continua y experiencia en ese periodo.
Para presentarse al examen, el esquema pide experiencia profesional, formación reconocida o una combinación de ambas. Una de las vías, por ejemplo, exige tres años de experiencia y 60 horas de formación.
Si el servicio lo presta una empresa, lo que se certifica es la persona, no la empresa. Por eso importa saber quién será tu delegado. La marca del esquema solo puede usarse asociada al nombre del profesional certificado y en relación con su servicio como DPD.
Errores al comparar el precio de un delegado de protección de datos
El precio de un delegado de protección de datos es solo una parte de la decisión. Estos fallos salen caros más adelante:
- Contratar documentos sin delegado. Una adecuación al RGPD no es lo mismo que tener DPD nombrado y comunicado a la AEPD.
- Usar plantillas genéricas. Un registro de actividades copiado de otro sector no refleja tus tratamientos reales.
- Olvidar la web. Formularios, cookies y newsletter también son tratamientos y deben estar cubiertos.
- No preguntar por los extras. Evaluaciones de impacto, brechas de seguridad o inspecciones pueden facturarse aparte.
- Nombrar a alguien de dentro con conflicto de interés. Ahorra en la factura, pero el nombramiento no cumple su función.
Además, no designar delegado cuando es exigible puede acabar en sanción. Lo explicamos en el artículo sobre multas del RGPD para pymes. Si tienes dudas sobre tu caso, puedes escribirnos desde la página de contacto.
Preguntas frecuentes
¿Cuánto cuesta un DPO externo para una pyme?
No hay un precio oficial. Suele contratarse con una cuota anual que depende del tamaño, del número de tratamientos y de si hay datos sensibles. Compara siempre qué incluye cada propuesta, no solo la cifra.
¿Es obligatorio que el DPO externo esté certificado?
No. La AEPD indica que la certificación no es obligatoria para ejercer como DPD. Pero el Esquema AEPD-DPD acredita formación y experiencia, y puedes verificarlo en los listados de las entidades certificadoras.
¿Qué diferencia hay entre adecuación al RGPD y DPO externo?
La adecuación es la documentación y las medidas para cumplir la norma. El DPO es una figura con funciones continuas de asesoramiento y supervisión, que se comunica a la AEPD y atiende consultas y reclamaciones.
¿Puede un mismo delegado de protección de datos externalizado atender a varias empresas?
Sí. Un DPD externo puede prestar servicio a distintas organizaciones mediante contrato. Un grupo empresarial también puede designar un único delegado si es fácilmente accesible desde cada establecimiento.
¿Cómo se comunica el nombramiento del DPO a la AEPD?
Con el formulario de comunicación de delegado de la sede electrónica de la AEPD, en un plazo de diez días. Lo habitual es que el servicio externo se encargue de este trámite.
Fuentes: AEPD: Delegado de Protección de Datos · AEPD: Certificación de DPD · Esquema AEPD-DPD · Directrices sobre los DPD (WP243)
