El 10 de agosto de 2026 la CNIL publicó una guía práctica sobre un problema que casi toda organización tiene y casi ninguna ha puesto por escrito: el conflicto de intereses del delegado de protección de datos.
El punto de partida es el art. 38, apartado 6, del RGPD. El DPD puede desempeñar otras funciones además de las del art. 39, con dos condiciones acumulativas: que no le resten el tiempo necesario para ejercer como DPD y que no lo sitúen en conflicto de intereses.
Las preguntas que sirven para detectarlo
La CNIL recomienda realizar el análisis antes de la designación, o antes de asignar nuevas funciones a un DPD ya nombrado. Estas son las preguntas que propone:
- ¿Qué otras funciones se acumulan con la de DPD?
- ¿El DPD ejerce funciones directivas? Director general y responsable de recursos humanos son por regla general incompatibles, pero también pueden serlo puestos inferiores si llevan a determinar fines y medios de un tratamiento
- ¿El DPD o su equipo tienen poder decisorio sobre los fines o los medios? Si el DPD es también responsable de seguridad informática: ¿fija él los plazos de conservación de los registros, propone él las medidas de seguridad, decide él sobre las solicitudes de acceso a los datos del personal?
- ¿En sus otras funciones el DPD toma posición sobre proyectos relacionados con datos personales, por ejemplo como miembro de un comité de ética?
- ¿El DPD es representante del personal o tiene un mandato sindical? En una votación puede tener que pronunciarse sobre medidas de control de los trabajadores
- Si el DPD es externo: ¿ha representado ya a la organización en un litigio sobre protección de datos? ¿Pertenece a una entidad con intereses contrarios, por ejemplo un encargado del tratamiento o un corresponsable?
Si hay conflicto, hay que eliminarlo
La organización que designa tiene la obligación de poner fin al conflicto. Hay tres vías: sustituir al DPD, retirarle las funciones ajenas que generan el conflicto, o adoptar otras medidas de remedio.
La abstención y el DPD suplente
La medida más habitual es la abstención: el DPD se retira del ámbito afectado y en ese ámbito actúa un DPD suplente. La CNIL es tajante en que no puede ser un trámite formal. Una simple firma de refrendo, sin poder decisorio real del suplente, no basta.
El suplente debe gozar de las mismas garantías de los arts. 37 y 39: medios, formación, participación en los asuntos de su ámbito. Y no debe tener vínculo de subordinación con el DPD designado. El ejemplo de la CNIL es claro: si el DPD de una aseguradora es también responsable antifraude y debe abstenerse en esa área, un analista antifraude no puede ser su suplente, porque no puede supervisar con independencia tratamientos decididos por su propio superior.
Deben documentarse tanto el riesgo que justifica la abstención como el reparto de responsabilidades entre DPD y suplente, de modo que ningún tratamiento quede sin cubrir. El suplente no se comunica a la autoridad: el punto de contacto sigue siendo el DPD designado, que sin embargo debe poder informar al suplente cuando la autoridad escriba sobre tratamientos del ámbito en el que se abstuvo.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
