|
1
|
Naturaleza, gravedad y duración de la infracción |
Al margen de la aparente contradicción en clasificación de infracciones graves y leves en el RGPD (LA LEY 6637/2016)
y leves, graves y muy graves en el Anteproyecto de LOPD, las autoridades de supervisión tendrán que evaluar, separada o conjuntamente: a) por una parte, si se ha producido una infracción y; b) por otra parte, la sanción, ya sea una multa administrativa u otra, pudiendo ser esta última independiente o complementaria a la primera.
La gravedad de la infracción debe evaluarse en combinación con otros factores, incluyendo el GT29 en sus directrices los relativos al número de afectados, a la finalidad del tratamiento y al daño.
El GT29 considera que la duración puede ser indicativa de: a) una conducta intencionada del responsable del tratamiento, b) un fallo en la adopción de medidas preventivas apropiadas, o c) la incapacidad de adoptar las medidas técnicas y organizativas requeridas
|
|
2
|
Intencionalidad o negligencia en la infracción |
Un ejemplo de infracción intencional que se apunta en las directrices es el relativo a la venta de datos personales para fines de marketing cuando se haga como si se hubiera obtenido el consentimiento (opt-in) sin comprobar o desatendiendo las consideraciones de los interesados sobre cómo deberían ser utilizados sus datos. |
|
3
|
Cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados |
El GT29 apunta que la adopción de medidas o la falta de adopción de las mismas debe ser tenido en consideración por la autoridad de supervisión al decidir sobre la medida correctiva y el cálculo de la sanción que se imponga. |
|
4
|
Grado de responsabilidad del responsable o encargado del tratamiento, según medidas técnicas u organizativas que hayan aplicado ex arts. 25 (LA LEY 6637/2016) y 32 RGPD (LA LEY 6637/2016)
|
El GT29 destaca que el RGPD (LA LEY 6637/2016) ha introducido un nivel mucho mayor de responsabilidad (accountability) para el responsable. Se concreta en la adopción de medidas técnicas y organizativas e implica que debe evaluar de manera constante los medios a los que recurre sobre la base de las conclusiones derivadas de las correspondientes evaluaciones. Hay que preguntarse, en qué medida el responsable «hizo lo que se podía esperar que hiciera» considerando la naturaleza, las finalidades o el tamaño de la organización, en virtud de las obligaciones impuestas por el RGPD (LA LEY 6637/2016), así como las buenas prácticas, los códigos de conducta y las certificaciones. |
|
5
|
Toda infracción anterior cometida por el responsable o el encargado del tratamiento (reincidencia) |
Toda infracción del RGPD (LA LEY 6637/2016), en sentido amplio, sería «relevante», tal y como resalta el GT29, para que la autoridad de supervisión realice su evaluación sobre si el responsable o el encargado del tratamiento tienen un nivel general de conocimiento insuficiente o son indiferentes ante las normas sobre protección de datos personales. |
|
6
|
Grado de cooperación con la autoridad de control para poner remedio a la infracción y mitigar posibles efectos adversos de la infracción |
Según el GT29, y ante el silencio del RGPD (LA LEY 6637/2016), dicha cooperación se deberá tener en consideración por las autoridades de supervisión a la hora de calcular la multa administrativa que se impondrá.
No obstante, cuando el responsable del tratamiento adopte medidas para evitar consecuencias en los derechos de las personas o minimizar el impacto que su infracción hubiera tenido en otro caso, entonces sí se tendrá en consideración para decidir sobre el tipo de medida correctiva sobre el mismo.
|
|
7
|
Categorías de los datos de carácter personal afectados por la infracción |
El GT29 incluye cuestiones tales como si los datos personales están directamente disponibles sin medidas técnicas de protección o si se han cifrado, siendo esto más bien una cuestión relativa a las medidas técnicas que hubieran adoptado el responsable y encargado del tratamiento para proteger los datos personales y no a las categorías de datos personales afectados por la infracción |
|
8
|
Forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida |
En particular, el GT29 indica: a) por una parte, que la mera notificación de una violación de la seguridad de los datos personales no puede ser considerada como una atenuante o factor que mitigue la sanción por tratarse del cumplimiento de una obligación y; b) por otra parte, que debe considerarse la falta negligente de notificación o una notificación incompleta no puede dar lugar a que se cualifique la infracción como leve. |
|
9
|
Cumplimiento de las medidas del art. 58.2 RGPD (LA LEY 6637/2016), cuando hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto |
El GT29 recuerda a las autoridades de supervisión que tengan en cuenta las medidas previas que hubieran adoptado en relación con el responsable o encargado del tratamiento, así como los contactos previos, haciendo referencia expresa al delegado de protección de datos |
|
10
|
Adhesión a códigos de conducta o a mecanismos de certificación |
Como se ha señalado en el criterio 4, demuestran el grado de compromiso del responsable y encargado de tratamiento. Se regulan en los arts. 40 (LA LEY 6637/2016) y 42 RGPD (LA LEY 6637/2016), respectivamente. |
|
11
|
Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso. |
Por ejemplo, indica el GT29, los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con esta previsión, el GT29 destaca que la obtención de un beneficio económico puede ser una prueba relevante de que debería imponerse una multa. |