Imagen generada con IA.
Nombrar formalmente a un Delegado de Protección de Datos (DPD) no basta si esa persona sigue tomando, al mismo tiempo, decisiones sobre el propio tratamiento que debería supervisar de forma independiente. Es la conclusión que se extrae de una reciente sentencia de la Audiencia Nacional, que confirma la sanción de la AEPD a un colegio profesional por designar como DPD a alguien que, a la vez, ejercía funciones directivas sobre la organización. El caso fija un criterio que interesa a cualquier empresa, asociación o colegio profesional que se plantee cubrir el puesto de DPD con alguien de la propia estructura interna.
El caso: el Colegio de Arquitectos de Granada y su DPD con funciones directivas
La Audiencia Nacional resolvió, en sentencia de 18 de marzo de 2026, un recurso presentado por el Colegio Oficial de Arquitectos de Granada contra la sanción de 5.000 euros que le había impuesto la AEPD por vulnerar el artículo 38.6 del RGPD, el que exige que el DPD pueda desempeñar sus funciones con independencia, sin recibir instrucciones ni verse expuesto a conflictos de interés.
El colegio había designado como DPD a su secretario general, un cargo que simultáneamente ejercía funciones claramente directivas: la admisión y baja de personas colegiadas, la potestad disciplinaria sobre ellas, la gestión económica de la institución y la organización de sus servicios. Es decir, la misma persona que debía supervisar de forma independiente el cumplimiento del RGPD era también quien decidía, en el día a día, cómo se organizaba y gestionaba buena parte de la actividad del colegio.
Qué funciones son incompatibles con el rol de Delegado de Protección de Datos
El tribunal, en una sentencia con ponencia de cinco magistrados, concluyó que un DPD no puede ejercer su función de forma objetiva cuando participa simultáneamente en las decisiones sobre los fines y los medios del tratamiento de datos. Dicho de otro modo: si la persona encargada de vigilar que el tratamiento cumple el RGPD es también quien decide cómo se hace ese tratamiento, no hay manera real de que ejerza un control independiente sobre sí misma.
La sentencia deja claro que la designación formal como DPD no es suficiente sin una independencia funcional real. No importa que el nombramiento esté correctamente documentado o que se haya comunicado a la AEPD: lo que cuenta es si, en la práctica, esa persona tiene poder de decisión sobre el propio tratamiento que debe supervisar. Cualquier función que implique decidir sobre la finalidad, los medios o la organización de un tratamiento de datos resulta, por definición, incompatible con el papel de DPD, porque convierte al supervisor en juez y parte de sus propias decisiones.
El colegio intentó además ampararse en el artículo 77 de la LOPDGDD, que exime de sanción económica a determinadas entidades de derecho público. La Audiencia Nacional rechazó este argumento: esa exención solo se aplica cuando el tratamiento de datos se realiza en ejercicio directo de potestades públicas, y no cubre la actividad administrativa ordinaria de un colegio profesional. La sanción, por tanto, se confirmó íntegramente.
Diferencia con el caso de la Diputación de Huesca (DPD + canal de denuncias)
Semanas antes, la AEPD había sancionado a la Diputación de Huesca por una brecha de seguridad que expuso datos sensibles de su cuerpo de bomberos, en un expediente que también incluía un reproche relacionado con la independencia del DPD: la misma persona era, además, responsable del Sistema Interno de Información (el canal de denuncias). La Diputación se defendió alegando que existía una dependencia solo «funcional, no orgánica» entre ambos roles, pero la AEPD rechazó ese argumento, subrayando que la propia institución había planteado antes dudas sobre la compatibilidad de ambas funciones y, aun así, mantuvo el nombramiento sin resolver el conflicto.
Los dos casos no son idénticos —en Huesca el problema surgió al combinar el DPD con la gestión de un canal de denuncias, mientras que en Granada la incompatibilidad venía de funciones directivas y de gestión económica— pero ambos convergen en el mismo principio de fondo: la AEPD no se conforma con una designación de DPD correcta sobre el papel. Exige que esa independencia sea real, verificable y sostenida en el tiempo, no solo una casilla marcada en el momento del nombramiento.
Cómo garantizar la independencia real del DPD en tu organización
Para cualquier pyme, asociación o colegio profesional que valore nombrar un DPD interno, estos dos casos dejan varias lecciones prácticas:
- No designar como DPD a quien ocupa un puesto directivo o gerencial, ni a nadie con poder real de decisión sobre los sistemas o los procesos de tratamiento de datos de la organización.
- Documentar el organigrama real de la persona nombrada DPD, no solo el nombramiento formal, y revisar si sus funciones actuales podrían generar un conflicto de interés.
- Revisar periódicamente si han cambiado las funciones de quien ejerce como DPD: un ascenso interno o una reorganización pueden generar un conflicto sobrevenido que no existía en el momento del nombramiento.
- Valorar la figura del DPD externo cuando exista cualquier duda sobre la independencia de un nombramiento interno: al no formar parte de la estructura jerárquica de la empresa, un DPD externo elimina por diseño este tipo de riesgo.
Conclusión
La Audiencia Nacional traza una línea clara: el DPD puede asesorar, supervisar y formar, pero no puede decidir sobre el tratamiento que está llamado a vigilar. Ni siquiera una sanción relativamente pequeña, como los 5.000 euros del caso de Granada, debe restarle importancia a este criterio: lo relevante no es el importe, sino que confirma que la AEPD y los tribunales examinan la independencia del DPD en la práctica, no solo en el papel del nombramiento.
En Dataibérica ofrecemos el servicio de DPD externo precisamente para eliminar este riesgo: al no formar parte de tu organización, garantizamos una independencia real frente a la AEPD desde el primer día. Contacta con nosotros si tienes dudas sobre si la persona que ejerce como DPD en tu empresa cumple realmente los requisitos de independencia del RGPD.
Fuente principal: Confilegal — La Audiencia Nacional pone límite a quién puede ser Delegado de Protección de Datos (08/05/2026).
