El Tribunal de Justicia de la Unión Europea (TJUE) dictaminó, en el marco de una decisión prejudicial, que la aplicación de multas por infringir el Reglamento General de Protección de Datos (RGPD) requiere la existencia de una conducta culpable del infractor (intencionalidad o negligencia). También señaló que si el sancionado es una empresa, la multa debe calcularse en atención al total del volumen de sus negocios.
Según los hechos narrados, dos tribunales, uno lituano y otro alemán, solicitaron al TJUE que clarificara la interpretación del Reglamento General de Protección de Datos (RGPD) a lo relativo a la imposición de sanciones administrativas por infringir sus disposiciones y sus alcances generales.
En el caso lituano, el Centro Nacional de Salud Pública impugnó una multa de 12.000 euros que le fue impuesta por la creación de una aplicación móvil, en colaboración con una empresa privada, diseñada para el registro y seguimiento de datos de personas expuestas al COVID-19. Respecto al asunto alemán, una empresa inmobiliaria de gran tamaño recurrió una multa de más de 14 millones de euros, que se le había impuesto por conservar los datos personales de sus arrendatarios durante un periodo superior al determinado en la norma aplicable.
En su análisis de fondo, el Tribunal señala que, “(…) solo se puede imponer una multa administrativa a un responsable del tratamiento de datos por infracción del RGPD si dicha infracción se ha cometido de forma culpable, es decir, de forma intencionada o negligente. Así ocurre cuando el responsable del tratamiento no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de la infracción”.
Noticia Relacionada
Agrega que “(…) cuando el responsable del tratamiento sea una persona jurídica, no es necesario que la infracción haya sido cometida por su órgano de gestión ni que ese órgano tuviera conocimiento de ella. Por el contrario, una persona jurídica es responsable tanto de las infracciones cometidas por sus representantes, directores o gestores, como de las cometidas por cualquier otra persona que actúe en el marco de su actividad empresarial y en su nombre”.
Comprueba que, “(…) además, la imposición de una multa administrativa a una persona jurídica como responsable del tratamiento no puede estar sujeta a que se compruebe previamente que esa infracción ha sido cometida por una persona física identificada. Asimismo, también se puede imponer una multa a un responsable del tratamiento de datos por las operaciones efectuadas por un encargado del tratamiento, siempre que dichas operaciones puedan imputarse al responsable del tratamiento”.
El Tribunal concluye que “(…) la corresponsabilidad de dos o más entidades se deriva del mero hecho de que esas entidades hayan participado en la determinación de los fines y los medios del tratamiento. La calificación de «corresponsables» no presupone la existencia de un acuerdo formal entre las entidades de que se trate. Basta una decisión conjunta o incluso decisiones convergentes. No obstante, dado que se trata efectivamente de corresponsables, estos deben fijar, mediante acuerdo, sus obligaciones respectivas”.
Al tenor de lo expuesto, el Tribunal estableció que las multas por violar el RGPD pueden ser aplicables si el infractor actuó con negligencia o mala fe. Si el sancionado es una empresa, esta deberá pagar de acuerdo al volumen total de sus negocios.
Vea sentencia Tribunal de Justicia de la Unión Europea C‑683.21.