¿Cómo defenderse ante una sanción sobre protección de datos?

I. ¿En qué consiste la defensa contra una sanción sobre protección de datos?

La defensa frente a una sanción de la Agencia Española de Protección de Datos (en adelante, AEPD) comprende un conjunto de actuaciones jurídicas, técnicas y probatorias dirigidas a acreditar que la entidad o profesional investigado actuó conforme a la normativa aplicable, o bien a poner de manifiesto defectos procedimentales, falta de culpabilidad, ausencia de proporcionalidad o circunstancias atenuantes que permitan obtener el archivo del expediente o la reducción de la sanción.

En este ámbito, Administrativando Abogados cuenta con una sólida especialización en protección de datos y en procedimientos sancionadores ante la AEPD, prestando asesoramiento tanto a particulares como a empresas frente a reclamaciones, brechas de seguridad, ejercicio de derechos por los interesados y eventuales incumplimientos normativos. En este Short, nuestro socio director, Antonio Benítez Ostos, explica el alcance de este servicio y la importancia de contar con un criterio jurídico especializado en un entorno digital cada vez más exigente desde el punto de vista legal y regulatorio.

II. ¿Cómo defenderse ante una sanción sobre protección de datos?

Si la AEPD aprecia indicios de infracción, notificará el acuerdo de inicio del procedimiento sancionador al presunto infractor.

1. Desde ese momento se abre una primera fase de defensa en vía administrativa ante la propia Agencia, en la que el presunto responsable podrá formular alegaciones dentro del plazo conferido en la notificación —habitualmente diez días hábiles—. En este trámite resulta esencial impugnar los hechos imputados, cuestionar la calificación jurídica de la infracción, aportar documentación acreditativa, proponer los medios de prueba pertinentes y, en su caso, invocar la ausencia de culpabilidad, la adopción de medidas correctoras, la proporcionalidad o la concurrencia de circunstancias atenuantes.
2. Una vez dictada la resolución sancionadora, que pone fin a la vía administrativa, el afectado podrá interponer recurso potestativo de reposición ante la propia AEPD, en el plazo de un mes, o acudir directamente a la jurisdicción contencioso-administrativa mediante el correspondiente recurso, en el plazo general de dos meses.
3. El recurso de reposición debe revestir un carácter estrictamente técnico, pues no basta con manifestar una mera disconformidad con la sanción, sino que resulta necesario fundamentar jurídicamente los vicios de la resolución, identificar la normativa infringida, valorar la prueba practicada y, cuando proceda, invocar la jurisprudencia aplicable.
4. Si se interpone recurso potestativo de reposición, la AEPD dispone de un mes para dictar y notificar resolución. Transcurrido dicho plazo sin respuesta, el recurso puede entenderse desestimado por silencio administrativo, quedando abierta la vía jurisdiccional.
5. Asimismo, de forma excepcional, podrá interponerse recurso extraordinario de revisión contra actos administrativos firmes cuando concurra alguna de las circunstancias tasadas en el artículo 125 de la Ley 39/2015. Si transcurren tres meses desde su interposición sin que se haya dictado y notificado resolución, el recurso se entenderá desestimado.
6. En sede judicial, la impugnación de las resoluciones sancionadoras de la AEPD corresponde, con carácter general, a la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.
7. El recurso contencioso-administrativo deberá interponerse en el plazo de dos meses desde el día siguiente a la notificación de la resolución sancionadora o, en su caso, desde la notificación de la desestimación expresa del recurso de reposición.
8. Cuando la desestimación del recurso de reposición se produzca por silencio administrativo, debe tenerse en cuenta que, aunque el artículo 46.1 de la LJCA contempla un plazo para los actos presuntos, la doctrina constitucional y jurisprudencial ha rechazado una aplicación rígida de dicho plazo en perjuicio del interesado, al entender que el silencio negativo constituye una ficción legal destinada a permitir el acceso a la jurisdicción, y no una verdadera resolución expresa. Para actuar ante la Audiencia Nacional resulta preceptiva la intervención de abogado y procurador.

III. ¿Cómo se estructura la defensa judicial ante una sanción sobre protección de datos?

El procedimiento como defenderse ante una sanción sobre protección de datos frente la Audiencia Nacional, se estructura o desarrolla de la manera siguiente:

1. La defensa frente a una sanción de la AEPD ante la Audiencia Nacional se articula, en primer lugar, mediante la interposición del recurso contencioso-administrativo. En esta fase inicial se presenta un escrito de interposición en el que se identifica el acto recurrido —la resolución sancionadora dictada por la AEPD— y se solicita que el órgano judicial reclame el expediente administrativo a la Agencia, sin desarrollar todavía los argumentos de fondo de la impugnación.
2. Una vez recibido el expediente administrativo, la Audiencia Nacional dará traslado del mismo a la representación procesal de la parte recurrente. Desde dicha notificación comenzará el plazo de veinte días hábiles para formalizar la demanda, escrito en el que deberán exponerse de forma ordenada los hechos, fundamentos jurídicos y pretensiones que sustentan la impugnación, incluyendo, en su caso, la falta de culpabilidad, los defectos procedimentales, la insuficiencia probatoria, la indebida calificación de la infracción o la desproporción de la sanción impuesta.
3. Posteriormente, la Abogacía del Estado, en defensa de la AEPD, formulará su escrito de contestación a la demanda. Si existen hechos controvertidos y alguna de las partes lo solicita, el órgano judicial podrá acordar el recibimiento del pleito a prueba, fase especialmente relevante cuando resulte necesario aportar informes periciales, documentación técnica o prueba informática destinada a acreditar, por ejemplo, la suficiencia de las medidas de seguridad implantadas, la diligencia del responsable del tratamiento o la inexistencia de la infracción imputada.
4. Evacuado, en su caso, el trámite de conclusiones, el órgano jurisdiccional procederá a la deliberación, votación y fallo, dictando sentencia. Esta podrá estimar total o parcialmente el recurso —declarando la nulidad de la resolución sancionadora, reduciendo la cuantía de la multa o reconociendo otros efectos jurídicos procedentes—, o bien desestimarlo, confirmando la actuación administrativa impugnada.

IV. Argumentos sobre los cuales se puede fundamentar la defensa ante una sanción sobre protección de datos

La defensa contra una sanción de la AEPD no es una simple declaración de inocencia, la misma se debe fundamentar, en:

1. Defectos de Forma.

Esta estrategia se centra en la fiscalización del procedimiento de la propia AEPD con el objeto de advertir vicios formales que determinen la nulidad radical de la sanción por imperativo legal, prescindiendo del debate sobre el fondo del asunto técnico o de los datos:

1. Excepción de caducidad: El procedimiento sancionador de la AEPD está sujeto a un plazo de caducidad perentorio de 9 meses. Si el organismo excede dicho término entre la incoación y la notificación de la resolución, la defensa se limitará a constatar la pérdida de vigencia de la acción y a solicitar el archivo de las actuaciones.
2. Excepción de Prescripción: Acreditar que las conductas objeto de sanción acaecieron con anterioridad a los plazos de prescripción que el ordenamiento prevé para la potestad punitiva de la AEPD (1 año para infracciones leves, 2 para graves y 3 para muy graves).
3. Vulneración del Derecho a la Defensa –Indefensión-: Si en sede administrativa se rechazaron medios probatorios determinantes o se restringió el acceso íntegro a las actuaciones, se invocará la vulneración del derecho a la tutela judicial efectiva y a un proceso con todas las garantías (Artículo 24 Constitución Española).

2. El fondo del asunto.

Se orienta a desvirtuar el elemento de culpabilidad o la propia materialidad de la infracción, vertebrando la argumentación en las disposiciones del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (en lo sucesivo, RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales:

1. Acreditación de la diligencia debida: Consiste en desestimar el dolo o la negligencia demostrando que la quiebra de seguridad o el incidente de privacidad trae causa de un caso fortuito o del actuar imprevisible de un tercero. A tal efecto, se aportarán elementos de convicción que certifiquen la preexistencia de medidas técnicas y organizativas idóneas -tales como el cifrado de la información, auditorías periódicas de sistemas y políticas de privacidad unívocas-.
2. Atipicidad o error en la calificación jurídica: Sostener la falta de subsunción de los hechos materiales en el tipo infractor invocado por la AEPD o, subsidiariamente, que se ha calificado erróneamente como «grave» una conducta cuyos elementos constitutivos determinan su consideración como «leve».
3. Inexistencia del Hecho Imputado: Acreditando mediante soporte documental fehaciente que los cargos en los que se fundamenta la denuncia son materialmente falsos o inexactos, demostrando la efectiva prestación del consentimiento expreso del afectado.

Ahora bien, si los hechos que constituyen la infracción son innegables, la defensa debe enfocarse en reducir el importe de la multa económica. Para ello, es necesario alegar explícitamente las reglas de moderación que obligan a la AEPD a respetar los principios de proporcionalidad y no confiscatoriedad, a tales fines, se debe:

1. Justificar que, tan pronto como se detectó la incidencia o brecha de seguridad, la entidad adoptó medidas correctoras inmediatas y efectivas para minimizar las consecuencias del daño.
2. Acreditar que no existió intencionalidad, probando que el suceso fue el resultado de un error humano o técnico de naturaleza fortuita y puntual. Asimismo, se debe aportar el historial de la organización para constatar que no existen sanciones previas ante la AEPD.
3. Demostrar mediante pruebas documentales que la infracción cometida no generó ninguna ganancia económica, lucro directo ni ventaja comercial para el responsable del tratamiento.

En conclusión, la defensa frente a un procedimiento sancionador de la AEPD no debe plantearse como una batalla perdida, sino como un ejercicio riguroso de estrategia procesal. Incluso cuando la infracción es evidente y no es posible discutir la responsabilidad, el ordenamiento jurídico español ofrece mecanismos sólidos para combatir la desproporción.

Además, te puede interesar:

• ¿En qué consiste el derecho de protección de datos?
• Abogados expertos en Protección de datos