Publicado en el BOE el régimen sancionador e inspección para protección de datos

El 30 de julio se ha publicado en el BOE el régimen sancionador y cómo será la inspección para protección de datos. El Real Decreto Ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, en el BOE, contiene las especificaciones para las infracciones y sanciones de adaptar esta normativa europea que entró en vigor el pasado 25 de mayo.

A continuación os contamos que novedades aporta este Real Decreto Ley que ya es de aplicación desde el día 31 de julio:

Se regula la Inspección en materia de protección de datos

El Capítulo I de la norma está dedicado a definir el ámbito y personal competente para realizar la actividad de investigación e inspección en relación a la nueva normativa europea.

Se estipula que esta labor la realice la Agencia Española de Protección de Datos. Los funcionarios que realicen las actividades de investigación tendrán la consideración de agentes de la autoridad.

Podrán requerir todos los datos y documentación necesarios, incluso examinarlos en el lugar donde se procesen, así como inspeccionar tanto los equipos físicos, como lógicos. Siembre, obviamente, conforme a las normas procesales y solicitando autorización judicial previa cuando sea necesario.

Quiénes podrán ser sancionados 

Podrán ser considerados como sujetos responsables frente a una infracción contra el Reglamento Europeo 2016/279 y Ley de LOPD:

• Los responsables de los tratamientos.
• Los encargados de los tratamientos.
• Los representantes de los anteriores no establecidos en la Unión Europea.
• Las entidades de certificación.
• Las entidades acreditadas que supervisen los códigos de conducta de LOPD.

Una novedad importante es que excluye al Delegado de Protección de Datos del régimen sancionador. Sin embargo las empresas y sus responsables del tratamiento sí podrían verse afectados en caso de cometerse una infracción de este tipo.

Nuevo Régimen Sancionador en materia de protección de datos

Las infracciones son las establecidas en el nuevo Reglamento Europeo 2016/279, en el artículo 83. Lo que precisa el nuevo RDL es su prescripción:

1. Las infracciones relativas a los derechos de los interesados, consentimiento, o transferencias de datos (que podrían ser sancionadas con multas administrativas de hasta 20.000.000 euros o un 4% sobre la facturación anual) prescribirán a los 3 años.
2. Las infracciones como el incumplimiento de las obligaciones del responsable y encargado, o de los organismos de certificación (que recibirían una sanción de 10.000.000 o el 2% sobre su facturación anual), prescribirían a los 2 años.

La iniciación del procedimiento sancionador interrumpirá la prescripción. Y si el expediente estuviese paralizado por motivos ajenos al infractor, volvería a iniciarse el plazo de prescripción.

Así mismo, se especifican el plazo para prescripción de las sanciones por la aplicación del RGPD:

• Las sanciones iguales o inferiores a 40.000 euros prescriben en 1 año.
• Las sanciones entre 40.001 y 300.000 euros prescriben a los 2 años.
• Las sanciones de más de 300.000 euros lo harán a los 3 años.

Cómo será el procedimiento en caso de una infracción

El procedimiento se iniciará con una reclamación. Antes de iniciar el trámite, se pondrán en contacto con el Delegado de Protección de datos o con el responsable, y éste deberá dar respuesta a la reclamación en el plazo de un mes.

Si dicha reclamación se ha planteado ante la AEPD, el organismo decidirá si se admite a trámite. Si se admite, podrá haber una fase de investigación. El procedimiento tendrá una duración máxima de 9 meses desde que se decide iniciar el procedimiento.

En el caso de que transcurra dicho plazo, se producirá su caducidad y por tanto, se archivarán las actuaciones.

Tras ser notificada la reclamación a trámite, habrá un plazo de 6 meses desde esa fecha para resolver el procedimiento.

También indican que las reclamaciones podrán ser inadmitidas para aquellos casos en que el responsable del tratamiento hubiese adoptado las medidas correctivas que le hubiesen indicado desde la Agencia Española de Protección de Datos, siempre que no se haya causado un perjuicio al afectado.

En el caso de que la AEPD considere que los hechos son graves podrá ordenar el bloqueo de los datos e incluso su inmovilización.

Si quieres seguir leyendo más sobre el nuevo Reglamento Europeo de Protección de Datos y cómo afecta a tu empresa, te recomendamos los siguientes artículos:

Cómo afecta el Reglamento de Protección de Datos a las Pymes

Qué empresas están obligadas a tener un Delegado de Protección de Datos

Qué repercusión tiene el RGPD para un despacho profesional

6 hábitos que debes cambiar tras la nueva normativa de protección de datos

Fuente: BOE.