Respuesta breve: El representante RGPD y el delegado de protección de datos (DPO/DPD) son figuras distintas. Una empresa extranjera puede necesitar un representante en la UE por el artículo 27 cuando ofrece servicios o monitoriza a personas europeas sin establecimiento en la Unión; el DPO asesora y supervisa el cumplimiento cuando resulta obligatorio o se designa voluntariamente.
Confundir ambas figuras es una de las formas más rápidas de dejar incompleto un proyecto de cumplimiento. El representante ofrece un canal operativo frente a interesados y autoridades dentro del alcance del mandato. El DPO aporta independencia, asesoramiento, supervisión y seguimiento de obligaciones.
Si la empresa está valorando la representación, conviene empezar por el análisis del artículo 27 RGPD para empresas fuera de la UE y después decidir si necesita también un DPO externo, un DPA o una revisión de roles.
¿Qué figura necesita tu empresa internacional?
Ordenamos el ámbito territorial, los roles, los canales de derechos y la supervisión para que la decisión quede documentada.
Qué es un representante RGPD
El artículo 27 exige a determinadas empresas no establecidas en la Unión designar por escrito un representante en la UE cuando se aplica el artículo 3.2. La actividad debe dirigirse a personas en la Unión o monitorizar su comportamiento, salvo que encaje en la excepción prevista por la norma.
Canal en la UE
Facilita el contacto con personas interesadas y autoridades de control dentro del mandato.
Mandato escrito
Define alcance, tratamientos, Estados miembros, canales, cooperación y límites de actuación.
Responsabilidad empresarial
La designación no convierte al representante en la empresa ni borra la responsabilidad del responsable o encargado.
Qué es un DPO o DPD
El DPO es una figura independiente que informa y asesora al responsable o encargado, supervisa el cumplimiento, coopera con la autoridad de control y actúa como punto de contacto. Su designación es obligatoria en los supuestos del artículo 37 RGPD y puede ser útil de forma voluntaria cuando la actividad exige una supervisión especializada.
El DPO necesita recursos, acceso a la información y ausencia de instrucciones sobre el desempeño de sus funciones. No debe asumir decisiones que correspondan al responsable, como fijar por sí mismo las finalidades y medios esenciales del tratamiento.
Diferencias en una sola tabla
| Aspecto | Representante RGPD | DPO/DPD |
|---|---|---|
| Cuándo aparece | Cuando una empresa sin establecimiento en la UE queda sujeta al artículo 3.2 y no concurre una excepción. | Cuando lo exige el artículo 37 o la empresa lo designa para reforzar supervisión. |
| Función principal | Canal operativo de contacto y cooperación en la UE. | Asesoramiento, supervisión, independencia y contacto con la autoridad. |
| Documento | Mandato escrito y alcance territorial. | Designación, funciones, recursos, independencia y canales de contacto. |
| Responsabilidad | No sustituye a la empresa ni al cumplimiento material. | No decide las finalidades ni responde en lugar del responsable. |
| Relación con España | Puede establecerse en España si ese Estado es adecuado para las personas afectadas. | Puede estar en España o prestar servicios desde otro lugar, con contacto efectivo. |
Qué necesita una empresa extranjera según su caso
Una LLC que vende software a clientes españoles
Puede necesitar representante por la oferta dirigida y, además, DPO si su actividad reúne los requisitos de designación o la escala y complejidad aconsejan una supervisión continua. El análisis debe separar el representante, el DPA con clientes y las transferencias a proveedores.
Una empresa del Reino Unido que trata datos de usuarios europeos
Después del Brexit, el régimen británico y el RGPD europeo deben analizarse separadamente. Una persona que actúe como contacto para el Reino Unido no es automáticamente el representante del RGPD europeo. El alcance geográfico, las entidades implicadas y los canales de derechos deben quedar claros.
Un proveedor que monitoriza o perfila usuarios
La monitorización puede activar el análisis territorial aunque el proveedor no venda directamente al consumidor. Si además existe perfilado, decisiones automatizadas, datos a gran escala o categorías especiales, la necesidad de supervisión y la eventual designación de DPO deben revisarse con más detalle.
¿Puede un mismo proveedor prestar ambos servicios?
Puede ser posible, pero no debe darse por supuesto. La representación requiere un mandato definido y capacidad operativa para atender comunicaciones. El DPO requiere independencia y ausencia de conflictos de interés. Si el proveedor negocia contratos, decide finalidades o ejecuta tareas que después debería supervisar, hay que revisar la compatibilidad.
La solución debe describir quién recibe una solicitud, quién la registra, quién asesora internamente, quién coopera con la autoridad y qué información puede consultar cada figura. Un organigrama y un procedimiento sencillo suelen ser más útiles que una cláusula genérica.
Checklist para documentar la decisión
- Confirmar si existe establecimiento de la empresa en la UE.
- Analizar oferta dirigida, monitorización y aplicación del artículo 3.2.
- Documentar la excepción del artículo 27 si se considera aplicable.
- Definir responsable, encargado, corresponsable y subencargados.
- Comprobar si concurre un supuesto obligatorio de DPO.
- Separar mandato de representación, DPA y designación del DPO.
- Publicar contactos y procedimientos de derechos coherentes.
- Revisar conflictos, independencia, recursos y cambios de producto.
Preguntas frecuentes
¿El representante RGPD sustituye al DPO?
No. Son figuras diferentes. El representante actúa como canal en la UE para determinadas empresas no establecidas; el DPO asesora y supervisa el cumplimiento con independencia cuando es obligatorio o se designa voluntariamente.
¿Una empresa extranjera puede tener representante en España y DPO en otro país?
Puede ser posible si ambos cumplen sus requisitos, tienen canales efectivos y no existen conflictos. La elección debe explicarse por el alcance territorial, la actividad y las personas afectadas.
¿El DPO debe ser abogado?
El RGPD exige conocimientos y experiencia en protección de datos, no una profesión concreta. Para actividades tecnológicas o internacionales puede ser conveniente un equipo con capacidad jurídica, operativa y técnica.
¿El representante puede firmar por la empresa?
Solo dentro de las facultades que se le hayan otorgado. El mandato debe definir si puede recibir comunicaciones, facilitar documentación, coordinar respuestas o ejecutar otras tareas concretas.
Elige la figura correcta antes de lanzar
Revisamos representación, DPO, contratos y canales de derechos para que cada función tenga un responsable claro.