Artículo 83 del RGPD: condiciones generales para la imposición de multas administrativas

Cuando varias infracciones, intencionadas o negligentes, recaen sobre las mismas operaciones de tratamiento o sobre operaciones vinculadas, las multas no se suman: el total no puede pasar de la cuantía prevista para las infracciones más graves. Ni la suma, ni el doble, ni un incremento: el techo es el de la más grave.

Se opta por la de mayor cuantía: a una empresa grande, el porcentaje de su volumen de negocio total anual global del ejercicio financiero anterior puede superar con mucho el importe fijo, y eso es lo que hace la multa disuasoria para ella. La proporcionalidad se busca al graduar la multa con los criterios del caso, no eligiendo la cifra menor, y el volumen de negocio no depende de que haya habido beneficios.

El escalón bajo (art. 83.4) recoge las obligaciones del responsable y del encargado de los arts. 25 a 39, y la de designar un delegado es la del art. 37. Desatender los derechos de los interesados, transferir datos a un tercer país sin garantías y negarle a la autoridad de control el acceso que pide están en el escalón alto (art. 83.5). Que el delegado sea una pieza importante no lo sube de escalón.

La lista del art. 83.2 nombra la adhesión a códigos de conducta del art. 40 o a mecanismos de certificación aprobados con arreglo al art. 42 (letra j), junto a otras como la intencionalidad o negligencia, las infracciones anteriores o el grado de cooperación con la autoridad. Las otras tres no figuran en ella: el tiempo transcurrido desde la infracción no es su duración, que sí está en la letra a), y la lista no menciona ni la difusión de la infracción ni que el interesado reclamara antes al responsable. La letra k) deja abierta la puerta a «cualquier otro factor agravante o atenuante», pero lo que se pregunta es lo que el artículo nombra.