El Consejo Europeo de Protección de Datos (EDPB) adoptó nuevas pautas el 24 de mayo para administrar mejor las multas otorgadas a las empresas que infringen …
El Consejo Europeo de Protección de Datos (EDPB) adoptó nuevas directrices el 24 de mayo para gestionar mejor las multas impuestas a las empresas que infringen el Reglamento General de Protección de Datos (GDPR). En Francia, es la Comisión Nacional de Informática y Libertades (CNIL) la que decide si concede o no estas sanciones económicas.
El SEPD ayuda a los reguladores europeos a sancionar correctamente a las empresas infractoras
La primera de las dos directrices tiene como objetivo «armonizar los métodos de cálculo de las multas administrativas que puedan imponer las autoridades nacionales, » a saber, la CNIL en suelo francés. Como dice un comunicado de prensa, el 12 de mayo de 2022 se aprobó por primera vez una primera versión. Incluían la presentación de un método de cálculo de cinco pasos:
- El establecimiento de todos los supuestos de conducta punible a fin de saber si dieron lugar a una o más infracciones;
- El establecimiento de un monto mínimo, considerado como punto de partida para el cálculo de la multa, y definido por la autoridad nacional;
- Tener en cuenta los factores agravantes o atenuantes;
- Determinar los topes legales de las multas para que los montos otorgados no los excedan;
- Analizar si el monto final cumple con los requisitos de eficacia, disuasión, proporcionalidad según el contexto y la empresa. Ajuste el valor si es necesario.
Si estos cinco pasos constituyen la base de la directriz sobre el cálculo de las multas administrativas, el Comité Europeo quería que la población europea pudiera dar su opinión. Como resultado, se lanzó una consulta pública del 12 de mayo al 27 de junio de 2022. Resultó en la provisión de una tabla de referencia para ayudar a las autoridades a analizar mejor la gravedad de un delito en correlación con la facturación de la empresa objetivo.
Las autoridades nacionales tienen la oportunidad de dar su opinión sobre un proyecto de sanción
La segunda directriz arroja luz sobre el procedimiento para adoptar una decisión vinculante por parte del SEPD. Fue en abril de 2021 que el Comité adoptó la primera versión de esta medida destinada a » aclarar el procedimiento para resolver disputas entre las autoridades de protección de datos «.
Insta encarecidamente a las autoridades nacionales a cumplir con el artículo 65.1.a del RGPD. En términos concretos, cuando uno o varios reguladores nacionales formulan una objeción pertinente y motivada a un proyecto de decisión de la autoridad de referencia, es decir, aquella en la que se encuentra el domicilio social europeo de la empresa, se adopta una decisión vinculante. Esto obliga a la autoridad principal a considerar todas las objeciones para tomar su decisión final.
Sin embargo, siempre es este regulador quien tiene la última palabra en el establecimiento de sanciones. En una línea similar, el Tribunal de Justicia de la Unión Europea (TJUE) falló recientemente a favor de las grandes tecnologías tras el deseo de KommAustria de regularlas más severamente. A partir de ahora, los reguladores de los países miembros de la UE no podrán dictar obligaciones más severas que las vigentes en el país donde se encuentra la sede del gigante tecnológico.