El Supervisor Europeo de Protección de Datos (SEPD o EDPS) vigila que las instituciones, órganos y agencias de la Unión Europea traten los datos personales conforme a la ley. No sustituye a la AEPD española ni atiende, por regla general, conflictos con empresas privadas; la competencia depende del responsable del tratamiento y de la norma aplicable.
¿Debes acudir al SEPD o a la AEPD?
La competencia depende de quién sea el responsable del tratamiento.
Si el problema viene de una entidad española
La AEPD suele ser la autoridad adecuada ante un banco español, una tienda online, una aseguradora, una asesoría o una administración pública nacional. Estos casos se rigen principalmente por el Reglamento General de Protección de Datos (RGPD) y, en España, por la Ley Orgánica 3/2018.
Si los datos los tiene un organismo de la UE
El SEPD puede intervenir si el tratamiento procede de la Comisión Europea, el Parlamento Europeo, el Consejo de la Unión Europea, el Servicio Europeo de Acción Exterior (SEAE) o una agencia de la UE. También puede afectar al Banco Europeo de Inversiones cuando actúa dentro del marco que le corresponde.
Regla práctica: Comisión Europea, Parlamento Europeo o agencia de la UE, consulta al SEPD. Empresa, profesional o administración española, consulta a la AEPD. Si intervienen varias entidades, identifica quién tomó cada decisión sobre tus datos.
Algunos casos cotidianos ayudan a distinguir la competencia. Si utilizas EU Login para acceder a un servicio digital de la Comisión Europea, solicitas una acreditación para visitar el Parlamento Europeo o envías tu candidatura a una vacante de una agencia de la UE, el tratamiento puede estar sometido al Reglamento 2018/1725 y supervisado por el SEPD. Lo mismo ocurre si una institución europea conserva más tiempo del necesario los datos recogidos en un formulario, publica por error información personal o no responde a una solicitud de acceso.
En cambio, si una empresa española usa una plataforma europea para prestar su servicio, la competencia no depende de la tecnología empleada, sino de quién decide para qué y cómo se tratan los datos.
SEPD, CEPD y AEPD: quién resuelve cada caso
El SEPD supervisa a los organismos de la UE, el Comité Europeo de Protección de Datos (CEPD) coordina criterios comunes y la AEPD controla los tratamientos sometidos a la normativa española. El CEPD no es una ventanilla ordinaria para quejas individuales.
| Organismo | Quién trata los datos | Dónde reclamar |
|---|
| SEPD | Instituciones, órganos y agencias de la UE | Ante el SEPD, tras contactar con el organismo |
| CEPD | No actúa como responsable ordinario | No tramita quejas individuales comunes |
| AEPD | Empresas, profesionales y organismos sujetos a España | Ante la AEPD o autoridad autonómica competente |
Qué hace el SEPD en la práctica
El Supervisor puede investigar una brecha de seguridad, revisar cookies de un portal europeo, pedir cambios en una evaluación de impacto o dictar medidas correctoras. Una brecha de seguridad es una pérdida, acceso indebido o divulgación de datos, como enviar un listado de personas al destinatario equivocado.
Por qué el CEPD no recibe tu queja
Puede emitir directrices y resolver ciertos desacuerdos entre autoridades, pero no sustituye a la AEPD ni al SEPD en una reclamación corriente. La composición del Comité Europeo de Protección de Datos explica esa función de coordinación.
💡
Puede interesarte
Una trituradora de documentos ayuda a reducir el riesgo de que facturas, currículos o copias de DNI acaben en manos ajenas. Para una pyme, es una medida física sencilla dentro de la seguridad del tratamiento.
- Destruye documentos con nombres, direcciones, IBAN y números de identificación
- Reduce la exposición de datos en papeleras y zonas de acceso compartido
- Facilita aplicar plazos internos de conservación y eliminación de papel
Ver opciones en Amazon →
Reglamento 2018/1725: la norma para la UE
El Reglamento (UE) 2018/1725 regula a los organismos de la UE.
Tus derechos frente a una institución europea
Puedes pedir acceso, rectificación, supresión, limitación u oposición al uso de tus datos. La minimización de datos obliga a pedir solo lo necesario, como solicitar una dirección para enviar una acreditación, pero no datos familiares si no tienen relación con ese trámite.
Cookies e inteligencia artificial
Las cookies pueden quedar sujetas también a la Directiva sobre privacidad y comunicaciones electrónicas. El Reglamento de Inteligencia Artificial de la Unión Europea añade reglas sobre ciertos sistemas, pero no reemplaza la protección de datos personales.
Aunque comparte muchos principios con el RGPD, el Reglamento (UE) 2018/1725 es la norma específica para el tratamiento de datos personales por las instituciones, órganos, oficinas y agencias de la Unión Europea. Exige que cada responsable del tratamiento tenga una base jurídica, informe de forma clara sobre la finalidad y limite los datos a los necesarios. También contempla obligaciones como designar un delegado de protección de datos, documentar determinados tratamientos, realizar una evaluación de impacto cuando exista alto riesgo y gestionar una brecha de seguridad.
Por ello, el SEPD actúa como autoridad de control en este ámbito institucional europeo, mientras que el RGPD se aplica principalmente a empresas, profesionales y autoridades nacionales.
Cómo reclamar al SEPD y cuándo no hacerlo
Reclama tras contactar con el delegado de protección de datos.
Pruebas que conviene reunir
Incluye el nombre exacto del organismo, el formulario o servicio afectado, capturas, correos, fechas y la petición que hiciste. No mandes más datos sensibles de los imprescindibles: una reclamación no debe crear una exposición nueva.
Errores que frenan una reclamación
No basta con decir “han vulnerado mi privacidad”. Explica qué dato se usó, para qué finalidad, qué derecho pediste y qué contestó la entidad, o que no respondió tras un plazo razonable.
No uses al SEPD como vía principal contra una empresa privada, profesional, administración española, comunidad de vecinos o plataforma establecida en España: normalmente corresponde revisar la competencia de la AEPD o de otra autoridad nacional. Tampoco es la vía para solicitar directamente una indemnización por daños.
El procedimiento habitual comienza ejerciendo el derecho ante el responsable del tratamiento o su delegado de protección de datos. La institución u organismo debe responder, por regla general, en el plazo de un mes, aunque puede ampliarlo cuando la solicitud sea compleja e informe de ello a la persona afectada. Si la respuesta es insuficiente, no llega o consideras que el tratamiento vulnera tus derechos, presenta la reclamación de protección de datos ante el SEPD con una exposición cronológica de los hechos y los documentos relevantes.
Puede hacerse en español, una de las lenguas oficiales de la Unión. El SEPD puede declarar la reclamación inadmisible por falta de competencia, archivarla si no aprecia infracción o investigar el caso y adoptar medidas correctoras, recomendaciones u órdenes dirigidas al organismo europeo.
Preguntas frecuentes
¿Qué es el supervisor europeo de protección de datos?
El SEPD es la autoridad independiente que controla el uso de datos por instituciones y agencias de la Unión Europea. No es la autoridad general para empresas españolas ni para particulares que tengan un conflicto privado.
¿Quién es el presidente del SEPD?
El cargo no se llama presidente: el Supervisor vigente es Wojciech Wiewiórowski para el mandato 2024-2029. Parlamento Europeo y Consejo acuerdan el nombramiento por un periodo de cinco años.
¿Puedo reclamar al SEPD contra mi banco?
No, si tu banco está establecido en España la reclamación suele corresponder a la AEPD. Solo cambiaría si el tratamiento concreto lo hiciera directamente una institución u organismo de la Unión Europea.
¿Puedo presentar la reclamación al SEPD en español?
Sí, puedes presentar una reclamación ante el SEPD en español. Adjunta el nombre del organismo europeo, las fechas, las comunicaciones previas y las pruebas que apoyen tu relato.
Qué hacer antes de presentar tu reclamación
Identifica primero al responsable del tratamiento.
Lo esencial:- El SEPD controla datos tratados por instituciones, órganos y agencias de la Unión Europea.
- La AEPD suele ser la autoridad adecuada ante empresas, autónomos y administraciones españolas.
- El CEPD coordina criterios europeos, pero no gestiona reclamaciones individuales ordinarias.
- Una reclamación sólida identifica al organismo, describe el hecho y aporta comunicaciones previas.
Fuentes de interés
Otros artículos que pueden complementar lo que acabas de leer:
