Autoridades nacionales no están obligadas a imponer medidas sancionatorias por violaciones a la normativa de protección de datos personales si con antelación el infractor adoptó medidas para subsanar la infracción, resuelve el TJUE.

El Tribunal de Justicia de la Unión Europea (TJUE) dictaminó, en el marco de una decisión prejudicial, que las autoridades nacionales pertinentes no están obligadas a imponer sanciones, especialmente multas, cuando existen infracciones al Reglamento General de Protección de Datos (RGPD), si la entidad a sancionar ya tomó medidas para corregir la infracción.

En Alemania, una empleada de una caja de ahorros accedió a los datos personales de un cliente sin autorización. Aunque la empleada confirmó que no había hecho un uso indebido de los datos, y la entidad tomó medidas disciplinarias, el delegado de protección de datos de la caja decidió no informar al cliente, al considerar que no había riesgo significativo. Sin embargo, la caja notificó la infracción a la autoridad correspondiente.

El cliente, al enterarse del acceso no autorizado, presentó una queja ante el comisionado, pero éste decidió no imponer sanciones ni medidas adicionales. Ante esta respuesta, el cliente recurrió al tribunal, solicitando que se sancionara a la caja de ahorros. El tribunal alemán consultó al TJUE para interpretar si, según el Reglamento General de Protección de Datos (RGPD), era necesario informar al cliente y si debían imponerse sanciones en este tipo de casos.