Las sanciones existen, están tasadas y se aplican. No suelen llegar por una inspección sorpresa, sino por una denuncia de un competidor, de un cliente descontento o de un usuario al que nadie contesto cuando pidio que borraran sus datos.
Sanciones por incumplir la LSSI
La LSSI clasifica las infracciones en leves, graves y muy graves (artículos 38 y 39):
- Leves: hasta 30.000 euros. Aquí entra no publicar los datos identificativos del artículo 10, es decir, no tener aviso legal o tenerlo incompleto.
- Graves: de 30.001 a 150.000 euros. Por ejemplo, el uso de cookies sin cumplir el deber de información y consentimiento cuando hay reiteración, o el envío masivo de comunicaciones comerciales no consentidas.
- Muy graves: de 150.001 a 600.000 euros. Reservadas a incumplimientos reiterados y al desacato de requerimientos.
El órgano competente para sancionar en materia de cookies y comunicaciones comerciales es la Agencia Española de Protección de Datos; para el resto de obligaciones de la LSSI, la Secretaria de Estado de Digitalización e Inteligencia Artificial.
Sanciones por incumplir el RGPD
El artículo 83 del RGPD establece dos niveles:
- Hasta 10 millones de euros o el 2% del volumen de negocio anual global, la cifra que sea mayor: incumplimientos de obligaciones del responsable y del encargado, como no llevar registro de actividades o no tener contrato de encargo.
- Hasta 20 millones de euros o el 4% del volumen de negocio anual global: vulneración de los principios básicos, de las condiciones del consentimiento, de los derechos de los interesados o de las reglas de transferencia internacional. No informar mediante una política de privacidad entra en este segundo grupo, porque afecta al principio de transparencia y al derecho de información.
Estas cifras son los topes del Reglamento, pensados para grandes corporaciones. Para una pyme o un autónomo, las resoluciones de la AEPD por falta de información o por cookies mal implementadas se mueven habitualmente en el rango de los cientos a los pocos miles de euros, y en bastantes casos se resuelven con apercibimiento cuando hay colaboración y se subsana rápido.
Cómo se gradúa la multa
El artículo 83.2 del RGPD y el artículo 76 de la LOPDGDD enumeran los criterios: la naturaleza y gravedad de la infracción, la intencionalidad o negligencia, las medidas adoptadas para paliar los daños, el grado de cooperación con la autoridad, la vinculación de la actividad con el tratamiento de datos, el volumen de negocio y si la infracción es continuada.
Dos de esos criterios están por completo en tu mano: subsanar rápido y cooperar. Publicar los textos que faltan en cuanto llega el requerimiento cambia de forma sustancial el resultado del expediente.
El riesgo que no es una multa
Además de la sanción administrativa hay consecuencias que suelen doler antes:
- Pasarelas de pago y plataformas publicitarias revisan los textos legales antes de aprobar una cuenta, y suspenden las que no los tienen.
- Marketplaces y programas de afiliación exigen aviso legal y política de privacidad visibles.
- Subvenciones y licitaciones piden acreditar el cumplimiento normativo.
- Confianza del cliente: una web sin datos identificables convierte peor.
Lo mínimo razonable
- Aviso legal con los datos del artículo 10 de la LSSI, enlazado en el pie de todas las páginas.
- Política de privacidad con toda la información del artículo 13 del RGPD, enlazada desde cada formulario y con casilla de aceptación no premarcada.
- Política de cookies más un aviso que permita rechazar con la misma facilidad con la que se acepta.
- Si vendes online, condiciones de contratación con el derecho de desistimiento de catorce días.
- Un canal real para atender los derechos: un correo que alguien lea y conteste en plazo.
Los tres primeros los puedes tener publicados hoy mismo con nuestra herramienta gratuita.