En este supuesto, una compañía inmobiliaria de Berlín, poseedora, de manera indirecta, de numerosas viviendas y locales, trataba no solo los datos personales de los arrendatarios de los inmuebles (entre otros, por ejemplo, datos fiscales o del seguro de enfermedad de los arrendatarios), si no también datos relativos a arrendamientos previos.
La autoridad de control alemana (la Berliner Beauftragte für den Datenschutz), con ocasión de una investigación, declaró que se conservaban los documentos que contenían los citados datos “en un sistema de archivo electrónico respecto del que no era posible determinar si el almacenamiento era necesario y si existían garantías de que se suprimían los datos que ya no hiciesen falta”. Ante la imposibilidad de suprimir los documentos indicados, la compañía desactivó el sistema de archivo y lo sustituyó por un nuevo sistema de almacenamiento.
No obstante, la autoridad de control impuso una sanción de más de 14 millones de euros a la entidad por no haber adoptado las medidas necesarias para suprimir periódicamente “los datos personales relativos a los arrendatarios que ya no eran necesarios o que se mantenían indebidamente almacenados por otras causas”. Ante el recurso de la compañía, el Tribunal Regional de lo Civil de Berlín archivó el procedimiento al considerar que “solo puede constatarse una infracción administrativa con respecto a una persona física y no con respecto a una persona jurídica”, siendo necesario que “se aprecie una infracción administrativa reprochable a miembros de los órganos de la persona jurídica”.
El Tribunal Superior Regional, con ocasión del recurso interpuesto por la fiscalía contra la resolución del anterior Tribunal, presentó dos cuestiones prejudiciales ante el TJU relativas a si debe interpretarse el artículo 83 del RGPD en el sentido de que es posible instruir un procedimiento administrativo para la imposición de una multa directamente contra una empresa, no requiriéndose que se declare la existencia de una infracción administrativa cometida por una persona física, así como si “es preciso que haya concurrido dolo o negligencia por parte de la empresa en la infracción cometida por su empleado […] o para poder sancionar a la empresa basta en principio con que le sea atribuible el incumplimiento objetivo de una obligación”.
El Tribunal de Justicia de la Unión Europea ha declarado que no hay disposición alguna del RGPD que exija que se declare la existencia de una infracción administrativa cometida por la persona física para que se pueda instruir un procedimiento administrativo contra una compañía. En este sentido, se considera que sí se puede imponer una multa administrativa a una persona jurídica cundo tenga la condición de responsable del tratamiento. De este modo, exigir que la infracción sea imputable a una persona física sería contrario a la finalidad de esta normativa.
En relación con la segunda cuestión prejudicial, se declara en la Sentencia que en el artículo 83 no se exige que las infracciones únicamente puedan sancionarse si se han cometido de forma intencionada o negligente. No obstante, se expone que el apartado segundo del artículo “enumera los factores que la autoridad de control debe tener en cuenta para imponer una multa administrativa”, entre los que figuran la intencionalidad o negligencia en la infracción, sin que se mencione “la posibilidad de que se genere la responsabilidad del responsable del tratamiento sin una conducta culpable de éste”. Es por ello por lo que de dicho apartado se desprende que únicamente las infracciones cometidas de forma intencionada o negligente, “pueden dar lugar a que se le imponga una multa administrativa con arreglo a dicho artículo”.
Así, concluye que “el artículo 83 del RGPD no permite imponer una multa administrativa por una infracción contemplada en sus apartados 4 a 6 sin que se demuestre que dicha infracción fue cometida de forma intencionada o negligente por el responsable del tratamiento”.
Puede acceder a la resolución del TJUE aquí.
