Aplicable en España — basado en normativa española (BOE).Quién puede ser sancionado por infringir la normativa de protección de datos, y los dos primeros escalones de gravedad de la infracción
Resumen rápido: El régimen sancionador de la protección de datos es el conjunto de reglas que determinan quién puede ser sancionado por infringir el RGPD y la Ley Orgánica 3/2018 (LOPDGDD), y con qué gravedad se califica cada infracción. Según el artículo 70 LOPDGDD, están sujetos a este régimen los responsables del tratamiento, los encargados del tratamiento, los representantes de responsables o encargados no establecidos en la Unión Europea, las entidades de certificación y las entidades acreditadas de supervisión de códigos de conducta.
Definición flash: El régimen sancionador de la LOPDGDD alcanza a responsables, encargados y representantes del tratamiento, con infracciones muy graves (prescriben a los 3 años) y graves (a los 2).
Etiqueta lingüística
"Sancionador" distingue este régimen del de responsabilidad civil por daños: aquí el sujeto pasivo es el infractor frente a la autoridad de protección de datos (la AEPD), no frente a la persona afectada por el tratamiento indebido, aunque ambas vías pueden concurrir sobre los mismos hechos.
Definición técnica
El delegado de protección de datos queda expresamente excluido del régimen sancionador (art. 70.2 LOPDGDD): su función es de asesoramiento y supervisión interna, no de responsabilidad directa por las infracciones del responsable o encargado.
La LOPDGDD desarrolla, en función de lo que establece el artículo 83.4 del RGPD, el catálogo de infracciones graves, que prescriben a los dos años (art. 73 LOPDGDD): entre ellas, tratar datos de un menor sin el consentimiento exigido por el art. 8 RGPD, no acreditar esfuerzos razonables para verificar ese consentimiento, obstaculizar reiteradamente el ejercicio de derechos, no adoptar las medidas técnicas y organizativas de protección de datos desde el diseño y por defecto (art. 25 RGPD), no garantizar un nivel de seguridad adecuado al riesgo (art. 32 RGPD), no designar representante en la UE cuando es obligatorio, o subcontratar el tratamiento sin las garantías o el contrato escrito exigidos por el art. 28 RGPD.
Un escalón por encima están las infracciones muy graves, que prescriben a los tres años: suponen una vulneración sustancial de los preceptos del art. 83.5 RGPD, como el tratamiento sin base de licitud válida, la vulneración de los principios y garantías del art. 5 RGPD, o el tratamiento de categorías especiales de datos sin que concurra ninguna de las circunstancias que lo permiten.
Aplicación práctica
La calificación de una infracción como grave o muy grave no es una etiqueta abstracta: determina el plazo de prescripción de la infracción (dos años frente a tres) y, junto con los criterios de graduación del propio RGPD (naturaleza, gravedad y duración de la infracción, carácter intencional o negligente, medidas adoptadas para paliar los daños, entre otros), condiciona la cuantía de la multa que puede llegar a imponerse.
Contexto legal en España
El régimen sancionador se regula en el Título IX de la LOPDGDD, en desarrollo del artículo 83 del RGPD: el artículo 70 fija los sujetos responsables, y los artículos 72 y 73 clasifican, respectivamente, las infracciones muy graves y las graves.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Régimen sancionador penal
- El incumplimiento de la normativa de protección de datos se sanciona por regla general por vía administrativa (Título IX LOPDGDD, con la AEPD como autoridad de control). Solo determinadas conductas especialmente graves -como el descubrimiento y revelación de secretos del art. 197 del Código Penal- pueden constituir además delito, con su propio régimen y sin que uno excluya necesariamente al otro.
Dato de autoridad
El artículo 70.1 de la LOPDGDD dispone: «Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica: a) Los responsables de los tratamientos. b) Los encargados de los tratamientos [...]»
Preguntas frecuentes sobre régimen sancionador (protección de datos)
¿Puede sancionarse al delegado de protección de datos?
No por el régimen sancionador del Título IX LOPDGDD: el artículo 70.2 lo excluye expresamente. La responsabilidad recae en el responsable o el encargado del tratamiento, no en quien ejerce la función de asesoramiento y supervisión del delegado.
¿Cuándo prescribe una infracción grave frente a una muy grave?
Las infracciones graves prescriben a los dos años (art. 73 LOPDGDD) y las muy graves a los tres (art. 72 LOPDGDD), en desarrollo de lo que fija el artículo 83 del RGPD.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.