Otras disposiciones introducidas por el Real Decreto-ley aprobado el pasado 27 de julio son las relativas al establecimiento del régimen sancionador en materia de protección de datos.
Se identifican como sujetos responsables, y, por tanto, sujetos al régimen sancionador, además de los responsables y encargados del tratamiento, también los responsables los representantes de los responsables o encargados del tratamiento no establecidos en el territorio de la UE, las entidades de certificación y las entidades acreditadas de supervisión de códigos de conducta.
Se excluye de forma expresa la aplicación del régimen sancionador al delegado de protección de datos.
En cuanto a las infracciones, se establecen los plazos de prescripción de las mismas:
– Prescribirán a los tres años las infracciones relativas a:
a. los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento: principios relativos al tratamiento, licitud del tratamiento, condiciones para el consentimiento y tratamiento de categorías especiales de datos personales (arts. 5, 6 7 y 9 RGPD)
b. los derechos de los interesados en relación a la Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado (arts. 12 a 22 RGPD).
c. las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49 RGPD;
d. toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX RGPD sobre disposiciones relativas a situaciones específicas de tratamiento (tratamiento y libertad de expresión y de información, tratamiento y acceso del público a documentos oficiales, tratamiento del número nacional de identificación, tratamiento en el ámbito laboral, garantías y excepciones aplicables al tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, obligaciones de secreto, normas vigentes sobre protección de datos de las iglesias y asociaciones religiosas)
e. el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control, o el no facilitar acceso para el ejercicio de la actividad de investigación. (art. 58. 1 y 58.2)
f. el incumplimiento de las resoluciones de la autoridad de control. (art. 58.1)
– Prescribirán a los dos años las infracciones relativas a:
a. las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información, tratamiento que no requiere identificación, protección de datos desde el diseño y por defecto, obligaciones relativas a encargados del tratamiento, llevanza del registro de actividades, cooperación con la autoridad de control, seguridad de los tratamientos y los datos personales, notificación de violaciones de seguridad, evaluaciones de impacto, nombramiento de Delegado de Protección de Datos)
b. las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
c. las obligaciones de la autoridad de control sobre la supervisión de los códigos de conducta a tenor del artículo 41.4.
La prescripción se verá interrumpida por la iniciación, con conocimiento del interesado, del procedimiento sancionador, reiniciándose el plazo si el mismo estuviere paralizado durante más de seis meses por causa no imputable al presunto infractor.
La prescripción de las sanciones se establece en los siguientes plazos:
a) Un año para las sanciones por importe igual o inferior a 40.000 euros.
b) Dos años para las sanciones por importe comprendido entre 40.001 y 300.000 euros.
c) Tres años para las sanciones por un importe superior a 300.000 euros.
El plazo de prescripción se contará desde el día siguiente a aquel en que sea ejecutable la resolución por la que se impone la sanción o haya transcurrido el plazo para recurrirla.
La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, reiniciándose el plazo si el mismo se paraliza durante más de seis meses por causa no imputable al infractor.
Artículo escrito por Noelia Mudarra, abogada en Metricson.