Decisión 01/2026 del Supervisor Europeo de Protección de Datos, de 16 de enero de 2026, por la que se adoptan las Normas sobre la aplicación del requisito de consentimiento previo del SEPD para la destitución de los responsables de la protección de datos [2026/199].

(1)

El Tratado de Funcionamiento de la Unión Europea establece que una autoridad independiente debe controlar el cumplimiento de las normas sobre protección de los datos personales tratados por las instituciones, órganos y organismos de la Unión («instituciones, órganos y organismos de la Unión»).

(2)

El Reglamento (UE) 2018/1725 instituyó el Supervisor Europeo de Protección de Datos (SEPD), al que incumbe garantizar que las instituciones, órganos y organismos de la Unión respeten los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de datos. A tal efecto, el SEPD supervisa y hace cumplir dicho Reglamento por parte de tales instituciones, órganos y organismos de la Unión.

(3)

El Reglamento establece la designación obligatoria de un delegado de protección de datos («DPD») en cada institución, órgano y organismo de la Unión. Esta obligación de designación también está recogida en los Reglamentos (UE) 2016/794, (UE) 2018/1727 y (UE) 2017/1939.

(4)

Dado el papel esencial que desempeña el delegado de protección de datos en el asesoramiento al responsable del tratamiento y en la supervisión de la aplicación de las normas que rigen el tratamiento de datos personales, es esencial que los delegados de protección de datos sigan pudiendo desempeñar sus funciones de forma independiente y eficaz en cualquier situación. Esto es igualmente importante en relación con el tratamiento de datos personales administrativos relacionados con el funcionamiento interno de las instituciones y organismos de la Unión, así como con los datos personales operativos tratados en el desempeño de las funciones de las instituciones y organismos de la Unión cuando llevan a cabo actividades que entran en el ámbito de aplicación de los capítulos 4 o 5 del título V de la tercera parte del TFUE para cumplir los objetivos y funciones establecidos en los actos por los que se crean dichos órganos u organismos. Por lo tanto, debe garantizarse y apoyarse eficazmente la capacidad del delegado de protección de datos para proporcionar asesoramiento imparcial, supervisar el cumplimiento y actuar como interlocutor para los interesados y el SEPD.

(5)

La independencia del delegado de protección de datos es una garantía estructural esencial para garantizar el cumplimiento de las disposiciones aplicables en materia de protección de datos y permitir que el delegado de protección de datos desempeñe sus funciones legales sin temor a represalias. La independencia del RPD constituye un requisito esencial de un sistema eficaz de protección de datos en las instituciones, órganos y organismos de la Unión y una importante salvaguardia de los derechos fundamentales de las personas en virtud de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea.

(6)

A tal fin, el Reglamento establece que un delegado de protección de datos designado solo podrá ser destituido de su cargo si deja de cumplir las condiciones necesarias para el desempeño de sus funciones, y únicamente con el consentimiento previo del SEPD. Además, el Reglamento establece que el responsable o encargado del tratamiento no podrá despedir ni sancionar al delegado de protección de datos por el desempeño de sus funciones. Normas análogas se aplican también a los RPD de Europol, Eurojust y la Fiscalía Europea con arreglo a sus respectivos marcos jurídicos. El Tribunal de Justicia también ha aclarado que la prohibición impuesta al responsable o encargado del tratamiento de destituir a un delegado de protección de datos o de sancionarlo significa que dicho delegado debe estar protegido contra cualquier decisión que ponga fin a sus funciones, le sea desfavorable o constituya una sanción (5).

(7)

Por lo tanto, toda destitución de un delegado de protección de datos debe estar sujeta a un procedimiento claro, predecible y justo que permita al SEPD verificar si se cumplen las condiciones legales y, en particular, si la destitución se basa en motivos objetivos que no menoscaben la independencia o el desempeño efectivo de las funciones del delegado de protección de datos.

(8)

A la luz de la experiencia adquirida por el SEPD en relación con la aplicación de las disposiciones relativas a los delegados de protección de datos, y en particular con el fin de garantizar la aplicación coherente del requisito de consentimiento previo del SEPD para el cese de los delegados de protección de datos en todas las instituciones y organismos de la Unión, y de evitar cualquier elusión del requisito obligatorio de consentimiento previo del SEPD, la información que debe facilitarse para que el SEPD pueda desempeñar su función debe establecerse de antemano para todas las instituciones, órganos y organismos de la Unión de manera clara y previsible.

(9)

En aras de la seguridad jurídica, el SEPD también debe aclarar cómo se ha de garantizar el derecho a ser oído del delegado de protección de datos y de la institución u organismo de la Unión, y debe especificar asimismo las condiciones en las que el SEPD dará o denegará su consentimiento.

(10)

También es necesario aclarar cómo garantizará el SEPD una intervención rápida cuando la independencia del DPD pueda correr un riesgo inminente, por ejemplo, en situaciones que impliquen posibles represalias, amenazas de destitución u otras circunstancias que requieran la intervención inmediata del SEPD en aras del interés general y del propio DPD. En estas situaciones, la importancia de garantizar que se solicite correctamente el consentimiento y, por lo tanto, se garantice la legalidad de la destitución, justifica un rápido ejercicio de las competencias del SEPD, sin perjuicio de cualquier medida legal disponible.

(11)

Por lo tanto, conviene establecer en un único instrumento la información que deben facilitar las IUE para que el SEPD evalúe las solicitudes de consentimiento previo para la destitución del DPD, junto con las normas que rigen la presentación y el examen de dichas solicitudes, los plazos aplicables, los requisitos de transparencia y publicación y las medidas correctivas ordinarias en caso de incumplimiento.

1.1.

1.2.

1.3.

1.4.

2.1.

2.2.

2.3.

2.4.

2.5.

2.6.

2.7.

2.8.

3.1.

3.2.

3.3.

3.4.

3.5.

3.6.

4.1.

4.2.

5.1.

5.2.

5.3.

6.1.

6.2.

7.1.

7.2.

7.3.

8.1.

8.2.

8.3.

8.4.

8.5.