Esta última lección reúne lo que está en juego cuando no se cumplen las normas y explica qué corresponde al empleador, haya o no un curso como este.
La CNPD y sus poderes
La CNPD controla y supervisa el cumplimiento del RGPD y de la Lei n.º 58/2019 (artículo 4 de la ley) y actúa con independencia. Puede, conforme al artículo 58 del RGPD:
- realizar investigaciones y auditorías y exigir información;
- emitir advertencias y apercibimientos;
- ordenar que se respeten los derechos de los interesados o que el tratamiento se ajuste a las normas;
- limitar o prohibir el tratamiento, de forma temporal o definitiva;
- imponer multas.
Todas las entidades públicas y privadas tienen el deber de colaborar con la CNPD, facilitándole la información solicitada y permitiéndole examinar sistemas y documentos (artículo 8 de la Lei n.º 58/2019).
Multas
El RGPD (artículo 83) fija multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial y, en las infracciones más graves, de hasta 20 millones de euros o el 4 %, optándose por la cuantía más alta. La Lei n.º 58/2019 clasifica las infracciones:
- infracciones muy graves (artículo 37): por ejemplo tratar datos sin base jurídica, tratar categorías especiales de datos sin una excepción aplicable, o no permitir o dificultar el ejercicio de los derechos de los interesados;
- infracciones graves (artículo 38): por ejemplo fallos de seguridad, no notificar violaciones de seguridad, no llevar el registro de actividades, incumplir las normas de videovigilancia del artículo 19.
La ley fija también importes de multa según el tamaño de la entidad y normas propias para su graduación. La CNPD declaró que no aplica esas normas, por considerarlas contrarias al RGPD, y aplica directamente los límites y los criterios del artículo 83 del RGPD (Deliberação n.º 2019/494). Entre esos criterios están la naturaleza, la gravedad y la duración de la infracción, el carácter doloso o negligente y las medidas adoptadas para paliar los daños.
Las multas se aplican por igual a las entidades públicas y privadas (artículo 44, apartado 1). La ley previó que las entidades públicas pudieran pedir a la CNPD la dispensa de multas durante tres años desde su entrada en vigor, pero ese plazo ya ha terminado.
Delitos
La Lei n.º 58/2019 prevé delitos (artículos 46 a 54). Algunos ejemplos, con la pena de prisión o de multa:
- utilización de datos de forma incompatible con la finalidad de la recogida: prisión de hasta 1 año o multa de hasta 120 días;
- acceso indebido, sin autorización ni justificación: prisión de hasta 1 año o multa de hasta 120 días;
- falseamiento o destrucción de datos: prisión de hasta 2 años o multa de hasta 240 días;
- violación del deber de secreto, por quien está obligado al secreto profesional;
- desobediencia a las órdenes de la CNPD.
Si los datos son de categorías especiales (artículos 9 y 10 del RGPD), las penas se agravan al doble en sus límites en varios de estos delitos. Puede responder penalmente la persona que comete el acto, y no solo la empresa.
Responsabilidad civil y disciplinaria
Quien sufre daños por un tratamiento ilícito tiene derecho a una indemnización (artículo 82 del RGPD y artículo 33 de la Lei n.º 58/2019). El incumplimiento grave de los deberes laborales puede dar lugar también a un procedimiento disciplinario, conforme al Código do Trabalho.
Qué debe hacer el empleador
Este curso es una introducción general. No sustituye las obligaciones del empleador, que incluyen:
- políticas e instrucciones internas, e instrucciones específicas para cada puesto y sistema;
- informar a los trabajadores y a los interesados sobre el tratamiento (artículos 13 y 14 del RGPD);
- registro de las actividades de tratamiento, cuando sea obligatorio (artículo 30);
- contratos con los encargados del tratamiento (artículo 28) y medidas de seguridad (artículo 32);
- procedimientos para las violaciones de seguridad y para las solicitudes de los interesados;
- designar un delegado de protección de datos y hacer público su contacto, cuando sea obligatorio. Es obligatorio en las entidades públicas (artículo 12 de la Lei n.º 58/2019) y, en las privadas, cuando la actividad principal implica un seguimiento regular y sistemático a gran escala o un tratamiento a gran escala de datos de categoría especial (artículo 13).
Corresponde al empleador decidir si este curso responde a las necesidades de formación de la empresa.
Resumen: use solo lo que necesite, proteja lo que tenga, avise cuando algo salga mal y pregunte ante la duda.