Aplicable en España — basado en normativa española (BOE).Quién puede ser sancionado por infringir la normativa de protección de datos, y los dos primeros escalones de gravedad de la infracción
Resumen rápido: El régimen sancionador de la protección de datos es el conjunto de reglas que determinan quién puede ser sancionado por infringir el RGPD y la Ley Orgánica 3/2018 (LOPDGDD), y con qué gravedad se califica cada infracción. Según el artículo 70 LOPDGDD, están sujetos a este régimen los responsables del tratamiento, los encargados del tratamiento, los representantes de responsables o encargados no establecidos en la Unión Europea, las entidades de certificación y las entidades acreditadas de supervisión de códigos de conducta.
Definición flash: Régimen sancionador de la LOPDGDD: responden responsables, encargados y representantes; las infracciones prescriben a los 3, 2 o 1 años según su gravedad.
Etiqueta lingüística
"Sancionador" distingue este régimen del de responsabilidad civil por daños: aquí el sujeto pasivo es el infractor frente a la autoridad de protección de datos (la AEPD), no frente a la persona afectada por el tratamiento indebido, aunque ambas vías pueden concurrir sobre los mismos hechos.
Definición técnica
El delegado de protección de datos queda expresamente excluido del régimen sancionador (art. 70.2 LOPDGDD): su función es de asesoramiento y supervisión interna, no de responsabilidad directa por las infracciones del responsable o encargado.
La LOPDGDD desarrolla, en función de lo que establece el artículo 83.4 del RGPD, el catálogo de infracciones graves, que prescriben a los dos años (art. 73 LOPDGDD): entre ellas, tratar datos de un menor sin el consentimiento exigido por el art. 8 RGPD, no acreditar esfuerzos razonables para verificar ese consentimiento, obstaculizar o no atender reiteradamente los derechos de acceso, rectificación, supresión, limitación o portabilidad en tratamientos que no requieren identificar al afectado, cuando este ha aportado datos para identificarse (fuera de ese caso, la obstaculización reiterada de los derechos es muy grave, art. 72.1.k), no adoptar las medidas técnicas y organizativas de protección de datos desde el diseño y por defecto (art. 25 RGPD), no garantizar un nivel de seguridad adecuado al riesgo (art. 32 RGPD), no designar representante en la UE cuando es obligatorio, o subcontratar el tratamiento sin las garantías o el contrato escrito exigidos por el art. 28 RGPD.
Un escalón por encima están las infracciones muy graves, que prescriben a los tres años: suponen una vulneración sustancial de los preceptos del art. 83.5 RGPD, como el tratamiento sin base de licitud válida, la vulneración de los principios y garantías del art. 5 RGPD, o el tratamiento de categorías especiales de datos sin que concurra ninguna de las circunstancias que lo permiten; y también el impedimento, la obstaculización o la no atención reiterada del ejercicio de los derechos de los artículos 15 a 22 RGPD (art. 72.1.k). Por debajo de las graves están las leves, que prescriben al año: las restantes infracciones de carácter meramente formal (art. 74).
Aplicación práctica
La calificación de una infracción como grave o muy grave no es una etiqueta abstracta: determina el plazo de prescripción de la infracción (uno, dos o tres años según sea leve, grave o muy grave) y, junto con los criterios de graduación del propio RGPD (naturaleza, gravedad y duración de la infracción, carácter intencional o negligente, medidas adoptadas para paliar los daños, entre otros), condiciona la cuantía de la multa que puede llegar a imponerse.
Contexto legal en España
El régimen sancionador se regula en el Título IX de la LOPDGDD, en desarrollo del artículo 83 del RGPD: el artículo 70 fija los sujetos responsables, y los artículos 72 y 73 clasifican, respectivamente, las infracciones muy graves y las graves.
Normas clave a tener en cuenta
- Ley Orgánica 3/2018, artículo 70 (sujetos responsables)
- Ley Orgánica 3/2018, artículo 72 (infracciones consideradas muy graves)
- Ley Orgánica 3/2018, artículo 73 (infracciones consideradas graves)
- Ley Orgánica 3/2018, artículo 74 (infracciones leves, prescriben al año)
- Ley Orgánica 3/2018, artículo 75 (interrupción de la prescripción de la infracción)
- Ley Orgánica 3/2018, artículo 78 (prescripción de las sanciones)
Qué no es / diferencias clave
- Régimen sancionador penal
- El incumplimiento de la normativa de protección de datos se sanciona por regla general por vía administrativa (Título IX LOPDGDD, con la AEPD como autoridad de control). Solo determinadas conductas especialmente graves -como el descubrimiento y revelación de secretos del art. 197 del Código Penal- pueden constituir además delito, con su propio régimen y sin que uno excluya necesariamente al otro.
Dato de autoridad
El artículo 70.1 de la LOPDGDD dispone: «Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica: a) Los responsables de los tratamientos. b) Los encargados de los tratamientos [...]»
Preguntas frecuentes sobre régimen sancionador (protección de datos)
¿Puede sancionarse al delegado de protección de datos?
No por el régimen sancionador del Título IX LOPDGDD: el artículo 70.2 lo excluye expresamente. La responsabilidad recae en el responsable o el encargado del tratamiento, no en quien ejerce la función de asesoramiento y supervisión del delegado.
¿Cuándo prescribe una infracción grave frente a una muy grave?
Las infracciones graves prescriben a los dos años (art. 73 LOPDGDD), las muy graves a los tres (art. 72) y las leves al año (art. 74). El plazo se interrumpe al iniciarse, con conocimiento del interesado, el procedimiento sancionador, y vuelve a correr si el expediente se paraliza más de seis meses por causa no imputable al presunto infractor (art. 75). Las sanciones ya impuestas prescriben según su importe: al año hasta 40.000 euros, a los dos años entre 40.001 y 300.000 euros y a los tres años por encima de 300.000 euros (art. 78).
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.