Aproximación al nuevo régimen sancionador del Reglamento General de protección de datos a partir del 25 de mayo.

El próximo 25 de mayo de 2018 entrará en vigor el Reglamento (UE) 2016/679 de 27 de Abr DOUE (Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y derogación de la Directiva 95/46/CE (Reglamento general de protección de datos)). En la entrada de esta semana respondemos a dos preguntas:

• ¿Qué nos encontraremos con la aplicación de su artículo 83, RGPD, en relación con la imposición de multas administrativas?
• ¿El art. 82, RGPD, abre la puerta a las indemnización por los daños y perjuicios sufridos?

Sin duda lo más llamativo del nuevo RGPD es la existencia de multas administrativas de hasta «20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía». Es decir, el volumen de negocio será un factor relevante para la imposición de sanciones a aplicar.

Igualmente, en mi opinión, resulta de gran interés la posibilidad de los afectados por un tratamiento ilícito de datos personales de exigir indemnizaciones por daños y perjuicios.

Artículo 83. Condiciones generales para la imposición de multas administrativas

• Cada autoridad de control garantizará que la imposición de las multas administrativas

La imposición de las multas administrativas con arreglo al artículo de análisis se fija en función del tipo de infracción cometida,  -siguiendo los criterios establecidos en losa   apartados 4, 5 y 6-  y su graduación en base a criterios como su naturaleza, gravedad, duración, intencionalidad, etc -siguiendo los criterios establecidos en el apartado 2-.

• Imposición de multas administrativas en función de las circunstancias de cada caso individual a título adicional o sustitutivo de otras medidas. Criterios de graduación

Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, -a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j)-. Para decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los siguientes parámetros:

• a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;

• b) la intencionalidad o negligencia en la infracción;

• c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;

• d) el grado de responsabilidad del responsable o del encargado del tratamiento. En este supuesto se tendrán en cuenta las medidas técnicas u organizativas aplicadaas aplicado en virtud de los artículos 25 y 32, RGPD.

• e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

• f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;

• g) las categorías de los datos de carácter personal afectados por la infracción;

• h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;

• i) cuando las medidas indicadas por cada autoridad de control -siguiendo el art. 58.2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;

• j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación -aprobados con arreglo al art. 42-, y

• k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.

• Incumplimiento de forma intencionada o negligente por parte del responsable o encargado del tratamiento de datos

Si un responsable o un encargado del tratamiento incumpliera de forma intencionada o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas, diversas disposiciones del Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía prevista para las infracciones más graves.

• Multas administrativas en relación a las infracciones 

-multas de 10 000 000 EUR o 2 % del volumen de negocio total anual en caso de empresas

Las infracciones de las disposiciones siguientes se sancionarán, en función de las circunstancias de cada caso individual, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

1. las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
2. las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
3. las obligaciones de la autoridad de control a tenor del artículo 41, apartado 4.

-multas de 20.000.000 EUR o 4 % del volumen de negocio total anual en caso de empresas

Las infracciones de las disposiciones siguientes se sancionarán, en función de las circunstancias de cada caso individual, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

1. los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
2. los derechos de los interesados a tenor de los artículos 12 a 22;
3. las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
4. toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
5. el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1.

 - multas por incumplimiento de las resoluciones de la autoridad de control

El incumplimiento de las resoluciones de la autoridad de control - establecidos en el art. 58.2-, se sancionará, en función de las circunstancias de cada caso individual, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

• Multas administrativas a autoridades y organismos públicos

Sin perjuicio de los poderes correctivos de las autoridades de control - establecidos en el art. 58.2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.

•  Garantías procesales adecuadas

El ejercicio por una autoridad de control de sus poderes en virtud del presente artículo estará sujeto a garantías procesales adecuadas de conformidad con el Derecho de la Unión y de los Estados miembros, entre ellas la tutela judicial efectiva y el respeto de las garantías procesales.

• Aplicación supletoria de las multas administrativas del RGPD

Cuando el ordenamiento jurídico de un Estado miembro no establezca multas administrativas, el presente artículo podrá aplicarse de tal modo que la incoación de la multa corresponda a la autoridad de control competente y su imposición a los tribunales nacionales competentes, garantizando al mismo tiempo que estas vías de derecho sean efectivas y tengan un efecto equivalente a las multas administrativas impuestas por las autoridades de control. En cualquier caso, las multas impuestas serán efectivas, proporcionadas y disuasorias. Los Estados miembros de que se trate notificarán a la Comisión las disposiciones legislativas que adopten en virtud del presente apartado a más tardar el 25 de mayo de 2018 y, sin dilación, cualquier ley de modificación o modificación posterior que les sea aplicable.

Artículo 82. Derecho a indemnización y responsabilidad

• Derecho a indemnización y responsabilidad

La norma europea es clara «Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del Reglamento general de protección de datos tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos». O dicho de otro modo, cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por el Reglamento.

A este respecto se matiza:

1. El responsable o encargado del tratamiento estará exento de responsabilidad  si demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios.
2. Cuando más de un responsable o encargado del tratamiento, o un responsable y un encargado hayan participado en la misma operación de tratamiento y sean, con arreglo a la normativa, responsables de cualquier daño o perjuicio causado por dicho tratamiento, cada responsable o encargado será considerado responsable de todos los daños y perjuicios, a fin de garantizar la indemnización efectiva del interesado.
3. Cuando, un responsable o encargado del tratamiento haya pagado una indemnización total por el perjuicio ocasionado, dicho responsable o encargado tendrá derecho a reclamar a los demás responsables o encargados que hayan participado en esa misma operación de tratamiento la parte de la indemnización correspondiente a su parte de responsabilidad por los daños y perjuicios causados.