Los recursos, la indemnización y las multas del Reglamento

• No: ese derecho es de los interesados, y un interesado es siempre una persona física
• No: contra la autoridad de control solo cabe recurrir ante el Comité Europeo de Protección de Datos
• Sí: lo tiene toda persona física o jurídica frente a una decisión vinculante que le concierna
• Sí, pero solo si la decisión le impone una multa administrativa y no otra medida

La tutela frente a la autoridad de control no es solo del interesado: la tiene toda persona física o jurídica a la que concierna una decisión jurídicamente vinculante, así que también el responsable o el encargado al que se dirige. No se limita a las multas, y el Comité no es una instancia de recurso frente a las autoridades nacionales: las acciones van a los tribunales.

• Siempre que haya participado en la operación de tratamiento, igual que el responsable
• Nunca: frente al perjudicado responde únicamente el responsable que le hizo el encargo
• Solo cuando el responsable no pueda pagar la indemnización entera al perjudicado
• Si incumplió sus obligaciones propias o se apartó de las instrucciones legales del responsable

El responsable que participa en el tratamiento responde de los daños si la operación incumple el Reglamento; el encargado, solo en dos casos: si no cumplió las obligaciones que el Reglamento dirige específicamente a los encargados o si actuó al margen o en contra de las instrucciones legales del responsable. Participar en la operación basta para el responsable, no para el encargado, y su responsabilidad no es subsidiaria de la del responsable.

• En el del establecimiento principal del responsable o del encargado
• En el de su residencia habitual, su trabajo o la supuesta infracción
• En el de su nacionalidad, sea cual sea el lugar donde resida
• En el que le asigne el Comité Europeo de Protección de Datos

El Reglamento acerca la reclamación al interesado y nombra tres lugares: donde reside habitualmente, donde trabaja o donde se cometió la supuesta infracción. El «en particular» no cierra la puerta a otras autoridades, pero el establecimiento principal del responsable no es uno de los lugares que nombra: sirve para repartir la competencia entre autoridades. La nacionalidad no cuenta, y el Comité no asigna reclamaciones.

• Exigir al otro tribunal que se inhiba en su favor
• Suspender el procedimiento que se sigue ante él
• Pedir al Comité Europeo de Protección de Datos que decida
• Acumular de oficio los dos procedimientos ante sí

El Reglamento evita dos procesos paralelos sobre lo mismo en dos Estados dando un margen al tribunal que llegó después: puede suspender el suyo. Quien cede es el segundo, no el primero, y la acumulación solo la menciona para que el segundo se inhiba a instancia de parte cuando el primero sea competente, nunca para atraer el asunto de oficio. El Comité no interviene en los procesos judiciales.

• No designar un delegado de protección de datos estando obligada a ello
• No atender las solicitudes de los interesados que ejercen sus derechos
• Transferir datos a un tercer país sin las garantías del Reglamento
• Negarse a dar a la autoridad de control el acceso que pide al investigar

El escalón bajo (art. 83.4) recoge las obligaciones del responsable y del encargado de los arts. 25 a 39, y la de designar un delegado es la del art. 37. Desatender los derechos de los interesados, transferir datos a un tercer país sin garantías y negarle a la autoridad de control el acceso que pide están en el escalón alto (art. 83.5). Que el delegado sea una pieza importante no lo sube de escalón.

• Hasta 10 millones de euros o el 2 % de su volumen de negocio anual
• Hasta 20 millones de euros o el 2 % de su volumen de negocio anual
• Hasta 20 millones de euros o el 4 % de su volumen de negocio anual
• Hasta 10 millones de euros o el 4 % de su volumen de negocio anual

Las condiciones del consentimiento forman parte de los principios básicos del tratamiento, y su infracción está en el escalón alto de multas: 20 millones de euros o, para una empresa, el 4 % de su volumen de negocio total anual global. Las cifras van emparejadas: 10 millones con el 2 % y 20 millones con el 4 %, así que una opción que junta la cifra de un escalón con el porcentaje del otro no existe en el Reglamento.

• En el plazo de tres meses
• En el plazo de un mes
• En el plazo de seis meses
• En el plazo de dos meses

Si la autoridad competente no informa al interesado en tres meses sobre el curso o el resultado de su reclamación, este puede acudir a los tribunales contra ella, y también puede hacerlo si la autoridad no da curso a la reclamación. El plazo no es para resolver: basta con informar de cómo va la reclamación, y es el silencio durante esos tres meses lo que abre la vía judicial.

• Sí, y esperar además a que la autoridad resuelva la reclamación
• Sí, salvo que la empresa no tenga ningún establecimiento en la Unión
• No, pero si acude a los tribunales pierde el derecho a reclamar a la autoridad
• No: tiene derecho a la tutela judicial, sin perjuicio de su derecho a reclamar

La tutela judicial frente al responsable o el encargado se reconoce sin perjuicio de los recursos administrativos o extrajudiciales, incluida la reclamación ante una autoridad de control: son dos vías que el interesado tiene a la vez, y ni la una es requisito de la otra ni elegir una le quita la otra. Tampoco tiene que esperar a que la autoridad resuelva: la vía judicial contra la empresa no depende de la reclamación.

• El tiempo transcurrido desde que se cometió la infracción
• La adhesión a códigos de conducta o a mecanismos de certificación
• Que la infracción se haya difundido en los medios de comunicación
• Que el interesado haya reclamado antes ante el responsable

La lista del art. 83.2 nombra la adhesión a códigos de conducta del art. 40 o a mecanismos de certificación aprobados con arreglo al art. 42 (letra j), junto a otras como la intencionalidad o negligencia, las infracciones anteriores o el grado de cooperación con la autoridad. Las otras tres no figuran en ella: el tiempo transcurrido desde la infracción no es su duración, que sí está en la letra a), y la lista no menciona ni la difusión de la infracción ni que el interesado reclamara antes al responsable. La letra k) deja abierta la puerta a «cualquier otro factor agravante o atenuante», pero lo que se pregunta es lo que el artículo nombra.