Durante los primeros años de aplicación del Reglamento General de Protección de Datos (RGPD), gran parte del esfuerzo de las organizaciones se centró en implantar las obligaciones básicas del nuevo marco normativo: elaborar registros de actividades, adaptar cláusulas informativas, revisar contratos con encargados del tratamiento o gestionar el ejercicio de derechos.
En ese contexto, la figura del Delegado de Protección de Datos (DPD) se consolidó como un referente técnico y jurídico para acompañar a las organizaciones en ese proceso de adaptación.
Sin embargo, la protección de datos ha evolucionado. La transformación digital, la creciente complejidad tecnológica de los tratamientos y la incorporación de herramientas basadas en inteligencia artificial han ampliado considerablemente los retos asociados al cumplimiento.
Las recientes recomendaciones para fortalecer el cumplimiento de la normativa de protección de datos en la Administración General del Estado, publicadas por la Agencia Española de Protección de Datos (AEPD), reflejan precisamente este cambio de escenario. Aunque el documento está dirigido a los organismos de la Administración General del Estado, muchas de sus conclusiones trascienden el ámbito público y anticipan hacia dónde evoluciona el modelo de gobernanza de la protección de datos en cualquier organización.
El mensaje de fondo es claro: el Delegado de Protección de Datos ya no puede entenderse únicamente como un asesor jurídico especializado. La AEPD apuesta por una figura integrada en la estrategia de la organización, con capacidad para intervenir en la preparación de esas decisiones y contribuir de forma activa a la gobernanza del dato.
La protección de datos deja de ser una actuación puntual
Durante mucho tiempo, muchas organizaciones han asociado el cumplimiento del RGPD a actuaciones concretas: actualizar documentación, responder requerimientos o revisar determinados tratamientos cuando surgía una incidencia.
El documento de la AEPD plantea una visión muy distinta.
La protección de datos debe integrarse de forma transversal en la actividad ordinaria de la organización y formar parte del diseño de proyectos, de la contratación, de la transformación digital y, en el caso del sector público, incluso de la elaboración normativa. No se trata únicamente de reaccionar cuando aparece un problema, sino de incorporar la protección de datos desde las fases iniciales de cualquier iniciativa.
Esta idea conecta directamente con el principio de responsabilidad proactiva que inspira el RGPD y recogido en su artículo 5.2. El cumplimiento deja de medirse únicamente por la existencia de documentos o procedimientos y pasa a evaluarse por la capacidad real de la organización para gestionar los riesgos derivados del tratamiento de datos personales.
La posición del DPD importa tanto como su conocimiento
Uno de los aspectos más interesantes de las recomendaciones es que la AEPD dedica un apartado completo a la posición organizativa del DPD.
No se trata de una cuestión meramente formal. La Agencia insiste en que la eficacia del modelo de cumplimiento depende, en gran medida, de que el DPD disponga de una posición que facilite la interlocución con los órganos directivos, la coordinación transversal y el ejercicio independiente de sus funciones.
En este sentido, el documento recomienda favorecer la estabilidad de la figura, dotarla de reconocimiento dentro de la estructura organizativa, reflejar su existencia en el organigrama y proporcionar recursos suficientes para el desempeño de sus funciones. También pone el acento en la necesidad de preservar su independencia cuando compatibilice estas funciones con otras responsabilidades dentro de la organización.
En realidad, el mensaje va mucho más allá de la Administración Pública.
Una organización difícilmente podrá integrar la protección de datos en sus procesos de decisión si el DPD únicamente interviene cuando el proyecto ya está diseñado o cuando surge un problema de cumplimiento.
Del asesoramiento a la gobernanza
Otro de los cambios que refleja el documento consiste en reforzar la participación temprana del DPD en los procedimientos internos.
La AEPD recuerda que la responsabilidad sobre las decisiones corresponde siempre al responsable del tratamiento. Sin embargo, eso no impide que el DPD participe activamente en la preparación de esas decisiones, asesorando en registros de actividades, análisis de riesgos, evaluaciones de impacto, contratación pública o proyectos normativos.
La diferencia es relevante.
El DPD no sustituye al responsable del tratamiento ni asume sus obligaciones. Su función consiste en aportar conocimiento especializado para que las decisiones se adopten con pleno conocimiento de sus implicaciones jurídicas y de los riesgos que pueden generar.
Desde esta perspectiva, la protección de datos deja de entenderse como un control posterior para convertirse en un elemento integrado dentro de la propia gobernanza de la organización.
La inteligencia artificial acelera este cambio de modelo
Probablemente el apartado más significativo del documento sea el dedicado a la inteligencia artificial.
La AEPD no presenta la IA como una cuestión exclusivamente tecnológica, sino como un proceso de transformación organizativa que exige liderazgo, formación, criterios de utilización y mecanismos de supervisión adecuados.
En este contexto, el papel del DPD adquiere una dimensión especialmente relevante.
Su conocimiento de los tratamientos y de la organización le sitúa en una posición privilegiada para identificar no solo riesgos para los derechos y libertades de las personas, sino también riesgos derivados de la propia utilización de estas tecnologías, como fugas de información, pérdida de conocimiento interno o una dependencia excesiva de herramientas de inteligencia artificial.
Por ello, la Agencia considera incluso una buena práctica que el DPD pueda formar parte de los comités de inteligencia artificial o de seguridad que constituyan las organizaciones, reforzando así la coordinación entre protección de datos, seguridad de la información y transformación digital.
Se trata de una recomendación especialmente significativa si se analiza junto con la entrada en aplicación progresiva del Reglamento Europeo de Inteligencia Artificial. La gobernanza de la IA y la protección de datos comienzan a converger de forma cada vez más evidente, algo que venimos siguiendo de cerca en nuestras entradas sobre el RIA en nuestro blog.
Más allá de la Administración Pública
Como venimos comentando, aunque las recomendaciones se dirigen expresamente a la Administración General del Estado, muchas de las cuestiones que plantea resultan perfectamente trasladables al sector privado.
La necesidad de involucrar al DPD desde las primeras fases de los proyectos, reforzar la colaboración con las áreas de tecnología y seguridad, impulsar una cultura de cumplimiento o desarrollar políticas internas de protección de datos son prácticas que pueden fortalecer el cumplimiento en cualquier organización, con independencia de su naturaleza.
En realidad, el documento ofrece una fotografía bastante precisa de cómo entiende hoy la AEPD un modelo de cumplimiento eficaz: preventivo, transversal y apoyado en la cooperación entre distintas áreas de la organización.
Un cambio silencioso, pero profundo
Las recomendaciones publicadas por la AEPD no modifican el RGPD ni introducen nuevas obligaciones legales. Sin embargo, sí reflejan una evolución relevante en la forma de entender la protección de datos.
El DPD deja de ocupar una posición centrada exclusivamente en el asesoramiento jurídico para convertirse en una figura estratégica dentro de la gobernanza de las organizaciones. Su participación temprana, su independencia, su colaboración con otras áreas y su implicación en procesos de transformación digital pasan a considerarse elementos esenciales para un cumplimiento efectivo.
En un momento marcado por la inteligencia artificial, la automatización y la creciente complejidad tecnológica, la protección de datos ya no puede gestionarse únicamente desde una perspectiva documental o reactiva. Requiere estructuras de gobernanza capaces de anticipar riesgos, coordinar equipos y acompañar la innovación desde el diseño.
Porque, al fin y al cabo, el verdadero cambio que plantea la AEPD no consiste en ampliar las funciones del DPD, sino en reconocer que el cumplimiento normativo ya forma parte de la estrategia de cualquier organización que aspire a innovar de forma responsable.
Si te interesan otras entradas de nuestro blog relacionadas con la figura del DPD, puedes leerlas aquí y aquí.
