¿Cuánto puede costar una multa de protección de datos?

Imagine que un viernes por la tarde le llega al despacho un correo de la Agencia Española de Protección de Datos. Un vecino de una de sus comunidades ha presentado una reclamación. Lo primero que se le pasa por la cabeza no es el fondo del asunto, sino la cifra: «¿cuánto me pueden multar?».

La respuesta corta es que el RGPD fija techos, no tarifas. Prevé multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual global, y de hasta 20 millones o el 4 %; si el infractor es una empresa, se aplica la cuantía más alta. Esas cifras están pensadas para grandes empresas. Que existan no significa que una comunidad de propietarios o un despacho de fincas vaya a verse ante ellas, y el propio reglamento obliga a que cada sanción sea efectiva, proporcionada y disuasoria.

De dónde salen los dos escalones

El artículo 83 del RGPD (se abre en una ventana nueva) reparte las infracciones en dos grupos:

• Hasta 10 millones de euros o el 2 %: por ejemplo, incumplir las obligaciones del responsable y del encargado (como no tener contrato de encargado o no aplicar las medidas de seguridad debidas) o las de notificación de brechas.
• Hasta 20 millones de euros o el 4 %: por ejemplo, vulnerar los principios básicos del tratamiento, la base legal, las condiciones del consentimiento o los derechos de las personas.

La LOPDGDD (se abre en una ventana nueva) añade una clasificación propia en infracciones muy graves, graves y leves, con distintos plazos de prescripción. Esa clasificación sirve sobre todo para saber cuándo prescribe una infracción; los importes máximos siguen siendo los del RGPD.

La multa no es la única consecuencia

Cuando se habla de sanciones se piensa solo en dinero. Pero la AEPD dispone de otros poderes correctivos y puede usarlos en lugar de la multa o a la vez que ella:

• Apercibir al responsable.
• Ordenar que adapte el tratamiento al RGPD en un plazo concreto.
• Ordenar que atienda el derecho que se denegó.
• Limitar un tratamiento o prohibirlo, de forma temporal o definitiva.

Además, el artículo 82 del RGPD reconoce a quien haya sufrido daños y perjuicios por una infracción el derecho a reclamar una indemnización. Es una vía distinta de la administrativa, que se sigue ante los tribunales.

Hay otro artículo sobre cómo puede terminar un expediente: no todos acaban en multa.

Qué mira la AEPD para fijar la cuantía

No hay una tabla de importes. El artículo 83.2 del RGPD enumera los factores que la autoridad debe valorar en cada caso. Los más relevantes para una comunidad o un despacho son:

• La naturaleza, gravedad y duración de la infracción, y el número de personas afectadas.
• Si hubo intencionalidad o negligencia.
• Las medidas tomadas para paliar los daños.
• El grado de cooperación con la autoridad.
• Las categorías de datos afectadas (no es lo mismo una dirección que un dato de salud).
• Si el responsable tenía antecedentes de infracciones.

La LOPDGDD suma otros criterios, como la vinculación de la actividad con tratamientos de datos personales o el carácter continuado de la infracción.

Lo que pesa a favor

La autoridad valora mejor a quien puede demostrar que hizo las cosas razonablemente. Un registro de actividades al día, contratos firmados con los proveedores, una cláusula informativa y un protocolo para atender derechos no impiden que haya una reclamación, pero cambian mucho la conversación cuando llega.

La cuantía de una sanción depende de lo ocurrido y de lo que usted pueda acreditar, no de un baremo.

Quién responde: la comunidad, el despacho o ambos

Esta es una duda frecuente y la respuesta depende del caso. Por regla general, la comunidad es la responsable del tratamiento de los datos de sus propietarios y el administrador actúa como encargado. Eso no lo exime: el encargado también tiene obligaciones propias y puede ser sancionado si las incumple, por ejemplo si trata los datos para fines distintos de los que le encargó la comunidad o no aplica las medidas de seguridad debidas.

Y el despacho es responsable de sus propios tratamientos: los datos de sus empleados, de sus clientes y de sus proveedores. Conviene tener clara esta distinción; explicamos quién es responsable del tratamiento en una comunidad en otro artículo.

Un ejemplo para poner la cifra en su sitio

Piense en estas dos situaciones, planteadas como ejemplo:

• Una comunidad cuelga la lista de deudores en el portal. Un vecino reclama. La comunidad no tenía ninguna documentación de protección de datos, no respondió al vecino y no corrigió nada al ser requerida.
• La misma situación, pero la comunidad retiró el listado en cuanto lo supo, acredita que tiene registro de actividades, información a los vecinos y criterios para el tablón, y responde a la AEPD en plazo.

La infracción de partida puede ser la misma. La respuesta de la autoridad no tiene por qué serlo. Esa diferencia es lo que significa, en la práctica, preparar el cumplimiento.

Lo que no debe hacer al recibir un requerimiento

• Ignorarlo o dejar pasar el plazo: no colaborar con la autoridad se valora en contra.
• Borrar o modificar documentos a toda prisa para que «parezca» que estaba en regla.
• Responder sin revisar qué datos están en juego y quién es el responsable en ese tratamiento.

En resumen

• El RGPD prevé multas de hasta 10 o 20 millones de euros (o el 2 % o el 4 % del volumen de negocio), pero son límites máximos, no importes habituales.
• La cuantía se gradúa según los criterios del artículo 83.2: gravedad, duración, intencionalidad, medidas adoptadas y cooperación.
• Hay otras consecuencias además de la multa: apercibimiento, órdenes de adaptación e indemnizaciones por daños.
• Poder demostrar el cumplimiento cambia el resultado de un expediente.

Si quiere saber en qué punto está la documentación de sus comunidades y qué le faltaría para poder acreditarla, revisarlo con tiempo es mucho más barato que hacerlo con un requerimiento sobre la mesa.