En este Capítulo pretendemos analizar las características procedimentales básicas que rigen las actuaciones de la AEPD en aplicación del régimen sancionador en el marco de las competencias que tiene legalmente atribuidas. Así el procedimiento que a continuación se expone será de aplicación para cualquier actuación de la AEPD en base a las competencias que le atribuyen la LOPD, la LSSICE y la LGT, es por ello que cualquier eventual incumplimiento de las normas legales estudiadas en esta obra en relación a las acciones promocionales que impliquen el tratamiento de datos personales, se regirán, en el ámbito administrativo, por las normas procedimentales aquí expuestas.
Como es sabido, la Administración Pública tiene la potestad de imponer sanciones a aquellos sujetos administrados que hayan realizado alguna de las conductas ilícitas tipificadas por el Derecho Administrativo. El juicio y castigo de tales actuaciones no se puede realizar arbitrariamente y de cualquier forma, sino que será preciso seguir, cuando el caso lo requiera, un procedimiento tasado por ley y con las debidas garantías, que conduzca al esclarecimiento de los hechos y de la culpabilidad o no del presunto imputado.
La AEPD, pese a ser un ente de Derecho Público con personalidad jurídica propia y plena capacidad pública y privada, que es independiente en sus actuaciones de las Administraciones Públicas en el ejercicio de sus funciones, posee también un procedimiento propio y específico para ejercer su potestad sancionadora. Estamos hablando del procedimiento sancionador de la AEPD, el cual procederemos a explicar en el presente Capítulo.
1. Ámbito de aplicación.
La potestad sancionadora de la AEPD le viene atribuida como se ha comentado, por la LOPD, la LSSICE y la LGT, tal como dispone el art. 120 del RLOPD. Así mismo el RLOPD establece las normas que regirán el procedimiento sancionador en materia de protección de datos, siendo aplicable, supletoriamente, lo dispuesto en el Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora (en adelante, “RD 1398/1993”). Además, los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la LOPD, así como al incluido en la LSSICE.
2. Inmovilización de ficheros.
Antes de entrar a analizar el procedimiento, digamos, “ordinario” de la AEPD, el artículo 121 del RLOPD nos habla de un una medida muy especial, que en la citada norma no está contemplada como actuación previa, sino que la encontramos aislada y dispuesta únicamente para casos de infracción muy grave, es decir, cuando se hayan utilizado o cedido ilícitamente los datos de carácter personal y se impida gravemente o se atente del mismo modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad. En estas circunstancias, el Director de la AEPD podrá, en cualquier momento del procedimiento, requerir a los responsables de los ficheros o tratamientos de datos de carácter personal, la cesación en la utilización o cesión ilícita de los datos, es decir, la inmovilización de los ficheros.
El requerimiento deberá ser atendido en el plazo de tres días, durante el cual el responsable del fichero podrá formular las alegaciones que desee para lograr el levantamiento de la medida. Si el requerimiento fuese desatendido, el Director de la AEPD podrá acordar la inmovilización de los ficheros con el único fin de restaurar los derechos de las personas afectadas.
3. Actuaciones previas a la iniciación del procedimiento sancionador.
Como paso previo al inicio del procedimiento sancionador, es necesario definir las actuaciones previas como una institución garante del correcto ejercicio de la potestad sancionadora de la AEPD, que trata de evitar la iniciación arbitraria e injustificada de un procedimiento, otorgándole un sentido y una razón de ser.
Así pues, se podrán llevar a cabo con anterioridad a la iniciación del procedimiento sancionador ciertas acciones por parte de la AEPD, con el objetivo de determinar si concurren circunstancias que justifiquen la iniciación del procedimiento. Estas actuaciones se orientarán concretamente a:
Determinar con la mayor precisión posible los hechos que pudieran justificar la incoación del procedimiento.
Identificar a la persona u órgano que pudiera resultar responsable.
Fijar las circunstancias relevantes que pudieran concurrir en el caso.
3.1 Órgano administrativo competente para la práctica de las actuaciones previas.
Las actuaciones previas serán llevadas a cabo de oficio por el Director de la AEPD, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano, y las realizará concretamente el personal del área de la Inspección de Datos habilitado para el ejercicio de funciones inspectoras, aunque el artículo 123 del RLOPD dispone también que en supuestos excepcionales, el Director de la AEPD podrá designar para la realización de actuaciones específicas a funcionarios de la propia autoridad de control (o de fuera de ésta, siempre que sean idóneos) no habilitados para el ejercicio de funciones inspectoras. Los funcionarios que lleven a cabo la inspección tendrán consideración de autoridad pública en el desempeño de sus funciones y deberán guardar secreto profesional sobre las informaciones que conozcan en el ejercicio de sus funciones.
3.2. Momento de su práctica.
Por esencia, las actuaciones previas se llevarán a cabo con anterioridad a la incoación del expediente sancionador, por lo tanto, no se podrán calificar como tales las actuaciones iniciales practicadas una vez iniciado el procedimiento. De la misma manera, tampoco se podrá dictar resolución sancionadora en el seno de estas actuaciones previas (aunque pudieran ser muy determinantes) sin incoarse el expediente sancionador.
3.3. ¿Quién tiene la potestad para interponer la denuncia por la infracción cometida?
Con anterioridad a la aprobación del RLOPD existían ciertas dudas acerca de si una persona no afectada por un incumplimiento de la normativa, podía poner en conocimiento de la AEPD, dicha violación de la legislación, sin embargo, el RLOPD ha querido zanjar la discusión y ha dispuesto que el denunciante no tiene por qué ser el afectado, sino que puede denunciar cualquier persona a quien se le atribuya la posibilidad de poner en conocimiento de quien proceda, la existencia de un determinado hecho que pudiera constituir una infracción administrativa, ya sea o no en cumplimiento de una obligación legal. Puede por lo tanto, denunciar cualquier persona.
Así mismo también otros órganos de la Administración Pública podrán poner en conocimiento de la AEPD hechos que puedan implicar un incumplimiento de la ley, en este caso, la AEPD acusará recibo de la denuncia o petición, pudiendo solicitar al denunciante la documentación que estime oportuna para poder comprobar los hechos que han de motivar la incoación del procedimiento sancionador.
De esta forma, se garantiza la firmeza y veracidad de las denuncias, sirviendo de esta medida de filtro para todas aquellas denuncias falsas e injustificadas que pudieran existir y, de otra parte, constituir una forma suplementaria de aportación de datos y otros elementos de hecho necesarios para pronunciarse sobre la existencia de una infracción. En aquellos supuestos en que se demuestre que la denuncia ha sido falsa, por ser arbitraria e injustificada, la AEPD podrá iniciar con tal denunciante las actuaciones precisas por denuncia falsa.
3.4. Duración de las actuaciones previas.
El RLOPD, en su artículo 122.4 prevé que las actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada hubieran tenido entrada en la AEPD o, en caso de no existir aquéllas, desde que el Director de la AEPD acordase la realización de dichas actuaciones. El hecho de poner un plazo máximo de duración para las actuaciones previas presenta una novedad de la nueva regulación, e intenta evitar que las actuaciones previas se puedan dilatar indebidamente y sustituir a la actividad instructora, que debe desarrollarse en el procedimiento sancionador.
Así pues, las actuaciones previas no podrán prolongarse de forma innecesaria. Por ello, una vez que las partes hayan proporcionado información y datos suficientes para dirigir una acusación formal, la Administración tiene la obligación de incoar el procedimiento o de declarar que no se observan hechos susceptibles de motivar ninguna infracción, ya que de otro modo podría incurrirse en un vicio o irregularidad en el ejercicio de esta potestad administrativa. En el caso de que llegue a vencer el plazo y no haya llegado a ser dictado y notificado un acuerdo de inicio de procedimiento sancionador, se producirá la caducidad de las actuaciones previas.
A pesar de no indicarse expresamente, si en el plazo indicado el Director de la AEPD no ha dictado el acuerdo de inicio del procedimiento sancionador, deberá entenderse que la causa en cuestión no podrá ser vista por lo que la AEPD, si desea juzgarla deberá abrir un nuevo procedimiento para conocer de la misma, todo ello siempre que los hechos en cuestión, no hubieran prescrito por el paso del tiempo.
3.5. Contenido de las actuaciones previas.
El RLOPD, en sus artículos 124 y 125, define el contenido de la actividad inspectora, que exige la intervención del administrado, con todos los efectos que de ello pueda derivarse.
La actividad inspectora consta de las siguientes tareas:
Requerir la exhibición o el envío de los documentos y datos.
El examen de los documentos y datos en el lugar en que se encuentren depositados, así como obtener copia de los mismos.
Inspeccionar los equipos físicos y lógicos. En las actuaciones previas que supongan una visita al inspeccionado, la inspección concluirá con el levantamiento de la correspondiente acta, en la que quedará constancia de las actuaciones practicadas durante la visita o visitas de inspección. El acta, que se emitirá por duplicado, será firmada por los inspectores actuantes y por el inspeccionado, que podrá hacer constar en la misma las alegaciones o manifestaciones que tenga por conveniente.
En caso de negativa del inspeccionado a firmar el acta, se hará constar expresamente esta circunstancia en la misma. En todo caso, la firma por el inspeccionado no supondrá la conformidad de éste, sino tan sólo la recepción de la misma. Se entregará al inspeccionado uno de los originales del acta de inspección, incorporándose el otro a las actuaciones.
Requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del fichero o ficheros sujeto a investigación.
Para el desarrollo de esta actividad podrán realizarse visitas a los locales o sede del inspeccionado o del lugar donde se encuentren ubicados los ficheros, previa autorización del Director de la Agencia.
Estas inspecciones concluirán con la correspondiente acta, en la que se hará constar las actuaciones practicadas, se emitirá por duplicado y será firmada por los inspectores actuantes y por el inspeccionado, que podrá hacer constar en la misma las alegaciones que considere pertinentes; la firma por el interesado del acta no supondrá su conformidad, sino sólo la prueba de su recepción.
3.6. Injerencias de la prescripción y la caducidad en las actuaciones previas.
El inicio de las actuaciones previas, siempre que se realicen con conocimiento del presunto infractor, implicarán la interrupción del plazo de prescripción de la infracción. Esto significa que los términos establecidos por la LOPD, que luego veremos, en los que se entiende que un hecho constitutivo de infracción prescribe, se interrumpen por la sola circunstancia que la AEPD inicie las actuaciones previas para el esclarecimiento de los mismos, no siendo necesario llegar a la apertura del procedimiento sancionador.
También es necesario apuntar que el valor probatorio de lo obtenido en las actuaciones previas se extiende más allá incluso del procedimiento sancionador para el que fue encaminado, pues aun en el supuesto de que el procedimiento sancionador inicial fuera archivado por caducidad, si no se ha producido la prescripción de la infracción, al iniciar después otro procedimiento sancionador, la documentación y las actas e informes desplegarán sus efectos probatorios.
La caducidad del primer procedimiento no determina la falta de efectos de los actos que tienen valor independiente como son las actas e informes en los que se funda el acuerdo de inicio, que pueden ser incorporados al nuevo expediente.
3.7. El resultado de las actuaciones previas.
El artículo 126 del RLOPD afirma que, finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la AEPD, que deberá valorar la iniciación o no del procedimiento de acuerdo a los datos que le han sido suministrados.
Cuando de las actuaciones previas no resulte base racional para incoar el procedimiento, se procederá al archivo de las actuaciones. La resolución decretando el archivo se notificará al investigado y, en su caso, al denunciante o al órgano administrativo a cuya petición se hubiese iniciado el expediente. cuando se aprecie la prescripción de la infracción, procedería el archivo de las actuaciones.
Si de las actuaciones previas concurriesen circunstancias que justifiquen la iniciación del procedimiento, el Director de la AEPD dictará el acuerdo de inicio que se tramitará de conformidad con lo dispuesto en los arts. 127 y 128 del RLOPD.
Por tanto una vez finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la AEPD, quien determinará una de las siguientes opciones:
Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la AEPD dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.
En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la AEPD dictará acuerdo de inicio de procedimiento sancionador (según dispone el art. 126), y es que desde el momento en que exista base racional para acusar a un sujeto por una conducta infractora, deberá iniciarse el procedimiento, pues ya se ha alcanzado el objetivo legal de las actuaciones previas, que es permitir a la Administración conocer si existe fundamento para incoar el expediente sancionador.
4. El procedimiento sancionador.
4.1. Iniciación del procedimiento sancionador.
Recordemos, tal y como hemos señalado anteriormente, que el inicio del procedimiento se produce siempre de oficio, ya sea por propia iniciativa o como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano.
Así, cuando el Director de la AEPD, tras practicar las actuaciones previas, aprecia la existencia de indicios suficientes para motivar la imputación de una infracción, dictará acuerdo de inicio de procedimiento sancionador.
Este acuerdo de iniciación debería contener como mínimo los siguientes datos, los cuales enumera el artículo 127 del RLOPD:
Identificación de la persona o personas presuntamente responsables.
Descripción sucinta de los hechos imputados, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
Indicación de que el órgano competente para resolver el procedimiento es el Director de la AEPD.
Indicación al presunto responsable de que puede reconocer voluntariamente su responsabilidad, en cuyo caso se dictará directamente resolución.
Designación de instructor y, en su caso, secretario, con expresa indicación del régimen de recusación de los mismos.
Indicación expresa del derecho del responsable a formular alegaciones, a la audiencia en el procedimiento y a proponer las pruebas que estime procedentes.
Medidas de carácter provisional que pudieran acordarse, en su caso, conforme a lo establecido en la sección primera del presente capítulo.
Asimismo, se enviará una notificación del acuerdo de iniciación a los interesados, en la cual se les informará de que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo de 15 días, ésta podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 RD 1398/1993. Todos los plazos indicados en días que hacen referencia a las potestades de inspección y sanción de la AEPD, deberán entenderse como días hábiles, excluyendo los domingos y festivos (artículo 48.1 Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común).
La Administración estará obligada a notificar dicho acuerdo al presunto responsable, debiendo informarle expresamente acerca de su derecho a formular alegaciones y a proponer las pruebas o medios de defensa que estime procedentes.
4.2. Instrucción y prueba.
Como hemos mencionado anteriormente, de conformidad con el artículo 16 del RD 1398/1993, en esta fase los interesados dispondrán de un plazo de 15 días para formular cuantas alegaciones, documentos o informaciones estimen convenientes y, en su caso, proponer pruebas concretando los medios de los cuales pretendan valerse.
Recibidas las alegaciones o transcurrido el plazo de 15 días sin que se hayan formulado aquéllas, el órgano instructor podrá acordar la apertura de un período de prueba por un plazo no superior a 30 días ni inferior a 10 días. Dicho acuerdo deberá notificarse a los interesados, y en él se podrá rechazar de forma motivada la práctica de aquellas pruebas que en su caso, hubiesen propuesto aquéllos cuando resulten improcedentes.
4.3. El derecho de defensa: Alegaciones y trámite de audiencia.
El interesado debe poder ejercer su derecho fundamental a defenderse; es por ello que el RD 1398/1993 ha previsto la audiencia del interesado en dos momentos procedimentales:
Con ocasión de la notificación del acuerdo de iniciación.
Con motivo de la notificación de la propuesta de resolución, y ello sin perjuicio del derecho de los interesados a formular alegaciones y aportar los documentos que estimen convenientes, con anterioridad al trámite de audiencia.
Es importante que el presunto responsable conozca los plazos y que ejerza su derecho a la defensa dentro de dichos plazos, puesto que su inactividad puede ser considerada por la AEPD como un reconocimiento de los hechos imputados.
4.4. La propuesta de resolución.
Según dispone el art. 18 RD 1398/1993, al terminar el periodo de prueba, el órgano instructor del procedimiento formulará una propuesta de resolución en la que se expondrán de forma motivada los hechos, especificándose los que se consideren probados y su calificación jurídica; también se determinará la infracción que los hechos constituyan y la persona o personas que resulten responsables, especificándose la sanción que propone que se imponga y las medidas provisionales que se hubieran adoptado por el órgano competente para iniciar el procedimiento o por el instructor del mismo. Por otro lado, se puede proponer la declaración de no existencia de infracción o responsabilidad.
En fin, la propuesta de resolución deberá, por tanto, presentar la siguiente estructura:
Identificación de los hechos: Se deben exponer los hechos probados, incluyendo la valoración de las pruebas cuando pueda constituir fundamento de la decisión que se adopte en el procedimiento. Si se apreciara la concurrencia de circunstancias que motiven la agravación o atenuación de la sanción, deben incluirse si resultan de los hechos probados.
Calificación jurídica: Los hechos probados deberán identificarse con un determinado tipo de infracción, y deberá valorarse la apreciación de las circunstancias que conlleven a la agravación o atenuación de la sanción.
Responsabilidad: La propuesta identificará al responsable o responsables de la infracción, debiendo determinar, si hay más de uno, el régimen de responsabilidad conjunta.
Parte dispositiva: La propuesta de resolución, que deberá hacer referencia a las medidas provisionales que se hubieran adoptado por el órgano competente para iniciar el procedimiento o por el instructor del mismo, podrá concluir con cualquiera de estos dos pronunciamientos:
La imposición de la sanción.
La declaración de no existencia de infracción o responsabilidad.
Así pues, según lo dispuesto en el art. 19 RD 1398/1993, la propuesta de resolución se notificará a los interesados, indicándoles la puesta de manifiesto del procedimiento. A la notificación se le acompañará de una relación de los documentos obrantes en el procedimiento a fin de que los interesados puedan obtener las copias de los que estimen convenientes (es decir, debe ponerse a disposición del presunto responsable el expediente acompañado de la propuesta de resolución), y éstos tienen un plazo de 15 días para formular alegaciones y presentar los documentos e informaciones que estimen pertinentes ante el instructor del procedimiento. Resulta necesario indicar que las alegaciones podrán ser presentadas tanto por la parte declarada responsable de los hechos en el caso que la AEPD observe infracción de la normativa aplicable, como también por parte de la parte denunciante en el caso que la AEPD halle que no existen elementos suficientes para declarar la responsabilidad del imputado.
Excepcionalmente podrá prescindirse del trámite de audiencia, cuando no figure en el procedimiento ni sean tenidos en cuenta otros hechos ni otras alegaciones y pruebas que las aducidas, en su caso por el interesado.
También podrá prescindirse del trámite de audiencia cuando, notificado al interesado el acuerdo de iniciación, éste no presentase alegaciones sobre el contenido del mismo en el plazo de 15 días previsto en el artículo 16.1 del RD 1398/1993.
4.5. Actuaciones complementarias.
Aún queda un hito opcional antes de dictar resolución, y es que cabe la posibilidad de que el órgano competente para resolver pueda decidir, mediante acuerdo motivado, la realización de las actuaciones complementarias indispensables para resolver el procedimiento. Según el art. 20 RD 1398/1993, el acuerdo se notificará a los interesados, concediéndoseles un plazo de 7 días para formular las alegaciones que estimen pertinentes. Asimismo fija el plazo máximo de 15 días para la práctica de dichas actuaciones complementarias.
Durante la realización de las actuaciones complementarias el plazo para resolver el procedimiento quedará suspendido hasta que éstas sean completadas. El RD 1398/1993 excluye de la consideración de actuaciones complementarias los informes que preceden inmediatamente a la resolución final del procedimiento.
4.6. La resolución del procedimiento.
Tras emitirse la propuesta de resolución por el instructor con notificación a los interesados y habiendo sido formuladas las alegaciones, se procederá a dictar la resolución del expediente. La resolución deberá contener las siguientes menciones:
Los hechos imputados.
La infracción cometida, con expresión del precepto que la tipifique.
El responsable o responsables de la misma.
La sanción impuesta o la declaración de no existencia de responsabilidad.
También deberá pronunciarse sobre las medidas provisionales adoptadas durante la tramitación del procedimiento.
a) Plazo para dictar resolución
El art. 128 del RLOPD dispone que el plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación”.
Transcurridos 6 meses desde que se dicte el acuerdo de iniciación sin que se haya dictado y notificado resolución expresa, y teniendo en cuenta las posibles interrupciones de su cómputo por causa imputables a los interesados o por la existencia de un procedimiento por los mismos hechos ante órganos comunitarios europeos o por el inicio o existencia de procesos penales, se producirá la caducidad del procedimiento y el archivo de las actuaciones.
La resolución administrativa que declare la caducidad se limitará a constatar que ha trascurrido el plazo de tiempo previsto en la legislación para dictar una resolución sancionadora y para ordenar el archivo de las actuaciones.
Esquema: procedimiento sancionador de la AEPD:
5. Las sanciones y tipos de sanciones.
A lo largo de las anteriores Unidades Didácticas hemos ido haciendo referencia a las infracciones que la normativa prevé por el incumplimiento de las obligaciones en cada caso expuestas, es por ello que aquí nos centraremos en: la graduación de la sanción una vez determinada al responsabilidad, la posibilidad de reducción de la responsabilidad y el importante tema de la prescripción de las infracciones.
El art. 45.1 de la LOPD estipula que las infracciones leves (art. 44.2 LOPD) serán sancionadas con multa de 601,01 a 60.101,21 euros; las infracciones graves (art. 44.3 LOPD) serán sancionadas con multa de 60.101,21 a 300.506,05 euros; y las infracciones muy graves (art. 44.4 LOPD) serán sancionadas con multa de 300.506, 05 a 601.012,10 euros.
5.1. Criterios de graduación.
El art. 45.4 LOPD dispone que la cuantía de las sanciones se graduará atendiendo a diferentes circunstancias relevantes para determinar el grado de antijuricidad y culpabilidad de la acción infractora. Este artículo se debe a una transposición del principio de proporcionalidad, dispuesto en el art. 131 de la Ley 30/1992 de Procedimiento Administrativo. Este principio se concreta en las siguientes premisas:
Las sanciones administrativas nunca podrán implicar privación de libertad.
Al establecer sanciones pecuniarias, se deberá prever que dichas sanciones sean menos beneficiosas para el infractor que el cumplimiento de las normas vulneradas.
Para determinar el régimen sancionador y la imposición de sanciones por las Administraciones Públicas, se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose y valorando especialmente los siguientes criterios:
Naturaleza de los derechos personales afectados: Serán sancionadas más duramente aquellos que incumplan la Ley en relación a datos que sean merecedores de una especial protección (como los relativos a salud, ideología o religión).
Volumen de tratamientos efectuados: Debe diferenciarse cuando una actuación vulnere los derechos relativos a la protección de datos de una persona a la vulneración de los mismos de una multitud.
Beneficios obtenidos: Hay que tener en cuenta si la infracción de la normativa de protección de datos producía o iba a producir beneficios económicos o no.
Grado de intencionalidad: En ocasiones las infracciones de la Ley de Protección de Datos son fruto de errores y no existía ningún tipo de intención de violar la normativa.
Reincidencia: Hay algunas ramas de negocio que, por su naturaleza y su envergadura, tienden con mayor frecuencia a la comisión de infracciones en materia de protección de datos, es por eso que se les debe dar un trato distinto que a otras ramas.
La LOPD introduce, además, otros criterios valorativos complementarios:
Valorar los daños y perjuicios causados a las personas interesadas y a terceras personas.
Valorar cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad.
5.2 Aplicación de la escala inferior a la infracción que proceda.
El art. 45.5 LOPD permite que tras esta primera tarea de acomodación de la multa al caso concreto, se pueda producir una rebaja importante mediante la aplicación de la sanción correspondiente relativa a la escala inferior, y ello ocurrirá cuando se pueda apreciar una disminución de la culpabilidad del imputado o de la antijuridicidad del hecho.
Este precepto permite por tanto, que en atención a las circunstancias concretas del caso, unos hechos susceptibles de ser sancionados como infracción grave, puedan, por ejemplo, ser considerados como de tipo leve. Esta circunstancia, debido al innegable beneficio económico que ocasiona para el declarado responsable, es alegada en prácticamente todos los escritos de alegaciones recibidos por la AEPD, por lo que este organismo se ve obligado en muchas ocasiones, a determinar si la previsión del artículo 45.5 es o no aplicable. Es ciertamente complicado exponer la doctrina de la AEPD en relación a qué circunstancias objetivas que le han llevado a apreciar la disminución de la sanción, pero sí que puede decirse que la AEPD acostumbra a considerar positivamente la diligencia del responsable en aplicar la normativa (por ejemplo que exista un plan para la implementación de la normativa aunque no esté implementado al cien por cien) y en tomar de forma inmediata acciones correctoras, en caso de incumplimientos. Así mismo en el ámbito de las razones objeto de rechazo se incluyen por ejemplo, ni la ausencia de intencionalidad (recordemos que la responsabilidad se basa en criterios objetivos), ni la falta de beneficio para el responsable (esta circunstancia ya se prevé en la graduación de la sanción) o, como en algunos casos se ha alegado, el hecho que la no aplicación de la disminución de la sanción implicaría el cese de actividad de la empresa responsable de la infracción.
5.3 Prescripción de las infracciones.
El artículo 47.1 LOPD nos habla de las prescripciones de las infracciones, y dispone concretamente que las muy graves lo harán a los tres años, las graves a los dos años y las leves al año. El régimen de prescripción de las infracciones establecido por la LSSICE (art. 45) y la LGT (art. 57) es exactamente el mismo que en la LOPD, con el único cambio en la prescripción de las infracciones leves que prescribirán al cabo de seis meses (art. 57).
Cuando de las actuaciones previas se concluya que ha prescrito la infracción, el órgano competente acordará la no procedencia de iniciar el procedimiento sancionador. En caso de que se haya iniciado ya el procedimiento, debería acordarse su archivo, o si se hubiera interpuesto recurso contencioso debería estimarse la impugnación por entender que la resolución impugnada se habría dictado fuera de plazo.
5.4. Cómputo del plazo de prescripción.
Según el art. 47.2 LOPD, el plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.
En algunas ocasiones, en el caso de las llamadas infracciones permanentes, el inicio del cómputo de prescripción deberá contarse desde el momento en que la infracción deje de cometerse, como es el caso de la incorporación a registros o ficheros y el mantenimiento de los datos, que da lugar a cometer infracciones continuadas en las que el plazo prescriptivo no empieza a computarse mientras se mantiene la infracción.
5.5. Interrupción del plazo de prescripción.
Según el art. 47.3 LOPD, la prescripción se interrumpirá con la iniciación del procedimiento sancionador (o las actuaciones previas), reanudándose el plazo de prescripción si el expediente sancionador estuviese paralizado durante más de seis meses por causas no imputables al presunto infractor.
5.6. Prescripción de las sanciones.
En artículo 47.4, podemos encontrar los plazos de prescripción de las sanciones, que corresponden con las del art. 132.1 de la Ley 30/1992: Tres años para las muy graves, dos para las graves y una para las leves. En este caso el régimen de prescripción de las sanciones establecidos en la LSSICE y la LGT, es el mismo que el de la LOPD.
El párrafo 5 del mismo artículo afirma que el inicio del plazo de prescripción de las sanciones comienza desde que adquiera firmeza la resolución que imponga la sanción y sólo se interrumpirá mediante la iniciación del procedimiento de ejecución, volviendo a computarse si se paraliza el procedimiento por más de seis meses por causa no imputable al infractor.
Víctor Roselló Mallol.
Abogado. Especialista en Protección de Datos.
