«Algunas reflexiones acerca del régimen sancionador en el nuevo reglamento europeo de protección de datos», artículo de Isaac Pastor, asociado de ECIJA, para The Law Clinic.
Mucho se ha hablado hasta ahora de las principales novedades que traerá consigo la reciente aprobación del Reglamento Europeo de Protección de Datos, si bien, todavía el mismo plantea numerosos interrogantes, entre ellos, el referido a la aplicación del régimen sancionador en el ámbito de la administración pública.
La vigente normativa de protección de datos en España, cuenta con un régimen sancionador que ha sido duramente criticado, por ser uno de los más exigentes a nivel europeo, debido a la elevada cuantía de las sanciones económicas que el mismo plantea.
De esta manera, cuando una persona, empresa o entidad privada comete una infracción, la misma puede llevar aparejada una sanción económica que podría llegar incluso hasta los seiscientos mil euros.
Si bien, como ha puesto de manifiesto recientemente la Directora de la Agencia Española de protección de Datos en la 8º sesión anual abierta celebrada hace escasas semanas, el número total de sanciones impuestas o de dinero recaudado a través de dichas sanciones, ha disminuido considerablemente.
Ello, sin duda es debido, por un lado, a la introducción en el régimen sancionador de la normativa, de la figura del apercibimiento (La Ley 2/2011, de 4 de marzo, introdujo en el art. 45.6 LOPD la posibilidad de la autoridad de control de sustituir la sanción por un apercibimiento al sujeto responsable –con el consiguiente archivo- cuando los hechos fueran constitutivos de infracción leve o grave siempre que exista una concurrencia significativa de elementos atenuantes y el infractor no hubiera sido sancionado con anterioridad, una posibilidad que no contemplaba hasta ese momento la legislación española), y también debido a que los sectores más sancionados a lo largo de los últimos años como telecomunicaciones, entidades financieras, etc, están implantando protocolos internos y reforzando su nivel de cumplimiento.
Por el contrario, la infracción de la normativa por parte de una administración pública en España, tiene como consecuencia una Resolución de la Directora de la Agencia de Protección de Datos que declara la infracción cometida, el establecimiento de medidas para que cesen o se corrijan los efectos de la infracción, y la propuesta, en su caso, de inicio de actuaciones disciplinarias, que se rigen por el régimen disciplinario de las Administraciones Públicas, pero en ningún caso la imposición de sanciones económicas a la propia administración infractora.
En la práctica, esto puede suponer un agravio comparativo, puesto que para las empresas privadas, una sanción económica podría poner en riesgo incluso la propia continuidad de la actividad empresarial, y supone que las mismas tengan que realizar esfuerzos e invertir en medios para lograr el cumplimiento de la normativa y evitar la imposición de este tipo de sanciones, mientras que en las Administraciones Públicas, puede parecer que existe una cierta dejadez respecto al cumplimiento de la normativa, y puede que sea más costoso concienciar al personal que presta sus servicios en la administración respecto al cumplimiento de la misma, ya que, más allá del posible daño reputacional o político que puede ocasionar al aparecer la infracción cometida en los medios de comunicación, la infracción de la normativa no conllevará nunca la imposición de sanción económica alguna.
Pues bien, este régimen sancionador se verá modificado mediante la reciente aprobación del Reglamento Europeo de Protección de Datos, que entrará en vigor en Mayo de 2018.
El mencionado Reglamento establece un régimen sancionador con sanciones económicas auténticamente disuasorias, pudiendo alcanzar incluso el 4% del volumen anual de facturación de una compañía o los 20 millones de euros en los casos más graves.
Dicho Reglamento Europeo de Protección de Datos, en su Artículo 83, referente a las condiciones generales para la imposición de multas administrativas, establece en su apartado séptimo que “sin perjuicio de los poderes correctivos de las autoridades de control, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”.
Por tanto, corresponderá a cada Estado miembro de la Unión, la decisión acerca de si podrá sancionar económicamente o no a las administraciones públicas.
Esta cuestión fue planteada en la 8º sesión anual de la Agencia Española de Protección de Datos, si bien la misma no se pronunció de forma clara e indicó que la respuesta en uno u otro sentido, debe ser decidida a nivel interno cuando corresponda.
No parece muy probable que ante la actual situación de crisis económica y la falta de recursos públicos en todas las instituciones, en España se abogue por la opción de sancionar económicamente a las Administraciones Públicas, máxime cuando el Reglamento ha optado por otras vías para reforzar el cumplimiento de la nueva norma, por ejemplo, mediante la obligatoriedad de contar con un Delegado de Protección de Datos que asesore a la administración pública en el cumplimiento de sus obligaciones, y que por tanto, a través de éste, se refuerce y mejore su nivel de cumplimiento con respecto a su situación actual.
En definitiva, habrá que esperar un tiempo para ver cómo se transpone este aspecto del Reglamento Europeo en España y en el resto de países miembros, si bien, a la hora de tomar la decisión, habría que tener en cuenta que son las entidades privadas, las que en última instancia tratan de obtener un beneficio económico derivado del tratamiento de datos personales (se ha llegado a afirmar que los datos personales son el petróleo del Siglo XXI), a diferencia de las Administraciones Públicas, donde las infracciones cometidas no son consecuencia de un interés económico, sino más bien de una deficiente gestión de los datos personales que las mismas manejan o en muchas ocasiones, como por ejemplo, en el ámbito de la administración de justicia, de una evidente falta de medios materiales y personales, y por tanto, la introducción de nuevas figuras como el Delegado de Protección de Datos pueden ser acertados, de cara sobre todo, a que en el ciudadano no se produzca una sensación de indefensión y de impunidad respecto al tratamiento de sus datos en el ámbito de la administración pública, sin olvidar que el Reglamento Europeo, al igual que establece la vigente normativa española, establece la posibilidad de solicitar una indemnización por los daños y perjuicios sufridos como consecuencia del tratamiento de nuestros datos personales.