¿Quién necesita un delegado de protección de datos para la UE? Proveedores y precios 2026

• Obligación de DPD: entidades públicas o vigilancia/tratamiento especial a gran escala (art. 37 RGPD)
• Representante en la UE según art. 27 RGPD para empresas fuera de la UE con clientes o usuarios en la UE
• Multas de hasta 10 millones de € o 2 % de la facturación mundial en caso de incumplimiento (art. 83 RGPD)
• REP27: representante para todo el EEE desde 290 €/año, incluye certificado y más
• El alcance y costes adicionales varían mucho entre proveedores
• No todos necesitan DPD o representante en la UE – ver matriz de decisión

Actualizado 19 octubre 2026 · 6 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 19 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

¿Qué exige el RGPD? (Artículos 27, 37, 83)

El Reglamento General de Protección de Datos (RGPD) distingue dos roles centrales: el delegado de protección de datos (DPD) y el representante en la UE. Ambas obligaciones afectan a diferentes empresas y situaciones:

• Delegado de protección de datos (DPD, art. 37-39): Es obligatorio para entidades públicas y empresas cuya actividad principal sea la vigilancia sistemática a gran escala de personas o el tratamiento a gran escala de categorías especiales de datos personales (ej. datos de salud, opiniones políticas). Las funciones del DPD están reguladas en el art. 39 RGPD e incluyen asesoramiento, supervisión del cumplimiento, punto de contacto para autoridades y afectados, y apoyo en evaluaciones de impacto.
• Representante en la UE (art. 27): Las empresas fuera de la UE que ofrecen bienes o servicios a personas en la UE o monitorizan su comportamiento (ej. tracking, analíticas) deben nombrar por escrito un representante en la UE. Este representante es el contacto para autoridades y afectados y mantiene el registro de actividades de tratamiento (art. 30), si el proveedor asume esta tarea.

No es obligatorio nombrar representante en la UE si el tratamiento es ocasional, no incluye datos especiales y no presenta riesgos para los derechos y libertades de los afectados. Tampoco es obligatorio un DPD para muchas pequeñas empresas si no hay vigilancia a gran escala ni tratamiento de datos especiales.

Multas: El incumplimiento de la obligación de nombrar representante en la UE puede sancionarse con multas de hasta 10 millones de € o el 2 % de la facturación mundial anual (art. 83, apartado 4 RGPD). Por ejemplo, la autoridad holandesa sancionó a Locatefamily.com con 525.000 € por no tener representante en la UE.

La obligación de nombrar un DPD está en el art. 37 RGPD (fuente), sus funciones en el art. 39 (fuente) y las multas en el art. 83 (fuente).

¿Cómo elegir el proveedor adecuado? Criterios clave y comparación

Elegir un representante en la UE o proveedor de servicios DPD adecuado es clave para el cumplimiento. Las ofertas varían mucho en alcance, tiempos de respuesta y costes ocultos. Debe comprobar:

• ¿Acepta el proveedor por escrito las tareas según art. 27 RGPD? Un mandato real debe asumir explícitamente las obligaciones del art. 27. Solo un buzón o dirección no es suficiente.
• ¿Quién mantiene el registro art. 30? El RGPD exige que el representante tenga disponible el registro de actividades de tratamiento a petición. No todos los proveedores lo asumen.
• Tiempos de respuesta a solicitudes: ¿Con qué rapidez se reenvían solicitudes de autoridades o afectados? Una promesa de "mejor esfuerzo" sin plazo es arriesgada. REP27 garantiza reenvío en 2 días hábiles (en el mismo día para solicitudes de autoridades).
• Idiomas: ¿Se atienden solicitudes en varios idiomas de la UE? REP27 ofrece mesa de ayuda en 8 idiomas, muchas ofertas básicas solo en inglés.
• Costes adicionales: ¿Están todos los servicios incluidos o hay costes por solicitud, idioma o mantenimiento del registro?

Comparativa directa:

Solicite siempre la carta de designación y verifique que se asuman las tareas del art. 27. Pida confirmación escrita del alcance y costes antes de contratar.

¿Qué incluye el precio? ¿Dónde hay costes ocultos?

Los modelos de precio para representantes en la UE y servicios DPD son muy variados. Muchos proveedores atraen con precios bajos iniciales pero cobran por cada solicitud de afectados o autoridades (normalmente €25–90 por solicitud). También suelen cobrar aparte por mantener el registro art. 30 (€100–400/año). En REP27, desde la tarifa estándar, todas las solicitudes están incluidas, se mantiene el registro y no hay costes ocultos. Compruebe especialmente:

• Si el precio es por solicitud o cubre solicitudes ilimitadas
• Si incluye el registro art. 30
• Si la renovación es más cara (en REP27 baja el precio el año siguiente)
• Si idiomas adicionales tienen coste extra

Algunos proveedores solo ofrecen una dirección postal sin asumir realmente las obligaciones legales. Esto no cumple y puede acarrear multas. La siguiente tabla muestra trampas de precios típicas:

Lea la letra pequeña y solicite un resumen completo de servicios antes de comprometerse.

¿Cómo es el proceso de nombramiento? Guía paso a paso y matriz de decisión

El nombramiento de un representante en la UE o DPD con proveedores serios sigue un proceso claro para asegurar el cumplimiento legal:

1. Compruebe si necesita representante en la UE o DPD (ver matriz abajo).
2. Compare proveedores y solicite la carta de designación para revisión.
3. Complete el formulario de incorporación (datos de empresa, tratamiento, contactos).
4. Reciba la confirmación y certificado (en REP27 en 24 horas).
5. Publique los datos de contacto del representante en su política de privacidad (art. 13/14 RGPD).
6. Mantenga el registro art. 30 disponible (o deje que el proveedor lo gestione).
7. Si aplica: realice la comprobación gratuita para Suiza (REP27).

Matriz de decisión:

Esta matriz ayuda a evitar inversiones erróneas y elegir la solución de cumplimiento correcta.

Lista de comprobación para hoy:

1. Compruebe si aplica el art. 27 o 37 RGPD.
2. Compare al menos tres proveedores (servicios, precio, costes adicionales).
3. Solicite la carta de designación y verifique la asunción de tareas.
4. Pregunte por el registro art. 30 y tiempos de respuesta.
5. Contrate el servicio y documente el nombramiento.
6. Actualice su política de privacidad y procesos internos.

Lo que los proveedores suelen ocultar: exclusiones, cancelación, responsabilidad

Muchos proveedores omiten detalles importantes que pueden ser decisivos en caso de problema:

• No hay asesoría legal: Un representante en la UE no puede ofrecer asesoría legal dentro de su mandato. Para cuestiones legales se necesita un abogado o DPD separado.
• La responsabilidad recae en el cliente: Según art. 27(5) RGPD, la responsabilidad por incumplimientos siempre es del responsable o encargado. El representante es solo punto de contacto y no responde por errores del cliente.
• Plazos de cancelación y renovación automática: Las condiciones varían. En REP27 se puede cancelar con 30 días antes de la renovación. Compruebe cómo se gestiona la transferencia de solicitudes y registros.
• Costes por solicitud: Muchos proveedores cobran por cada solicitud de afectados o autoridades, detallado en la letra pequeña. En REP27 estándar y Multi todas las solicitudes están incluidas.
• Idiomas y mesa de ayuda: Un servicio anunciado para toda la UE suele estar solo en inglés. REP27 ofrece mesa en 8 idiomas, facilitando el cumplimiento legal.
• No asumen responsabilidad especial de producto: La función de responsable GPSR o representante autorizado CE solo está en la tarifa Multi de REP27, no en la básica.

Lea los términos y la carta de designación con atención. Verifique que el proveedor garantice la entrega de documentos en caso de cambio.

Tres escenarios realistas: cómo cumplir correctamente la obligación

1. Proveedor SaaS estadounidense con clientes en la UE: Una empresa de software en EE. UU. ofrece una solución cloud a clientes de la UE. No trata datos especiales pero sí monitoriza actividad (ej. accesos, estadísticas). Resultado: obligación de representante en la UE según art. 27 RGPD. DPD solo si hay vigilancia o datos especiales a gran escala. La solución más económica y conforme: REP27 Standard – todas las solicitudes incluidas, registro mantenido, mesa en 8 idiomas.
2. Comerciante chino en Amazon: Un vendedor chino vende en Amazon.de a clientes de la UE. Necesita representante en la UE (art. 27 RGPD) y posiblemente responsable GPSR para conformidad de producto. No necesita DPD si no hay vigilancia o datos especiales a gran escala. Solución completa: REP27 Multi – representante y responsable GPSR en un contrato, un contacto, un certificado.
3. Tienda online en Reino Unido sin clientes en la UE: Una tienda británica vende solo a clientes del Reino Unido y no trata datos de ciudadanos de la UE. Resultado: no hay obligación de nombrar representante en la UE ni DPD. La obligación surge solo si se dirige o entrega a clientes en la UE.

Estos escenarios muestran la importancia de revisar el modelo de negocio. Quienes se dirijan o monitoricen a clientes de la UE deben nombrar representante, independientemente del tamaño.