TL;DR para el DPD
Cuatro puntos útiles. 1) La responsabilidad de la persona jurídica no exige que la dirección lo supiera: basta la culpa del responsable del tratamiento. 2) Un dictamen jurídico, interno o externo, no protege si la tesis es insostenible, y tener dinero para asesorarse bien se convierte en un argumento en su contra. 3) Una puntuación estadística de probabilidad asociada a una persona identificable es un dato personal aunque sea una estimación. 4) Las imputaciones sobre la EIPD y el registro se anularon por absorción en la infracción principal, pero esos documentos seguían estando mal.
De qué trata el caso
El procedimiento está pendiente desde 2019 y ya había llegado dos veces al Tribunal Supremo Administrativo. Una sociedad - la resolución la mantiene anónima y habla de una empresaria - recogía y gestionaba datos personales de destinatarios de publicidad y los ponía a disposición, a cambio de un precio, de clientes que hacían publicidad, incluida la electoral. Entre mayo de 2018 y febrero de 2019 calculó y conservó, para unos 2,2 millones de personas, las llamadas afinidades de partido: valores estadísticos de probabilidad que indicaban en qué medida una persona podía interesarse por la publicidad de determinados partidos, vendidos en parte a terceros. Además trataba, con fines de marketing y sin consentimiento, datos sobre la frecuencia de paquetes obtenidos de su actividad de reparto.
La autoridad austriaca había impuesto 18 millones de euros más 1,8 millones como contribución a las costas del procedimiento sancionador. El Tribunal Administrativo Federal los redujo a 16 millones y 1,6 millones de costas, archivando la parte sobre las afinidades de mudanza y acotando el periodo imputado para las frecuencias de paquetes, pero confirmando el tratamiento ilícito de las afinidades de partido como categoría especial de datos, junto con los reproches sobre la incorrección de la evaluación de impacto y del registro de actividades de tratamiento.
La defensa: teníamos un programa de cumplimiento
En el recurso la sociedad sostuvo que no había actuado culpablemente: había establecido un sistema de cumplimiento amplio, había hecho verificar la situación jurídica tanto internamente como por expertos, y en aquel momento entendía que los valores de probabilidad calculados estadísticamente no eran datos personales.
Por qué el Tribunal lo rechazó
Sancionar a una persona jurídica no exige acto ni conocimiento por parte de sus órganos de dirección: basta con que el responsable haya actuado con dolo o negligencia. Y el criterio de la culpa es si el responsable podía tener claro el carácter ilícito de su conducta; la conciencia de la infracción no es un presupuesto. Calificar las afinidades de partido como no personales era una posición insostenible: ya antes de 2018 la práctica decisoria de las autoridades había aclarado que una información atribuida a una persona identificable es un dato personal, incluso cuando se basa en estimaciones. Y como la sociedad disponía de medios considerables para la revisión jurídica y aun así interpretó mal la práctica existente, se confirma la negligencia grave.
Es un giro que conviene recordar cuando un cliente dice "pedimos un dictamen". El dictamen no es un escudo: si la tesis estaba fuera de la práctica conocida, la capacidad de contratar buenos asesores se convierte en la razón por la que no hay excusa. El tribunal de instancia había sido aún más directo: el sistema de control interno no había impedido errores jurídicos básicos.
EIPD y registro: caen, pero no porque estuvieran bien
En la evaluación de impacto y en el registro de actividades la sociedad había negado tratar datos de categorías especiales. El Tribunal aprecia aquí una absorción: esos datos no se habían incluido en los documentos como consecuencia de la valoración errónea de que no eran datos personales y, por tanto, tampoco categorías especiales. El desvalor de la infracción de los deberes de documentación queda ya íntegramente cubierto por la sanción del tratamiento ilícito en sí, y una sanción adicional no es admisible. Respecto de esos cargos el procedimiento se archivó.
Cómo se lee esto en la práctica
No espere una sanción autónoma por los artículos 30 y 35 cuando el defecto de los documentos es la consecuencia derivada de un único error de calificación. Pero atención a lo contrario: el registro y la EIPD estaban mal igualmente, y una sola calificación equivocada se propaga a todos los documentos que dependen de ella. Cuando revise un registro, la pregunta útil no es "están rellenadas las entradas" sino "sobre qué calificación se apoyan".
Las costas del procedimiento como sanción encubierta
Entre las atenuantes el Tribunal valoró las medidas adoptadas para prevenir una infracción, las declaraciones de cese entregadas a numerosos interesados y la duración extraordinariamente larga del procedimiento, unos 66 meses. En cambio no consideró necesario contar la ausencia de infracciones previas como atenuante adicional, porque el tribunal de instancia ya la había tratado como falta de un agravante.
El punto más novedoso llega al final: fijar la contribución a las costas del procedimiento en 1,3 millones de euros contradice el Derecho de la Unión, porque conduce a una pena adicional que no puede justificarse materialmente. El Tribunal redujo esa contribución a 100.000 euros.
Qué hacer ahora, en la práctica
1) Busque las puntuaciones en sus clientes: propensión, afinidad, scoring de interés, segmentos calculados. Si están asociadas a una persona identificable son datos personales, aunque sean estimaciones, y si estiman opiniones políticas, salud, religión u orientación sexual son datos del artículo 9. 2) No archive un dictamen jurídico como si fuera una garantía: deje constancia también de la práctica de las autoridades consultada y de la fecha, porque el criterio es si usted podía darse cuenta. 3) Haga la verificación del registro al revés: parta de las calificaciones (dato personal sí o no, categoría especial sí o no) y mire qué entradas y qué EIPD dependen de ellas. Un error arriba produce diez abajo. 4) Si un cliente recibe una sanción con una contribución a costas proporcional al importe, esta resolución es un argumento para impugnarla. 5) Recuerde que la demora de la autoridad favorece al sancionado: 66 meses contaron como atenuante.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
