Representante en la UE vs DPO: ¿cuál es la diferencia?

El Representante en la UE y el Delegado de Protección de Datos son dos de los roles que más se confunden en el marco del RGPD, en parte porque ambos implican un contacto identificado y ambos tocan el cumplimiento en materia de protección de datos. Pero responden a preguntas jurídicas distintas, se rigen por artículos diferentes y se activan por hechos diferentes. El representante del Article 27 se refiere a su presencia física en la UE cuando tiene su sede fuera de ella; el DPO de los Article 37-39 se refiere a la naturaleza y la escala de su tratamiento de datos, con independencia de dónde se encuentre. Esta guía expone exactamente qué es cada rol, quién necesita cuál, si la misma firma puede asumir ambos y cuándo se necesitan los dos a la vez.

Dos roles, dos artículos: qué es realmente cada uno

Las dos funciones se sitúan en partes distintas del RGPD y existen por razones diferentes.

• Representante en la UE (Article 27). Una persona física o jurídica establecida en la UE o el EEE, designada por escrito por un responsable o encargado del tratamiento con sede fuera de la Unión. Actúa como punto de contacto local para las autoridades de control y los interesados, y está facultado para ser contactado además de (o en lugar de) la empresa en todos los asuntos de cumplimiento. También ayuda a mantener el registro de actividades de tratamiento del Article 30.
• Delegado de Protección de Datos (Article 37-39). Un experto que asesora a la organización sobre sus obligaciones del RGPD, supervisa el cumplimiento interno y actúa como punto de contacto con las autoridades de control y el EDPB.

El representante tiene que ver con dónde está usted; el DPO tiene que ver con qué trata.

Quién necesita cuál — y cuándo necesita ambos

Los desencadenantes son independientes, así que evalúe cada uno por separado.

Pregunta	Representante en la UE	DPO
Artículo aplicable	Article 27	Article 37-39
Qué lo desencadena	Sin establecimiento en la UE/EEE y usted se dirige a personas en la UE o controla su comportamiento	Autoridad pública; observación habitual y sistemática a gran escala; o datos de categorías especiales a gran escala
Función principal	Contacto y buzón locales para autoridades y particulares	Asesor independiente y supervisor del cumplimiento
Independencia	Actúa según las instrucciones de la empresa	Debe actuar con independencia; sin instrucciones sobre sus funciones

Un SaaS de US o Canadá que se dirige a la UE suele necesitar un representante. Si además elabora perfiles de usuarios a gran escala, necesita ambos. Las obligaciones son acumulativas.

¿Puede la misma firma ser ambos? Las confusiones más habituales

Aquí es donde la mayoría de las empresas se equivocan. El EDPB ha declarado con claridad, en sus Directrices 3/2018 sobre el ámbito territorial, que la misma persona no puede ser a la vez su Representante en la UE y su DPO. La razón es estructural: un representante actúa según las instrucciones de la empresa, mientras que un DPO debe actuar con independencia y no recibir instrucciones sobre el ejercicio de sus funciones. Asumir ambos crearía un conflicto de intereses, especialmente en un contexto de aplicación de la ley.

• Confusión 1: suponer que un DPO elimina la necesidad de un representante — no es así.
• Confusión 2: pensar que el representante absorbe su responsabilidad — la designación no transfiere la responsabilidad propia del responsable o del encargado.
• Confusión 3: creer que un representante en el UK cubre la UE — no lo hace, y viceversa.

Una misma organización puede prestar ambos servicios a través de personas distintas y una gobernanza clara.

Preguntas frecuentes

¿Designar un Representante en la UE significa que ya no necesito un DPO?

No. Las dos obligaciones son independientes y acumulativas. El representante cubre la ausencia de un establecimiento en la UE conforme al Article 27, mientras que la exigencia de un DPO conforme a los Article 37-39 depende de la naturaleza y la escala de su tratamiento. Puede necesitar uno, el otro o ambos.

¿Puede la misma persona actuar como mi Representante en la UE y mi DPO?

No. El EDPB confirma en sus Directrices 3/2018 que los roles son incompatibles, porque un representante actúa según las instrucciones de la empresa mientras que un DPO debe ser independiente y no recibir instrucciones sobre sus funciones. Una misma firma puede prestar ambos, pero deben ser personas diferentes.

Soy una empresa de US sin oficina en la UE: ¿cuál necesito?

Si ofrece bienes o servicios a personas en la UE, o controla su comportamiento, es casi seguro que necesita un Representante en la UE del Article 27. Además necesitará un DPO solo si su tratamiento cumple alguno de los umbrales del Article 37, como la observación a gran escala o el tratamiento a gran escala de datos de categorías especiales.