Inspecciones del RGPD en la práctica

Qué es la Oficina para la Protección de Datos Personales (ÚOOÚ) y qué facultades tiene en las inspecciones del RGPD

Conforme al artículo 58 del RGPD, la ÚOOÚ tiene derecho a ordenar al responsable y al encargado del tratamiento que faciliten toda la información necesaria para el desempeño de sus funciones, a llevar a cabo investigaciones en forma de auditorías de protección de datos, a obtener acceso a todos los datos personales y a acceder a todos los locales en los que opere el responsable o el encargado. En 2024, la ÚOOÚ impuso una multa récord de 351 millones CZK (aprox. 14,4 millones EUR) a la sociedad Avast Software por el tratamiento ilícito de datos personales de aproximadamente 100 millones de usuarios.

Los abogados de ARROWS resuelven a diario casos relacionados con el cumplimiento del RGPD y representan a clientes en las inspecciones de la ÚOOÚ. Para una solución inmediata de su situación, escríbanos a consultas@arws.cz.

Cómo inicia la ÚOOÚ una inspección

La ÚOOÚ puede iniciar una inspección de varias maneras. Lo más habitual es la notificación del inicio de la inspección junto con la autorización para realizarla a través del buzón de datos (datová schránka) o por correo postal. Alternativamente, la inspección puede iniciarse presentando la autorización directamente in situ al comenzar la actuación inspectora.

La notificación del inicio de la inspección contiene la delimitación de su objeto, la composición del equipo inspector y, por lo general, un primer conjunto de preguntas y requerimientos. La fecha de la audiencia oral y de la investigación in situ se comunica, por regla general, con al menos 14 días de antelación, para que la persona inspeccionada disponga de tiempo suficiente para prepararse.

La ÚOOÚ puede iniciar una inspección sobre la base de:

• Reclamaciones y denuncias de los interesados (en 2024, la ÚOOÚ recibió un total de 2 288 reclamaciones)
• Conocimientos propios obtenidos del seguimiento del espacio público
• El plan anual de inspecciones, que es de acceso público
• Acciones europeas coordinadas (el llamado Coordinated Enforcement Framework)

Atención: La reclamación de un interesado no implica automáticamente el inicio de una inspección. A menudo, la ÚOOÚ envía primero al responsable una llamada «carta de advertencia» en la que le insta a subsanar la situación.

Desarrollo de la inspección paso a paso

La inspección en sí se rige por el Código de Inspección checo (Ley n.º 255/2012 Sb., en adelante «Código de Inspección»), en relación con las disposiciones pertinentes del RGPD. La inspección la realizan empleados de la ÚOOÚ sobre la base de una autorización escrita, que deben presentar a la persona inspeccionada.

Fase de obtención de documentación

Una vez iniciada la inspección, la ÚOOÚ suele solicitar una declaración por escrito y la presentación de documentos. Los inspectores están facultados para exigir datos, documentos y objetos relacionados con el objeto de la inspección o con la actividad de la persona inspeccionada. La ley les permite acceder a toda la información necesaria para el cumplimiento de la tarea concreta, incluida la protegida por el deber de confidencialidad.

Los problemas de plazos más habituales incluyen el incumplimiento injustificado de un plazo o la ausencia total de comunicación. La solución es una comunicación activa con la ÚOOÚ: si una fecha no le conviene, comuníqueselo a los inspectores.

Audiencia oral e investigación in situ

La audiencia oral sirve para facilitar la comunicación y el contacto con las personas que realizan el tratamiento de datos personales. La investigación in situ permite, a su vez, verificar la información, comprobar el almacenamiento de los datos y las medidas adoptadas o acceder a los sistemas de información.

En la investigación in situ suelen estar presentes entre 2 y 4 inspectores y la actuación dura del orden de varias horas. La persona inspeccionada debe garantizar la presencia de una persona autorizada y de un número suficiente de empleados con conocimiento de la materia.

En el despacho de abogados ARROWS contamos con amplia experiencia en la preparación de clientes para audiencias orales e investigaciones in situ. Gracias a nuestra cartera de más de 150 sociedades anónimas y 250 s.r.o. (sociedades de responsabilidad limitada checas), sabemos exactamente qué documentos y respuestas exige la ÚOOÚ. Póngase en contacto con nosotros en consultas@arws.cz y obtenga una solución jurídica a medida.

Esta cuestión está relacionada con nuestro servicio, sobre el que puede leer más AQUÍ.

Qué derechos y obligaciones tiene como persona inspeccionada

Los derechos y obligaciones de la persona inspeccionada están definidos en el Código de Inspección y se entrelazan con los derechos y obligaciones de los inspectores.

Obligaciones básicas

La persona inspeccionada está obligada a prestar a los inspectores la colaboración necesaria, crear las condiciones para la realización de la inspección y permitir a los inspectores el ejercicio de sus facultades. Entre las obligaciones concretas figuran:

• Permitir el acceso a los locales y a los documentos
• Dar explicaciones veraces y completas
• Presentar los documentos requeridos en el plazo fijado
• Garantizar las condiciones para la realización de la inspección (espacio adecuado, medios técnicos)

Por el incumplimiento de las obligaciones de colaboración puede imponerse una multa de hasta 500 000 CZK. Es importante que el pago de la multa no extingue la obligación de colaborar.

Derechos básicos

La persona inspeccionada tiene derecho a alegar la parcialidad del inspector, exigir la presentación de la autorización para la inspección, conocer el contenido del acta de inspección y presentar objeciones contra las conclusiones de la inspección.

Acta de inspección y posibilidad de presentar objeciones

El resultado de la inspección es siempre un acta de inspección, que debe elaborarse en un plazo de 30 días desde la última actuación inspectora y, en casos complejos, en un plazo de 60 días. El acta contiene las conclusiones de la inspección y se remite a la persona inspeccionada.

Contra las conclusiones recogidas en el acta, la persona inspeccionada puede presentar objeciones por escrito en un plazo de 15 días desde la notificación del acta. Las objeciones deben indicar claramente contra qué conclusión de la inspección se dirigen y deben contener la fundamentación del desacuerdo.

Las objeciones las resuelve el superior jerárquico del inspector; en casos complejos, el plazo para resolverlas puede prorrogarse 30 días. Con la resolución de las objeciones o con el transcurso infructuoso del plazo para presentarlas, la inspección finaliza.

La preparación de objeciones requiere un profundo conocimiento de las normas procesales y de la materia sustantiva del RGPD. Los abogados de ARROWS están preparados para ayudarle: escriba a consultas@arws.cz.

Qué sucede tras la finalización de la inspección

Si la inspección no detecta ninguna infracción, la persona inspeccionada recibe un acta sin conclusiones negativas. Si se detectan infracciones, la ÚOOÚ puede:

1. Requerir la subsanación – el responsable tiene la oportunidad de eliminar por sí mismo las deficiencias detectadas
2. Iniciar un procedimiento administrativo para imponer medidas correctoras – la ÚOOÚ puede ordenar al responsable que adecúe el tratamiento al RGPD en un plazo determinado
3. Iniciar un procedimiento sancionador – con posibilidad de imponer una multa

Entre los poderes correctivos de la ÚOOÚ figuran, entre otros, formular apercibimientos, ordenar que se atiendan las solicitudes de los interesados, imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición, u ordenar la supresión de datos personales.

Cuantía de las multas por infracciones del RGPD

Por infracciones del RGPD, la ÚOOÚ puede imponer multas en dos categorías:

• Hasta 10 000 000 EUR o el 2 % del volumen de negocio anual total – por infracciones menos graves
• Hasta 20 000 000 EUR o el 4 % del volumen de negocio anual total – por infracciones graves

Según la Ley de Tratamiento de Datos Personales checa (Ley n.º 110/2019 Sb., en adelante «ZZOÚ»), por determinadas infracciones pueden imponerse multas de hasta 10 000 000 CZK (aprox. 411 500 EUR), o de hasta 5 000 000 CZK (aprox. 205 800 EUR) en los supuestos cualificados.

Al fijar la cuantía de la multa, la ÚOOÚ tiene en cuenta los criterios del artículo 83 del RGPD, entre ellos la naturaleza, gravedad y duración de la infracción, el número de interesados afectados, el nivel de los daños o las medidas adoptadas para paliar las consecuencias.

En qué se centra la ÚOOÚ en 2025

Cada año, la ÚOOÚ publica un plan de inspecciones que indica las prioridades de su actividad supervisora. Para 2025, la ÚOOÚ se centrará principalmente en:

Programas de fidelización de cadenas comerciales – comprobación de si los consentimientos para el tratamiento de datos personales obtenidos en el marco de programas de fidelización cumplen los requisitos del RGPD, en particular si son realmente libres.

Uso de datos de registros públicos – se inspeccionará a bancos, aseguradoras y otros usuarios de Derecho privado en cuanto a la necesidad y adecuación del tratamiento de datos del registro básico de población.

Sistemas de videovigilancia en medios de transporte – evaluación de la necesidad del sistema de cámaras, del plazo de conservación de las grabaciones y del respeto de los derechos de los interesados.

Envío de comunicaciones comerciales por comparadores en línea – verificación de las bases jurídicas para el envío de comunicaciones de marketing.

Derecho de supresión (derecho al olvido) – en el marco de una acción europea coordinada, la ÚOOÚ se centrará en la aplicación de este derecho por parte de los responsables.

Cómo prepararse para una inspección de la ÚOOÚ

La preparación para una inspección de la ÚOOÚ debe ser continua, no reactiva. Las áreas clave que todo responsable debería revisar periódicamente incluyen:

• Registro de actividades de tratamiento – visión actualizada de todos los tratamientos de datos personales conforme al artículo 30 del RGPD
• Bases jurídicas del tratamiento – para cada categoría de tratamiento debe existir una base jurídica legítima
• Deber de información – si los interesados están debidamente informados conforme a los artículos 13 y 14 del RGPD
• Contratos de encargo del tratamiento – contratos por escrito con todos los encargados del tratamiento de datos personales
• Medidas de seguridad – medidas técnicas y organizativas para la protección de los datos personales
• Proceso de tramitación de las solicitudes de los interesados – procedimientos para el derecho de acceso, supresión, rectificación, etc.

El despacho de abogados ARROWS realiza auditorías integrales del RGPD y prepara a los clientes para posibles inspecciones. Como tratamos esta materia a diario, podemos reducir considerablemente el tiempo de preparación de nuestros clientes y minimizar el riesgo de errores. Además, ARROWS cuenta con un seguro de responsabilidad de hasta 500 000 000 CZK (aprox. 20,6 millones EUR), lo que supone para el cliente la máxima seguridad. No dude en dirigirse a nuestro despacho: consultas@arws.cz.

Dimensión internacional de las inspecciones y cooperación entre autoridades de control

En caso de tratamiento transfronterizo de datos personales, la ÚOOÚ coopera con las autoridades de control de los demás Estados miembros de la UE a través de los mecanismos establecidos por el RGPD. El despacho de abogados ARROWS presta servicios jurídicos también en el contexto internacional gracias a la red ARROWS International, construida durante diez años, y prácticamente a diario resolvemos casos con elemento internacional.

Para las sociedades multinacionales es clave entender qué autoridad de control es en su caso la «autoridad de control principal» y cómo coordinar el cumplimiento normativo en las distintas jurisdicciones. Los abogados de ARROWS le ayudarán a orientarse en estas complejas cuestiones. Póngase en contacto con nosotros en consultas@arws.cz.

Por qué confiar la preparación de una inspección de la ÚOOÚ a expertos

En la práctica, las inspecciones del RGPD son mucho más complejas de lo que parece a primera vista. Pasos que parecen sencillos esconden excepciones, detalles procesales, vínculos con otras normas y riesgos que un profano a menudo no percibe. Por ejemplo:

• La formulación de las respuestas a las preguntas de la ÚOOÚ requiere una argumentación jurídica precisa
• La preparación de objeciones contra las conclusiones de la inspección debe respetar requisitos formales y de contenido
• Determinar si un tratamiento concreto requiere una evaluación de impacto relativa a la protección de datos (DPIA) es técnicamente exigente
• La correcta configuración de las bases jurídicas del tratamiento exige un profundo conocimiento de la jurisprudencia

El despacho de abogados ARROWS se ocupa de esta materia a diario y es también socio de los juristas de empresa para asuntos especializados. Nuestra cartera incluye más de 150 sociedades anónimas, 250 s.r.o. y 50 municipios y regiones. Apostamos por la rapidez y la alta calidad.

Si no quiere arriesgarse a errores, daños o multas de millones de coronas checas, puede dejar el asunto con total seguridad en manos de ARROWS. Basta con contactar con nuestro despacho en consultas@arws.cz.

¿No quiere resolver este problema por su cuenta? Más de 2000 clientes confían en el despacho de abogados ARROWS y hemos sido galardonados como «Bufete del Año 2024». Consulte AQUÍ nuestras referencias; será un honor ayudarle a resolver su problema. La solicitud de presupuesto es gratuita.