2023: UN AÑO DE SANCIONES EN LA AEPD

Esta semana os hablaremos de:

• Revisión de las sanciones en 2023
• Casos relevantes en materia de cookies
• Quién es la AEPD y por qué como empresario te interesa
• Conclusiones

El pasado 11 de abril de 2024 la Agencia Española de Protección de Datos publicó su Memoria de actuación 2023, que recoge las iniciativas de difusión, colaboración e inspección puestos en marcha por la institución. La Memoria repasa los informes, procedimientos y casos más importantes del año, analizando las tendencias normativas y los retos para el siguiente año en todo lo relacionado con la privacidad, a nivel nacional e internacional. Si eres una empresa que trata con datos a través de su web, ¡esto te interesa!

El aspecto más destacable de esta Memoria, y de lo que hoy venimos a hablar aquí, es del aumento considerable de reclamaciones planteadas ante la AEPD. Es cierto que la tendencia era a la alza desde hacía años, pero en 2023 aumentó de forma descomunal.

Revisión de las sanciones en 2023

En cuanto a la gestión de reclamaciones, en 2023 se han presentado ante la Agencia 21.590 reclamaciones, lo que supone un incremento de un 43% respecto a 2022 y un 55% más que en 2021. Así, por tercer año consecutivo, se bate el récord en cuanto al número de reclamaciones recibidas, siendo ya más del doble de las recibidas en 2020. De todas estas, las reclamaciones resueltas también han aumentado (20.391, aumentando un 37%).

En cuanto a las áreas de actividad con mayor importe global de multas son las relacionadas con brechas de datos personales (que pasa de los 821.800 euros en 2022 a 12.907.000 euros en 2023). En 2023 se han notificado más de 2.000 brechas de datos personales, de las que 16 se trasladaron a la Subdirección de Inspección de Datos por requerir una investigación en mayor profundidad. Aún así, sólo en 30 de ellas se obligó al responsable a comunicar el hecho a los afectados.

También lideran esa lista todas las reclamaciones relacionadas con los derechos de protección de datos (que acumularon un importe global de multas de 2.633.400 euros) y los relacionados con servicios de Internet (1.058.700 euros). Esta tendencia cuadra con la anunciada por la European Data Protection Supervisor (EDPS), que también denuncia el aumento de las denuncias en sus canales relacionadas con el derecho de los individuos de acceso a sus datos personales, su derecho de supresión, retención de datos. Para saber más sobre la opinión de esta institución, consulta aquí.

Sanciones más importantes del año 2023 en relación con las cookies

Una de los casos con más impacto fue el caso de una empresa dedicada al ocio, VACACIONES EDREAMS, S.L, que usaba la cookie Google Analytics vulnerando la ley de protección de datos establecida en EU. El uso de esta cookie implica la transferencia de datos a Google LLC en Estados Unidos, una transferencia que según el Tribunal Superior de Justicia (TJUE) el “Escudo de Privacidad” (Privacy Shield) del que gozan las empresas y ciudadanos europeos. Los términos de privacidad y seguridad de datos son mayores (este criterio se estableció en la sentencia C-311/18 “Schrems II”), por lo que no se permite una transferencia de datos automática. Las empresas no pueden transferir datos libremente fuera de la Unión sin garantizar previamente que se cumplen los estándares de protección de datos requeridos por el Reglamento General de Protección de Datos. La empresa vulneró el artículo 44 del Reglamento, que establece los principios para la transferencia de datos personales a países fuera del Espacio Económico Europeo (EEE). Aunque no se impuso una multa en este caso, se ordenó a VACACIONES EDREAMS, S.L. que adaptara su tratamiento de datos para cumplir con el RGPD, especialmente en lo que respecta al uso de Google Analytics. Esto implica ajustar sus prácticas de recopilación, almacenamiento y transferencia de datos para cumplir con los estándares de protección de datos establecidos por la legislación europea.

En otro caso vinculado, el expediente PS/00051/2023 contra GRUPO MASSIMO DUTTI, S.A. dónde destacaba la falta de información adecuada sobre las cookies en su sitio web, violando el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), lo que resultó en una multa de 5.000 euros. Lée más al respecto aquí. Además, en el caso PS/00080/2023 contra CHATWITH.IO WORLDWIDE, S.L., se impuso una multa por deficiencias en la política de cookies y privacidad, así como por no proporcionar información sobre las transferencias internacionales, lo cual contraviene el artículo 13 del RGPD. También se aplicó una multa por obligar a los usuarios a aceptar el tratamiento de datos por interés legítimo sin ofrecer la opción de oponerse o rechazar, infringiendo el artículo 5.1.a) del RGPD.

De características similares, el expediente PS/00345/2022 dirigido al COLEGIO OFICIAL DE ARQUITECTOS DE GRANADA, que impuso una sanción por utilizar cookies de terceros sin contar con el consentimiento del usuario. Esta acción violó el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), resultando en una multa de 1.000 euros.

Quién es la AEPD y por qué te interesa

La Agencia Española de Protección de Datos (AEPD) es la autoridad española encargada de garantizar y supervisar el cumplimiento de la normativa de protección de datos en España. Como empresario, te interesa porque la AEPD tiene la facultad de imponer sanciones y multas a las empresas que no cumplan con las leyes de protección de datos, lo que puede tener un impacto financiero y reputacional significativo en tu negocio. Además, la AEPD ofrece orientación y recursos para ayudar a las empresas a cumplir con las regulaciones de protección de datos y a garantizar la privacidad y seguridad de la información de sus clientes y empleados.

La Agencia también coopera con instituciones internacionales para la resolución de casos, por lo que si tu empresa se encuentra domiciliada en el extrangero pero tiene algun tipo de afección en el mercado de la privacidad de los españoles, también te interesa estar al día de sus publicaciones.

La AEPD sanciona, sí, pero también es de gran ayuda, puesto que publican recursos para ayudar a consumidores y empresarios a navegar el mundo de los e-commerce y páginas webs. Si tienes una página web o dudas en cualquier materia relacionada con la protección de datos, te recomendamos que investigues en su web el decálogo de recursos de ayuda.

Recordatorio: ¡haz que tu web cumpla!

¡Recuerda! Si tienes un eCommerce tienes que cumplir con los textos legales referentes a:

• Aviso Legal
• Política de Privacidad
• Política de Cookies
• Condiciones generales de venta o contratación

Sin duda, integrar los textos legales es fundamental, pero no es la única medida que tu empresa debe tomar para cumplir con la normativa de protección de datos en tu sitio web. Es esencial informar a los clientes sobre sus derechos, establecer un plan preventivo para posibles brechas de seguridad, entre otras acciones. Si necesitas asistencia, puedes contactar con Lawwwing.

Las sanciones de la AEPD pueden derivar de diversas situaciones, como la falta de consentimiento del usuario para el uso de cookies, banners de cookies incompletos o engañosos, o la falta de transparencia en la información proporcionada en dichos banners. Estas multas, aunque mayormente económicas, pueden tener un impacto significativo en empresas, especialmente en PYMES y startups. Las multas por infracciones en materia de protección de datos pueden llegar hasta los 20 millones de euros o el 4% de la facturación anual, según lo estipulado en la LOPDGDD.

Por ejemplo, la falta de un Aviso Legal en tu sitio web puede ser motivo de denuncia por parte de la AEPD, ya que es un requisito legal en España para cualquier actividad comercial o profesional. Además, los usuarios también pueden denunciar la ausencia de este documento, ya que puede vulnerar sus derechos como consumidores. Este documento proporciona información sobre la identidad del propietario del sitio web, su dirección y datos de contacto.

Conclusión

El elevado aumento de las denuncias llevadas a cabo por la propia AEPD de oficio (es decir, cuando la denuncia no es interpuesta por un particular sino por la propia institución) deja claro cuál es la política de este órgano: crear un ecosistema digital más seguro y estricto en España. Haz que tu web cumpla y no te preocupes de las sanciones.

¡regístrate en Lawwwing!