Antecedentes
El pasado 13 de febrero, el TJUE resolvió la cuestión prejudicial planteada en el Asunto C-383/23. La entidad, filial de un grupo de empresas del sector mobiliario, había sido sancionada por incumplir las disposiciones del RGPD respecto a la conservación de datos de al menos 350.000 antiguos clientes.
El tribunal de primera instancia cuantificó la multa sobre la base del volumen de negocio únicamente de la filial. La resolución fue recurrida por el Ministerio Fiscal argumentando que la cuantificación de la multa debe realizarse sobre la base del volumen de negocio anual de la totalidad del grupo de empresas al que pertenece la filial. Ello con base en el considerando 150 del RGPD, del que se desprende que el concepto de empresa utilizado en el artículo 83, apartados 4, 5 y 6 RGPD debe entenderse en el sentido de los artículos 101 y 102 TFUE.
El Tribunal de Apelación de la Región Oeste de Dinamarca, que conoce del recurso, decidió elevar al TJUE la cuestión prejudicial objeto de la sentencia, solicitando aclaraciones sobre la correcta interpretación del concepto de “empresa” recogido en el artículo 83, apartados 4, 5 y 6, sobre cuál es la cifra de volumen de negocio que debe utilizarse para la cuantificación de las sanciones a empresas que forman parte de un grupo societario.
Respuesta a las cuestiones prejudiciales
El TJUE hace referencia a la interpretación del artículo 83 RGPD que llevó a cabo en la sentencia Deutsche Wohnen, y reitera que el concepto de “empresa” recogido en los apartados 4, 5 y 6 de dicho artículo debe interpretarse en el sentido de los artículos 101 y 102 TFUE, es decir, en concordancia con el Derecho de Competencia de la Unión Europea. Así, en aplicación de las normas de competencia el concepto de “empresa” se refiere a “cualquier entidad que ejerza una actividad económica, con independencia del estatuto jurídico de esa entidad y de su modo de financiación. Designa, así, una unidad económica, aunque, desde el punto de vista jurídico, dicha unidad económica esté constituida por varias personas físicas o jurídicas”.
La aplicación de este concepto de “empresa” en la determinación de la cuantía de una sanción es analizado por el TJUE a la luz de los dos elementos clave de la cuantificación de las sanciones que distingue el RGPD:
- Por un lado, la determinación del importe máximo de la sanción, donde entran en juego los apartados 4, 5 y 6 del artículo 83 RGPD;
- Y, por otro lado, la determinación de la cuantía efectiva de la sanción, donde se deben tener en cuenta una serie de circunstancias específicas a considerar en el caso concreto, recogidas en los apartados 2 y 3 del artículo 83 RGPD (naturaleza, gravedad y duración de la sanción, número de afectados, medidas adoptadas por el responsable para paliar los daños y perjuicios, etc.). Frente a los apartados 4,5 y 6, que sí hacen referencia expresa a la utilización del volumen de negocio anual de la “empresa” para determinar la cuantía máxima de la multa (en su caso), los citados apartados 2 y 3 no recogen como circunstancia específica reguladora de la cuantía efectiva la valoración del volumen de negocio de la “empresa” sancionada.
El TJUE recuerda que el artículo 83.1 RGPD recoge la obligación, dirigida a las autoridades de control, de garantizar que las multas impuestas sean en cada caso individual efectivas, proporcionadas y disuasorias. Para cumplir dichos requisitos establece que, a la hora de determinar la cuantía efectiva de la multa, además de tener en cuenta los elementos individuales de la infracción (art. 83.2 y 3 RGPD), es necesario valorar la capacidad económica real o material del destinatario. Por tanto, es necesario evaluar si el destinatario de la sanción entra en el concepto de “empresa” del Derecho de Competencia europeo referido anteriormente, y si es así, se deberá tomar en consideración para la determinación efectiva de la sanción el volumen de negocio anual global de todo el grupo de empresas.
Las Conclusiones del Abogado General ofrecen una delimitación más precisa de los casos en los que debe considerar que una empresa entra dentro de este concepto. Establece que se deben valorar los siguientes elementos:
- “Evaluarse si la sociedad matriz ha ejercido su poder de toma de decisiones con respecto a actividades específicas del responsable o encargado del tratamiento de que se trate en la infracción o infracciones del RGPD”
- “Examinar si el concreto tratamiento de datos que infringe el RGPD afecta a la sociedad en cuestión o a todo el grupo”.
- “Determinar si más de una sociedad que forme parte del grupo participó en la infracción o infracciones del RGPD”.
El TJUE subraya que esta interpretación es coherente con el principio de proporcionalidad, ya que requiere alcanzar un justo equilibrio entre las exigencias del interés general en materia de protección de datos personales y la salvaguardia de los derechos del responsable del tratamiento o de la empresa de la que forman parte.
En conclusión
Esta sentencia del TJUE supone una nueva matización de la jurisprudencia europea en materia de cuantificación de las sanciones del RGPD y confirma lo establecido por el EDPB en sus Directrices 04/2022 y el criterio seguido en algunas ocasiones por Autoridades de control Europeas. Como muestra la AEPD, que se ha basado en el volumen de negocio global del grupo de empresas para sancionar a empresas filiales, (entre otras, PS/00043/2023, PS/00046/2021 y PS/00027/2021).
Pero este criterio no es uniforme en la AEPD. En el mismo día de la publicación de la sentencia, la AEPD ha hecho públicas las resoluciones sancionadoras impuestas a las diferentes Entidades del Grupo Caja Rural por una misma brecha de datos de la proveedora de servicios informáticos del Grupo (RURAL SERVICIOS INFORMÁTICOS, S.L).
Pese a no existir duda sobre la pertenencia de todas ellas a un mismo grupo empresarial (solicitando incluso la acumulación de los procedimientos por existir intima conexión e identidad sustancial de los hechos objeto de infracción) la AEPD no toma en consideración el volumen de negocio global del grupo del ejercicio anterior, sino el de cada una de las entidades imponiendo consecuentemente las sanciones con base a dicha cifra.
Puede descargar el documento aquí.
Para más información, puede contactar con:
legaltech@es.andersen.com
