La independencia de las autoridades de control como garantía institucional de la protección de datos

Una lectura técnica y jurídico-comparada desde la doctrina del TJUE, las decisiones de adecuación y los modelos regulatorios emergentes

Nota preliminar de origen intelectual

El presente trabajo surge a partir de una reflexión provocada por una publicación de Joe Jones sobre el significado de la independencia en el contexto de la supervisión europea de protección de datos y, más concretamente, sobre el modo en que dicha independencia ha sido examinada en decisiones recientes de adecuación, especialmente respecto de las reglas de remoción o destitución de autoridades y miembros de órganos supervisores.

El documento gráfico compartido en esa publicación, centrado en Brasil, Japón, República de Corea, Reino Unido y la Organización Europea de Patentes, permitió identificar un patrón común: el análisis europeo de adecuación no se limita a verificar la existencia nominal de una autoridad o mecanismo supervisor, sino que atiende a garantías institucionales tales como independencia, imparcialidad, causales tasadas de remoción, prohibición de instrucciones y protección frente a interferencias externas.

Asimismo, la referencia realizada por Corentin Hellendorff a una serie de asuntos del Tribunal de Justicia de la Unión Europea —C-518/07, C-614/10, C-288/12, C-230/14, C-362/14, C-424/15, C-210/16 y C-40/17— permitió conectar la cuestión práctica de la adecuación con una línea jurisprudencial más amplia sobre independencia, ausencia de influencia externa, estabilidad del mandato, potestades de intervención y efectividad del control. Finalmente, la reflexión de Danielle Zaror Miralles sobre la independencia e imparcialidad de la autoridad de protección de datos permite proyectar el debate hacia América Latina y, de modo especial, hacia el caso chileno, donde la creación de una nueva autoridad de protección de datos abre una pregunta todavía no cerrada: qué condiciones debe reunir un modelo institucional naciente para satisfacer un estándar robusto de independencia e imparcialidad.

Resumen

La independencia de las autoridades de control en materia de protección de datos no puede entenderse como un atributo meramente formal del diseño institucional. En el Derecho de la Unión Europea, la independencia de la autoridad supervisora cumple una función estructural: asegurar que el derecho fundamental a la protección de datos disponga de una garantía institucional capaz de supervisar, investigar, corregir y, en su caso, sancionar los incumplimientos de la normativa aplicable.

Este trabajo adopta una metodología técnica y jurídico-comparada, articulada en tres planos de análisis: normativo, institucional y funcional. Desde esa perspectiva, examina la doctrina del Tribunal de Justicia de la Unión Europea sobre independencia de las autoridades de control, especialmente en las sentencias C-518/07, C-614/10, C-288/12 y C-362/14, y la contrasta con decisiones recientes de adecuación o marcos equivalentes relativos a Brasil, Japón, República de Corea, Reino Unido y la Organización Europea de Patentes.

La tesis que se sostiene es que la independencia de las autoridades de control constituye, ante todo, una garantía institucional del derecho a la protección de datos. En el contexto de la adecuación, dicha garantía opera como presupuesto relevante para valorar la suficiencia del sistema extranjero y como componente estructural del análisis de supervisión efectiva. No agota por sí sola el juicio de adecuación, pero sí permite examinar si existe un mecanismo supervisor independiente, imparcial y dotado de capacidad de actuación.

El trabajo incorpora también el caso chileno como campo de verificación futura, no como comparación plenamente equivalente, dado que se trata de una autoridad de protección de datos de creación reciente cuya independencia operativa deberá verificarse en el tiempo.

Palabras clave

Protección de datos; autoridades de control; independencia; adecuación; TJUE; enforcement; remoción; captura regulatoria; garantías institucionales; Chile; Brasil; Japón; República de Corea; Reino Unido; Organización Europea de Patentes.

1. Planteamiento del problema

La pregunta por la independencia de las autoridades de control no es una cuestión meramente organizativa. En protección de datos, la autoridad supervisora cumple una función institucional de garantía: permite que los derechos reconocidos a los titulares puedan ser supervisados, reclamados y exigidos frente a responsables públicos y privados.

El artículo 8.3 de la Carta de los Derechos Fundamentales de la Unión Europea dispone que el cumplimiento de las reglas sobre protección de datos estará sujeto al control de una autoridad independiente. Esta previsión vincula la independencia institucional con la efectividad del derecho fundamental a la protección de datos. (EUR-Lex) A su vez, el artículo 52 del RGPD establece que cada autoridad de control actuará con completa independencia en el desempeño de sus funciones y en el ejercicio de sus poderes; además, exige que sus miembros permanezcan libres de influencia externa directa o indirecta y que no soliciten ni acepten instrucciones de nadie. (EUR-Lex)

Ahora bien, la independencia no debe identificarse automáticamente con la simple existencia legal de una autoridad. Una institución puede estar prevista en la ley, contar con competencias definidas e incluso disponer de potestad sancionadora, pero presentar déficits materiales si sus integrantes pueden ser removidos discrecionalmente, si recibe instrucciones externas, si depende presupuestariamente de órganos supervisados o si carece de medios suficientes para ejercer sus funciones.

Por ello, la hipótesis de este trabajo es deliberadamente precisa: la independencia de la autoridad de control constituye una garantía institucional del derecho a la protección de datos. En los juicios de adecuación, esa garantía permite valorar si el sistema extranjero dispone de una estructura supervisora capaz de actuar con autonomía decisoria, imparcialidad y capacidad funcional suficiente. No se sostiene, por tanto, que la independencia agote por sí sola el análisis de adecuación, sino que forma parte de un conjunto de garantías normativas, institucionales y funcionales que permiten determinar si el sistema examinado ofrece, en la práctica, un nivel de protección esencialmente equivalente.

2. Delimitación conceptual: la independencia como garantía institucional

A efectos de este trabajo, la independencia de la autoridad de control se entiende principalmente como una garantía institucional del derecho a la protección de datos. Es garantía porque permite que los derechos, principios y obligaciones reconocidos por la norma puedan ser supervisados por un órgano no subordinado a instrucciones externas ni expuesto a remociones discrecionales.

En el contexto de las decisiones de adecuación, esa garantía institucional cumple dos funciones adicionales. En primer lugar, opera como presupuesto relevante para valorar la suficiencia del sistema extranjero de protección de datos. En segundo lugar, actúa como componente estructural del análisis de supervisión efectiva, en la medida en que permite examinar si el sistema dispone de un órgano o mecanismo capaz de controlar el cumplimiento de la normativa sin interferencias indebidas.

Esta precisión permite evitar una identificación automática entre independencia, suficiencia institucional y enforcement. La independencia se refiere a la autonomía decisoria y a la protección frente a interferencias; la suficiencia institucional se refiere a la disponibilidad de medios, organización y capacidades; el enforcement se refiere al ejercicio práctico de potestades de investigación, corrección, sanción y control. Son planos conectados, pero no equivalentes.

3. Metodología técnica y jurídico-comparada

Este trabajo adopta una metodología técnica y jurídico-comparada, articulada en tres planos de análisis: normativo, institucional y funcional.

El análisis normativo examina las fuentes jurídicas que reconocen la independencia de la autoridad de control o del mecanismo supervisor: normas constitucionales, leyes de protección de datos, reglas de nombramiento, mandato, incompatibilidades, causales de remoción y prohibición de instrucciones. Este plano permite identificar la independencia de iure, pero no basta por sí solo para concluir que existe independencia efectiva.

El análisis institucional estudia el diseño organizativo de la autoridad: posición frente al Ejecutivo, autonomía técnica y decisoria, presupuesto, recursos humanos, órganos de gobierno, conflictos de interés y mecanismos de rendición de cuentas. Este plano permite valorar si la independencia reconocida normativamente cuenta con condiciones estructurales para operar.

El análisis funcional observa la actuación práctica de la autoridad o mecanismo supervisor: potestades de investigación, corrección y sanción; intervención frente a poderes públicos y privados; control judicial de sus decisiones; y existencia de procedimientos administrativos o jurisdiccionales que permitan verificar la independencia en acción.

Esta distinción es necesaria porque una autoridad puede estar formalmente protegida frente a instrucciones, pero carecer de medios suficientes para actuar. Del mismo modo, una autoridad puede disponer de amplios poderes sancionadores, pero encontrarse expuesta a interferencias políticas, presupuestarias o jerárquicas. Por ello, el trabajo no identifica automáticamente independencia con eficacia, sino que analiza cómo ambas dimensiones se relacionan dentro del juicio de adecuación.

4. La doctrina matriz del TJUE: funciones diferenciadas de la independencia

La jurisprudencia del Tribunal de Justicia de la Unión Europea permite reconstruir la independencia de las autoridades de control a partir de varias funciones doctrinales diferenciadas.

4.1. C-518/07: independencia frente a influencia externa

En C-518/07, Comisión contra Alemania, el Tribunal perfila la independencia como protección frente a la influencia externa. El asunto versaba sobre la sujeción a control estatal de autoridades alemanas encargadas de supervisar tratamientos de datos fuera del sector público. El TJUE sostuvo que la garantía de independencia de las autoridades nacionales de control tiene por finalidad asegurar la efectividad y fiabilidad de la supervisión del cumplimiento de las normas sobre protección de datos. Añadió que, para actuar objetivamente e imparcialmente, dichas autoridades deben permanecer libres de toda influencia externa, incluida la influencia directa o indirecta del Estado o de los Länder. (EUR-Lex)

La función doctrinal de esta sentencia consiste en fijar una primera regla: la independencia no se protege únicamente frente a los sujetos supervisados, sino también frente al poder público cuando este puede influir en la función supervisora.

4.2. C-614/10: independencia frente a vínculos orgánicos indirectos

En C-614/10, Comisión contra Austria, el Tribunal profundiza en la independencia frente a vínculos orgánicos o administrativos indirectos. El caso examinaba la relación entre la autoridad austriaca de protección de datos y la Cancillería Federal. La sentencia resulta relevante porque muestra que la ausencia formal de instrucciones no es suficiente si subsisten dependencias personales, organizativas o materiales capaces de comprometer la autonomía supervisora. (EUR-Lex)

La función doctrinal de esta sentencia consiste en diferenciar independencia funcional declarada e independencia institucional real. La autoridad puede no recibir órdenes directas y, sin embargo, encontrarse situada en una arquitectura organizativa que genere riesgos de influencia indirecta.

4.3. C-288/12: estabilidad del mandato y continuidad institucional

En C-288/12, Comisión contra Hungría, la independencia se conecta con la estabilidad del mandato y con la continuidad institucional del órgano supervisor. El Tribunal declaró que Hungría incumplió el Derecho de la Unión al poner fin anticipadamente al mandato de la autoridad supervisora de protección de datos mediante una reforma que creó una nueva autoridad y nombró a otra persona como responsable. (EUR-Lex)

El problema no reside únicamente en la salida anticipada de una persona concreta. La cuestión jurídicamente relevante es la posibilidad de que una reforma institucional sea utilizada para interrumpir el mandato legalmente previsto de la autoridad y sustituir su dirección antes del vencimiento del periodo establecido. La estabilidad del mandato aparece, así, como una garantía objetiva de la institución y no como una prerrogativa personal del titular.

4.4. C-362/14: independencia, reclamaciones individuales y adecuación

En C-362/14, Schrems I, la independencia se proyecta sobre el sistema de transferencias internacionales y sobre el control de las decisiones de adecuación. El TJUE recordó que el establecimiento de autoridades independientes constituye un componente esencial de la protección de las personas en relación con el tratamiento de datos personales. También sostuvo que una decisión de adecuación de la Comisión no puede eliminar ni reducir los poderes atribuidos a las autoridades nacionales de control por el artículo 8.3 de la Carta y por la Directiva 95/46. (EUR-Lex)

La función doctrinal de esta sentencia consiste en conectar la independencia con la tutela efectiva en materia de transferencias internacionales. La existencia de una decisión de adecuación no cancela la función de las autoridades nacionales como órganos llamados a examinar reclamaciones individuales y a activar, en su caso, los mecanismos jurisdiccionales correspondientes.

5. Jurisprudencia complementaria: potestades de intervención y entornos digitales complejos

Además de la jurisprudencia centrada directamente en independencia orgánica, conviene incorporar una segunda línea del TJUE relativa a la capacidad efectiva de supervisión en entornos transfronterizos y técnicamente complejos.

En Weltimmo, C-230/14, el TJUE abordó la competencia territorial y el ejercicio de poderes de las autoridades de control en un contexto transfronterizo. Su utilidad para este trabajo no reside en ampliar el concepto de independencia, sino en mostrar que la independencia institucional debe complementarse con reglas claras de competencia y cooperación, sin las cuales el enforcement puede resultar limitado. (EUR-Lex)

En Wirtschaftsakademie, C-210/16, el Tribunal examinó los poderes de intervención de una autoridad de control en el contexto de una fan page de Facebook. El caso muestra que la autoridad independiente debe poder actuar en ecosistemas digitales donde el tratamiento se distribuye entre varios sujetos y donde la determinación de responsabilidades exige una lectura funcional del tratamiento. (EUR-Lex)

En Fashion ID, C-40/17, el TJUE abordó la responsabilidad asociada a la incorporación de plugins sociales y la posibilidad de intervención de asociaciones de consumidores. Aunque el caso no versa directamente sobre independencia orgánica de autoridades, refleja la complejidad del enforcement en ecosistemas digitales distribuidos. (EUR-Lex)

El asunto C-424/15, Xabier Ormaetxea Garai y Bernardo Lorenzo Almendros c. Administración del Estado, no pertenece estrictamente a la línea jurisprudencial sobre autoridades de protección de datos. Su utilidad en este trabajo es auxiliar: permite observar cómo el TJUE aborda, en otro sector regulado, la relación entre reorganización institucional, independencia, imparcialidad y continuidad de las funciones supervisoras. El caso se refiere a autoridades nacionales de regulación en comunicaciones electrónicas y trata, entre otros extremos, una reforma institucional y el cese anticipado de miembros de una autoridad fusionada antes del vencimiento de sus mandatos. Por ello, no se utiliza como fundamento directo del estándar de independencia en protección de datos, sino como apoyo comparado sobre autoridades regulatorias independientes. (EUR-Lex)

Estos casos no deben confundirse con la línea jurisprudencial sobre independencia estricta. Su utilidad es complementaria: permiten mostrar que una autoridad independiente requiere también capacidad jurídica y operativa para actuar en entornos técnicos complejos, transfronterizos y distribuidos.

6. Independencia, suficiencia institucional y enforcement: tres planos relacionados, pero no idénticos

A efectos analíticos, conviene distinguir tres conceptos que suelen aparecer entrelazados.

La independencia se refiere a la capacidad de la autoridad para ejercer sus funciones sin instrucciones, presiones, interferencias o riesgos de remoción discrecional. Sus indicadores principales son la autonomía decisoria, la prohibición de instrucciones, la estabilidad del mandato, las incompatibilidades, los conflictos de interés y las causales tasadas de remoción.

La suficiencia institucional se refiere a las condiciones estructurales que permiten a la autoridad operar: presupuesto, personal, conocimientos técnicos, infraestructura, organización interna, autonomía administrativa y capacidad de cooperación nacional e internacional.

El enforcement se refiere a la capacidad práctica de hacer cumplir la normativa: investigar, requerir información, ordenar medidas correctivas, imponer sanciones, resolver reclamaciones, actuar frente a entidades públicas o privadas y defender sus decisiones ante instancias judiciales.

Estos tres planos se refuerzan mutuamente, pero no se sustituyen. Una autoridad independiente sin recursos puede ser débil. Una autoridad con recursos pero políticamente dirigida puede ser capturada. Una autoridad con potestades sancionadoras pero sin revisión judicial suficiente puede generar problemas de legitimidad. Por ello, el análisis de adecuación debe observar la arquitectura completa del sistema de supervisión.

7. La independencia como garantía institucional en el juicio de adecuación

El artículo 45 RGPD permite a la Comisión Europea decidir que un tercer país, territorio, sector específico u organización internacional garantiza un nivel de protección adecuado. La adecuación no exige identidad normativa con el Derecho de la Unión, pero sí una protección esencialmente equivalente. Esa equivalencia no se mide únicamente por la existencia de derechos, principios y obligaciones en el texto legal, sino también por la presencia de garantías institucionales que permitan hacerlos efectivos. En ese marco, la independencia de la autoridad o mecanismo supervisor adquiere relevancia como indicador de que el sistema dispone de una instancia capaz de controlar el cumplimiento de la normativa sin interferencias indebidas. (EUR-Lex)

El documento de Joe Jones que sirve de punto de partida a este trabajo muestra precisamente cómo distintas decisiones recientes de adecuación han examinado la independencia de las autoridades o mecanismos supervisores a través de indicadores concretos: causales de remoción, estabilidad del mandato, prohibición de instrucciones, imparcialidad y protección frente a interferencias.

Desde esta perspectiva, la adecuación no debe leerse únicamente como comparación entre leyes, sino como evaluación de un sistema de garantías. La pregunta no es solo si el tercer país reconoce derechos, principios y obligaciones, sino también si dispone de una autoridad o mecanismo supervisor con condiciones suficientes para controlar su cumplimiento de manera independiente.

8. Brasil: autonomía técnica, reglas de remoción y autoridad en consolidación

Brasil constituye un caso especialmente relevante por tratarse de una decisión de adecuación reciente. La Decisión de Ejecución (UE) 2026/179, de 26 de enero de 2026, concluye que Brasil garantiza un nivel adecuado de protección de datos personales transferidos desde la Unión Europea a responsables y encargados sujetos a la LGPD. (EUR-Lex)

En materia de supervisión, la decisión identifica a la Autoridade Nacional de Proteção de Dados como la autoridad independiente encargada de supervisar y hacer cumplir la LGPD. La Comisión no se limita a afirmar su existencia, sino que analiza su autonomía técnica y decisoria, su patrimonio propio, sus recursos, su organización y sus reglas de funcionamiento. En particular, la decisión señala que la ANPD fue transformada en un órgano independiente y que el marco brasileño reconoce a la autoridad como entidad especial dotada de autonomía técnica y decisoria. (EUR-Lex)

El punto más relevante para la independencia personal de sus miembros se encuentra en las reglas de remoción. La decisión recoge que los directores de la ANPD solo pueden ser removidos por circunstancias específicas previstas en el artículo 55-E de la LGPD: renuncia, condena judicial firme e inapelable o sanción de destitución derivada de procedimiento administrativo disciplinario. La propia Comisión considera que estas reglas proporcionan protección institucional a los directores en el ejercicio de sus funciones. (EUR-Lex)

Brasil permite distinguir entre origen político del nombramiento y dependencia política en el ejercicio del cargo. La intervención de órganos políticos en el nombramiento no resulta necesariamente incompatible con la independencia si el mandato queda protegido por reglas objetivas de remoción, procedimiento garantista, autonomía técnica y ausencia de instrucciones. Sin embargo, la suficiencia del modelo debe contrastarse progresivamente con la práctica de la autoridad, su capacidad presupuestaria, su actuación frente a entidades públicas y privadas y el control judicial de sus decisiones.

9. Japón: independencia legal expresa y arquitectura colegiada

Japón aporta un modelo en el que la independencia aparece principalmente estructurada a través del diseño legal e institucional de la Personal Information Protection Commission. La Decisión de Ejecución (UE) 2019/419, de 23 de enero de 2019, reconoció la adecuación de Japón bajo la Act on the Protection of Personal Information. (EUR-Lex)

El considerando 95 de la decisión japonesa reproduce la fórmula central: para garantizar un nivel adecuado de protección también en la práctica, debe existir una autoridad supervisora independiente, dotada de poderes de control y ejecución, que actúe con completa independencia e imparcialidad. El considerando 96 añade que la PPC está compuesta por un presidente y ocho comisionados nombrados por el Primer Ministro con consentimiento de ambas Cámaras de la Dieta; sus mandatos son de cinco años, con posibilidad de reelección. También señala que los comisionados solo pueden ser removidos por causa justificada en circunstancias excepcionales y que no deben participar activamente en actividades políticas. (EUR-Lex)

La especificidad japonesa reside en que la evidencia principal no procede de una litigiosidad intensa sobre independencia de la autoridad, sino de la estructura normativa e institucional: composición colegiada, intervención parlamentaria en el nombramiento, mandato y reconocimiento de actuación independiente. Esto obliga a una cautela metodológica: no todos los ordenamientos producen el mismo tipo de prueba. En algunos sistemas, la independencia se verifica principalmente a través de litigios; en otros, mediante diseño legal, práctica administrativa, informes oficiales y estabilidad institucional.

10. República de Corea: independencia normativa, capacidad sancionadora y revisión judicial

La República de Corea ofrece un caso de especial interés porque permite conectar independencia normativa, capacidad institucional y práctica de enforcement. La Decisión de Ejecución (UE) 2022/254, adoptada el 17 de diciembre de 2021, reconoce el nivel adecuado de protección de datos personales por Corea bajo la Personal Information Protection Act. (EUR-Lex)

En la decisión, la Comisión identifica a la Personal Information Protection Commission como autoridad independiente encargada de supervisar y hacer cumplir la PIPA. El análisis incorpora reglas de nombramiento, mandato, incompatibilidades, conflictos de interés y causales de destitución. En particular, la decisión destaca que cada miembro de la PIPC tiene un mandato de tres años, renovable una vez, y que solo puede ser destituido en circunstancias específicas. También subraya que la PIPA garantiza expresamente la independencia de la PIPC y exige a sus comisionados desempeñar sus funciones de forma independiente, conforme a la ley y a su conciencia. (EUR-Lex)

El caso coreano permite avanzar un paso más porque existe práctica sancionadora relevante y revisión judicial. En enero de 2025, la PIPC informó que el Tribunal Administrativo de Seúl confirmó sanciones impuestas contra Google y Meta por la recopilación y uso de datos comportamentales para publicidad dirigida sin consentimiento adecuado. Según la nota oficial de la PIPC, el tribunal desestimó las reclamaciones de Google y Meta y confirmó las sanciones adoptadas por la autoridad. (www.pipc.go.kr)

Este elemento no prueba por sí solo la independencia plena de la autoridad, pero sí permite observar una dimensión funcional importante: la autoridad ejerce poderes frente a grandes plataformas globales y sus decisiones son sometidas a revisión judicial. Corea permite, por tanto, analizar la independencia no solo como diseño institucional, sino como capacidad de actuación en escenarios de alta presión económica y tecnológica.

11. Reino Unido: independencia, mandato y control institucional

El Reino Unido constituye un caso de interés por su condición de jurisdicción adecuada tras el Brexit y por las reformas recientes de su institucionalidad de protección de datos. La Decisión de Ejecución (UE) 2021/1772 reconoció la adecuación del Reino Unido bajo el RGPD. (EUR-Lex)

En dicha decisión, la Comisión examinó la independencia del Information Commissioner, incluyendo su estatuto, mandato, condiciones de remoción y ausencia de instrucciones. La decisión afirma que debe existir una autoridad con poderes para supervisar y hacer cumplir las reglas de protección de datos, y que dicha autoridad debe actuar con completa independencia e imparcialidad. Además, recoge que el Information Commissioner debe permanecer libre de influencia externa directa o indirecta y no buscar ni aceptar instrucciones de nadie. (EUR-Lex)

Las reglas de mandato y remoción también resultan relevantes. La decisión señala que el Information Commissioner ocupa el cargo por un periodo de hasta siete años, que no puede ser nombrado más de una vez, y que solo puede ser removido por la Corona a partir de una solicitud de ambas Cámaras del Parlamento, previa presentación de un informe ministerial que justifique la existencia de causa suficiente, como conducta grave o pérdida de las condiciones necesarias para el ejercicio de la función. (EUR-Lex)

El caso británico exige una lectura prudente. Las reformas institucionales no son incompatibles por sí mismas con la independencia, siempre que preserven garantías sustantivas de autonomía decisoria, estabilidad, imparcialidad y control judicial. En ese punto, la experiencia británica dialoga con la doctrina de C-288/12: una reorganización institucional no debería utilizarse como mecanismo para neutralizar la independencia de la autoridad o provocar una remoción anticipada injustificada.

12. Organización Europea de Patentes: independencia funcional intraorganizacional

La Organización Europea de Patentes amplía el análisis más allá de los Estados. La Decisión de Ejecución (UE) 2025/1382, de 15 de julio de 2025, reconoció la adecuación de la protección de datos personales ofrecida por la EPO. (EUR-Lex)

Este caso debe tratarse como un supuesto comparativo singular. Su utilidad no radica en equipararlo sin más a un Estado, sino en mostrar que la exigencia de independencia puede proyectarse también sobre mecanismos supervisores internos de una organización internacional cuando estos cumplen funciones equivalentes de control, garantía y tutela.

La decisión explica que el marco de la EPO encomienda la supervisión del cumplimiento de las reglas de protección de datos a dos órganos: el Data Protection Officer y el Data Protection Board. Ambos tienen funciones complementarias y cada uno mantiene independencia en el ejercicio de sus respectivas tareas. La decisión añade que el DPO y el DPB actúan completamente independientes de interferencias internas o externas, y que el DPB debe ser consultado antes de cualquier propuesta de remoción o destitución del DPO. También señala que el DPO no puede ser despedido ni penalizado por el desempeño de sus funciones ni recibir instrucciones. (EUR-Lex)

El límite de la comparación es claro: la EPO no dispone de la misma estructura constitucional, administrativa ni judicial que un Estado. Precisamente por ello, su valor analítico reside en observar cómo se adapta la independencia a un entorno institucional no estatal, mediante garantías funcionales, consulta previa en caso de remoción y protección frente a interferencias internas o externas.

13. Chile como campo de verificación futura

Chile no debe analizarse en el mismo plano que Japón, Corea, Reino Unido, Brasil o la Organización Europea de Patentes. A diferencia de esos casos, todavía no ofrece una práctica consolidada de supervisión, enforcement y control judicial comparable. Su valor en este trabajo es distinto: permite examinar cómo los estándares internacionales de independencia pueden proyectarse sobre una autoridad de protección de datos de reciente creación.

La Ley 21.719 regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. La norma configura a la Agencia como una corporación autónoma de derecho público, de carácter técnico, descentralizado, con personalidad jurídica y patrimonio propio, relacionada con el Presidente de la República a través del Ministerio de Economía, Fomento y Turismo. También le atribuye funciones de fiscalización, interpretación administrativa, determinación de infracciones, potestad sancionadora y resolución de solicitudes y reclamos. (Biblioteca del Congreso Nacional de Chile)

Desde una perspectiva material, la pregunta no se agota en la creación legal de la Agencia ni en su calificación institucional. El análisis deberá atender a su diseño orgánico, reglas de nombramiento, estabilidad de sus autoridades, causales de remoción, suficiencia presupuestaria, capacidad técnica, potestades efectivas y mecanismos de control judicial.

Por ello, Chile se incorpora como campo de verificación futura. Su relevancia no reside todavía en demostrar una independencia funcional consolidada, sino en permitir formular una pregunta metodológica aplicable a las nuevas autoridades latinoamericanas: qué condiciones deben concurrir para que una autoridad de protección de datos no solo exista formalmente, sino que pueda actuar de forma independiente, imparcial y eficaz frente a poderes públicos, económicos y tecnológicos.

14. Matriz técnica y doctrinal para evaluar independencia

A partir del análisis anterior, puede proponerse una matriz de evaluación de independencia aplicable a autoridades de control y mecanismos supervisores en contextos de adecuación o comparación regulatoria.

Esta matriz permite evitar una evaluación binaria. La independencia no debería afirmarse o negarse de forma abstracta. Debe ser evaluada mediante indicadores observables, distinguiendo entre diseño legal, arquitectura institucional y práctica funcional.

15. Tabla comparada de elementos institucionales clave

16. Conclusiones

La independencia de las autoridades de control constituye una garantía institucional relevante para la efectividad del derecho a la protección de datos. Su importancia deriva de la función que desempeñan estas autoridades: supervisar tratamientos, resolver reclamaciones, investigar incumplimientos, ordenar medidas correctivas, imponer sanciones y cooperar con otras autoridades.

La jurisprudencia del TJUE ha contribuido a perfilar un estándar exigente de independencia. C-518/07 vincula independencia con ausencia de influencia externa directa o indirecta. C-614/10 muestra que la independencia funcional puede ser insuficiente si subsisten vínculos organizativos capaces de generar influencia indirecta. C-288/12 subraya la importancia de la estabilidad del mandato y de la protección frente a remociones anticipadas. C-362/14 conecta la independencia de las autoridades con el sistema de transferencias internacionales y con el control de las decisiones de adecuación.

Las decisiones de adecuación relativas a Japón, Corea, Reino Unido, Brasil y la Organización Europea de Patentes muestran que la Comisión Europea examina la independencia mediante indicadores concretos: existencia de autoridad o mecanismo supervisor, imparcialidad, prohibición de instrucciones, mandato, causales de remoción, recursos, poderes y mecanismos de control. El documento de Joe Jones que inspira este trabajo permite visualizar ese patrón comparado, especialmente en torno a las reglas de destitución y protección institucional.

El análisis comparado permite sostener que la adecuación no debe entenderse únicamente como equivalencia normativa entre textos legales. Debe incluir una evaluación institucional y funcional de la capacidad real de supervisar y hacer cumplir el derecho. La independencia es un componente central de esa evaluación, aunque no el único.

Finalmente, el caso chileno muestra la utilidad prospectiva de este enfoque. La creación de una autoridad de protección de datos no basta, por sí sola, para cerrar el debate sobre independencia. La cuestión jurídicamente relevante será verificar si el diseño legal se traduce en autonomía decisoria, estabilidad institucional, recursos suficientes, potestades efectivas, práctica supervisora y control judicial adecuado.

En síntesis, la independencia de la autoridad de control permite sostener la protección de datos como derecho exigible y no solo como declaración normativa. Su análisis requiere distinguir entre diseño normativo, suficiencia institucional y actuación funcional, evitando tanto la reducción formalista de la independencia como su identificación automática con el enforcement.

Referencias normalizadas preliminares

Carta de los Derechos Fundamentales de la Unión Europea, artículo 8. (EUR-Lex)

Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, artículos 45 y 52. (EUR-Lex)

Tribunal de Justicia de la Unión Europea, Comisión Europea contra República Federal de Alemania, C-518/07, sentencia de 9 de marzo de 2010. (EUR-Lex)

Tribunal de Justicia de la Unión Europea, Comisión Europea contra República de Austria, C-614/10, sentencia de 16 de octubre de 2012. (EUR-Lex)

Tribunal de Justicia de la Unión Europea, Comisión Europea contra Hungría, C-288/12, sentencia de 8 de abril de 2014. (EUR-Lex)

Tribunal de Justicia de la Unión Europea, Weltimmo s.r.o. contra Nemzeti Adatvédelmi és Információszabadság Hatóság, C-230/14, sentencia de 1 de octubre de 2015. (EUR-Lex)

Tribunal de Justicia de la Unión Europea, Maximillian Schrems contra Data Protection Commissioner, C-362/14, sentencia de 6 de octubre de 2015. (EUR-Lex)

Tribunal de Justicia de la Unión Europea, Xabier Ormaetxea Garai y Bernardo Lorenzo Almendros contra Administración del Estado, C-424/15, sentencia de 19 de octubre de 2016. (EUR-Lex)

Tribunal de Justicia de la Unión Europea, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contra Wirtschaftsakademie Schleswig-Holstein GmbH, C-210/16, sentencia de 5 de junio de 2018. (EUR-Lex)

Tribunal de Justicia de la Unión Europea, Fashion ID GmbH & Co. KG contra Verbraucherzentrale NRW eV, C-40/17, sentencia de 29 de julio de 2019. (EUR-Lex)

Comisión Europea, Decisión de Ejecución (UE) 2019/419, de 23 de enero de 2019, relativa al nivel adecuado de protección de datos personales por Japón. (EUR-Lex)

Comisión Europea, Decisión de Ejecución (UE) 2021/1772, relativa al nivel adecuado de protección de datos personales por el Reino Unido con arreglo al Reglamento (UE) 2016/679. (EUR-Lex)

Comisión Europea, Decisión de Ejecución (UE) 2022/254, de 17 de diciembre de 2021, relativa al nivel adecuado de protección de datos personales por la República de Corea. (EUR-Lex)

Comisión Europea, Decisión de Ejecución (UE) 2025/1382, de 15 de julio de 2025, relativa al nivel adecuado de protección de datos personales por la Organización Europea de Patentes. (EUR-Lex)

Comisión Europea, Decisión de Ejecución (UE) 2026/179, de 26 de enero de 2026, relativa al nivel adecuado de protección de datos personales por Brasil. (EUR-Lex)

Chile, Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. (Biblioteca del Congreso Nacional de Chile)

Personal Information Protection Commission, República de Corea, nota oficial sobre la confirmación judicial de las sanciones contra Google y Meta por recopilación y uso de datos comportamentales sin consentimiento, 2025. (www.pipc.go.kr)

Joe Jones, publicación y documento gráfico sobre independencia de la supervisión de protección de datos en decisiones de adecuación, julio de 2026.

Corentin Hellendorff, comentario a la publicación de Joe Jones con referencia a los asuntos del TJUE C-518/07, C-614/10, C-288/12, C-230/14, C-362/14, C-424/15, C-210/16 y C-40/17, julio de 2026.

Danielle Zaror Miralles, publicación sobre independencia e imparcialidad de la autoridad de protección de datos, julio de 2026.