Protección de datos: por qué a una Administración no se la multa

Cuando quien infringe la normativa de protección de datos es una Administración Pública, la Agencia Española de Protección de Datos no le impone una multa. Dicta una resolución que declara la infracción y, en su caso, establece las medidas para que la conducta cese o se corrijan sus efectos. Lo dice el artículo 77 de la Ley Orgánica 3/2018 (LOPDGDD), y desde el 10 de mayo de 2023 lo dice con palabras distintas a las que todavía llevan muchos temarios.

Los expedientes de una Administración están llenos de datos personales. Cuando se tratan mal, la consecuencia no es una multa. Foto de Beatriz Pérez Moya, CC0 en Wikimedia Commons.

Quién entra en el régimen especial

El apartado 1 del artículo 77 no dice «las Administraciones Públicas»: enumera once categorías, y la lista se pregunta tal cual. Son los órganos constitucionales o con relevancia constitucional y las instituciones autonómicas análogas; los órganos jurisdiccionales; la Administración General del Estado, las de las comunidades autónomas y las entidades que integran la Administración Local; los organismos públicos y entidades de Derecho público vinculadas o dependientes de ellas; las autoridades administrativas independientes; el Banco de España; las corporaciones de Derecho público; las fundaciones del sector público; las universidades públicas; los consorcios; y los grupos parlamentarios de las Cortes Generales y de las asambleas legislativas autonómicas, junto con los grupos políticos de las corporaciones locales.

Fíjate en las dos letras que no son automáticas. Las corporaciones de Derecho público —un colegio profesional, una cámara de comercio— entran solo «cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público»; por los demás tratamientos responden como cualquier otro sujeto. Y los grupos parlamentarios y los grupos políticos municipales están dentro, lo que sorprende a quien esperaba una lista de administraciones y encontró partidos.

Qué se le hace, entonces

El apartado 2 se activa cuando esos sujetos cometen «alguna de las infracciones a las que se refieren los artículos 72 a 74», es decir, cualquiera de las tres categorías: muy graves, graves o leves. La autoridad competente «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679».

Esa excepción es la clave, y conviene saber qué hay detrás del número: el artículo 58.2.i) del Reglamento general de protección de datos es el poder de «imponer una multa administrativa con arreglo al artículo 83». Las demás letras de ese apartado siguen disponibles —ordenar que el tratamiento se ajuste al Reglamento, limitarlo o prohibirlo, ordenar la rectificación o la supresión, suspender los flujos de datos hacia un tercer país—. La única que se cae es la multa.

España pudo hacerlo porque el propio Reglamento se lo permite: su artículo 83.7 deja a cada Estado miembro decidir «si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos» establecidos en su territorio. Donde a una empresa pueden caerle hasta 20.000.000 de euros o el 4 % del volumen de negocio total anual global, a un ministerio no le cae ninguna.

La resolución se notifica a tres destinatarios: al responsable o encargado del tratamiento, «al órgano del que dependa jerárquicamente, en su caso» y a los afectados que tuvieran la condición de interesado.

Lo que cambió el 10 de mayo de 2023

Hasta esa fecha el apartado 2 decía otra cosa: la autoridad «dictará resolución sancionando a las mismas con apercibimiento», y a continuación «La resolución establecerá asimismo las medidas que proceda adoptar». La disposición final novena de la Ley 11/2023, de 8 de mayo, lo reescribió. Tres diferencias, y las tres se pueden preguntar:

• Ya no se sanciona. Antes había una sanción —el apercibimiento—; ahora hay una declaración de que la infracción existió.
• Las medidas pasan a ser potestativas. «Establecerá asimismo las medidas» se convirtió en «estableciendo, en su caso, las medidas».
• La exclusión de la multa se escribe en la ley. Antes había que deducirla; ahora el precepto cita el artículo 58.2.i) y lo descarta expresamente.

La misma ley tocó el artículo 50, el que dice qué publica la Agencia. Donde decía que publicaría «las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1», ahora dice «las dictadas respecto de las entidades a que se refiere el artículo 77.1». Si tus apuntes conservan cualquiera de las dos redacciones viejas, están citando un texto que ya no existe: comprobar de qué artículo sale cada afirmación es justo el hábito que evita este fallo.

Lo que sí puede doler: el apartado 3

Que no haya multa no significa que no pase nada. El apartado 3 abre dos vías.

La primera: la autoridad «propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello», y entonces el procedimiento y las sanciones son los de la legislación disciplinaria o sancionadora que resulte de aplicación. La responsabilidad se traslada de la entidad a las personas.

La segunda es más dura y tiene dos requisitos acumulativos: que las infracciones sean imputables «a autoridades y directivos» y que se acredite «la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos». Si se dan los dos, la resolución incluye «una amonestación con denominación del cargo responsable» y se ordena su publicación en el Boletín Oficial del Estado o autonómico que corresponda. El cargo, con su nombre, en el BOE.

A eso se suman tres obligaciones de transparencia: comunicar a la autoridad de protección de datos las resoluciones que recaigan (apartado 4), comunicar al Defensor del Pueblo o a las instituciones autonómicas análogas las actuaciones y resoluciones (apartado 5) y publicar la Agencia en su página web, «con la debida separación», las resoluciones referidas a estas entidades «con expresa indicación de la identidad» del infractor (apartado 6).

Por dónde viene la pregunta

Cuatro trampas habituales en el tema 22 del temario general, que la convocatoria enuncia como «Normativa reguladora de la protección de datos personales: principios, derechos de las personas y ejercicios de los derechos».

1. Apercibimiento frente a declaración. Cualquier opción que hable de «apercibimiento» en el artículo 77.2 está citando la redacción anterior a mayo de 2023.
2. Las dos prescripciones. Las infracciones prescriben por su gravedad: tres años las muy graves (artículo 72), dos las graves (artículo 73) y un año las leves (artículo 74). Las sanciones prescriben por su importe (artículo 78): al año las de hasta 40.000 euros, a los dos años las de 40.001 a 300.000 y a los tres las superiores a 300.000.
3. Las dos publicaciones en el BOE. La del artículo 76.4 exige tres condiciones a la vez: que la autoridad competente sea la Agencia Española, que la sanción supere el millón de euros y que el infractor sea persona jurídica. La del artículo 77.3 es otra cosa distinta: la amonestación con el cargo.
4. El delegado de protección de datos. El artículo 70.2 lo deja fuera: «No será de aplicación al delegado de protección de datos el régimen sancionador establecido en este Título».

Y un detalle que delata la reforma a medias: el apartado 3 sigue hablando de «la resolución en la que se imponga la sanción» aunque el apartado 2 ya no imponga ninguna. Se cambió un apartado y se dejó sin tocar la referencia del siguiente.

Si preparas Administrativo de la Seguridad Social, este bloque entra por el temario general y se examina en el test de conocimientos; qué temas concentran más preguntas lo tienes medido en lo que más cae.

---

En Cinosura cada afirmación del tema va anclada a su artículo del texto consolidado del BOE, con sus datos clave y sus test. Puedes empezar gratis y sin tarjeta.