1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.
Artículo 83 RGPD - Condiciones generales para la imposición de multas administrativas
2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.
3. Si un responsable o un encargado del tratamiento incumpliera de forma intencionada o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas, diversas disposiciones del presente Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía prevista para las infracciones más graves.
4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
b) las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
c) las obligaciones del organismo de supervisión a tenor del artículo 41, apartado 4.
5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;
c) las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
d) toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
e) el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1.
6. El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.
7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.
8. El ejercicio por una autoridad de control de sus poderes en virtud del presente artículo estará sujeto a garantías procesales adecuadas de conformidad con el Derecho de la Unión y de los Estados miembros, entre ellas la tutela judicial efectiva y el respeto de las garantías procesales.
9. Cuando el ordenamiento jurídico de un Estado miembro no establezca multas administrativas, el presente artículo podrá aplicarse de tal modo que la incoación de la multa corresponda a la autoridad de control competente y su imposición a los tribunales nacionales competentes, garantizando al mismo tiempo que estas vías de derecho sean efectivas y tengan un efecto equivalente a las multas administrativas impuestas por las autoridades de control. En cualquier caso, las multas impuestas serán efectivas, proporcionadas y disuasorias. Los Estados miembros de que se trate notificarán a la Comisión las disposiciones legislativas que adopten en virtud del presente apartado a más tardar el 25 de mayo de 2018 y, sin dilación, cualquier ley de modificación o modificación posterior que les sea aplicable.
Preguntas frecuentes
Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.
El apartado 1 exige que las multas sean en cada caso individual efectivas, proporcionadas y disuasorias. Conforme al apartado 2 pueden imponerse a título adicional o sustitutivo de las medidas correctivas enumeradas en el artículo 58, apartado 2, letras a) a h) y j), de modo que la autoridad de control nunca está obligada a elegir entre multar y ordenar el cumplimiento.
El apartado 4 limita las multas a 10 000 000 EUR como máximo o, tratándose de una empresa, al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, para las infracciones de las obligaciones del responsable y del encargado del tratamiento a tenor de los artículos 8, 11, 25 a 39, 42 y 43, así como de las obligaciones de los organismos de certificación y del organismo de supervisión. El apartado 5 duplica el techo hasta 20 000 000 EUR o el 4 % para las infracciones de los principios básicos, incluidas las condiciones para el consentimiento (artículos 5, 6, 7 y 9), de los derechos de los interesados (artículos 12 a 22), de las normas sobre transferencias (artículos 44 a 49), de las obligaciones nacionales adoptadas con arreglo al capítulo IX y del incumplimiento de las resoluciones de la autoridad de control, y el apartado 6 aplica el mismo techo al incumplimiento de una resolución a tenor del artículo 58, apartado 2.
El apartado 2 enumera los elementos que deben tenerse debidamente en cuenta, entre ellos la naturaleza, gravedad y duración de la infracción, su carácter intencionado o negligente, las medidas adoptadas para paliar los daños, el grado de responsabilidad habida cuenta de las medidas aplicadas en virtud de los artículos 25 y 32, las infracciones anteriores, la cooperación con la autoridad, las categorías de datos afectados, la forma en que se tuvo conocimiento de la infracción, el cumplimiento de medidas ordenadas previamente, la adhesión a códigos de conducta o a mecanismos de certificación aprobados y cualquier otro factor agravante o atenuante, como los beneficios financieros obtenidos. La valoración es expresamente caso por caso.
Cuando un responsable o un encargado del tratamiento incumple de forma intencionada o negligente diversas disposiciones para las mismas operaciones de tratamiento u operaciones vinculadas, el apartado 3 limita la cuantía total de la multa a la cuantía prevista para las infracciones más graves. Los máximos individuales no se suman por tanto sin más en el caso de conductas conexas.
No del todo. El apartado 7 permite a cada Estado miembro decidir si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en él, y el apartado 9 acomoda los ordenamientos jurídicos que no establecen multas administrativas al permitir que la incoación de la multa corresponda a la autoridad de control y su imposición a los tribunales nacionales, siempre que esas vías de derecho tengan un efecto equivalente y sigan siendo efectivas, proporcionadas y disuasorias.