El régimen sancionador de la protección de datos

• No disponer del registro de actividades de tratamiento
• Tratar datos vulnerando los principios del art. 5 del RGPD
• Tratar datos sin la evaluación de impacto que era exigible
• Usar un sello de protección de datos que ya ha caducado

Prescriben a los tres años las muy graves, y la primera de su lista es tratar datos vulnerando los principios y garantías del art. 5 del RGPD. No tener el registro de actividades, tratar sin la evaluación de impacto exigible y usar un sello caducado son graves, y prescriben a los dos años.

• El impedimento, la obstaculización o la no atención reiterada de esos derechos
• La falta de atención de una solicitud presentada por un menor de edad
• La falta de respuesta a una solicitud pasado un mes desde su recepción
• La falta de atención de una solicitud sobre categorías especiales de datos

El art. 72.1.k), entre las muy graves, recoge el impedimento, la obstaculización o la no atención reiterada de esos derechos; dejar sin atender una solicitud aislada se queda en leve (art. 74.c). El mes para responder es un plazo del RGPD, y ni la edad de quien pide ni la clase de datos cambian el grado de esta conducta.

• En un año
• En dos años
• En tres años
• En cuatro años

300.000 euros es el techo del tramo intermedio, que va desde 40.001 euros y prescribe a los dos años; el plazo de tres años es para las sanciones que superan esa cifra. Cuatro años no es un plazo de prescripción de sanciones en esta ley.

• Infracción grave, que prescribe a los dos años
• Infracción muy grave, que prescribe a los tres años
• Infracción grave, que prescribe a los tres años
• Infracción leve, que prescribe al año

Aquí se informó, aunque de forma incompleta, y eso la ley lo califica de leve. Lo que lleva a las muy graves es omitir el deber de informar. La opción que dice «grave, a los tres años» junta un grado con el plazo de otro: las graves prescriben a los dos.

• Desde el día siguiente a aquel en que se cometió la infracción sancionada
• Desde que se notifica al interesado la resolución que le impone la sanción, aunque la recurra
• Desde que la sentencia del contencioso-administrativo adquiere firmeza
• Desde el día siguiente a que la resolución sea ejecutable o venza el plazo para recurrirla

El plazo de la sanción empieza cuando ya se puede ejecutar: al día siguiente de que la resolución sea ejecutable o de que pase el plazo para recurrirla. La notificación no basta, y no hay que esperar a una sentencia. El día de la infracción es lo que cuenta para prescribir la infracción, no la sanción.

• Interponer un recurso de reposición contra la resolución sancionadora
• Iniciar el procedimiento sancionador con conocimiento del interesado
• Publicar la resolución sancionadora en la web de la Agencia
• Iniciar el procedimiento de ejecución con conocimiento del interesado

Lo que corta el plazo de una sanción es abrir su ejecución con conocimiento del interesado. Cuando hay sanción impuesta, el procedimiento sancionador ya ha terminado, así que su inicio no cuenta aquí. Recurrir la resolución tampoco lo interrumpe: el plazo empieza cuando la resolución es ejecutable o vence el plazo para recurrirla, y solo lo corta el procedimiento de ejecución. Publicarla en la web de la Agencia no le afecta.

• A los partidos políticos con representación parlamentaria
• A las empresas concesionarias de un servicio público
• A los sindicatos y a las organizaciones empresariales
• A los grupos políticos de las Corporaciones Locales

La lista del art. 77 recoge los grupos parlamentarios de las Cortes y de las asambleas autonómicas y los grupos políticos de las corporaciones locales, no los partidos políticos, que son otra cosa. Tampoco están las concesionarias, que son empresas privadas aunque gestionen un servicio público, ni los sindicatos o las organizaciones empresariales.

• Propone iniciar actuaciones disciplinarias, con su propio régimen
• Impone ella misma la sanción disciplinaria al empleado responsable
• Remite las actuaciones al Ministerio Fiscal para su examen
• Multa personalmente a la persona titular del órgano que infringió

La autoridad de protección de datos no tiene potestad disciplinaria sobre el personal de esas entidades: propone que se abran las actuaciones, y el procedimiento y las sanciones son los de la legislación disciplinaria o sancionadora que corresponda. La ley no la manda al Ministerio Fiscal ni le permite multar al titular del órgano.

• En lugar de la multa, pero nunca junto a ella
• Junto a la multa o en lugar de ella
• Junto a la multa, pero nunca en su lugar
• Cuando la multa ya ha sido pagada

La ley permite adoptar las demás medidas correctivas «complementaria o alternativamente», cuando proceda: acompañando a la multa o en vez de ella. Limitarlas a uno de los dos usos deja fuera la mitad de lo que la ley permite, y no dependen de que la multa se haya pagado.