ANÁLISIS DEL PROCEDIMIENTO DE INSPECCIÓN Y CAPACIDAD SANCIONADORA DE LA AGENCIAS ESPAÑOLA DE PROTECCIÓN DE DATOS

La AEPD es un ente de Derecho Público con personalidad jurídica propia y plena capacidad pública y privada, que es independiente en sus actuaciones de las Administraciones Públicas en el ejercicio de sus funciones, posee también un procedimiento propio y específico para ejercer su potestad sancionadora.

La potestad sancionadora de la AEPD le viene por la LOPD, la LSSICE y la LGT. Así mismo el RLOPD establece las normas que regirán el procedimiento sancionador en materia de protección de datos, siendo aplicable, supletoriamente, lo dispuesto en el Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora (en adelante, “RD 1398/1993”). Además, los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la LOPD, así como al incluido en la LSSICE.

Las actuaciones previas serán llevadas a cabo de oficio por el Director de la AEPD, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano, y las realizará concretamente el personal del área de la Inspección de Datos habilitado para el ejercicio de funciones inspectoras, aunque el artículo 123 del RLOPD dispone también que en supuestos excepcionales, el Director de la AEPD podrá designar para la realización de actuaciones específicas a funcionarios de la propia autoridad de control (o de fuera de ésta, siempre que sean idóneos) no habilitados para el ejercicio de funciones inspectoras. Los funcionarios que lleven a cabo la inspección tendrán consideración de autoridad pública en el desempeño de sus funciones y deberán guardar secreto profesional sobre las informaciones que conozcan en el ejercicio de sus funciones.

 ¿Quién tiene la potestad para interponer la denuncia por la infracción cometida?

Con anterioridad a la aprobación del RLOPD existían ciertas dudas acerca de si una persona no afectada por un incumplimiento de la normativa, podía poner en conocimiento de la AEPD, dicha violación de la legislación, sin embargo, el RLOPD ha querido zanjar la discusión y ha dispuesto que el denunciante no tiene por qué ser el afectado, sino que puede denunciar cualquier persona a quien se le atribuya la posibilidad de poner en conocimiento de quien proceda, la existencia de un determinado hecho que pudiera constituir una infracción administrativa, ya sea o no en cumplimiento de una obligación legal. Puede por lo tanto, denunciar cualquier persona.

La AEPD acusará recibo de la denuncia o petición, pudiendo solicitar al denunciante la documentación que estime oportuna para poder comprobar los hechos que han de motivar la incoación del procedimiento sancionador.

De esta forma, se garantiza la firmeza y veracidad de las denuncias, sirviendo de esta medida de filtro para todas aquellas denuncias falsas e injustificadas que pudieran existir y, de otra parte, constituir una forma suplementaria de aportación de datos y otros elementos de hecho necesarios para pronunciarse sobre la existencia de una infracción. En aquellos supuestos en que se demuestre que la denuncia ha sido falsa, por ser arbitraria e injustificada, la AEPD podrá iniciar con tal denunciante las actuaciones precisas por denuncia falsa.

El RLOPD, en sus artículos 124 y 125, define el contenido de la actividad inspectora, que exige la intervención del administrado, con todos los efectos que de ello pueda derivarse.

La actividad inspectora consta de las siguientes tareas:

• Requerir la exhibición o el envío de los documentos y datos.
• El examen de los documentos y datos en el lugar en que se encuentren depositados, así como obtener copia de los mismos.
• Inspeccionar los equipos físicos y lógicos. En las actuaciones previas que supongan una visita al inspeccionado, la inspección concluirá con el levantamiento de la correspondiente acta, en la que quedará constancia de las actuaciones practicadas durante la visita o visitas de inspección. El acta, que se emitirá por duplicado, será firmada por los inspectores actuantes y por el inspeccionado, que podrá hacer constar en la misma las alegaciones o manifestaciones que tenga por conveniente.

Para el desarrollo de esta actividad podrán realizarse visitas a los locales o sede del inspeccionado o del lugar donde se encuentren ubicados los ficheros, previa autorización del Director de la Agencia.

Estas inspecciones concluirán con la correspondiente acta, en la que se hará constar las actuaciones practicadas, se emitirá por duplicado y será firmada por los inspectores actuantes y por el inspeccionado, que podrá hacer constar en la misma las alegaciones que considere pertinentes; la firma por el interesado del acta no supondrá su conformidad, sino sólo la prueba de su recepción.

Si de las actuaciones previas concurriesen circunstancias que justifiquen la iniciación del procedimiento, el Director de la AEPD dictará el acuerdo de inicio que se tramitará de conformidad con lo dispuesto en los arts. 127 y 128 del RLOPD.

Por tanto una vez finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la AEPD, quien determinará una de las siguientes opciones:

• Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la AEPD dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.
• En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la AEPD dictará acuerdo de inicio de procedimiento sancionador (según dispone el art. 126), y es que desde el momento en que exista base racional para acusar a un sujeto por una conducta infractora, deberá iniciarse el procedimiento, pues ya se ha alcanzado el objetivo legal de las actuaciones previas, que es permitir a la Administración conocer si existe fundamento para incoar el expediente sancionador.

 El procedimiento sancionador.

Recordemos, tal y como hemos señalado anteriormente, que el inicio del procedimiento se produce siempre de oficio, ya sea por propia iniciativa o como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano.

Así, cuando el Director de la AEPD, tras practicar las actuaciones previas, aprecia la existencia de indicios suficientes para motivar la imputación de una infracción, dictará acuerdo de inicio de procedimiento sancionador.

Este acuerdo de iniciación debería contener como mínimo los siguientes datos, los cuales enumera el artículo 127 del RLOPD:

• Identificación de la persona o personas presuntamente responsables.
• Descripción sucinta de los hechos imputados, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
• Indicación de que el órgano competente para resolver el procedimiento es el Director de la AEPD.
• Indicación al presunto responsable de que puede reconocer voluntariamente su responsabilidad, en cuyo caso se dictará directamente resolución.
• Designación de instructor y, en su caso, secretario, con expresa indicación del régimen de recusación de los mismos.
• Indicación expresa del derecho del responsable a formular alegaciones, a la audiencia en el procedimiento y a proponer las pruebas que estime procedentes.
• Medidas de carácter provisional que pudieran acordarse, en su caso, conforme a lo establecido en la sección primera del presente capítulo.

Asimismo, se enviará una notificación del acuerdo de iniciación a los interesados, en la cual se les informará de que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo de 15 días, ésta podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 RD 1398/1993. Todos los plazos indicados en días que hacen referencia a las potestades de inspección y sanción de la AEPD, deberán entenderse como días hábiles, excluyendo los domingos y festivos (artículo 48.1 Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común).

La Administración estará obligada a notificar dicho acuerdo al presunto responsable, debiendo informarle expresamente acerca de su derecho a formular alegaciones y a proponer las pruebas o medios de defensa que estime procedentes.

4.2. Instrucción y prueba.

Como hemos mencionado anteriormente, de conformidad con el artículo 16 del RD 1398/1993, en esta fase los interesados dispondrán de un plazo de 15 días para formular cuantas alegaciones, documentos o informaciones estimen convenientes y, en su caso, proponer pruebas concretando los medios de los cuales pretendan valerse.

Recibidas las alegaciones o transcurrido el plazo de 15 días sin que se hayan formulado aquéllas, el órgano instructor podrá acordar la apertura de un período de prueba por un plazo no superior a 30 días ni inferior a 10 días. Dicho acuerdo deberá notificarse a los interesados, y en él se podrá rechazar de forma motivada la práctica de aquellas pruebas que en su caso, hubiesen propuesto aquéllos cuando resulten improcedentes.

4.3. El derecho de defensa: Alegaciones y trámite de audiencia.

El interesado debe poder ejercer su derecho fundamental a defenderse; es por ello que el RD 1398/1993 ha previsto la audiencia del interesado en dos momentos procedimentales:

• Con ocasión de la notificación del acuerdo de iniciación.
• Con motivo de la notificación de la propuesta de resolución, y ello sin perjuicio del derecho de los interesados a formular alegaciones y aportar los documentos que estimen convenientes, con anterioridad al trámite de audiencia.

Es importante que el presunto responsable conozca los plazos y que ejerza su derecho a la defensa dentro de dichos plazos, puesto que su inactividad puede ser considerada por la AEPD como un reconocimiento de los hechos imputados.

 La propuesta de resolución

Según dispone el art. 18 RD 1398/1993, al terminar el periodo de prueba, el órgano instructor del procedimiento formulará una propuesta de resolución en la que se expondrán de forma motivada los hechos, especificándose los que se consideren probados y su calificación jurídica; también se determinará la infracción que los hechos constituyan y la persona o personas que resulten responsables, especificándose la sanción que propone que se imponga y las medidas provisionales que se hubieran adoptado por el órgano competente para iniciar el procedimiento o por el instructor del mismo. Por otro lado, se puede proponer la declaración de no existencia de infracción o responsabilidad.

La propuesta de resolución deberá, por tanto, presentar la siguiente estructura:

• Identificación de los hechos: Se deben exponer los hechos probados, incluyendo la valoración de las pruebas cuando pueda constituir fundamento de la decisión que se adopte en el procedimiento. Si se apreciara la concurrencia de circunstancias que motiven la agravación o atenuación de la sanción, deben incluirse si resultan de los hechos probados.
• Calificación jurídica: Los hechos probados deberán identificarse con un determinado tipo de infracción, y deberá valorarse la apreciación de las circunstancias que conlleven a la agravación o atenuación de la sanción.
• Responsabilidad: La propuesta identificará al responsable o responsables de la infracción, debiendo determinar, si hay más de uno, el régimen de responsabilidad conjunta.
• Parte dispositiva: La propuesta de resolución, que deberá hacer referencia a las medidas provisionales que se hubieran adoptado por el órgano competente para iniciar el procedimiento o por el instructor del mismo, podrá concluir con cualquiera de estos dos pronunciamientos:

o La imposición de la sanción.
o La declaración de no existencia de infracción o responsabilidad.

Así pues, según lo dispuesto en el art. 19 RD 1398/1993, la propuesta de resolución se notificará a los interesados, indicándoles la puesta de manifiesto del procedimiento. A la notificación se le acompañará de una relación de los documentos obrantes en el procedimiento a fin de que los interesados puedan obtener las copias de los que estimen convenientes (es decir, debe ponerse a disposición del presunto responsable el expediente acompañado de la propuesta de resolución), y éstos tienen un plazo de 15 días para formular alegaciones y presentar los documentos e informaciones que estimen pertinentes ante el instructor del procedimiento. Resulta necesario indicar que las alegaciones podrán ser presentadas tanto por la parte declarada responsable de los hechos en el caso que la AEPD observe infracción de la normativa aplicable, como también por parte de la parte denunciante en el caso que la AEPD halle que no existen elementos suficientes para declarar la responsabilidad del imputado.

Excepcionalmente podrá prescindirse del trámite de audiencia, cuando no figure en el procedimiento ni sean tenidos en cuenta otros hechos ni otras alegaciones y pruebas que las aducidas, en su caso por el interesado.

También podrá prescindirse del trámite de audiencia cuando, notificado al interesado el acuerdo de iniciación, éste no presentase alegaciones sobre el contenido del mismo en el plazo de 15 días previsto en el artículo 16.1 del RD 1398/1993.

 La resolución del procedimiento.

Tras emitirse la propuesta de resolución por el instructor con notificación a los interesados y habiendo sido formuladas las alegaciones, se procederá a dictar la resolución del expediente. La resolución deberá contener las siguientes menciones:

• Los hechos imputados.
• La infracción cometida, con expresión del precepto que la tipifique.
• El responsable o responsables de la misma.
• La sanción impuesta o la declaración de no existencia de responsabilidad.
• También deberá pronunciarse sobre las medidas provisionales adoptadas durante la tramitación del procedimiento.

El art. 128 del RLOPD dispone que el plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación”.

Transcurridos 6 meses desde que se dicte el acuerdo de iniciación sin que se haya dictado y notificado resolución expresa, y teniendo en cuenta las posibles interrupciones de su cómputo por causa imputables a los interesados o por la existencia de un procedimiento por los mismos hechos ante órganos comunitarios europeos o por el inicio o existencia de procesos penales, se producirá la caducidad del procedimiento y el archivo de las actuaciones.

La resolución administrativa que declare la caducidad se limitará a constatar que ha trascurrido el plazo de tiempo previsto en la legislación para dictar una resolución sancionadora y para ordenar el archivo de las actuaciones.

 Las sanciones y tipos de sanciones.

Hemos ido haciendo referencia a las infracciones que la normativa prevé por el incumplimiento de las obligaciones en cada caso expuestas, es por ello que aquí nos centraremos en: la graduación de la sanción una vez determinada al responsabilidad, la posibilidad de reducción de la responsabilidad y el importante tema de la prescripción de las infracciones.

El art. 45.1 de la LOPD estipula que las infracciones leves (art. 44.2 LOPD) serán sancionadas con multa de 601,01 a 60.101,21 euros; las infracciones graves (art. 44.3 LOPD) serán sancionadas con multa de 60.101,21 a 300.506,05 euros; y las infracciones muy graves (art. 44.4 LOPD) serán sancionadas con multa de 300.506, 05 a 601.012,10 euros.

5.1. Criterios de graduación.

El art. 45.4 LOPD dispone que la cuantía de las sanciones se graduará atendiendo a diferentes circunstancias relevantes para determinar el grado de antijuricidad y culpabilidad de la acción infractora. Este artículo se debe a una transposición del principio de proporcionalidad, dispuesto en el art. 131 de la Ley 30/1992 de Procedimiento Administrativo. Este principio se concreta en las siguientes premisas:

• Las sanciones administrativas nunca podrán implicar privación de libertad.
• Al establecer sanciones pecuniarias, se deberá prever que dichas sanciones sean menos beneficiosas para el infractor que el cumplimiento de las normas vulneradas.
• Para determinar el régimen sancionador y la imposición de sanciones por las Administraciones Públicas, se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose y valorando especialmente los siguientes criterios:
• Naturaleza de los derechos personales afectados: Serán sancionadas más duramente aquellos que incumplan la Ley en relación a datos que sean merecedores de una especial protección (como los relativos a salud, ideología o religión).
• Volumen de tratamientos efectuados: Debe diferenciarse cuando una actuación vulnere los derechos relativos a la protección de datos de una persona a la vulneración de los mismos de una multitud.
• Beneficios obtenidos: Hay que tener en cuenta si la infracción de la normativa de protección de datos producía o iba a producir beneficios económicos o no.
• Grado de intencionalidad: En ocasiones las infracciones de la Ley de Protección de Datos son fruto de errores y no existía ningún tipo de intención de violar la normativa.
• Reincidencia: Hay algunas ramas de negocio que, por su naturaleza y su envergadura, tienden con mayor frecuencia a la comisión de infracciones en materia de protección de datos, es por eso que se les debe dar un trato distinto que a otras ramas.

La LOPD introduce, además, otros criterios valorativos complementarios:

• Valorar los daños y perjuicios causados a las personas interesadas y a terceras personas.
• Valorar cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad.

El art. 45.5 LOPD permite que tras esta primera tarea de acomodación de la multa al caso concreto, se pueda producir una rebaja importante mediante la aplicación de la sanción correspondiente relativa a la escala inferior, y ello ocurrirá cuando se pueda apreciar una disminución de la culpabilidad del imputado o de la antijuridicidad del hecho.

Este precepto permite por tanto, que en atención a las circunstancias concretas del caso, unos hechos susceptibles de ser sancionados como infracción grave, puedan, por ejemplo, ser considerados como de tipo leve. Esta circunstancia, debido al innegable beneficio económico que ocasiona para el declarado responsable, es alegada en prácticamente todos los escritos de alegaciones recibidos por la AEPD, por lo que este organismo se ve obligado en muchas ocasiones, a determinar si la previsión del artículo 45.5 es o no aplicable. Es ciertamente complicado exponer la doctrina de la AEPD en relación a qué circunstancias objetivas que le han llevado a apreciar la disminución de la sanción, pero sí que puede decirse que la AEPD acostumbra a considerar positivamente la diligencia del responsable en aplicar la normativa (por ejemplo que exista un plan para la implementación de la normativa aunque no esté implementado al cien por cien) y en tomar de forma inmediata acciones correctoras, en caso de incumplimientos. Así mismo en el ámbito de las razones objeto de rechazo se incluyen por ejemplo, ni la ausencia de intencionalidad (recordemos que la responsabilidad se basa en criterios objetivos), ni la falta de beneficio para el responsable (esta circunstancia ya se prevé en la graduación de la sanción) o, como en algunos casos se ha alegado, el hecho que la no aplicación de la disminución de la sanción implicaría el cese de actividad de la empresa responsable de la infracción.

El artículo 47.1 LOPD nos habla de las prescripciones de las infracciones, y dispone concretamente que las muy graves lo harán a los tres años, las graves a los dos años y las leves al año. El régimen de prescripción de las infracciones establecido por la LSSICE (art. 45) y la LGT (art. 57) es exactamente el mismo que en la LOPD, con el único cambio en la prescripción de las infracciones leves que prescribirán al cabo de seis meses (art. 57).

Cuando de las actuaciones previas se concluya que ha prescrito la infracción, el órgano competente acordará la no procedencia de iniciar el procedimiento sancionador. En caso de que se haya iniciado ya el procedimiento, debería acordarse su archivo, o si se hubiera interpuesto recurso contencioso debería estimarse la impugnación por entender que la resolución impugnada se habría dictado fuera de plazo.

Según el art. 47.2 LOPD, el plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.

En algunas ocasiones, en el caso de las llamadas infracciones permanentes, el inicio del cómputo de prescripción deberá contarse desde el momento en que la infracción deje de cometerse, como es el caso de la incorporación a registros o ficheros y el mantenimiento de los datos, que da lugar a cometer infracciones continuadas en las que el plazo prescriptivo no empieza a computarse mientras se mantiene la infracción.

Según el art. 47.3 LOPD, la prescripción se interrumpirá con la iniciación del procedimiento sancionador (o las actuaciones previas), reanudándose el plazo de prescripción si el expediente sancionador estuviese paralizado durante más de seis meses por causas no imputables al presunto infractor.

En artículo 47.4, podemos encontrar los plazos de prescripción de las sanciones, que corresponden con las del art. 132.1 de la Ley 30/1992: Tres años para las muy graves, dos para las graves y una para las leves. En este caso el régimen de prescripción de las sanciones establecidos en la LSSICE y la LGT, es el mismo que el de la LOPD.

El párrafo 5 del mismo artículo afirma que el inicio del plazo de prescripción de las sanciones comienza desde que adquiera firmeza la resolución que imponga la sanción y sólo se interrumpirá mediante la iniciación del procedimiento de ejecución, volviendo a computarse si se paraliza el procedimiento por más de seis meses por causa no imputable al infractor.

Uso de cookies

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información. ACEPTAR