Prompt usado: Dime las sanciones que pueden aplicarse si se hace una intrusión a un servidor con datos personales
La intrusión en un servidor que contiene datos personales, al implicar una violación de la seguridad, la confidencialidad y la integridad de los datos, constituye una infracción grave o muy grave de la normativa de protección de datos (Reglamento General de Protección de Datos - RGPD, y la Ley Orgánica 3/2018).
A continuación, se detallan las sanciones y medidas correctivas que pueden aplicarse, clasificadas según la gravedad de la infracción y la cuantía de las multas administrativas, tal como se establece en el Título IX de la Ley Orgánica 3/2018 y el Artículo 83 del Reglamento (UE) 2016/679:
Las infracciones consideradas muy graves prescriben a los tres años y generalmente conllevan las multas administrativas más elevadas. Se sancionan con multas de 20.000.000 EUR como máximo o, si se trata de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.
Una intrusión que comprometa la seguridad puede ser clasificada como muy grave si implica:
El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del RGPD, lo cual incluye los principios de integridad y confidencialidad, destinados a proteger contra el tratamiento no autorizado o ilícito y contra la pérdida, destrucción o daño accidental.
El incumplimiento del deber de confidencialidad establecido en el artículo 5 de la Ley Orgánica 3/2018.
La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente, o no facilitar el acceso a los datos, información, locales, equipos y medios de tratamiento requeridos por la autoridad.
La reversión deliberada de un procedimiento de anonimización para reidentificar a los afectados.
Las infracciones consideradas graves prescriben a los dos años y se sancionan con multas de 10.000.000 EUR como máximo o, si se trata de una empresa, una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.
Una intrusión o la deficiencia de las medidas de seguridad que la posibilitan se considerarían infracciones graves si:
La falta de adopción de aquellas medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, tal como lo exige el artículo 32.1 del RGPD.
El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado.
El incumplimiento del deber de notificación a la autoridad de protección de datos de una violación de seguridad de los datos personales (Art. 33 RGPD).
El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos, si el responsable hubiera sido requerido por la autoridad para llevar a cabo dicha notificación (Art. 34 RGPD).
Además de las multas administrativas, las autoridades de control (como la Agencia Española de Protección de Datos) disponen de otros poderes correctivos, que pueden ser aplicados de forma complementaria o alternativa.
Entre estas medidas se encuentran:
Advertir o sancionar al responsable o encargado con una advertencia o apercibimiento cuando las operaciones de tratamiento infrinjan (o puedan infringir) el Reglamento.
Ordenar al responsable o encargado que las operaciones de tratamiento se ajusten a las disposiciones del Reglamento, de una manera y dentro de un plazo especificado.
Imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición.
Ordenar el bloqueo cautelar de los datos. El responsable del tratamiento está obligado a bloquear los datos si procede a su rectificación o supresión. El bloqueo impide su tratamiento, excepto para la puesta a disposición de los datos a jueces, tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, durante el plazo de prescripción de las responsabilidades.
La persona que haya sufrido daños y perjuicios (materiales o inmateriales) como consecuencia de la infracción tendrá derecho a recibir una indemnización del responsable o encargado del tratamiento.
Los sujetos responsables del régimen sancionador incluyen a los responsables de los tratamientos, los encargados de los tratamientos, y los representantes de los responsables o encargados no establecidos en la Unión Europea.
Si la autoridad competente impone una sanción superior a un millón de euros y el infractor es una persona jurídica, esta información (identidad del infractor, infracción y cuantía) será objeto de publicación en el Boletín Oficial del Estado.
En el ámbito del sector público, si las entidades cometen infracciones, la autoridad competente dictará una resolución declarando la infracción y estableciendo las medidas necesarias para que cese la conducta o se corrijan los efectos, pero se exceptúa la imposición de multas administrativas. En estos casos, se propondrá la iniciación de actuaciones disciplinarias si hay indicios suficientes.
Prompt: dime las consecuencias legales si el director de un instituto roba los datos de los profesores y sus alumnos para beneficio económico y personal
La situación que usted describe —el director de un Instituto de Enseñanza Secundaria (IES) robando datos de profesores y alumnos para beneficio económico y personal— implica una violación intencional y muy grave de la normativa de protección de datos, acarreando consecuencias administrativas, civiles y, crucialmente, la activación del régimen de responsabilidades penales.
Este acto combina la intrusión (acceso ilícito) con la apropiación y el uso de los datos para fines incompatibles con los fines legítimos del centro educativo.
A continuación, se detallan las consecuencias legales, basándose en la Ley Orgánica 3/2018 (LOPDGDD) y el Reglamento General de Protección de Datos (RGPD):
El robo y uso de datos personales para beneficio económico o personal por parte de un director se considera una infracción muy grave de la normativa de protección de datos.
Se tipifica como muy grave por las siguientes violaciones:
Dado que un IES es generalmente un organismo público o dependiente de las Administraciones Públicas, se le aplica el régimen especial previsto en el Artículo 77 de la LOPDGDD.
El director, al ser la persona física responsable que utilizó su posición para el acto ilícito, enfrenta consecuencias duales: administrativas específicas (por ser directivo de una entidad pública) y responsabilidades en otros órdenes jurisdiccionales (penal y civil).
Toda persona (profesor o alumno) que haya sufrido daños y perjuicios, materiales o inmateriales, como consecuencia de esta infracción tiene el derecho a recibir una indemnización por los daños sufridos del responsable del tratamiento.
Aunque la LOPDGDD y el RGPD se centran en las sanciones administrativas, el acto de robar datos para beneficio económico se sale del ámbito de la simple negligencia y entra en el ámbito penal, lo cual está permitido por la legislación europea.