Las sanciones del Reglamento general de protección de datos han sido una de las razones por las que muchas empresas se tomaron en serio el cumplimiento. Las cifras máximas son muy altas, pero conviene entender cómo se aplican y qué factores pesan en cada caso.
Las cifras
El artículo 83.5 del Reglamento permite imponer multas administrativas de hasta 20.000.000 de euros como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.
Ese escalón se reserva a las infracciones más graves. Incluye los principios básicos del tratamiento y las condiciones del consentimiento, los derechos de los interesados de los artículos 12 a 22 y las transferencias de datos a terceros países.
Un régimen proporcional
Las cifras máximas no son las que se aplican de manera general. La autoridad debe garantizar que cada multa sea efectiva, proporcionada y disuasoria, y valorar las circunstancias de cada caso. Las sanciones a pymes por incumplimientos comunes suelen moverse en cuantías muy inferiores.
Entre los factores que influyen están la naturaleza, gravedad y duración de la infracción, el número de afectados, la intencionalidad o negligencia, las medidas adoptadas para paliar los daños y el grado de cooperación con la autoridad.
Qué infracciones suelen sancionarse
En la práctica, los expedientes más frecuentes en pequeñas empresas se refieren a:
- Falta de base jurídica o de consentimiento válido en el tratamiento.
- Incumplimiento del deber de información en recogida de datos.
- Videovigilancia sin cartel o con captación excesiva.
- Falta de respuesta a solicitudes de derechos.
- Envío de comunicaciones comerciales sin consentimiento.
Cómo reducir el riesgo
Un programa básico de cumplimiento reduce de forma notable la exposición. Incluye el registro de actividades, las cláusulas informativas, los contratos con encargados, un protocolo para los derechos de los interesados, un procedimiento para brechas y formación periódica a los empleados.
Documentar el cumplimiento es esencial. En un procedimiento sancionador, demostrar que se tenía un sistema, aunque imperfecto, suele influir en la graduación.
Qué hacer si llega un requerimiento
Responda siempre dentro de plazo, con documentación y con un interlocutor claro. Colaborar con la autoridad y corregir los defectos detectados puede reducir las consecuencias. Consulte con un asesor antes de contestar.
La mejor inversión es prevenir.
Este asunto se incluye en el servicio de protección de datos y compliance.
Carlos Babot Horcajadas
Abogado colegiado en Málaga, nº 10.971. Socio de Babot Aranguren Abogados. Más sobre el autor.