Els càrrecs de Delegat de Protecció de Dades (DPD) i del Responsable del Sistema Intern d’Informació (RSII) son incompatibles segons l’Audiència Nacional.
Comentari a la Sentència de l’Audiència Nacional (Secció 1a, sala contenciosa administrativa) núm. 139/2026 de data 18 de març del 2026.
La Sentència de l’Audiència Nacional núm. 139/2026 que és objecte del present comentari té el seu origen en el recurs contenciós administratiu núm. 894/2023, interposat pel Col·legi Oficial d’Arquitectes de Granada contra una resolució sancionadora de l’Agència Espanyola de Protecció de Dades (AEPD), que li va imposar tres sancions per incompliments de la normativa de protecció de dades.
En concret, l’AEPD va sancionar al Col·legi per considerar que la persona designada com a Delegat de Protecció de Dades (DPD) incorria en un conflicte d’interessos, en compatibilitzar aquest càrrec amb el de Secretari del Col·legi i participar en l’adoptació de decisions sobre el tractament de dades personals. Així mateix, l’AEPD va apreciar un incompliment del deure d’informació previst en l’article 13 del RGPD en els formularis de queixes i reclamacions, així com una infracció de la normativa sobre cookies per instal·lar galetes analítiques de tercers sense informar adequadament ni recaptar el consentiment dels usuaris. Enfront d’aquestes sancions, el Col·legi recurrent va al·legar, entre altres motius, que el nomenament del DPD no generava cap conflicte d’interessos, que l’omissió de la informació en els formularis no havia estat conscient, que la resolució sancionadora no identificava adequadament les cookies instal·lades i que les sancions imposades eren desproporcionades. De totes maneres, l’Audiència Nacional desestima el recurs i confirma íntegrament la resolució sancionadora de l’AEPD, constituint un pronunciament rellevant en matèria de protecció de dades que és extrapolable a l’àmbit de les recerques internes com veurem després.
L’eix central de la resolució se situa en la interpretació de l’article 38.6 del RGPD i, en particular, en els requisits d’independència que han de concórrer en la figura del DPD. En el cas analitzat, el secretari del col·legi formava part dels òrgans de govern i exercia competències relacionades amb l’admissió de col·legiats, la gestió disciplinària, l’organització dels serveis i altres decisions amb incidència directa en el tractament de dades personals. Funcions que per a l’Audiència Nacional resulten incompatibles amb la labor de supervisió independent que correspon al DPD, ja que qui controla el compliment de la normativa no pot intervenir, al mateix temps, en les decisions l’adequació de les quals ha de supervisar. En conseqüència, la Sala conclou que existeix un conflicte d’interessos quan el DPD exerceix simultàniament funcions que impliquen participar en la determinació dels fins i mitjans del tractament de dades.
La sentència també confirma l’existència d’altres dues infraccions en matèria de protecció de dades. D’una banda, aprecia un incompliment del deure d’informació previst en l’article 13 del RGPD al no facilitar-se als interessats la informació necessària en els formularis de queixes i reclamacions. Per un altre, valguda la sanció derivada de la utilització de cookies analítiques de tercers sense proporcionar la informació exigida ni obtenir el consentiment previ dels usuaris. Així mateix, l’Audiència rebutja que les sancions vulnerin el principi de proporcionalitat, en considerar que van ser imposades en el seu grau mínim i amb una quantia moderada. També aclareix que el règim especial previst per a determinades entitats de dret públic no impedeix sancionar amb multes als col·legis professionals quan les infraccions afecten tractaments de dades que excedeixen de l’exercici de potestats públiques.
Des d’una perspectiva pràctica, la resolució reforça la importància d’analitzar els possibles conflictes d’interessos ateses les funcions efectivament exercides per la persona designada, i no fixant-se únicament en el seu càrrec o denominació. El criteri seguit per l’Audiència posa el focus en la necessitat de garantir una veritable independència en les funcions de supervisió i control, especialment en aquelles figures que, per mandat normatiu, han d’actuar amb autonomia dins de l’organització. Aquest criteri adquireix especial rellevància en l’àmbit de les recerques internes, on la imparcialitat de l’investigador constitueix una garantia essencial de la validesa del procediment. L’existència de vincles funcionals, jeràrquics o de participació en els fets investigats pot comprometre l’objectivitat de la recerca i afectar la credibilitat de les seves conclusions. Per això, les organitzacions haurien d’avaluar prèviament l’absència de conflictes d’interessos en els qui ostentin la posició de Responsable del Sistema Intern d’Informació (RSII) i recórrer a investigadors externs o a mecanismes que reforcin la independència del procés.
En definitiva, la resolució comentada reafirma un principi de bon govern que transcendeix l’àmbit de la protecció de dades com és el que l’eficàcia de qualsevol funció de control intern depèn, en gran manera, de la independència real de qui l’exerceix. Aquest mateix principi ha d’inspirar el disseny i el funcionament dels departaments de recerques internes i dels canals interns d’informació.
Cristina Molins Joly.
Departament d’Investigacions Internes.