El régimen sancionador de la protección de datos

El plazo de la sanción empieza cuando ya se puede ejecutar: al día siguiente de que la resolución sea ejecutable o de que pase el plazo para recurrirla. La notificación no basta, y no hay que esperar a una sentencia. El día de la infracción es lo que cuenta para prescribir la infracción, no la sanción.

Lo que corta el plazo de una sanción es abrir su ejecución con conocimiento del interesado. Cuando hay sanción impuesta, el procedimiento sancionador ya ha terminado, así que su inicio no cuenta aquí. Recurrir la resolución tampoco lo interrumpe: el plazo empieza cuando la resolución es ejecutable o vence el plazo para recurrirla, y solo lo corta el procedimiento de ejecución. Publicarla en la web de la Agencia no le afecta.

La lista del art. 77 recoge los grupos parlamentarios de las Cortes y de las asambleas autonómicas y los grupos políticos de las corporaciones locales, no los partidos políticos, que son otra cosa. Tampoco están las concesionarias, que son empresas privadas aunque gestionen un servicio público, ni los sindicatos o las organizaciones empresariales.

La autoridad de protección de datos no tiene potestad disciplinaria sobre el personal de esas entidades: propone que se abran las actuaciones, y el procedimiento y las sanciones son los de la legislación disciplinaria o sancionadora que corresponda. La ley no la manda al Ministerio Fiscal ni le permite multar al titular del órgano.

La ley permite adoptar las demás medidas correctivas «complementaria o alternativamente», cuando proceda: acompañando a la multa o en vez de ella. Limitarlas a uno de los dos usos deja fuera la mitad de lo que la ley permite, y no dependen de que la multa se haya pagado.

La Agencia publica esas resoluciones en su web, separadas de las demás y con indicación expresa de la identidad del responsable o del encargado que infringió. Si la competente es una autoridad autonómica, se está a su normativa.

Hacen falta las tres condiciones a la vez: que sancione la Agencia Española de Protección de Datos, que la sanción supere el millón de euros y que el infractor sea una persona jurídica. A una persona física no se la publica así, y el grado de la infracción no es lo que cuenta. Si sanciona una autoridad autonómica, se está a su normativa.

El art. 70 somete al régimen sancionador a los responsables y encargados, a los representantes de los no establecidos en la Unión Europea, a las entidades de certificación y a las de supervisión de códigos de conducta. Al delegado lo excluye de forma expresa: de lo que pasa en el tratamiento responden el responsable o el encargado, no quien les asesora.

La ley llama leves a las restantes infracciones «de carácter meramente formal», frente a las graves y las muy graves, que suponen una vulneración sustancial de los preceptos del RGPD. El criterio es la naturaleza del incumplimiento: no el daño causado, ni quién lo comete (la lista de leves incluye conductas del responsable y del encargado), ni que sea la primera vez.

Lo que corta el plazo de la infracción es abrir el procedimiento sancionador y que el interesado lo sepa. Iniciar una ejecución no puede ser: antes de resolver el sancionador no hay sanción que ejecutar. La admisión a trámite y las actuaciones previas de investigación son anteriores al procedimiento, y la ley no les da ese efecto.

Las sanciones prescriben por tramos de importe: cuanto más alta, más plazo. Es la diferencia con las infracciones, que prescriben según su grado. Da igual qué autoridad sancione o si el infractor es una persona física o jurídica.

A las entidades del art. 77, entre ellas las que integran la Administración Local, no se las multa: la autoridad declara la infracción y puede ordenar medidas para que cese la conducta o se corrijan sus efectos, cualquiera de las del art. 58.2 del RGPD salvo la de su letra i), que es la multa. Tampoco se archiva: la infracción se declara y la resolución se notifica.

Entre las circunstancias que añade la ley está la posibilidad de que la conducta del propio afectado hubiera podido inducir a cometer la infracción. Acudir antes al delegado es una vía que el afectado puede usar o no, y retirar la reclamación o difundir los hechos no figuran en la lista.

La interrupción no es para siempre: con el expediente parado más de seis meses por causas que no dependen del presunto infractor, el plazo vuelve a empezar. Si la parálisis sí le es imputable, no se reinicia. Ni un mes ni tres bastan, y la ley no espera a un año.

Donde el RGPD admite el canon, la infracción está en cobrar de más: la ley la tipifica si la cuantía excede el importe de los costes afrontados para facilitar la información o hacer lo pedido. El canon no necesita autorización previa de la autoridad, y cobrarlo más de una vez no es, por sí solo, lo que la ley castiga. Exigir un canon fuera de esos casos es otra infracción, y más grave.

La ley añade un control propio del ámbito público: comunicar lo actuado al Defensor del Pueblo o a la institución análoga de la comunidad autónoma. El Tribunal de Cuentas fiscaliza las cuentas, y la ley no prevé dar cuenta de estas resoluciones ni a los parlamentos ni al Ministerio Fiscal.

Las corporaciones de Derecho público, como los colegios profesionales, están en la lista, pero solo cuando la finalidad del tratamiento se relaciona con el ejercicio de potestades de derecho público. Ofrecer un seguro a los colegiados no lo es, así que en ese tratamiento el colegio responde como cualquier otro responsable. El ámbito territorial del colegio no importa.

Es la primera de la lista de graves. Tienta la muy grave, porque la ley califica así incumplir los requisitos de validez del consentimiento del art. 7 del RGPD; pero el consentimiento del menor, que regula el art. 8, tiene su sitio propio entre las graves. La última opción junta un grado con el plazo de otro: las muy graves prescriben a los tres años.

Notificar mal también es infracción, aunque menor que no notificar: la ley tipifica la notificación incompleta, tardía o defectuosa y la califica de leve (art. 74.m), frente a la grave de no notificar (art. 73.r). No exige avisar a los afectados antes que a la autoridad, ni un informe del delegado, ni esperar a cerrar una investigación interna: esperar es justo lo que haría tardía la notificación.