El DPD no puede ser juez y parte: la Audiencia Nacional confirma las sanciones a un colegio profesional
La Audiencia Nacional ha desestimado el recurso del Colegio Oficial de Arquitectos de Granada contra una resolución sancionadora de la AEPD y ha confirmado tres sanciones por un total de 14.000 euros. La sentencia, de 18 de marzo de 2026, consolida una doctrina clara: un DPD que participa en decisiones sobre los fines y medios de los tratamientos no puede supervisar, con objetividad, el cumplimiento de la normativa de protección de datos en esa misma organización.
Este fallo no afecta solo a los colegios profesionales. Cualquier organización que haya designado como DPD a su secretario general, director jurídico o responsable de sistemas debe leerlo con atención.
Un secretario con demasiadas funciones
El Colegio había designado como Delegado de Protección de Datos a su Secretario. El problema es que ese Secretario era, al mismo tiempo, miembro con voz y voto de la Junta de Gobierno y de la Comisión Permanente, con competencias directas sobre admisión y baja de colegiados, régimen disciplinario interno, organización de servicios, gestión de fondos y el registro de colegiados.
El artículo 38.6 RGPD es taxativo: el responsable del tratamiento debe garantizar que las funciones del DPD no generen conflicto de intereses. La Sala lo resume con precisión: quien decide sobre los fines y medios del tratamiento no puede supervisar, con objetividad, ese mismo tratamiento.
Tres sanciones
- Conflicto de intereses del DPD (art. 38.6 RGPD): 5.000 €
- Falta de información en formularios (art. 13 RGPD): 8.000 €
- Cookies sin consentimiento (art. 22.2 LSSI): 1.000 €
Las tres sanciones se impusieron en grado mínimo. La Sala rechaza la alegación de desproporcionalidad y añade un elemento importante: los colegios profesionales sí pueden ser sancionados con multa cuando las infracciones no se circunscriben al ejercicio de potestades de derecho público.
¿Qué deben revisar las organizaciones?
- Revisar los estatutos o la descripción de funciones del DPD designado y verificar si participa, con voz y/o voto, en órganos de gobierno con competencias sobre tratamientos.
- Auditar los formularios de recogida de datos: quejas, reclamaciones, contacto, inscripción.
- Revisar la política de cookies, incluyendo las que se cargan vía integraciones o mapas de terceros.
- Documentar el análisis de conflicto de intereses realizado en el momento de la designación.
El caso de las cookies analíticas instaladas a través de un mapa interactivo de tercero es especialmente relevante: muchas organizaciones asumen que los scripts de terceros incrustados en su web son problema del proveedor. No lo son. La responsabilidad sobre el consentimiento recae en quien enlaza o incrusta esa herramienta.
El conflicto de intereses del DPD no es una cuestión de intención ni de buena fe: es una incompatibilidad estructural. No importa que el Secretario fuera un profesional competente o que el colegio no hubiera tenido incidentes previos. Lo que importa es que la arquitectura organizativa hacía imposible una supervisión independiente.
Este precedente sienta dos afirmaciones que conviene grabar. Un DPD con funciones ejecutivas sobre tratamientos de datos no cumple el requisito de independencia del art. 38.6 RGPD, con independencia de su título o de su buena voluntad. Y los colegios profesionales, junto con otras corporaciones de derecho público, no están blindados frente al régimen sancionador ordinario del RGPD cuando las infracciones afectan a actividades más allá del ejercicio de potestades públicas.
Una práctica que sigue siendo demasiado habitual
Esta sentencia era previsible. Lo sorprendente no es el fallo, sino que haya organizaciones que todavía designen como DPD a quien firma acuerdos, resuelve expedientes o administra recursos de la propia entidad. El conflicto de intereses no requiere mala fe: es una consecuencia lógica de acumular funciones incompatibles en la misma persona.
La AEPD lleva años advirtiendo sobre esto. El artículo 38.6 RGPD no es ambiguo. Y sin embargo, la práctica habitual en muchos colegios profesionales, asociaciones y entidades de tamaño medio sigue siendo la misma: se busca a alguien interno con perfil jurídico o técnico, se le añade el título de DPD a sus funciones ya existentes y se da por cumplida la obligación. No funciona así.
Lo que la Audiencia Nacional deja claro es que el análisis de conflicto de intereses no es un trámite de designación, sino una verificación funcional que debe hacerse con los estatutos en la mano. Si la persona designada tiene voz en órganos que deciden sobre tratamientos de datos, el conflicto existe aunque nadie lo haya querido.
El formulario, la infracción más evitable
Hay otro punto que merece atención y que suele pasarse por alto: la sanción más alta de las tres no fue por el conflicto del DPD, sino por la ausencia de información en los formularios de quejas y reclamaciones. Ocho mil euros por no incluir en un formulario los datos que exige el artículo 13 RGPD. Es la infracción más evitable de todas y, a la vez, una de las más frecuentes. La revisión de formularios debería ser una tarea rutinaria en cualquier organización, no una reacción ante una sanción.
El fallo es correcto, el precedente es útil y las cuantías son moderadas. Pero el verdadero problema no es jurídico: es de cultura de cumplimiento. Mientras el DPD se perciba como un cargo formal y no como una función de supervisión independiente, seguiremos viendo resoluciones como esta.
