Los recursos, la indemnización y las multas del Reglamento

• El tiempo transcurrido desde que se cometió la infracción
• La adhesión a códigos de conducta o a mecanismos de certificación
• Que la infracción se haya difundido en los medios de comunicación
• Que el interesado haya reclamado antes ante el responsable

La lista del art. 83.2 nombra la adhesión a códigos de conducta del art. 40 o a mecanismos de certificación aprobados con arreglo al art. 42 (letra j), junto a otras como la intencionalidad o negligencia, las infracciones anteriores o el grado de cooperación con la autoridad. Las otras tres no figuran en ella: el tiempo transcurrido desde la infracción no es su duración, que sí está en la letra a), y la lista no menciona ni la difusión de la infracción ni que el interesado reclamara antes al responsable. La letra k) deja abierta la puerta a «cualquier otro factor agravante o atenuante», pero lo que se pregunta es lo que el artículo nombra.

• No: ese derecho es de los interesados, y un interesado es siempre una persona física
• No: contra la autoridad de control solo cabe recurrir ante el Comité Europeo de Protección de Datos
• Sí: lo tiene toda persona física o jurídica frente a una decisión vinculante que le concierna
• Sí, pero solo si la decisión le impone una multa administrativa y no otra medida

La tutela frente a la autoridad de control no es solo del interesado: la tiene toda persona física o jurídica a la que concierna una decisión jurídicamente vinculante, así que también el responsable o el encargado al que se dirige. No se limita a las multas, y el Comité no es una instancia de recurso frente a las autoridades nacionales: las acciones van a los tribunales.

• Que el responsable sea una autoridad pública que actúe en ejercicio de sus poderes públicos
• Que el interesado haya presentado antes una reclamación ante una autoridad de control
• Que el responsable tenga su establecimiento principal fuera de la Unión Europea
• Que la demanda pida una indemnización por daños y perjuicios de carácter inmaterial

La regla son los tribunales del Estado en el que el responsable o el encargado tenga un establecimiento, y la alternativa, los de la residencia habitual del interesado. Esa alternativa se cierra cuando el demandado es una autoridad pública de un Estado miembro que ejerce sus poderes públicos. Haber reclamado antes no la cierra, y una demanda de indemnización va a los mismos tribunales que las demás acciones contra el responsable.

• Cada uno, de la parte del daño que corresponda a su responsabilidad
• Cada uno, de todos los daños y perjuicios causados
• Por partes iguales, sea cual sea el grado de responsabilidad de cada uno
• Primero el que tenga más medios, y el otro solo de lo que quede por pagar

Para garantizar al interesado una indemnización efectiva, cada responsable o encargado que haya participado en la operación y sea responsable del daño responde de todo frente a él: no tiene que repartir su reclamación. El reparto según la parte de cada uno llega después, entre ellos: quien pague la indemnización entera puede reclamar a los demás la parte que les corresponda.

• En el plazo de tres meses
• En el plazo de un mes
• En el plazo de seis meses
• En el plazo de dos meses

Si la autoridad competente no informa al interesado en tres meses sobre el curso o el resultado de su reclamación, este puede acudir a los tribunales contra ella, y también puede hacerlo si la autoridad no da curso a la reclamación. El plazo no es para resolver: basta con informar de cómo va la reclamación, y es el silencio durante esos tres meses lo que abre la vía judicial.

• Ante los del Estado miembro de la residencia habitual del interesado
• Ante el Tribunal de Justicia de la Unión Europea, en única instancia
• Ante los del Estado miembro en que esté establecida la autoridad
• Ante los del Estado miembro del establecimiento principal del responsable

Una autoridad de control solo responde ante los tribunales de su propio Estado, el de su establecimiento: un tribunal de otro país no revisa las decisiones de una autoridad que no es la suya. Ni la residencia del interesado ni el establecimiento del responsable cambian ese fuero, y el Tribunal de Justicia no conoce en primera instancia de estas acciones.

• La suma de las cuantías máximas de cada una de las infracciones
• El doble de la cuantía prevista para la más grave de las infracciones
• No puede superar la cuantía prevista para las infracciones más graves
• La prevista para la más grave, incrementada en la mitad de las demás

Cuando varias infracciones, intencionadas o negligentes, recaen sobre las mismas operaciones de tratamiento o sobre operaciones vinculadas, las multas no se suman: el total no puede pasar de la cuantía prevista para las infracciones más graves. Ni la suma, ni el doble, ni un incremento: el techo es el de la más grave.

• No designar un delegado de protección de datos estando obligada a ello
• No atender las solicitudes de los interesados que ejercen sus derechos
• Transferir datos a un tercer país sin las garantías del Reglamento
• Negarse a dar a la autoridad de control el acceso que pide al investigar

El escalón bajo (art. 83.4) recoge las obligaciones del responsable y del encargado de los arts. 25 a 39, y la de designar un delegado es la del art. 37. Desatender los derechos de los interesados, transferir datos a un tercer país sin garantías y negarle a la autoridad de control el acceso que pide están en el escalón alto (art. 83.5). Que el delegado sea una pieza importante no lo sube de escalón.

• Siempre que haya participado en la operación de tratamiento, igual que el responsable
• Nunca: frente al perjudicado responde únicamente el responsable que le hizo el encargo
• Solo cuando el responsable no pueda pagar la indemnización entera al perjudicado
• Si incumplió sus obligaciones propias o se apartó de las instrucciones legales del responsable

El responsable que participa en el tratamiento responde de los daños si la operación incumple el Reglamento; el encargado, solo en dos casos: si no cumplió las obligaciones que el Reglamento dirige específicamente a los encargados o si actuó al margen o en contra de las instrucciones legales del responsable. Participar en la operación basta para el responsable, no para el encargado, y su responsabilidad no es subsidiaria de la del responsable.