Carlos B Fernández. Durante el año 2018 la Agencia Española de Protección de Datos (AEPD), dictó 907 resoluciones sancionadoras, de las cuales 434 impusieron una sanción económica, por un volumen total de casi 13 millones de euros (12.824.454).
En otros 377 casos los expedientes concluyeron con un apercibimiento, y en 96 se dictó resolución de infracción por parte de alguna Administración Pública (que ni con la antigua ni con la nueva LOPD (LA LEY 19303/2018) pueden ser sancionadas económicamente). Así consta en el balance de actuación 2018 hecho público por la Agencia coincidiendo con el Día Internacional de la Protección de Datos.
Según este balance, los procedimientos sancionadores se incoaron, principalmente, por contratación fraudulenta, inclusión indebida en ficheros de morosidad, videoviligancia, spam, publicidad (excluyendo el spam), servicios de internet, reclamación de deudas, telecomunicaciones, administración pública y sanidad. Pero, según destaca la AEPD, solo la inserción indebida en ficheros de morosidad y la contratación representan los dos tercios del importe total de las sanciones impuestas, con un importe total de 8.750.003 euros.
Se trata de expedientes basados en reclamaciones de los ciudadanos relacionadas con la suplantación de su identidad en la contratación de servicios de telecomunicaciones, financieros o asimilados (como los microcréditos), que deriva en situaciones como la facturación de servicios que no se han contratado, en la ausencia de requerimiento de pago de los mismos y en la inclusión en los ficheros comunes de morosidad sin tener constancia de la certeza, exigibilidad o exactitud de la deuda.
En concreto, los expedientes por contratación fraudulenta de servicios representaron un 38% del total y dieron lugar a sanciones por importe de 4.979.200 euros y los de inclusión indebida en ficheros de morosos dieron lugar a un 29% de los casos, dando lugar a sanciones por importe de 3.770.803 euros.
Aunque estas cifras indican que el importe medio de las sanciones económicas impuestas por la AEPD durante 2018 está próximo a los 30.000 euros, no puede olvidarse que el pasado 15 de marzo la Agencia impuso la mayor sanción de toda su historia. Se trató de un expediente sancionador abierto a WhatsApp y a Facebook y que concluyó en la imposición de dos sanciones de 300.000 euros cada una, por sendas infracciones muy graves de la LOPD. Una a WhatsApp por comunicar datos a Facebook sin haber obtenido para ello un consentimiento válido de los usuarios, y otra a Facebook por tratar esos datos para sus propios fines sin su consentimiento.
Resolución de reclamaciones por el DPO
El informe recoge igualmente que durante 2018 las reclamaciones planteadas ante la Agencia ascendieron a algo más de 14.000 (14.146), incrementándose un 32.8% respecto al año anterior. Pero resulta llamativo observar que mientras que entre el 1 de enero y el 24 de mayo (antes del comienzo de la aplicación del RGPD), las reclamaciones apenas habían aumentado un 10% respecto del año anterior (pasando de 4.550 a 5.036), entre el 25 de mayo y el 31 de diciembre (ya con la plena aplicabilidad del Reglamento), las reclamaciones aumentaron un 50%, hasta alcanzar el porcentaje próximo al 33% final a que nos hemos referido.
Estas reclamaciones se refirieron principalmente a las mismas materias que ya se venían produciendo en los años anteriores: inclusión en ficheros de morosidad, videovigilancia, servicios de internet, reclamación de deudas, administración pública, Sanidad, publicidad (excepto spam), comercios, transporte y hostelería.
La Agencia destaca además que tras el comienzo de la aplicabilidad del RGPD, ha empezado a funcionar el sistema de resolución de reclamaciones tras haberlas remitidas al responsable o al delegado de protección datos (DPO). Este mecanismo ha permitido que dos de cada tres reclamaciones que se envían al responsable o al DPO se resuelven de forma satisfactoria para el particular (en concreto 575 de 863). Además, en un 70% de los casos en los cien primeros días desde la reclamación, frente a los más de 200 días de media con el modelo anterior.
Por otra parte, la Agencia recuerda que el hecho de que se traslade la reclamación al responsable o DPO no implica necesariamente que no se vayan a realizar actuaciones a posterior, como, de hecho, está sucediendo en 110 de los 863 expedientes incoados (un 13%).
Reclamaciones por ejercicio de derechos de los ciudadanos
En otro orden de cosas, durante 2018 se recibieron en la Agencia 1.784 reclamaciones sobre ejercicio de derechos, de las cuales casi 200 (191) se refieren al derecho al olvido.
De estas, 74 se han estimado total o parcialmente, 75 han resultado desestimadas en todo o en parte y 42 han resultado inadmitidas.
Y entre las entidades frente a las que se han planeado estas reclamaciones destaca Google y sus empresas asociadas, con un 65% (125 de 191), con el 9% (y 18 reclamaciones), siguen los medios de comunicación, 7% (14) a otros buscadores de Internet y el 6% (13) a las Administraciones públicas.
Designación de DPO
El informe incluye también el dato de los DPO registrados ante la Agencia, que hasta el 31 de diciembre alcanzan los 20.043, de los cuales algo más de 17.000 (17.296) corresponden al sector privado y solo 2.747 al sector público.
Estas cifras levantan inquietud en la AEPD, pues, como manifestó su Directora, Mar España, en una intervención en el IV Encuentro Cumplen de especialistas en cumplimiento normativo, recientemente celebrado en Madrid, “teniendo en cuenta que en nuestro país hay más de tres millones de empresas y unos 20.000 organismos públicos, es evidente que algo pasa".