Una reciente resolución de la Agencia Española de Protección de Datos (AEPD) ilustra una lección crítica para las organizaciones: la infracción original en materia de protección de datos puede no ser el problema más costoso. Ignorar las órdenes correctivas de la autoridad de control constituye una infracción autónoma y de extrema gravedad. El caso, que culminó con una sanción por desobedecer a la AEPD de 180.000 euros, no se centró en la vulneración del derecho de un ciudadano, sino en la desatención de la empresa a una resolución firme de la Agencia.

El conflicto se originó en un procedimiento anterior (EXP202315972), donde un particular ejerció su derecho de acceso a datos personales ante la compañía TRIVE CREDIT SPAIN, S.L.. La solicitud no fue debidamente atendida, lo que llevó a la AEPD a estimar la reclamación del ciudadano. En consecuencia, la Agencia dictó una resolución firme requiriendo a TRIVE que, en un plazo de diez días, facilitara el acceso a los datos o lo denegara de forma motivada.

La compañía no acreditó el cumplimiento de esta orden. Tras dos requerimientos adicionales que también fueron desatendidos , la AEPD inició un nuevo expediente sancionador (EXP202415922). Aquí radica el núcleo del asunto: la infracción imputada ya no era la del artículo 15 del RGPD (derecho de acceso), sino la del artículo 58.2 del RGPD⁹, que castiga el incumplimiento de los poderes correctivos de la autoridad.

Esta infracción se tipifica en el artículo 83.6 del RGPD, una categoría reservada para las vulneraciones más severas, como el incumplimiento de una orden directa de la autoridad¹⁰. La normativa prevé para estos casos las multas más elevadas: hasta 20 millones de euros o, para una empresa, el 4% de su volumen de negocio anual global. La AEPD justificó esta gravedad señalando que, al no cumplir la orden, la empresa «está persistiendo en una situación ilícita» y desobedeciendo los poderes que el RGPD otorga a la Agencia para hacer cumplir la ley.

En sus alegaciones, TRIVE esgrimió varios argumentos defensivos. Principalmente, adujo un «error involuntario» derivado de la «confusión» entre este procedimiento y otro muy similar («Procedimiento 2.0») iniciado por el mismo reclamante. Sostuvo también que el reclamante mantenía una «batalla judicial» contra la empresa y que sus reclamaciones ante la AEPD eran parte de una «estrategia de confrontación», constituyendo un supuesto «abuso de derecho».

La respuesta de la Agencia fue tajante. Desestimó la «confusión» alegada, recordando que las notificaciones y requerimientos fueron debidamente recibidos, como constaba en los acuses de recibo. Sobre la supuesta mala fe del reclamante, la AEPD aclaró que ese debate era improcedente en este expediente. El objeto de este segundo procedimiento no era el derecho del ciudadano, sino «la falta de cumplimiento de una resolución firme de la autoridad de control». La empresa tuvo la oportunidad de recurrir la resolución original y no lo hizo, por lo que esta devino firme y ejecutiva.

La defensa de la proporcionalidad de la sanción fue otro eje central. TRIVE solicitó un mero apercibimiento, citando otros casos. La AEPD rechazó este punto, explicando que los ejemplos aportados o bien se referían a Administraciones Públicas (sometidas a un régimen distinto que no prevé multas económicas en este ámbito, según el art. 77 de la LOPDGDD), o bien trataban infracciones de naturaleza diferente.

No obstante, TRIVE sí logró una modificación en la cuantía. La propuesta de sanción inicial se basó en el volumen de negocios de 2022 (102,7 millones de euros). La empresa aportó sus cuentas de 2023, auditadas y más recientes, que reflejaban una cifra de negocio inferior (96,7 millones) y, sobre todo, un resultado del ejercicio mucho menor (1,1 millones). Argumentó que la multa inicial (450.000 euros) era desproporcionada, suponiendo casi el 40% de su beneficio anual. La AEPD admitió esta nueva información financiera y, revisando los criterios de graduación, recalculó la sanción proponiendo 225.000 euros.

El procedimiento concluyó mediante la fórmula de terminación por pago voluntario. TRIVE abonó 180.000 euros, resultado de aplicar la reducción del 20% sobre la sanción de 225.000 euros. Este pago, si bien pone fin al procedimiento sancionador, está condicionado a la renuncia de la empresa a interponer cualquier recurso administrativo. Sin embargo, el pago no extingue la obligación original; la AEPD, en su resolución final, ordenó igualmente a TRIVE cumplir con el requerimiento inicial y atender el derecho de acceso del reclamante.