La DPC, las multas y su papel

La Data Protection Commission

La DPC es la autoridad irlandesa independiente de protección de datos, creada por la Data Protection Act 2018. Muchas grandes empresas tecnológicas tienen su sede europea en Irlanda, por lo que la DPC es también la autoridad principal en muchos casos transfronterizos. Para los empleadores corrientes, su labor incluye:

• publicar orientaciones y fomentar la concienciación;
• tramitar las reclamaciones del público (a menudo intenta resolverlas primero de manera informal);
• realizar investigaciones y auditorías;
• usar poderes de investigación, como exigir información, interrogar a personas y entrar en locales;
• usar poderes correctivos del artículo 58, como apercibimientos, reprimendas, órdenes de cumplimiento, prohibiciones temporales o definitivas del tratamiento y multas;
• perseguir ciertos delitos, como las infracciones de las ePrivacy Regulations.

Multas

Según el artículo 83, la multa administrativa máxima es:

• hasta 10 millones de € o el 2 % del volumen de negocio anual mundial, lo que sea mayor, por infracciones como no notificar una violación de seguridad, fallos de seguridad o no llevar los registros;
• hasta 20 millones de € o el 4 % del volumen de negocio anual mundial, lo que sea mayor, por infracciones de los principios, de las reglas sobre bases jurídicas o de los derechos de las personas.

Las multas deben ser «efectivas, proporcionadas y disuasorias». La DPC tiene en cuenta la naturaleza, la gravedad y la duración de la infracción, si fue deliberada, lo que se hizo para limitar el daño, la cooperación de la organización y sus antecedentes.

Organismos públicos

Según el artículo 141 de la Data Protection Act 2018, la DPC también puede multar a las autoridades y organismos públicos que no actúen como empresas comerciales, con un tope de 1 millón de €. Por tanto, los organismos públicos no están exentos.

Confirmación judicial

La organización puede recurrir una multa de la DPC ante los tribunales en el plazo de 28 días (artículo 142). Si no la recurre, la DPC debe pedir a la Circuit Court (tribunal de circuito irlandés) que la confirme (artículo 143). Una multa solo surte efecto cuando un tribunal la ha confirmado.

Indemnización y acciones judiciales

Las personas pueden reclamar una indemnización por los daños, incluidos los morales, como la angustia sufrida, mediante una acción de protección de datos ante los tribunales (artículo 117 de la ley de 2018 y artículo 82 del RGPD).

Delitos

La Data Protection Act 2018 tipifica delitos, entre ellos:

• Artículo 145: obtener datos personales sin la autorización previa del responsable o del encargado y revelarlos a otra persona, y vender esos datos u ofrecerlos en venta. En procedimiento sumario, la pena es una multa de clase A o hasta 12 meses de prisión, o ambas; en procedimiento por acusación formal (on indictment), una multa de hasta 50.000 € o hasta 5 años de prisión, o ambas.
• Artículo 144: comunicación por un encargado, o por su empleado, sin la autorización previa del responsable.
• Artículo 146: los directivos de una empresa pueden responder cuando el delito de la empresa se deba a su consentimiento, connivencia o negligencia.

Según las ePrivacy Regulations 2011, cada mensaje de marketing no solicitado es un delito distinto, con una multa de hasta 5.000 € en procedimiento sumario. En procedimiento por acusación formal el límite es de 50.000 € para una persona y de 250.000 € para una empresa.

Un empleado puede responder personalmente, y ser sancionado por su empleador, por acceder a datos o comunicarlos sin autorización.

Su papel

No tiene que ser un experto. Todo miembro del personal debe:

1. Seguir las políticas de protección de datos del empleador y las instrucciones de su puesto.
2. Usar los datos personales solo para su trabajo.
3. Protegerlos (lección 5).
4. Reconocer las solicitudes de derechos y trasladarlas el mismo día (lección 4).
5. Avisar de las violaciones de seguridad, de los casi incidentes y de los dispositivos perdidos de inmediato (lección 6).
6. Preguntar al DPD o a su responsable si tiene dudas.
7. No acceder nunca a datos por curiosidad ni llevárselos al dejar un empleo.

Lo que su empleador debe seguir haciendo

Este curso enseña las reglas generales. No sustituye lo que el empleador debe hacer por su cuenta. Su empleador debe facilitarle:

• sus propias políticas de protección de datos y procedimientos (seguridad, conservación, teletrabajo, control);
• cláusulas informativas para clientes y personal;
• registros de actividades de tratamiento cuando se exijan (artículo 30);
• instrucción específica para su puesto, por ejemplo en recursos humanos, marketing, finanzas, salud o atención al cliente;
• los datos de contacto de su DPD o del responsable de protección de datos, si lo hay, y la publicación de los datos del DPD cuando sea obligatorio tenerlo;
• un procedimiento para violaciones de seguridad y una forma de atender las solicitudes de derechos;
• contratos con los encargados y EIPD cuando haga falta.

La ley no señala un curso ni un certificado concretos. Su empleador decide qué formación es suficiente para su puesto.

Qué debe recordar

• La DPC puede investigar y multar: hasta 20 millones de € o el 4 % del volumen de negocio, y hasta 1 millón de € a los organismos públicos.
• Las multas solo surten efecto cuando un tribunal las confirma. Las personas también pueden reclamar una indemnización.
• Comunicar datos obtenidos sin autorización es un delito.
• Su parte: cumplir las reglas, proteger los datos, reconocer las solicitudes de derechos, avisar de las violaciones de seguridad y preguntar cuando tenga dudas.