Fecha: Septiembre de 2008
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: La Tribuna del Derecho.
Puede descargarse este artículo en su edición impresa pulsando
aquí.
Uno de los procedimientos más importantes que pueden sustanciarse ante la Agencia Española de Protección de Datos (AEPD) es el llamado “procedimiento sancionador”.
Su regulación básica se encuentra en los artículos 40 y 48 de la L.O. 15/1999, de 13 de diciembre, y 120 y siguientes del nuevo Reglamento de desarrollo de la citada Ley (R.D. 1720/2007, de 21 de diciembre), remitiendo la aplicación con carácter supletorio, tanto de la Ley 30/1992, de 26 de noviembre, (artículos 127 a 138), como del Reglamento del procedimiento para el ejercicio de la potestad sancionadora (R.D. 1398/1993, de 4 de agosto).
Antes de iniciarse un “procedimiento sancionador” como tal, es posible que, por parte de la AEPD, se realicen actuaciones previas al objeto de fijar los hechos e identificar a la persona u órgano que pudiera resultar responsable de vulnerar la normativa de protección de datos. Estas actuaciones previas pueden llevarse a cabo de oficio, bien por propia iniciativa de la Agencia, o como consecuencia de una denuncia o una petición de otro órgano. Estas actuaciones pueden consistir en la exhibición de documentos (justificantes de inscripción de ficheros en el Registro, del Documento de seguridad, o de los contratos de acceso a datos por cuenta de terceros…), la solicitud de aclaraciones o informaciones que se consideren necesarias, el examen de los equipos informáticos o archivos objeto de investigación allí donde se encuentren, pudiendo requerirse incluso la ejecución de programas informáticos. En el desarrollo de estas actuaciones es posible que los inspectores designados realicen visitas de inspección en los locales del responsable del fichero, e incluso en los de los “encargados del tratamiento”.
Estas inspecciones concluirán con el levantamiento de un acta, pudiendo el responsable alegar o manifestar lo que estime conveniente. La firma de la misma sólo supone justificar la recepción de la misma, sin que implique estar conforme con lo que allí se dice. Todas estas actuaciones previas no pueden durar más de 12 meses desde la fecha de la denuncia, en su caso, o desde que lo acordase el propio Director de la Agencia.
En cuanto al personal competente para su realización, la regla general es que se lleven a cabo por parte de inspectores de la AEPD habilitados para ello, aunque excepcionalmente el Director de la Agencia puede designar a funcionarios de la propia Agencia no habilitados como inspectores, o, incluso, a funcionarios ajenos a la AEPD que “reúnan las condiciones de idoneidad y especialización necesarias”. En todos los casos, tendrán la consideración de autoridad pública en el desempeño de sus cometidos.
Finalizadas las actuaciones previas, si de ellas no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director dictará una resolución donde señalará el archivo de las actuaciones, notificándose a las partes. Si por el contrario, pudiera imputarse alguna infracción procederá a acordar el inicio de un procedimiento sancionador, identificándose a los presuntos responsables, describiéndose los hechos imputados, su calificación jurídica, las posibles sanciones aplicables, pudiendo adoptar alguna medida de carácter provisional o de naturaleza cautelar, como lo es por ejemplo, la inmovilización de los ficheros, en supuestos de infracciones muy graves.
El acuerdo de inicio del procedimiento debe notificarse al denunciante y a los interesados, entendiéndose en todo caso por tal al inculpado. A continuación, disponen de un plazo de 15 días para formular alegaciones y proponer las pruebas que consideren. Esta audiencia al interesado se repite con motivo de la notificación de la propuesta de resolución que debe determinar los hechos probados, la valoración de las pruebas, circunstancias agravantes y atenuantes, la calificación jurídica, la identificación del responsable, y como parte dispositiva, la imposición de sanción o declaración de no existencia de infracción o responsabilidad. Cabe además, que se determinen los daños y perjuicios ocasionados, con la consiguiente obligación de satisfacción de los mismos.
Con independencia de que pueden realizarse actuaciones complementarias, tras formularse por el instructor propuesta de resolución y tras notificar y dar audiencia a los interesados, se procederá a dictar la resolución del expediente, publicándose la misma en el sitio web de la Agencia, en el plazo de un mes desde que se notificó. Trascurridos 6 meses desde la iniciación sin dictarse resolución expresa, y teniendo en cuenta las posibles interrupciones de su cómputo por causas imputables a los interesados (o por otra causa, como por ejemplo, existencia de un proceso penal), se producirá la caducidad del procedimiento y el archivo de las actuaciones.
Contra la resolución de la AEPD que pone fin a la vía administrativa los interesados pueden interponer, potestativamente, recurso de reposición ante el Director de la Agencia en el plazo de un mes o, directamente, recurso contencioso administrativo ante la Sala correspondiente de la Audiencia Nacional, en el plazo de 2 meses, a contar desde el día siguiente a la notificación de la misma.
En la Memoria de la AEPD correspondiente al año 2007, se señala que en el año pasado se realizaron 1.263 actuaciones previas de inspección, iniciándose 535 procedimientos sancionadores. El montante económico de las sanciones impuestas por la Agencia superó los 19 millones y medio de euros, comparativamente casi un 20 % menos que en el período anterior.
Su regulación básica se encuentra en los artículos 40 y 48 de la L.O. 15/1999, de 13 de diciembre, y 120 y siguientes del nuevo Reglamento de desarrollo de la citada Ley (R.D. 1720/2007, de 21 de diciembre), remitiendo la aplicación con carácter supletorio, tanto de la Ley 30/1992, de 26 de noviembre, (artículos 127 a 138), como del Reglamento del procedimiento para el ejercicio de la potestad sancionadora (R.D. 1398/1993, de 4 de agosto).
Antes de iniciarse un “procedimiento sancionador” como tal, es posible que, por parte de la AEPD, se realicen actuaciones previas al objeto de fijar los hechos e identificar a la persona u órgano que pudiera resultar responsable de vulnerar la normativa de protección de datos. Estas actuaciones previas pueden llevarse a cabo de oficio, bien por propia iniciativa de la Agencia, o como consecuencia de una denuncia o una petición de otro órgano. Estas actuaciones pueden consistir en la exhibición de documentos (justificantes de inscripción de ficheros en el Registro, del Documento de seguridad, o de los contratos de acceso a datos por cuenta de terceros…), la solicitud de aclaraciones o informaciones que se consideren necesarias, el examen de los equipos informáticos o archivos objeto de investigación allí donde se encuentren, pudiendo requerirse incluso la ejecución de programas informáticos. En el desarrollo de estas actuaciones es posible que los inspectores designados realicen visitas de inspección en los locales del responsable del fichero, e incluso en los de los “encargados del tratamiento”.
Estas inspecciones concluirán con el levantamiento de un acta, pudiendo el responsable alegar o manifestar lo que estime conveniente. La firma de la misma sólo supone justificar la recepción de la misma, sin que implique estar conforme con lo que allí se dice. Todas estas actuaciones previas no pueden durar más de 12 meses desde la fecha de la denuncia, en su caso, o desde que lo acordase el propio Director de la Agencia.
En cuanto al personal competente para su realización, la regla general es que se lleven a cabo por parte de inspectores de la AEPD habilitados para ello, aunque excepcionalmente el Director de la Agencia puede designar a funcionarios de la propia Agencia no habilitados como inspectores, o, incluso, a funcionarios ajenos a la AEPD que “reúnan las condiciones de idoneidad y especialización necesarias”. En todos los casos, tendrán la consideración de autoridad pública en el desempeño de sus cometidos.
Finalizadas las actuaciones previas, si de ellas no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director dictará una resolución donde señalará el archivo de las actuaciones, notificándose a las partes. Si por el contrario, pudiera imputarse alguna infracción procederá a acordar el inicio de un procedimiento sancionador, identificándose a los presuntos responsables, describiéndose los hechos imputados, su calificación jurídica, las posibles sanciones aplicables, pudiendo adoptar alguna medida de carácter provisional o de naturaleza cautelar, como lo es por ejemplo, la inmovilización de los ficheros, en supuestos de infracciones muy graves.
El acuerdo de inicio del procedimiento debe notificarse al denunciante y a los interesados, entendiéndose en todo caso por tal al inculpado. A continuación, disponen de un plazo de 15 días para formular alegaciones y proponer las pruebas que consideren. Esta audiencia al interesado se repite con motivo de la notificación de la propuesta de resolución que debe determinar los hechos probados, la valoración de las pruebas, circunstancias agravantes y atenuantes, la calificación jurídica, la identificación del responsable, y como parte dispositiva, la imposición de sanción o declaración de no existencia de infracción o responsabilidad. Cabe además, que se determinen los daños y perjuicios ocasionados, con la consiguiente obligación de satisfacción de los mismos.
Con independencia de que pueden realizarse actuaciones complementarias, tras formularse por el instructor propuesta de resolución y tras notificar y dar audiencia a los interesados, se procederá a dictar la resolución del expediente, publicándose la misma en el sitio web de la Agencia, en el plazo de un mes desde que se notificó. Trascurridos 6 meses desde la iniciación sin dictarse resolución expresa, y teniendo en cuenta las posibles interrupciones de su cómputo por causas imputables a los interesados (o por otra causa, como por ejemplo, existencia de un proceso penal), se producirá la caducidad del procedimiento y el archivo de las actuaciones.
Contra la resolución de la AEPD que pone fin a la vía administrativa los interesados pueden interponer, potestativamente, recurso de reposición ante el Director de la Agencia en el plazo de un mes o, directamente, recurso contencioso administrativo ante la Sala correspondiente de la Audiencia Nacional, en el plazo de 2 meses, a contar desde el día siguiente a la notificación de la misma.
En la Memoria de la AEPD correspondiente al año 2007, se señala que en el año pasado se realizaron 1.263 actuaciones previas de inspección, iniciándose 535 procedimientos sancionadores. El montante económico de las sanciones impuestas por la Agencia superó los 19 millones y medio de euros, comparativamente casi un 20 % menos que en el período anterior.
