En España, las Administraciones públicas, los organismos públicos y las entidades de derecho público no son sancionados con multas económicas por incumplir la normativa de protección de datos.
El artículo 77.2 de la LOPDGDD establece que, cuando estos entes públicos cometen una infracción, la AEPD o la autoridad autonómica competente declarará la infracción y ordenará las medidas correctoras necesarias para que cese la conducta o se subsanen sus efectos. En la práctica, esto se traduce en un apercibimiento. Este régimen fue introducido por la disposición final novena, apartado nueve, de la Ley 11/2023, de 8 de mayo.
Esta medida es legal, en la medida en que se ampara en el artículo 83.7 del RGPD, que permite a cada Estado miembro decidir si impone o no multas a sus propias Administraciones y organismos públicos. Ahora bien, que sea legal no significa necesariamente que sea justa. A diferencia de España, otros Estados miembros como Portugal, Francia o Alemania optaron por imponerles multas.
Esta situación anómala genera una percepción de “dos velocidades” en la protección de datos. Al no existir un riesgo económico serio, muchas autoridades no priorizan suficientemente esta materia. En cambio, los particulares y las empresas sí estamos obligados a cumplir la misma normativa, bajo amenaza de sanciones económicas, y no precisamente pequeñas.
Conclusión
El legislador, es decir, el poder político, sabe que el nivel de incumplimiento en las Administraciones públicas es muy alto, especialmente en las entidades locales. Basta revisar el listado de afectados por ciberataques que dejo enlazado aquí. Por ello, optó por un enfoque más “pedagógico” que sancionador. Es más cómodo evitar ese conflicto.
El argumento para justificar esta opción es que si se multa, por ejemplo, a un ayuntamiento, el importe de la sanción saldría de los presupuestos públicos y, en consecuencia, reduciría su capacidad de actuación. Sin embargo, las Administraciones públicas ya pagan indemnizaciones con cargo a sus presupuestos, por ejemplo, a los ciudadanos por funcionamiento anormal de sus servicios, y nadie sostiene por ello que deba quedar excluida la responsabilidad.
La realidad es que, en materia de protección de datos, muchas Administraciones y sus responsables actúan con sensación de impunidad, porque las consecuencias son irrisorias: un apercibimiento no deja de ser poco más que una llamada al orden, un tirón de orejas sin efectos realmente disuasorios, y así nos va.
De poco sirve que empresas y particulares nos esforcemos en proteger la información personal que tratamos si una brecha de seguridad en una administración pública termina dejándola expuesta.
