Artículo 83 del RGPD: condiciones generales para la imposición de multas administrativas

Las condiciones del consentimiento forman parte de los principios básicos del tratamiento, y su infracción está en el escalón alto de multas: 20 millones de euros o, para una empresa, el 4 % de su volumen de negocio total anual global. Las cifras van emparejadas: 10 millones con el 2 % y 20 millones con el 4 %, así que una opción que junta la cifra de un escalón con el porcentaje del otro no existe en el Reglamento.

La lista del art. 83.2 nombra la adhesión a códigos de conducta del art. 40 o a mecanismos de certificación aprobados con arreglo al art. 42 (letra j), junto a otras como la intencionalidad o negligencia, las infracciones anteriores o el grado de cooperación con la autoridad. Las otras tres no figuran en ella: el tiempo transcurrido desde la infracción no es su duración, que sí está en la letra a), y la lista no menciona ni la difusión de la infracción ni que el interesado reclamara antes al responsable. La letra k) deja abierta la puerta a «cualquier otro factor agravante o atenuante», pero lo que se pregunta es lo que el artículo nombra.

Se opta por la de mayor cuantía: a una empresa grande, el porcentaje de su volumen de negocio total anual global del ejercicio financiero anterior puede superar con mucho el importe fijo, y eso es lo que hace la multa disuasoria para ella. La proporcionalidad se busca al graduar la multa con los criterios del caso, no eligiendo la cifra menor, y el volumen de negocio no depende de que haya habido beneficios.

Cuando varias infracciones, intencionadas o negligentes, recaen sobre las mismas operaciones de tratamiento o sobre operaciones vinculadas, las multas no se suman: el total no puede pasar de la cuantía prevista para las infracciones más graves. Ni la suma, ni el doble, ni un incremento: el techo es el de la más grave.