Protección de datos: importante reforma del régimen sancionador

Por José Luis Piñar Mañas, abogado. Catedrático de Derecho Administrativo.

La Ley 2/2011, de 4 de marzo, de Economía Sostenible (BOE de 5 de marzo) ha incluido en su disposición final quincuagésimo sexta una muy importante modificación del régimen sancionador en materia de protección de datos. La reforma afecta al Título VII, y en particular a los artículos 43 a 46 y 49, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos (LOPD), ninguno de los cuales, según la disposición final segunda de ésta, tiene el carácter de básico, por lo que su modificación mediante ley ordinaria es posible. Se trata de una reforma capital en la materia, que sin embargo no fue debatida en el trámite parlamentario de elaboración de la Ley, por cuanto fue incluida, muy a última hora, mediante enmienda presentada en el Senado. Reforma que entró en vigor el pasado día 6 de marzo, según la disposición final sexagésima de la Ley 2/2011.

La reforma tiene un alcance innegable para la abogacía. Por muy diversos motivos. Afecta de modo considerable al régimen de imposición de sanciones. No sólo se modifica sustancialmente la tipificación de las infracciones, sino que se establecen nuevos criterios para determinar la cuantía de las sanciones. Además, se incorpora una nueva figura, la del apercibimiento, que sin duda va a evitar la imposición de numerosas sanciones, aunque va a plantear problema de aplicación práctica. Tales novedades deben ser tenidas en cuenta en la defensa de los intereses de los afectados en caso de incoación de procedimiento sancionador, pero también a la hora del cumplimento de la LOPD por parte de los abogados y despachos de abogados, en cuanto responsables de ficheros o encargados de tratamientos.

La reforma permite suavizar sustancialmente el régimen sancionador hasta ahora previsto en la LOPD. Se trataba de una vieja pretensión de muy diversos sectores, que veían en dicho régimen un elemento enormemente perturbador para los responsables de ficheros y tratamientos.

La modificación del Título VII de la LOPD se articula en torno a los siguientes grandes temas:

- Se modifica sustancialmente la tipificación de las infracciones. En este momento, y dado el alcance de estas líneas no es posible hacer un análisis pormenorizado de las reformas producidas. Entre otras novedades, por citar algunas, cabe destacar que se reduce considerablemente el tipo y número de infracciones muy graves; diversas infracciones cambian de cualificación: por ejemplo, la cesión de datos pasa a ser infracción grave (en lugar de muy grave) salvo que se refiera a datos especialmente protegidos; pero la violación del deber de secreto previsto en el artículo 10 de la LOPD pasa a ser infracción grave, en lugar de leve; por otra parte, la cesión de datos a un encargado sin cumplir las previsiones formales previstas en el artículo 12 de la LOPD se considera infracción leve.

- Se establece un nuevo régimen de graduación y fijación de la cuantía de la sanción. Sin duda alguna la modificación que en este sentido se ha operado del artículo 45 de la LOPD es trascendental y de una importantísima trascendencia práctica. Se trata de una reforma que ya se pretendió incluir por diversos sectores (principalmente del marketing directo y de las entidades financieras) en el Reglamento de desarrollo de la Ley, sin que finalmente prosperara el intento por cuanto ello habría supuesto una modificación encubierta del régimen de tipificación de infracciones y sanciones por vía reglamentaria, en lugar de a través de una ley, como exige el artículo 25.1 de la Constitución. Ahora la nueva redacción del artículo 45 fija, por un lado, los criterios (de forma no tasada, dados los términos del apartado j) del artículo 45.4) que deberán tenerse en cuenta para la graduación de la cuantía de las sanciones (se incluye una referencia expresa al volumen de negocio o actividad del infractor). Por otro, obliga al órgano sancionador a establecer la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate en los supuestos (esta vez, sí tasados) que recoge el artículo 45.5. Cáigase en la cuenta de que no se trata de una facultad que se atribuye a la Agencia de Protección de Datos, sino de una obligación. El citado artículo es claro: "el órgano sancionador establecerá.....". De este modo, la Agencia debe aplicar necesariamente la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad siempre que se dé alguno de los supuestos que prevé el artículo 45. Lo cual en definitiva implica una tipificación alternativa de las infracciones y sanciones.

- De enorme alcance es también la introducción, ex novo, de la figura del apercibimiento. El artículo 45.6 señala que excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes.

Es sin duda, también, una modificación del régimen sancionado de extraordinaria importancia, que pretende inspirarse en otros ordenamientos comparados. De este modo se permite atajar las irregularidades en el tratamiento de datos personales sin que sea necesario, siempre, acudir a la vía de la sanción. Es una potestad discrecional del órgano sancionador, que sólo puede ejercer en los términos que han quedado señalados y siempre que concurran los siguientes presupuestos: a). Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. b) Que el infractor no hubiese sido sancionado o apercibido con anterioridad. La Agencia de Protección de Datos pasa a ostentar un desmedido margen de apreciación subjetiva. Piénsese que en caso de una infracción grave, será posible desde el apercibimiento a la imposición de una sanción de 300.000 euros.

La ley señala asimismo que si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Tal incumplimiento constituye en sí mismo una infracción grave (artículo 44.3.j) de la Ley, en su nueva redacción) pero debe entenderse, pese a que así no lo señala expresamente la Ley, que la apertura de procedimiento sancionador por tal infracción lo será sin perjuicio de la sanción que corresponda por la comisión de la infracción leve o grave que se hubiese cometido y que dio lugar al apercibimiento más tarde desatendido. Los bienes jurídicos son diversos, y por tanto también las sanciones son diversas. En otras palabras, quien cometa una infracción leve o grave y sea apercibido por ello, podrá ser sancionado, en caso de no atender el apercibimiento, no sólo por este incumplimiento, sino también por la infracción inicialmente cometida. Esto exige que el plazo fijado para atender el requerimiento nunca debería permitir la prescripción de la infracción, teniendo en cuenta, además, que el apercibimiento se adopta con anterioridad a la apertura, en su caso, del procedimiento sancionador, y no interrumpe la prescripción de las infracciones, según se desprende del artículo 47.3 de la Ley, que no ha sido objeto de modificación.

- En fin, se modifica el abanico de las sanciones. El límite mínimo de las leves se eleva hasta los 900 euros, pero el máximo se rebaja hasta 40.000. En consecuencia, el margen de las sanciones graves se amplía desde 40.001 euros hasta los actuales 300.000.

Como antes he señalado, la reforma entró ya en vigor el pasado día 6 de marzo. Sin que la Ley incluya cláusula transitoria alguna en lo que ahora nos interesa. Lo cual plantea no pocos problemas. Parece que en los casos en que una determinada conducta haya sido rebajada en cuanto a la consideración como infracción grave o leve, deberá aplicarse automáticamente, sea cual sea el estado de tramitación del expediente e incluso si la cuestión se encuentra en vía jurisdiccional, la tipificación más favorable. Por ejemplo, la cesión ilegítima de datos no especialmente protegidos, que, como he señalado, pasa de ser infracción muy grave a grave. Sin embargo, si se ha iniciado ya un procedimiento sancionador por una conducta ahora calificada más rígidamente según la nueva redacción de la Ley, parece que deberá mantenerse la tipificación inicial más favorable. Tal sería el caso de un procedimiento sancionador iniciado por violación del deber de secreto del artículo 10 de la LOPD como infracción leve, que ahora siempre tiene la consideración de infracción grave: deberá mantenerse la tipificación como infracción leve. Todo ello en virtud del principio de irretroactividad de las disposiciones sancionadoras no favorables. Por otra parte, y en lo que se refiere al apercibimiento, éste será posible sólo en caso de que no se haya acordado la apertura del procedimiento sancionador, de modo que sí cabrá en aquéllos casos en los que, a la entrada en vigor de la ley, se hayan iniciado tan sólo diligencias previas, pero no en los que el procedimiento sancionador esté ya en marcha.

Fuente: Abogados.es
Fecha: 30/03/2011