Muchos administradores consideran la protección de datos una tarea del departamento de TI o del delegado de protección de datos. Es un error con consecuencias: en determinadas condiciones, la propia dirección responde, personalmente y con su propio patrimonio.
Una GmbH (sociedad de responsabilidad limitada alemana) o una AG (sociedad anónima alemana) debe limitar la responsabilidad personal de su dirección; es uno de sus fines esenciales. Sin embargo, en materia de protección de datos este blindaje no rige sin restricciones. Conforme al § 43 de la GmbHG (Ley alemana de Sociedades de Responsabilidad Limitada) o al § 93 de la AktG (Ley alemana de Sociedades Anónimas), la dirección responde frente a la propia sociedad cuando infringe sus deberes de organización, entre los que figura ya expresamente el deber de velar por un sistema de compliance de protección de datos que funcione. El riesgo se ve agravado por una aclaración reciente del más alto tribunal: el Bundesgerichtshof (BGH, Tribunal Supremo Federal de Alemania) ha resuelto que ya una breve pérdida de control sobre datos personales puede fundamentar un daño inmaterial conforme al art. 82 del RGPD, sin que se requiera un uso indebido efectivo de los datos ni un umbral de gravedad (BGH, sentencia de 18.11.2024 – VI ZR 10/24, siguiendo al TJUE, sentencia de 4.5.2023 – C-300/21). Ya una infracción percibida como leve —por ejemplo, un defecto formal en un proceso de selección o una supresión tardía— puede dar lugar a una pretensión si de ella se deriva un daño. El listón para un problema de protección de datos «insignificante» está así más bajo de lo que muchas empresas suponen.
¿Cuándo se convierte un riesgo empresarial en uno personal? Lo decisivo es la participación material de la dirección en la infracción. Ello no exige un acceso a los datos por cuenta propia. Basta con que la dirección se beneficie del tratamiento ilícito, lo haya ordenado o lo tolere a sabiendas, aunque hubiera podido y debido intervenir. Por tanto, quien conoce una infracción de protección de datos y aun así no hace nada —por ejemplo, por motivos de costes o porque de lo contrario un proyecto no cumpliría el calendario— se sitúa en el ámbito de la responsabilidad personal, con independencia de quién haya tratado técnicamente los datos.
La situación se ha agravado además con la Directiva NIS-2, que rige en Alemania desde el 6 de diciembre de 2025. Para las empresas que quedan comprendidas como entidades «importantes» o «esenciales», NIS-2 establece de forma expresa y personal la responsabilidad de la dirección en la gestión de riesgos de ciberseguridad, con obligaciones de formación propias para la dirección misma, no solo para el departamento de TI. De este modo, para un círculo creciente de empresas, las obligaciones de protección de datos y de seguridad de la información ya no discurren por separado, sino de forma entrelazada, y ambas acaban cada vez más, en términos de responsabilidad, en la misma mesa.
En la práctica, esto significa: la delegación en el delegado de protección de datos o en el departamento de TI solo protege si es real, con competencias claras, decisiones documentadas y un control efectivo, no solo sobre el papel. Conviene revisar si un seguro D&O existente cubre también las infracciones de protección de datos; muchas pólizas excluyen expresamente las multas. Y en las decisiones estructurales —nuevo software, nuevos flujos de datos, uso de IA— merece más la pena un asesoramiento jurídico temprano que una defensa posterior cuando la infracción ya se ha producido.
La SCHUFA seguiría tratando datos supuestamente suprimidos. Qué se sabe, qué exigen los arts. 15 y 17 del RGPD y qué pueden hacer los afectados.
Leer el artículo
El art. 13 del Data Act controla las cláusulas sobre datos impuestas unilateralmente entre empresas: ámbito de aplicación, lista negra y lista gris, consecuencias jurídicas.
Leer el artículoEl BGH establece de qué depende la cuantía de la indemnización conforme al RGPD: el carácter punitivo o la disuasión no son criterios.
Leer el artículo