Cuando la Agencia Española de Protección de Datos (AEPD) sanciona a una empresa por varios incumplimientos relacionados con un mismo tratamiento de datos, ¿debe imponer tantas multas como infracciones identifique, o existe algún límite? La pregunta, que puede parecer técnica, tiene consecuencias económicas muy relevantes: la diferencia entre aplicar un criterio u otro puede traducirse en millones de euros.
El Tribunal Supremo ha admitido a trámite un recurso de casación que abordará precisamente esta cuestión. El caso tiene su origen en un procedimiento sancionador contra CaixaBank en el que la AEPD impuso una multa de 6 millones de euros, desglosada en 4 millones por infracción del artículo 6 del RGPD (base de legitimación del tratamiento) y 2 millones por vulneración de los artículos 13 y 14 (deber de información). La Audiencia Nacional, sin embargo, redujo sustancialmente la sanción al entender que no existían infracciones independientes, sino un concurso entre ellas.
El problema jurídico: ¿qué ocurre cuando varias infracciones derivan de la misma conducta?
El Derecho sancionador, tanto penal como administrativo, se enfrenta a una pregunta recurrente: cuando un mismo hecho o una misma conducta encaja simultáneamente en varios tipos sancionadores, ¿cómo debe calcularse la consecuencia jurídica? La respuesta no es única y depende de la relación que exista entre las distintas normas infringidas.
La doctrina distingue tradicionalmente entre el concurso de leyes y el concurso de infracciones. En el primero, aunque aparentemente sean aplicables varias normas, solo una de ellas capta el desvalor completo de la conducta; las demás quedan desplazadas. En el segundo, las normas protegen bienes jurídicos distintos y su aplicación conjunta resulta necesaria para reflejar la gravedad total del comportamiento.
Dentro del concurso de infracciones, cabe diferenciar además entre el concurso ideal (un solo hecho constituye varias infracciones) y el concurso medial (una infracción es medio necesario para cometer otra). Esta última categoría es precisamente la que invocó la Audiencia Nacional en el caso de CaixaBank: el tribunal consideró que la deficiencia informativa no era una infracción autónoma, sino el instrumento a través del cual se obtenía un consentimiento inválido. Informar mal y obtener un consentimiento viciado no serían dos conductas, sino una sola contemplada desde dos perspectivas normativas.
El artículo 83.3 del RGPD y su interpretación controvertida
El artículo 83.3 del Reglamento General de Protección de Datos establece que «en caso de que un responsable o un encargado del tratamiento infrinja de forma intencionada o negligente, en relación con las mismas operaciones de tratamiento u operaciones vinculadas, varias disposiciones del presente Reglamento, la cuantía total de la multa administrativa no superará el importe especificado para la infracción más grave». La norma parece clara en su literalidad, pero su aplicación práctica ha generado interpretaciones divergentes.
Una primera lectura, defendida por la AEPD y respaldada por la Abogacía del Estado, entiende que el precepto permite declarar todas las infracciones cometidas y después aplicar un tope máximo a la cuantía final. Bajo esta interpretación, el artículo 83.3 operaría como un límite cuantitativo, no como una regla de absorción. Las infracciones se declararían todas, se calcularía la sanción correspondiente a cada una, y solo al final se aplicaría el techo de la infracción más grave. Este modelo, denominado de «exasperación», permite que el reproche sancionador refleje la pluralidad de incumplimientos, aunque la cuantía económica quede limitada.
La interpretación alternativa, acogida por la Audiencia Nacional, sostiene que el artículo 83.3 consagra una regla de absorción: cuando las infracciones derivan de operaciones vinculadas, solo debe sancionarse la más grave. Las demás quedarían subsumidas en ella, de modo que ni siquiera procede declararlas formalmente. Esta lectura conecta el precepto europeo con los principios tradicionales del Derecho sancionador sobre el concurso de leyes y evita lo que podría considerarse una fragmentación artificial de la conducta infractora.
La práctica sancionadora de la AEPD
Una revisión de las resoluciones publicadas por la AEPD en los últimos años revela una tendencia a la acumulación de tipos infractores. En procedimientos relacionados con tratamientos de datos complejos —contratación bancaria, marketing digital, videovigilancia—, es habitual encontrar resoluciones que identifican simultáneamente infracciones del artículo 6 (licitud), del artículo 5 (principios), de los artículos 13 y 14 (información) y, en ocasiones, del artículo 7 (condiciones del consentimiento). Cada tipo infractor recibe su propia calificación y sanción, que después se suman o se modulan según criterios no siempre explicitados.
Esta metodología plantea interrogantes. ¿Es razonable sancionar por separado la falta de información y el consentimiento inválido cuando la primera es causa directa del segundo? ¿Tiene sentido imputar una infracción del principio de licitud (artículo 5.1.a) junto con una infracción específica de la base de legitimación (artículo 6) cuando ambas normas protegen esencialmente el mismo valor jurídico? La cuestión no es menor, porque la calificación de múltiples infracciones no solo incrementa la cuantía potencial de la sanción, sino que también puede afectar a la reincidencia en procedimientos futuros y a la valoración reputacional de la entidad sancionada.
Lo que decidirá el Tribunal Supremo
El auto de admisión del recurso de casación plantea como cuestión de interés casacional objetivo la interpretación del artículo 83.3 del RGPD en relación con la declaración de infracciones plurales derivadas de un mismo tratamiento. El Tribunal Supremo deberá pronunciarse sobre si la norma europea permite, exige o prohíbe la declaración formal de todas las infracciones concurrentes, y sobre cómo debe articularse la relación entre este precepto y los principios generales del Derecho sancionador español.
Si el Supremo confirma el criterio de la Audiencia Nacional, la AEPD verá limitada su capacidad para construir expedientes sancionadores basados en la fragmentación de una misma conducta en múltiples tipos infractores. Esto no significa que las sanciones vayan a reducirse necesariamente en todos los casos —la infracción más grave seguirá siendo sancionable en toda su extensión—, pero sí que el modelo de «sanción por catálogo» perderá virtualidad.
Si, por el contrario, el Supremo da la razón a la Abogacía del Estado, quedará consolidado un sistema en el que cada incumplimiento formal susceptible de encaje típico puede ser declarado como infracción autónoma, con independencia de su conexión funcional con otros incumplimientos. La cuantía final quedaría limitada, pero el reproche jurídico —y sus consecuencias accesorias— sería más intenso.
Implicaciones para la gestión del cumplimiento
Para los responsables de cumplimiento y DPOs, el desenlace de este recurso tiene relevancia práctica inmediata. La valoración del riesgo sancionador en materia de protección de datos depende en parte de cómo se calculen las contingencias económicas potenciales, y la diferencia entre un modelo de absorción y uno de exasperación puede ser muy significativa en términos de provisiones contables y cobertura aseguradora.
Más allá del impacto económico, la sentencia que dicte el Tribunal Supremo ofrecerá criterios aplicables a la defensa jurídica en procedimientos sancionadores. Cuando los hechos imputados deriven de un mismo proceso de negocio o de una misma plataforma técnica, será pertinente analizar si existe entre ellos una relación de medio a fin o si responden a un único propósito antijurídico. La acreditación de esta conexión puede resultar determinante para reducir el número de infracciones declaradas y, con ello, mitigar las consecuencias del expediente.
Conviene también prestar atención a la coherencia interna de los sistemas de obtención de consentimiento. El caso que ha llegado al Supremo pone de manifiesto que la relación entre la información proporcionada al interesado y la validez del consentimiento obtenido no es meramente formal. Si la información es deficiente, el consentimiento puede considerarse viciado; si el consentimiento es la única base de legitimación invocada, la deficiencia informativa arrastra consigo la ilicitud del tratamiento. Revisar que las capas de información y los mecanismos de aceptación sean coherentes entre sí —y no solo conformes individualmente a la norma— debería formar parte de cualquier auditoría de cumplimiento rigurosa.
El pronunciamiento del Tribunal Supremo no resolverá todos los problemas interpretativos que plantea el régimen sancionador del RGPD, pero sí fijará un criterio que las autoridades de control y los tribunales inferiores deberán seguir. Para las organizaciones que tratan datos personales a gran escala, conocer ese criterio con anticipación —o al menos las alternativas en juego— permitirá adoptar decisiones más informadas sobre la gestión del riesgo regulatorio.
