Cuando una empresa gestiona mal los datos personales en Europa, las consecuencias se rigen por un marco bastante sencillo. Comprender las sanciones y los niveles de multas del RGPD ayuda a explicar por qué los reguladores actúan como lo hacen, y también muestra a las personas comunes qué herramientas tienen cuando una empresa lo hace mal. Esta guía, basada en una visión general reciente de LegalHelp, recorre cómo se estructuran las multas, cómo funciona la aplicación de la ley y qué opciones existen más allá de las propias sanciones del regulador.

Cómo funcionan las sanciones y los niveles de multas del RGPD

El Reglamento General de Protección de Datos divide sus multas administrativas máximas en dos niveles, establecidos en el artículo 83.

  • Nivel inferior: hasta 10 millones de euros o el 2 % del volumen de negocios anual total mundial de una empresa, lo que sea mayor.
  • Nivel superior: hasta 20 millones de euros o el 4 % del volumen de negocios anual mundial, lo que sea mayor.

Dos detalles importan aquí. Primero, estos son techos, no precios fijos. Los reguladores calculan el importe real caso por caso, por lo que una multa puede quedar muy por debajo del máximo. Segundo, la expresión "lo que sea mayor" significa que el porcentaje puede superar la cifra fija en euros para grandes empresas multinacionales. Un límite fijo por sí solo sería un error de redondeo para una empresa con ingresos enormes, y la opción basada en el volumen de negocios es lo que da verdadero peso a las normas a esa escala.

El nivel superior generalmente se reserva para las infracciones más graves. El nivel inferior cubre fallos menos serios. En la práctica, el nivel en el que se encuadra un caso indica cuán seriamente ve el regulador la conducta.

Qué revelan los grandes casos de aplicación sobre la gestión indebida de datos

Los niveles de multas parecen abstractos hasta que se ven aplicados. Los casos de aplicación muestran qué tipos de fallos atraen la mayor atención y cómo los reguladores sopesan las circunstancias al fijar un importe.

Nuestra cobertura de la multa de 825 M€ del RGPD a Uber es un ejemplo útil de cómo se conjuga una sanción en el extremo superior de la escala y qué señala a otras empresas que gestionan datos transfronterizos. Los datos de menores son otra área bajo fuerte escrutinio. Nuestro artículo sobre por qué el cumplimiento de casilla de verificación fracasa bajo las normas del RGPD sobre datos de menores muestra que los reguladores cada vez miran más allá del papeleo y se fijan en lo que las organizaciones realmente hacen con la información personal.

El hilo común es que los reguladores se centran en la práctica del mundo real. Una política de privacidad que existe sobre el papel no protege a una empresa si su gestión real de datos se queda corta.

Cómo presentar una reclamación ante tu autoridad de protección de datos

Las multas las imponen los reguladores, pero los reguladores a menudo se enteran de los problemas porque las personas los denuncian. Si crees que una organización ha hecho un uso indebido de tus datos, generalmente tienes derecho a presentar una reclamación ante una autoridad de protección de datos (APD). El proceso exacto varía según el país, por lo que el mejor punto de partida es el sitio web de la APD de tu propio Estado miembro de la UE.

Algunos pasos prácticos suelen hacer más sólida una reclamación:

  1. Empieza por la empresa. Envía una solicitud por escrito preguntando qué datos tiene sobre ti, cómo se utilizan y con quién se comparten. Guarda una copia y la fecha en que la enviaste.
  2. Reúne pruebas. Guarda correos electrónicos, capturas de pantalla, páginas de cuenta y cualquier respuesta que recibas, incluida la falta de respuesta.
  3. Sé específico. Describe qué ocurrió, cuándo ocurrió y cuáles de tus datos estuvieron implicados.
  4. Preséntala ante la autoridad correcta. Utiliza el formulario de reclamación o el canal de contacto de tu APD nacional y adjunta tu documentación.

Una reclamación no garantiza una multa. El regulador decide si investigar y qué medidas, en su caso, tomar. Pero las reclamaciones son parte de cómo salen a la luz los patrones de conducta indebida.

Más allá de las multas: demandas privadas y recursos de las empresas

Las multas administrativas son solo una parte del panorama. La visión general de LegalHelp también cubre las facultades de aplicación más allá de las multas, las demandas privadas y las opciones de recurso.

Del lado individual, las personas que han sido perjudicadas por una infracción pueden ser capaces de reclamar compensación a través de los tribunales. Esta vía es independiente de la multa de un regulador: el dinero de una sanción administrativa no va a la persona afectada. Si estás considerando acciones legales, es prudente hablar con un abogado cualificado en tu jurisdicción, ya que las normas y los procedimientos difieren.

Del lado de la empresa, las organizaciones que reciben una sanción normalmente pueden impugnarla. Eso significa que una multa de titular no siempre es la última palabra, y los importes o las conclusiones pueden ser objeto de controversia. Los lectores que sigan un caso importante deberían tratar el primer anuncio como una etapa de un proceso más largo.

Qué significa esto para ti

La estructura de dos niveles puede parecer un asunto para los equipos de cumplimiento corporativo, pero moldea tu poder de negociación como individuo. Como las sanciones pueden alcanzar el 2 % o el 4 % del volumen de negocios global, las empresas tienen una fuerte razón financiera para responder cuando las autoridades de protección de datos intervienen. Tu reclamación o solicitud de acceso alimenta ese sistema.

Esto se aplica incluso si no estás en la UE en tu vida diaria. Muchos servicios globales gestionan los datos de residentes europeos, y las normas están diseñadas para seguir a los datos. Una VPN u otras herramientas de privacidad pueden reducir cuánta información expones, pero los derechos legales cubren lo que ocurre con los datos una vez que una empresa ya los tiene. Los dos enfoques funcionan mejor juntos.

Puntos clave

  • Las sanciones y los niveles de multas del RGPD están limitados a 10 millones de euros o el 2 % del volumen de negocios mundial (nivel inferior) y 20 millones de euros o el 4 % (nivel superior), lo que sea mayor.
  • Esas cifras son máximos. Los reguladores fijan las multas reales según las particularidades de cada caso.
  • Puedes enviar una solicitud de acceso a una empresa y, si es necesario, presentar una reclamación ante tu autoridad nacional de protección de datos.
  • Las reclamaciones de compensación a través de los tribunales son independientes de las multas regulatorias, y las empresas pueden recurrir las sanciones.

Si una organización ha gestionado mal tus datos, utiliza estos derechos. Envía la solicitud de acceso, documenta la respuesta y presenta una reclamación si se queda corta. Para ver cómo se desarrolla la aplicación en la práctica, lee nuestro análisis de la multa a Uber y nuestro informe sobre las normas de datos de menores.