La AEPD marca la hoja de ruta para reforzar el cumplimiento en la Administración General del Estado

Nuevas orientaciones desde la Agencia Española de Protección de Datos (AEPD): el pasado 14 de julio de 2026, la agencia publicó una guía de recomendaciones para fortalecer el cumplimiento de la normativa de protección de datos en la Administración General del Estado, fruto de una campaña de diálogo con las subsecretarías y los delegados de protección de datos (DPD) de ministerios y organismos, que culminó en un encuentro con más de setenta delegados en el Instituto Nacional de Administración Pública. El documento no impone nuevos requisitos organizativos ni limita la autonomía de cada ministerio, sino que identifica buenas prácticas que pueden servir de referencia para reforzar los modelos de gobernanza ya implantados.

Entre las principales líneas de actuación, la guía recomienda: (i) reconocer estructuralmente el puesto del DPD, con integración deseable en la relación de puestos de trabajo y un nivel administrativo elevado (29-30, mínimo 28), (ii) optar por designar un área concreta —como una subdirección— o configurar un comité u oficina de protección de datos, en lugar de depositar la función únicamente en una persona física, para garantizar la continuidad de las funciones, (iii) formalizar mediante políticas internas la participación del DPD en registros de actividades, evaluaciones de impacto, contratación pública y elaboración normativa, y (iv) evaluar expresamente los riesgos de conflicto de intereses cuando el DPD compatibilice sus funciones con otro puesto.

Para el ámbito normativo, la AEPD recomienda incorporar la perspectiva de protección de datos desde las fases iniciales de tramitación, utilizando la memoria del análisis de impacto normativo y su propia guía de evaluación al respecto, e incorporar el informe motivado del DPD a las solicitudes de informe preceptivo ante la agencia. En materia de formación, la guía insiste en que el acceso a las funciones de DPD se base en conocimientos previamente consolidados que combinen capacidades jurídicas, organizativas y tecnológicas, dada la creciente complejidad de los tratamientos.

La gran novedad del documento es el tratamiento de la inteligencia artificial: la AEPD ya dispone de una política interna propia sobre IA generativa, siendo la primera Administración española con este instrumento, y la ofrece como modelo de referencia para otros organismos. Recomienda una implantación gradual —sensibilización directiva, formación previa obligatoria antes del acceso a herramientas de IA y redes internas de colaboración— y sugiere que el DPD forme parte de los comités de IA o de seguridad que se constituyan, dada su posición privilegiada para detectar riesgos tanto de datos personales como corporativos.

Este documento se completará con futuras actuaciones dirigidas a consolidar un marco estable de colaboración entre la AEPD y los organismos de la Administración General del Estado, incluyendo mejoras en la gestión de conflictos de interés durante la designación, desempeño y cese de los DPD. Anticiparse a estas orientaciones no solo facilita una relación más fluida con la agencia, sino que refuerza la confianza institucional y la calidad de la gestión pública en materia de protección de datos.