GDPR – Multas / Sanciones

Las autoridades nacionales pueden o deben imponer multas por violaciones específicas de la protección de datos de acuerdo con el Reglamento General de Protección de Datos. Las multas se aplican además de o en lugar de otros remedios o poderes correctivos, como la orden de poner fin a una violación, una instrucción para ajustar el procesamiento de datos para cumplir con el RGPD, así como el poder de imponer una limitación temporal o definitiva, incluyendo una prohibición del procesamiento de datos. Para las disposiciones que se refieren a los encargados del tratamiento, él puede estar sujeto a sanciones directamente y/o en conjunto con el responsable del tratamiento.

Las multas deben ser efectivas, proporcionales y disuasorias para cada caso individual. Para la decisión de si se puede evaluar una multa y el nivel de la misma, las autoridades tienen un catálogo de criterios estatutario que deben considerar para su decisión. Entre otras cosas, la infracción intencional, la falta de medidas para mitigar el daño ocurrido o la falta de colaboración con las autoridades pueden aumentar las sanciones. Para las violaciones especialmente graves, enumeradas en el Art. 83(5) del RGPD, el marco de multas puede ser de hasta 20 millones de euros, o en el caso de una empresa, hasta el 4% de su facturación global total del ejercicio fiscal anterior, lo que sea más alto. Pero incluso el catálogo de violaciones menos graves en el Art. 83(4) del RGPD establece multas de hasta 10 millones de euros, o, en el caso de una empresa, hasta el 2% de su facturación global total del ejercicio fiscal anterior, lo que sea más alto. Especialmente importante aquí es que el término «empresa» es equivalente al utilizado en los Art. 101 y 102 del Tratado de Funcionamiento de la Unión Europea (TFUE). Según la jurisprudencia del Tribunal de Justicia de la Unión Europea, «el concepto de empresa abarca toda entidad que realice una actividad económica, independientemente del estatus legal de la entidad o de la forma en que se financie». Una empresa puede, por lo tanto, no solo consistir en una sola compañía en el sentido de una persona jurídica, sino también en varias personas naturales o entidades corporativas. Así, un grupo completo puede ser tratado como una sola empresa y su facturación anual total mundial puede ser utilizada para calcular la multa por una infracción del RGPD de una de sus compañías. Además, cada Estado miembro establecerá normas sobre otras sanciones por infracciones del Reglamento que no estén ya cubiertas por el Art. 83. Estas son, con toda probabilidad, sanciones penales por ciertas violaciones del RGPD o sanciones por infracciones de normas nacionales que fueron adoptadas basadas en cláusulas de flexibilidad del RGPD. Las sanciones nacionales también deben ser efectivas, proporcionales y actuar como un elemento disuasorio.

Una situación sancionable en una empresa puede ser revelada a través de actividades de inspección proactivas llevadas a cabo por las autoridades de protección de datos, por un empleado insatisfecho o por clientes o potenciales clientes que se quejan ante las autoridades, mediante la autodenuncia de la empresa, o por la prensa en general, especialmente a través del periodismo de investigación.

El Enforcement Tracker ofrece una visión general de las multas y sanciones reportadas que las autoridades de protección de datos dentro de la UE han impuesto hasta ahora.