- En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
c) El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento.
d) La utilización de los datos para una finalidad que no sea compatible con la finalidad para la cual fueron recogidos, sin contar con el consentimiento del afectado o con una base legal para ello.
e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica.
f) El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas fuera de los supuestos permitidos por el artículo 10 del Reglamento (UE) 2016/679 y en el artículo 10 de esta ley orgánica.
g) El tratamiento de datos personales relacionados con infracciones y sanciones administrativas fuera de los supuestos permitidos por el artículo 27 de esta ley orgánica.
h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica.
i) La vulneración del deber de confidencialidad establecido en el artículo 5 de esta ley orgánica.
j) La exigencia del pago de un canon para facilitar al afectado la información a la que se refieren los artículos 13 y 14 del Reglamento (UE) 2016/679 o por atender las solicitudes de ejercicio de derechos de los afectados previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679, fuera de los supuestos establecidos en su artículo 12.5.
k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.
l) La transferencia internacional de datos personales a un destinatario que se encuentre en un tercer país o a una organización internacional, cuando no concurran las garantías, requisitos o excepciones establecidos en los artículos 44 a 49 del Reglamento (UE) 2016/679.
m) El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.
n) El incumplimiento de la obligación de bloqueo de los datos establecida en el artículo 32 de esta ley orgánica cuando la misma sea exigible.
ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.
o) La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente.
p) La reversión deliberada de un procedimiento de anonimización a fin de permitir la reidentificación de los afectados.
2. Tendrán la misma consideración y también prescribirán a los tres años las infracciones a las que se refiere el artículo 83.6 del Reglamento (UE) 2016/679.
Infracciones Muy Graves según la LOPD/LOPDGDD
Algunos ejemplos de infracciones consideradas muy graves incluyen:
- Tratamiento de datos especialmente protegidos sin autorización:
- Procesar datos sensibles o especialmente protegidos (como datos de salud, orientación sexual, ideología, religión, afiliación sindical, origen racial o étnico, datos genéticos o biométricos) sin el consentimiento explícito del titular o sin otra base legal que lo justifique.
- Transferencia internacional de datos sin garantías adecuadas en situaciones de alto riesgo:
- Realizar transferencias internacionales de datos personales a países que no ofrecen un nivel adecuado de protección sin aplicar las medidas de seguridad necesarias ni obtener las autorizaciones pertinentes, especialmente cuando el tratamiento afecta significativamente a los derechos fundamentales.
- No atender los requerimientos de la autoridad de control:
- Desobedecer las órdenes o requerimientos específicos emitidos por la autoridad de protección de datos, como la Agencia Española de Protección de Datos (AEPD), en relación con la adecuación de las prácticas de tratamiento de datos.
- Vulneración intencionada de los derechos de los titulares de los datos:
- Obstaculizar deliberadamente o denegar de manera sistemática y reiterada el ejercicio de derechos como acceso, rectificación, cancelación, oposición, limitación del tratamiento o portabilidad de los datos.
- Recolección de datos de forma fraudulenta, desleal o ilícita:
- Obtener datos personales mediante engaño, coacción, o cualquier otro método ilícito, lo que vulnera gravemente los principios de transparencia y legalidad en el tratamiento de datos.
- Reincidencia en infracciones graves:
- Cometer repetidamente infracciones graves que, debido a su frecuencia o intencionalidad, sean consideradas como una conducta persistente y deliberada de incumplimiento de la normativa.
- Tratar datos personales de forma que se violen los principios básicos del RGPD:
- Realizar tratamientos de datos personales que infrinjan de manera significativa principios fundamentales como la limitación de la finalidad, la minimización de datos, la exactitud, la limitación del plazo de conservación, o la integridad y confidencialidad de los datos.
- Violación masiva o sistemática de la seguridad de los datos:
- Implementar, de manera intencionada o por negligencia grave, medidas de seguridad inadecuadas que den lugar a violaciones de seguridad masivas o recurrentes, exponiendo los datos personales a riesgos significativos.
Sanciones para Infracciones Muy Graves
Las infracciones muy graves conllevan las sanciones más severas dentro del régimen de protección de datos, que pueden incluir:
- Multas económicas: Según el RGPD, las sanciones pueden llegar hasta 20 millones de euros o el 4% del volumen de negocio anual global de la empresa infractora, lo que sea mayor.
- Otras sanciones: Además de las multas, se pueden imponer medidas adicionales como la suspensión temporal o definitiva de las operaciones de tratamiento de datos, prohibiciones de tratamiento, y la obligación de notificar a los afectados sobre la violación de sus derechos.