Ana Isabel Caballero Ferrer - HispaColex
España primer país en Europa en imposición de multas por protección de datos
En este artículo analizamos la potestad sancionadora de la Agencia Española de Protección de Datos (AEPD), las multas impuestas por el organismo de control durante el primer semestre del 2022, materias sancionadas y las causas de infracción más comunes.
La entrada en vigor del Reglamento Europeo de Protección de Datos (RGPD) 2016/679 27 de abril de 2016, que comenzó a aplicarse el 25 de mayo de 2018 supuso una auténtica revolución no solo en aspectos tan importantes como el nacimiento y regulación normativa de nuevos derechos del interesado (entre ellos, el más conocido el del derecho al olvido), sino también en cuanto al régimen de sanciones previsto y las autoridades de control permitidas a cada uno de los estados miembros para imponer sanciones.
Lo más llamativo es que, según la gravedad de la sanción, el novedoso RGPD imponía multas de hasta 20 millones de euros o 4% de la facturación global por el incumplimiento de la normativa en materia de protección de datos.
Pero no debemos dejar pasar por alto que también nuestra LO 3/2018 de 5 de diciembre de Protección de Datos Personales y garantía de derechos digitales (LOGPDGDD) regula en su título X el régimen sancionador, distribuyendo las sanciones en leves, graves y muy graves y baremando el importe de las multas.
En España, la autoridad de control que tiene encomendada la potestad sancionadora es la Agencia Española de Protección de Datos. Para conocer las otras funciones que tiene encomendadas la AEPD nos remitimos a los artículos 57 y 58 RGPD y al artículo 47 de la Ley Orgánica 3/2018 de 5 de diciembre (LOGPGDD).
Las empresas olvidan o subestiman la importancia de llevar al día un estricto cumplimiento de todo lo relacionado con la protección de los datos personales que se manejan, pero los datos publicados por la propia AEPD en el primer semestre del año 2022 son bastante elocuentes: La AEPD ha impuesto multas de casi 20,5 millones de euros en lo que va de año hasta Junio 2022, frente a los poco más de 35 millones de multas del año 2021 (según la memoria anual de 2021 publicada por la AEPD). Es decir, que si siguen las cifras, a finales de 2022 habremos superado los 41 millones de euros en sanciones.
Y lo alarmante y llamativo es que la cifra va in crescendo año tras año. Parece contradictorio que 4 años después de su comienzo de aplicación por los estados miembros allá por mayo de 2018, cada año aumenten las sanciones cuando la tendencia debería ser a la inversa en atención al grado de mayor conocimiento que deberían tener las empresas y particulares sobre la legislación en materia de protección de datos. Ello no deja resquicio ni duda alguna: Cada vez se hace más necesario para empresas y particulares contar no solo con un asesoramiento especializado en protección de datos sino además contar con labores de prevención que eviten procedimientos sancionadores que culminen con la imposición de sanciones de hasta el 20% de la facturación anual.
Hasta ahora, la sanción más elevada de este año ha sido impuesta a Google Spain en mayo de 2022 por la escalofriante cifra de 10 millones de euros por incumplimiento del derecho al olvido. Un derecho que, precisamente, nació a raíz de la lucha de un ciudadano español contra Google y que culminó en la sentencia dictada por el TJUE el 15 de mayo de 2014, dictada en Luxemburgo el 13 de mayo de 2014, en el asunto Google Spain, S.L., Google Inc. / Agencia Española de Protección de Datos, Mario Costeja González.
Países más sancionadores.
España ostentó en el 2021 el dudoso honor de encabezar el listado de países que más sanciones impuso (180) seguido de Italia (69), Rumanía (22) hasta descender a las 7 sanciones impuestas por Irlanda.
316 sanciones es la cifra de multas impuestas por la AEPD entre mayo de 2018 y 2021, la cantidad más alta en todo el territorio europeo. Así se desprende de los datos registrados en la plataforma Enforcement Tracker . Tras España sigue Italia con 97 multas, y Rumania con 66.
Sin embargo, la cantidad de sanciones no es proporcional al volumen de recaudación. Encabeza la lista en cuanto a ingresos Luxemburgo quien, con sólo 15 sanciones ingresó solo con la sanción de 746 millones de euros impuesta a Amazon el pasado mes de julio. Irlanda e Italia cierran este podio.
Procedimientos incoados.
Las denuncias interpuestas ante la AEPD han dado lugar a la incoación de un total de 175 procedimientos, de los cuales el 62% han derivado en sanciones, un 31% en simples apercibimientos y un escaso 7% en archivo. Destacar que comienzan a estimarse, por primera vez, recursos de reposición contra resoluciones de la AEPD imponiendo sanciones.
Sectores y materias más sancionadas.
Encabeza la lista el suministro de servicios de internet, seguido de contratación fraudulenta, asuntos laborales, entidades financieras, publicaciones a través de email o móvil, sector de videovigilancia, suministros energéticos y de agua, telecomunicaciones, comunidades de propietarios, comercios y hostelería y Sanidad.
Causas de infracción más comunes
El 41% de las infracciones tiene su origen en el incumplimiento del principio de minimización de datos pues dejan de ser adecuados, pertinentes y limitados a la finalidad del tratamiento (art. 5.1 c el RGPD), el 37% de las infracciones provienen de un tratamiento ilícito de los datos personales (Art. 6 RGPD), el 28% trae su causa en la deficiente información facilitada al interesado sobre el tratamiento de sus datos (Art.13 RGPD), el 14% proviene del incumplimiento de los principios de integridad y confidencialidad (art. 5.1 f), y el 9% de brechas de seguridad (Art. 32 RGPD).
Para resolver cualquier duda al respecto o cualquier otra cuestión relativas a la Protección de Datos, puedes contactar con nuestro equipo de abogados especializados, o si prefieres, ven a visitarnos a nuestras oficinas de Granada, Málaga o Jaén. Estaremos encantados de ayudarte a resolver cualquier pregunta que nos plantees.
Otras publicaciones de HispaColex que te pueden interesar:
- El Metaverso: implicaciones jurídicas del Derecho de Marcas y de Protección de Datos
- La protección de datos ante la nueva generación de juguetes “Smart Toys”
- Las reclamaciones por responsabilidad civil y la preservación de la protección de datos
Si tiene dudas sobre como aplicar este artículo a su caso, puede realizarnos una consulta a través de nuestro formulario