No resulta contraintuitivo pensar que la función de Delegado de Protección de Datos (DPD) podría incardinarse dentro de las prerrogativas del Responsable del Sistema Interno de Información (RSII), sobre todo si se atiende a la finalidad de ambas figuras, que no es otra que asegurar la protección de los derechos de terceros. Sin embargo, tras una breve reflexión acerca de la verdadera naturaleza de estas dos funciones, una tiende a pensar en todos los conflictos que podrían llegar a surgir a raíz de esta confusión entre responsabilidades. Es precisamente este asunto el que ha sido abordado por la resolución de la AEPD en el marco del PS-00548-2024, objeto de este comentario.
I. Contexto general del caso
Todo surgió a raíz de una posible infracción imputable a la Diputación Provincial de Huesca, en relación con una brecha de datos personales y, lo más interesante a efectos de este artículo, una posible vulneración del artículo 38 del Reglamento 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD).
La Diputación aprobó mediante decreto la implantación de un Sistema Interno de Información (SII) con efectos desde el 13 de junio de 2023, en cumplimiento de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
Entre tanto, se formuló una consulta a la AEPD el 8 de mayo de 2023, relativa a una posible existencia de incompatibilidad entre las funciones del DPD y del RSII.
II. La disyuntiva a la que se enfrentó la Diputación
La Diputación sostuvo una tesis basada en que, según el artículo 38.6 del RGPD, el DPD puede desempeñar otras funciones dentro de la entidad, siempre que se garantice la ausencia de conflicto de intereses.
Lo cierto es que se puede entender que, tanto el RSII como el DPD tienen características comunes, tales como la dependencia orgánica del responsable o encargado, la independencia funcional y autónoma respecto del resto de órganos y la disposición de medios materiales y personales necesarios para llevar a cabo sus funciones.
La Diputación trajo a colación las manifestaciones vertidas por la AEPD en su Informe nº 0170/2018, donde se alude a la posibilidad de aplicar excepciones en relación con la designación del DPD cuando se trate de organizaciones de pequeño tamaño y escasos recursos, siempre que exista capacitación y formación suficientes y no medie conflicto de intereses.
La AEPD, por su parte, insiste en que, en dicho informe, se abordaba el posible conflicto entre la figura del responsable de seguridad y el DPD, y que las excepciones alegadas no resultaron de aplicación tampoco en aquel caso.
A pesar de lo anterior, la Diputación interpretó que el nombramiento de la DPD como RSII no incurría en ninguna incompatibilidad. No fue hasta que la propia DPD levantó la voz, y planteó el posible conflicto, cuando se formuló consulta a la AEPD. Sin embargo, la Diputación decidió, a pesar de las dudas, no cesar a la persona ni como encargada del sistema de información ni como responsable de protección de datos.
Como la consulta no fue resuelta por la AEPD hasta el 25 de febrero de 2025, la Diputación incumplió la normativa durante meses, y no fue hasta el 7 de abril cuando se produjo el cese efectivo de la empleada como RSII, a través del Decreto nº 1382, de 7 de abril de 2025.
III. Qué dice el artículo 38 del RGPD y cómo debemos interpretarlo
Este precepto recoge una serie de obligaciones que deben cumplirse por la persona designada como DPD. En primer lugar, es fundamental tener en consideración la independencia, que es lo que, en esencia, permite que el DPD desempeñe sus funciones correctamente. Como segundo pilar, hay que invocar la importancia de constatar la ausencia de conflictos de intereses que puedan impedir el correcto desarrollo de la función.
La Diputación dejó de lado el análisis sobre las posibles incompatibilidades de ambos puestos y basó su decisión en que la posición administrativa y los recursos disponibles para el DPD y el RSII eran similares, en contra de las exigencias del artículo 38.6.
Lo que la AEPD le reclamó a la Diputación no fue otra cosa que la realización de un examen pormenorizado de las funciones de uno y otro puesto, de cara a detectar ámbitos que pudiesen derivar en un potencial conflicto. Además, también le achacó la “negligencia al proceder al nombramiento a pesar de existir dudas sobre la existencia de un posible conflicto de intereses, puestas de manifiesto por la propia DPD de la Diputación Provincial”.
La obligación incumplida es, por tanto, la obligación de garantizar la independencia y el correcto desempeño de las funciones de DPD. Y es que la exigencia de evitar posibles conflictos de intereses tiene carácter preventivo, por lo que debe ser el responsable del tratamiento quien evite asignar al DPD funciones que puedan colocarle en cualquier situación de este tipo.
El documento WP 243 rev.01, relativo a las Directrices sobre los DPD, elaborado por el Grupo de Trabajo del artículo 29, establece en su apartado 3.5 que:
“La ausencia de conflicto de intereses está estrechamente ligada al requisito de actuar de manera independiente. Aunque los DPD puedan tener otras funciones, solamente podrán confiárseles otras tareas y cometidos si estas no dan lugar a conflictos de intereses. Esto supone, en especial, que el DPD no puede ocupar un cargo en la organización que le lleve a determinar los fines y medios del tratamiento de datos personales. Debido a la estructura organizativa específica de cada organización, esto deberá considerarse caso por caso”.
“Los cargos en conflicto dentro de una organización pueden incluir los puestos de alta dirección […] pero también otros cargos inferiores en la estructura organizativa si tales cargos o puestos llevan a la determinación de los fines y medios del tratamiento”.
“En entidades de menor tamaño será posible que el DPD compagine sus funciones con otras. Si éste es el caso, debe tenerse en cuenta la necesidad de evitar conflictos de intereses entre las diversas ocupaciones. El DPD actúa como asesor y supervisor interno, por lo que ese puesto no puede ser ocupado por personas que, a la vez, tengan tareas que impliquen decisiones sobre la existencia de tratamientos de datos o sobre el modo en que van a ser tratados los datos (p.ej.: responsables de ITC, o responsables de seguridad de la información)”.
Por su parte, el informe del Gabinete Jurídico de la AEPD de 29 de mayo de 2023 indica lo siguiente:
“Asimismo, corresponde al responsable velar por el cumplimiento de las disposiciones del RGPD relativas al nombramiento, posición jurídica y funciones que corresponden al DPD, quien deberá contar con la autonomía y los recursos suficientes para desarrollar su labor de forma efectiva”.
“No obstante, la asignación de otras tareas deberá respetar, en todo caso, el carácter asesor y supervisor del DPD, sin que puedan implicar la intervención directa en la toma de decisiones referidas a los fines y medios del tratamiento, que afectaría a su independencia e implicarían la existencia de un conflicto de intereses. De este modo, la necesaria independencia del DPD y la necesidad de evitar los conflictos de intereses impide asignarle responsabilidades directas en un ámbito que va a tener que supervisar y en el que estaría sujeto a instrucciones de otros órganos”.
Queda claro, por consiguiente, que es necesario diferenciar el ejercicio de las funciones de carácter decisorio (que corresponden al responsable o encargado del tratamiento), de las exigencias derivadas de la figura del DPD.
En este mismo sentido se pronuncia la sentencia del Tribunal de Justicia de la Unión Europea de 9 de febrero de 2023, asunto C-453/21 Caso X-FAB Dresden GmbH & Co. KG contra FC, que afirma:
“El delegado de protección de datos tiene por función, en particular, supervisar el cumplimiento de lo dispuesto en el RGPD, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluidas la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes. De ello se deduce, en particular, que no se pueden encomendar a un delegado de protección de datos funciones o cometidos que le lleven a determinar los fines y los medios del tratamiento de datos personales del responsable del tratamiento o de su encargado. En efecto, conforme al Derecho de la Unión o al Derecho de los Estados miembros en materia de protección de datos, el control de esos fines y medios debe ser efectuado de manera independiente por dicho delegado”.
“Debe interpretarse en el sentido de que puede existir un «conflicto de intereses», en el sentido de esta disposición, cuando se encomienden a un delegado de protección de datos otras funciones o cometidos que llevarían a este a determinar los fines y los medios del tratamiento de datos personales en el seno del responsable del tratamiento o de su encargado, lo que incumbe determinar en cada caso al juez nacional”.
Estas interpretaciones casan con la realidad expresada en la Ley 2/2023, que indica en su artículo 32.1, en relación con el tratamiento de datos en el sistema interno de información, que éste quedará limitado a una serie de personas competentes, entre las que señala al RSII y, de manera independiente, al DPD. Por tanto, este precepto distingue ambas figuras de forma clara.
Así, el RSII debe poder acceder a los datos personales incluidos en el sistema, puesto que ha sido designado por el responsable del tratamiento para el desempeño de dicha función y, además, tiene atribuida legalmente la obligación de garantizar una tramitación diligente de las comunicaciones remitidas por el SII.
Del mismo modo, el DPD debe tener acceso a tales datos, en la medida en que el funcionamiento del sistema conlleva un tratamiento de datos personales, siendo su cometido actuar como asesor especializado y órgano supervisor en materia de protección de datos.
La reciente sentencia de la Audiencia Nacional, de 18 de marzo de 2026 ha analizado también el problema derivado del artículo 38 del RGPD, y ha confirmado una resolución de la AEPD que señaló la incompatibilidad entre la función de secretario de un Colegio de Arquitectos y la de DPD, ya que, entre las responsabilidades del secretario, se encontraba la participación en acuerdos sobre la determinación de los medios y fines del tratamiento de los datos de los colegiados y de otros usuarios.
La sentencia afirma:
“Si quien debe supervisar el cumplimiento de las normas relativas a la protección de datos participa en la toma de decisiones sobre fines y medios de tratamiento de datos, difícilmente puede desempeñar con objetividad las funciones propias del cargo, lo que debe llevar a afirmar que no se cumple con la obligación de designar un delegado de protección de datos que reúna los requisitos exigidos en el Reglamento”.
Por tanto, parece que el criterio de la AEPD es aceptado por los tribunales, que consideran que los conflictos de intereses deben entenderse desde el momento en el que confluye la figura del DPD con el poder decisorio sobre los medios y fines del tratamiento en sí mismo.
IV. Conclusiones
En el supuesto examinado en este artículo, la atribución a una misma persona física de funciones vinculadas a dos posiciones diferenciadas (la de DPD y la de responsable del RSSI), cuyos intereses pueden llegar a entrar en colisión en determinados escenarios, puede dar lugar a una situación de conflicto que termine con serios problemas de cumplimiento para la entidad.
Precisamente por ello, tanto el RGPD como la LOPDGDD exigen evitar cualquier circunstancia que pueda comprometer la independencia y objetividad en el ejercicio de dichas funciones.
Es cada día más importante contar con personal que desempeñe funciones diferenciadas y que cuente con los conocimientos necesarios para realizar su trabajo correctamente. De nada sirve designar responsables para, como suele decirse, “cubrir el expediente”, porque, de proceder así, las entidades deberán prepararse para que dicho expediente acabe siendo, en muchos casos, sancionador.
Para más información:
Noelia Serrano (noelia.serrano@regula.law)