El régimen sancionador de la protección de datos

La ley añade un control propio del ámbito público: comunicar lo actuado al Defensor del Pueblo o a la institución análoga de la comunidad autónoma. El Tribunal de Cuentas fiscaliza las cuentas, y la ley no prevé dar cuenta de estas resoluciones ni a los parlamentos ni al Ministerio Fiscal.

Aquí se informó, aunque de forma incompleta, y eso la ley lo califica de leve. Lo que lleva a las muy graves es omitir el deber de informar. La opción que dice «grave, a los tres años» junta un grado con el plazo de otro: las graves prescriben a los dos.

Notificar mal también es infracción, aunque menor que no notificar: la ley tipifica la notificación incompleta, tardía o defectuosa y la califica de leve (art. 74.m), frente a la grave de no notificar (art. 73.r). No exige avisar a los afectados antes que a la autoridad, ni un informe del delegado, ni esperar a cerrar una investigación interna: esperar es justo lo que haría tardía la notificación.

La amonestación con nombre de cargo, que se publica en el boletín oficial que corresponda, exige dos cosas: que la infracción sea imputable a autoridades y directivos y que se acredite que no atendieron informes técnicos o recomendaciones para el tratamiento. No depende del grado de la infracción, de una repetición ni de lo que pida el afectado.

El plazo de la sanción empieza cuando ya se puede ejecutar: al día siguiente de que la resolución sea ejecutable o de que pase el plazo para recurrirla. La notificación no basta, y no hay que esperar a una sentencia. El día de la infracción es lo que cuenta para prescribir la infracción, no la sanción.

El art. 70 somete al régimen sancionador a los responsables y encargados, a los representantes de los no establecidos en la Unión Europea, a las entidades de certificación y a las de supervisión de códigos de conducta. Al delegado lo excluye de forma expresa: de lo que pasa en el tratamiento responden el responsable o el encargado, no quien les asesora.

Las sanciones prescriben por tramos de importe: cuanto más alta, más plazo. Es la diferencia con las infracciones, que prescriben según su grado. Da igual qué autoridad sancione o si el infractor es una persona física o jurídica.

La ley permite adoptar las demás medidas correctivas «complementaria o alternativamente», cuando proceda: acompañando a la multa o en vez de ella. Limitarlas a uno de los dos usos deja fuera la mitad de lo que la ley permite, y no dependen de que la multa se haya pagado.

Prescriben a los tres años las muy graves, y la primera de su lista es tratar datos vulnerando los principios y garantías del art. 5 del RGPD. No tener el registro de actividades, tratar sin la evaluación de impacto exigible y usar un sello caducado son graves, y prescriben a los dos años.

La ley llama leves a las restantes infracciones «de carácter meramente formal», frente a las graves y las muy graves, que suponen una vulneración sustancial de los preceptos del RGPD. El criterio es la naturaleza del incumplimiento: no el daño causado, ni quién lo comete (la lista de leves incluye conductas del responsable y del encargado), ni que sea la primera vez.

Es la primera de la lista de graves. Tienta la muy grave, porque la ley califica así incumplir los requisitos de validez del consentimiento del art. 7 del RGPD; pero el consentimiento del menor, que regula el art. 8, tiene su sitio propio entre las graves. La última opción junta un grado con el plazo de otro: las muy graves prescriben a los tres años.

A las entidades del art. 77, entre ellas las que integran la Administración Local, no se las multa: la autoridad declara la infracción y puede ordenar medidas para que cese la conducta o se corrijan sus efectos, cualquiera de las del art. 58.2 del RGPD salvo la de su letra i), que es la multa. Tampoco se archiva: la infracción se declara y la resolución se notifica.

Entre las circunstancias que añade la ley está la posibilidad de que la conducta del propio afectado hubiera podido inducir a cometer la infracción. Acudir antes al delegado es una vía que el afectado puede usar o no, y retirar la reclamación o difundir los hechos no figuran en la lista.

Lo que corta el plazo de una sanción es abrir su ejecución con conocimiento del interesado. Cuando hay sanción impuesta, el procedimiento sancionador ya ha terminado, así que su inicio no cuenta aquí. Recurrir la resolución tampoco lo interrumpe: el plazo empieza cuando la resolución es ejecutable o vence el plazo para recurrirla, y solo lo corta el procedimiento de ejecución. Publicarla en la web de la Agencia no le afecta.

Hacen falta las tres condiciones a la vez: que sancione la Agencia Española de Protección de Datos, que la sanción supere el millón de euros y que el infractor sea una persona jurídica. A una persona física no se la publica así, y el grado de la infracción no es lo que cuenta. Si sanciona una autoridad autonómica, se está a su normativa.

Lo que corta el plazo de la infracción es abrir el procedimiento sancionador y que el interesado lo sepa. Iniciar una ejecución no puede ser: antes de resolver el sancionador no hay sanción que ejecutar. La admisión a trámite y las actuaciones previas de investigación son anteriores al procedimiento, y la ley no les da ese efecto.

El art. 72.1.k), entre las muy graves, recoge el impedimento, la obstaculización o la no atención reiterada de esos derechos; dejar sin atender una solicitud aislada se queda en leve (art. 74.c). El mes para responder es un plazo del RGPD, y ni la edad de quien pide ni la clase de datos cambian el grado de esta conducta.

Las corporaciones de Derecho público, como los colegios profesionales, están en la lista, pero solo cuando la finalidad del tratamiento se relaciona con el ejercicio de potestades de derecho público. Ofrecer un seguro a los colegiados no lo es, así que en ese tratamiento el colegio responde como cualquier otro responsable. El ámbito territorial del colegio no importa.

La Agencia publica esas resoluciones en su web, separadas de las demás y con indicación expresa de la identidad del responsable o del encargado que infringió. Si la competente es una autoridad autonómica, se está a su normativa.