Los cargos de Delegado de Protección de Datos (DPD) y el de Responsable del Sistema Interno de Información (RSII) son incompatibles según la Audiencia Nacional.
Comentario a la Sentencia de la Audiencia Nacional (Sección 1ª, Sala de lo Contencioso-Administrativo) n.º 139/2026 de fecha 18 de marzo del 2026.
La Sentencia de la Audiencia Nacional n.º 139/2026 que es objeto del presente comentario tiene su origen en el recurso contencioso-administrativo nº 894/2023, interpuesto por el Colegio Oficial de Arquitectos de Granada contra una resolución sancionadora de la Agencia Española de Protección de Datos (AEPD), que le impuso tres sanciones por incumplimientos de la normativa de protección de datos.
En concreto, la AEPD sancionó al Colegio por considerar que la persona designada como Delegado de Protección de Datos (DPD) incurría en un conflicto de intereses, al compatibilizar dicho cargo con el de Secretario del Colegio y participar en la adoptación de decisiones sobre el tratamiento de datos personales. Asimismo, la AEPD apreció un incumplimiento del deber de información previsto en el artículo 13 del RGPD en los formularios de quejas y reclamaciones, así como una infracción de la normativa sobre cookies por instalar galletas analíticas de terceros sin informar adecuadamente ni recabar el consentimiento de los usuarios. Frente a estas sanciones, el Colegio recurrente alegó, entre otros motivos, que el nombramiento del DPD no generaba ningún conflicto de intereses, que la omisión de la información en los formularios no había sido consciente, que la resolución sancionadora no identificaba adecuadamente las cookies instaladas y que las sanciones impuestas eran desproporcionadas. De todos modos, la Audiencia Nacional desestima el recurso y confirma íntegramente la resolución sancionadora de la AEPD, constituyendo un pronunciamiento relevante en materia de protección de datos que es extrapolable al ámbito de las investigaciones internas como veremos después.
El eje central de la resolución se sitúa en la interpretación del artículo 38.6 del RGPD y, en particular, en los requisitos de independencia que deben concurrir en la figura del DPD. En el caso analizado, el secretario del colegio formaba parte de los órganos de gobierno y ejercía competencias relacionadas con la admisión de colegiados, la gestión disciplinaria, la organización de los servicios y otras decisiones con incidencia directa en el tratamiento de datos personales. Funciones que para la Audiencia Nacional resultan incompatibles con la labor de supervisión independiente que corresponde al DPD, ya que quien controla el cumplimiento de la normativa no puede intervenir, al mismo tiempo, en las decisiones cuya adecuación debe supervisar. En consecuencia, la Sala concluye que existe un conflicto de intereses cuando el DPD desempeña simultáneamente funciones que implican participar en la determinación de los fines y medios del tratamiento de datos.
La sentencia también confirma la existencia de otras dos infracciones en materia de protección de datos. Por un lado, aprecia un incumplimiento del deber de información previsto en el artículo 13 del RGPD al no facilitarse a los interesados la información necesaria en los formularios de quejas y reclamaciones. Por otro, valida la sanción derivada de la utilización de cookies analíticas de terceros sin proporcionar la información exigida ni obtener el consentimiento previo de los usuarios. Asimismo, la Audiencia rechaza que las sanciones vulneren el principio de proporcionalidad, al considerar que fueron impuestas en su grado mínimo y con una cuantía moderada. También aclara que el régimen especial previsto para determinadas entidades de derecho público no impide sancionar con multas a los colegios profesionales cuando las infracciones afectan a tratamientos de datos que exceden del ejercicio de potestades públicas.
Desde una perspectiva práctica, la resolución refuerza la importancia de analizar los posibles conflictos de intereses atendiendo a las funciones efectivamente desempeñadas por la persona designada, y no fijándose únicamente en su cargo o denominación. El criterio seguido por la Audiencia pone el foco en la necesidad de garantizar una verdadera independencia en las funciones de supervisión y control, especialmente en aquellas figuras que, por mandato normativo, deben actuar con autonomía dentro de la organización. Dicho criterio adquiere especial relevancia en el ámbito de las investigaciones internas, donde la imparcialidad del investigador constituye una garantía esencial de la validez del procedimiento. La existencia de vínculos funcionales, jerárquicos o de participación en los hechos investigados puede comprometer la objetividad de la investigación y afectar a la credibilidad de sus conclusiones. Por ello, las organizaciones deberían evaluar previamente la ausencia de conflictos de intereses en quienes ostenten la posición de Responsable del Sistema Interno de Información (RSII) y recurrir a investigadores externos o a mecanismos que refuercen la independencia del proceso.
En definitiva, la resolución comentada reafirma un principio de buen gobierno que trasciende el ámbito de la protección de datos como es el de que la eficacia de cualquier función de control interno depende, en gran medida, de la independencia real de quien la ejerce. Este mismo principio debe inspirar el diseño y el funcionamiento de los departamentos de investigaciones internas y de los canales internos de información.
Cristina Molins Joly.
Departamento de Investigaciones Internas.