dos figuras que deberían hablar más.
En la mayoría de las organizaciones, el Compliance Officer y el Delegado de Protección de Datos trabajan en paralelo — con agendas distintas, reuniones separadas y marcos de referencia que rara vez se cruzan. Es uno de los errores de gobernanza más costosos que cometen las empresas. Y la AEPD lleva años documentando sus consecuencias en expedientes millonarios.
En febrero de 2024, la AEPD impuso una multa de cinco millones de euros a una comercializadora energética española. No fue por un ciberataque, ni por haber vendido datos a terceros, ni por usar datos de salud sin consentimiento. Fue por algo más sutil y más frecuente: la empresa sabía que su encargado del tratamiento cometía irregularidades con los datos de los clientes, fue advertida de ello, y no estableció controles adecuados para impedirlo.
El departamento comercial había subcontratado una empresa externa. El departamento jurídico había firmado el contrato. El DPO había identificado riesgos. Pero nadie había integrado esa información en un sistema de supervisión continua que obligara a actuar. Ese es exactamente el espacio que existe entre el Compliance Officer y el DPO — y ese espacio, cuando nadie lo cubre, tiene un precio.
1. Dos figuras, un mismo
objetivo — y casi ninguna coordinación
El Compliance Officer y el Delegado de Protección de Datos comparten el mismo propósito fundamental: identificar riesgos normativos antes de que se materialicen y garantizar que la organización opera dentro de la legalidad. Sin embargo, en la práctica, operan en mundos distintos.
La diferencia más relevante desde el punto de vista práctico es que el DPO tiene una posición de independencia legalmente protegida que el Compliance Officer no tiene. El DPO no puede recibir instrucciones sobre cómo ejercer sus funciones, no puede ser sancionado por hacerlo y reporta directamente al máximo nivel jerárquico. Eso le da una autoridad formal que, bien utilizada, convierte a la protección de datos en un elemento central de la gobernanza corporativa y no en una función de soporte.
📌 Lo que dice la normativa sobre su coordinación: el RGPD establece que el DPO "podrá desempeñar otras funciones y cometidos" siempre que no generen conflicto de intereses. La AEPD y el Grupo de Trabajo del Artículo 29 recomiendan explícitamente que la protección de datos se integre dentro del sistema de compliance de la organización — no como un silo independiente. La encuesta de ASCOM revela que el 74% de los compliance officers consideran posible aunar ambas funciones. La realidad es que casi ninguno lo hace de forma estructurada.2
2. Lo que ocurre cuando
no se coordinan — casos reales
El patrón de las sanciones más graves de la AEPD en los últimos dos años es consistente: no son errores técnicos puntuales. Son fallos estructurales de gobernanza en los que la información existía en algún punto de la organización pero no llegó a quien necesitaba actuar sobre ella. Eso es exactamente lo que pasa cuando compliance y protección de datos trabajan en silos.
La empresa sabía lo que hacía su encargado — y no actuó
Enérgya-VM, comercializadora del Grupo Villar Mir, contrató a Nivalco para la captación de clientes mediante prospección telefónica. Los comerciales de Nivalco se hacían pasar por asesores de otras compañías para obtener datos personales y formalizar cambios de contrato sin consentimiento válido. La empresa fue advertida de las irregularidades a través de una auditoría interna. Adoptó algunas instrucciones y auditorías adicionales. Pero no realizó un análisis de riesgos previo sobre su encargado, no estableció controles continuos sobre las grabaciones de llamadas y no articuló un mecanismo de supervisión eficaz — a pesar de tener evidencias de que Nivalco no seguía sus instrucciones.
La AEPD concluyó que actuó de forma reactiva cuando la normativa exige proactividad. La gestión de proveedores era función del departamento comercial. Los contratos los revisaba el área jurídica. El DPO había identificado riesgos. El compliance no tenía integrada la supervisión de encargados del tratamiento en su sistema. Nadie coordinó.
Tres incumplimientos simultáneos que ningún departamento vio como propios
Una compañía aseguradora fue sancionada con 300.000 euros por tres infracciones que, analizadas con frialdad, ilustran perfectamente la descoordinación entre compliance y privacidad. Primero: no respondió en plazo a una solicitud de supresión de datos — un proceso que debería estar en el mapa de riesgos del compliance como obligación normativa con plazo legal. Segundo: continuó enviando comunicaciones comerciales después de la solicitud de supresión — un fallo de supervisión que el DPO debería haber detectado. Tercero: el contrato con el agente externo que trataba datos de clientes era incompleto — carecía de instrucciones documentadas, medidas técnicas exigibles y reglas sobre uso de subencargados.
Cada uno de esos tres fallos tiene un responsable distinto en la organización. Y precisamente por eso ninguno de los tres se detectó a tiempo.
⚠️ Lo que la AEPD considera factor atenuante decisivo: la Agencia valora muy positivamente que la empresa haya adoptado "previamente" medidas proactivas como EIPDs actualizadas, registros de actividades completos, auditorías de encargados y protocolos documentados de respuesta a ejercicio de derechos. La palabra clave es "previamente". El compliance proactivo en materia de datos no solo reduce sanciones — en algunos casos puede ser la diferencia entre el archivo del expediente y la multa millonaria.4
3. El argumento que llega
al Consejo: responsabilidad penal personal
Si hay un argumento que mueve a los consejos de administración a invertir en la coordinación entre compliance y protección de datos, es este: los administradores pueden responder penalmente de forma personal por los delitos que se cometan en el seno de la organización cuando no existan programas de compliance eficaces que los hubieran podido prevenir.
La conexión entre el art. 31 bis del Código Penal y la protección de datos no es teórica. Los delitos de descubrimiento y revelación de secretos — que incluyen el acceso no autorizado a datos personales, la cesión ilegítima o la interceptación de comunicaciones — forman parte del catálogo de delitos por los que una persona jurídica puede ser penalmente responsable. Y la condena a una empresa puede conllevar consecuencias que ninguna multa administrativa alcanza: suspensión de actividades, clausura de establecimientos, inhabilitación para obtener subvenciones públicas e incluso disolución.
Para los administradores individualmente, las consecuencias son todavía más directas: pena de privación de libertad, multas millonarias e inhabilitación para el ejercicio de la actividad. La delegación en el Compliance Officer atenúa pero no elimina esa responsabilidad — especialmente cuando se demuestra que el administrador tenía conocimiento de los riesgos y no actuó.5
Consecuencias penales para la empresa — más allá de la multa
El art. 31 bis CP permite imponer a la persona jurídica: multas, suspensión de actividades, clausura de establecimientos, prohibición de realizar actividades, inhabilitación para subvenciones y contratos públicos, e intervención judicial de la empresa. Ninguna sanción administrativa del RGPD puede llegar a ese nivel de impacto operativo.
4. Un modelo de gobernanza
que funciona en la práctica
La coordinación entre Compliance Officer y DPO no es una cuestión de voluntad — es una cuestión de estructura. Las organizaciones que la hacen bien no la dejan al criterio de las relaciones personales entre los titulares de las funciones. La formalizan en un modelo de gobernanza con roles definidos, espacios de coordinación periódicos y mecanismos claros de escalado.
5. Los seis puntos de contacto
obligatorios entre ambas funciones
Más allá del modelo estructural, hay seis situaciones concretas en las que la coordinación entre el Compliance Officer y el DPO no es opcional — es la diferencia entre detectar el problema a tiempo o gestionarlo cuando ya tiene consecuencias.
Lo que el consejo de administración
necesita entender antes de que llegue la AEPD
La pregunta que debería hacerse todo consejero o administrador de una organización que trata datos personales — que es prácticamente cualquier empresa — no es "¿tenemos un DPO?" ni "¿tenemos un programa de compliance?". Esas dos preguntas son necesarias pero insuficientes. La pregunta correcta es: ¿saben el DPO y el Compliance Officer lo que sabe el otro, en el momento en que necesitan saberlo?
La AEPD no sanciona a las empresas que no tienen departamentos de compliance o DPOs perfectos. Sanciona a las empresas que tenían información disponible para actuar y no actuaron. Que fueron advertidas de irregularidades y no establecieron controles. Que firmaron contratos con proveedores sin verificar que se cumplían. Que tenían protocolos en papel que nadie ejecutó cuando llegó el incidente.
Esos son, exactamente, los fallos que un modelo de gobernanza integrado entre compliance y protección de datos está diseñado para prevenir. Y el art. 31 bis del Código Penal establece, con precisión quirúrgica, que la existencia y eficacia de ese modelo es la diferencia entre una empresa que puede demostrar que actuó diligentemente y una que no puede.
¿Su organización tiene
esta coordinación formalizada?
En Artico auditamos el modelo de gobernanza entre compliance y protección de datos, identificamos las grietas estructurales y proponemos un modelo integrado adaptado al tamaño y sector de su organización. DPOs certificados AEPD/ENAC · 25 años en Aragón.
Escríbenos por WhatsApp