Real Decreto Ley sobre medidas urgentes para la adaptación del Derecho español al RGPD

El pasado 27 de julio fue aprobado un Real Decreto Ley con el fin de adecuar determinadas cuestiones del RGPD que no son objeto de reserva de ley orgánica pero que son imprescindibles para la adecuación de nuestro ordenamiento jurídico al reglamento europeo de protección de datos.

El Real Decreto Ley comprende catorce artículos cuyo contenido afecta únicamente a aquellas cuestiones que resultan indispensables para la adecuada aplicación en España del RGPD. Mediante los mencionados artículos se introducen las siguientes medidas:

1. Inspección de las infracciones del RGPD: personal competente para el ejercicio de los poderes de investigación otorgado por el RGPD y el alcance de la actividad de investigación llevada a cabo por la Agencia Española de Protección de Datos.
2. Procedimientos aplicables en caso de posible vulneración del RGPD.
3. Régimen sancionador en materia de protección de datos: sujetos responsables, infracciones, prescripción de las infracciones y prescripción de las sanciones.

A continuación, haremos hincapié en esta última medida adoptada sobre el régimen sancionador. Estarán sometidos al régimen sancionador establecido por el RGPD los siguientes sujetos:

1. Los responsables de los tratamientos.
2. Los encargados de los tratamientos.
3. Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
4. Las entidades de certificación.
5. Las entidades acreditadas de supervisión de los códigos de conducta.

Para el delegado de protección de datos no será de aplicación el régimen sancionador en esta materia.

En cuanto a las infracciones, sanciones y su prescripción se establece lo siguiente:

1. Multas administrativas de 10.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía como consecuencia de las siguientes infracciones:
2. Incumplimiento de las obligaciones del responsable y del encargado de tratamiento.
3. Incumplimiento de las obligaciones de los organismos de certificación.
4. Incumplimiento de las obligaciones de la autoridad de control.

Las mencionadas infracciones prescribirán a los dos años.

2. Multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía como consecuencia de las siguientes infracciones:
3. Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento.
4. Los derechos de los interesados.
5. Las transferencias de datos personales a un destinatario de un tercer país o una organización internacional.
6. Toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo a lo establecido por el RGPD.
7. El incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la supresión a los flujos de datos por parte de la autoridad de control o el no facilitar el acceso.
8. Incumplimiento de las resoluciones de la autoridad de control.

Las mencionadas infracciones prescribirán a los tres años.

Asimismo, los plazos de prescripción de las sanciones serán los siguientes:

40. Un año para las sanciones por importe igual o inferior a 40.000€.
41. Dos años para las sanciones por importe comprendido entre 40.001€ y 300.000€.
42. Tres años para las sanciones por importe superior a 300.000€.

Además, el Real Decreto Ley hace especial mención a los contratos de encargo de tratamiento estableciendo que aquellos contratos de encargo de tratamiento que hayan sido suscritos con anterioridad al 25 de mayo de 2018 al amparo de lo dispuesto en la LOPD, mantendrán su vigencia hasta la fecha de vencimiento señalada en los mismos y en caso de haberse pactado de forma indefinida, hasta el 25 de mayo de 2022. Asimismo, durante dichos plazos cualquiera de las partes podrá exigir la modificación del contrato a fin de que el mismo se adecue al RGPD.

Quedarán derogadas todas aquellas normas que se opongan a lo establecido en el Real Decreto Ley, y en especial, quedan derogados los siguientes artículos de la LOPD:

• Artículo 40, relativo a la potestad de inspección
• Título VII (a excepción del artículo 46), relativo a las infracciones y sanciones.

La vigencia del Real Decreto Ley se limita al periodo que medie entre el día siguiente de la Publicación el en BOE y la entrada en vigor de la nueva ley orgánica que se encuentra en tramitación parlamentaria y la cual tiene por objeto la adaptación del ordenamiento jurídico español al RGPD.