¿QUÉ ES EL DENOMINADO ‘COSTE CERO’?

Se conoce como adecuación a la normativa de protección de datos “a coste cero” a la práctica consistente en ofertar una adecuación completa a esta legislación a un precio muy bajo −o incluso gratis−.
Un servicio de adecuación a una normativa específica requiere, para obtener un resultado correcto, un estudio individual pormenorizado de la entidad, los tipos de tratamientos que se realizan, los sistemas informáticos y los sistemas de gestión documental, además de un programa formativo para los empleados de la entidad.
Las ofertas que pueden entrañar un fraude habitualmente son emitidas por parte de consultorías y empresas, y se dirigen fundamentalmente hacia las pymes y autónomos, empleando para ello el temor a las sanciones establecidas en el Reglamento General de Protección de Datos.

¿CÓMO PUEDO DISTINGUIR ESTAS PRÁCTICAS Y CUÁLES SON LOS RIESGOS?

Algunos rasgos distintivos de estas prácticas fraudulentas son los siguientes:

• Cumplimiento de forma, pero no de fondo

Se oferta la “Adecuación a la normativa de protección de datos” pero, en algunos casos, la pretendida adecuación puede estar realizándose entregando al cliente unos formularios ya cumplimentados con los que supuestamente pueda “cumplir el expediente”.
Hay que subrayar que el cumplimiento del RGPD y de la LOPDPGDD no consiste en un cumplimiento meramente formal, sino que implica revisar, diseñar y aplicar los principios de protección de datos a las circunstancias específicas de cada empresa. El incumplimiento de la normativa de protección de datos por parte del responsable o del encargado del tratamiento constituye una infracción, por la cual la AEPD podría instruir el oportuno procedimiento sancionador y llegar a imponer una sanción.

• Servicios no necesarios, prácticas agresivas y competencia desleal

Se intenta inculcar la creencia en la necesidad de que las entidades, pymes y autónomos contraten a un tercero el servicio de adecuación, dando a entender que realizarlo con los medios propios implicaría un esfuerzo o un coste inasumible. Esta publicidad puede resultar engañosa, por ofrecer servicios, a veces innecesarios, enmascarándolos como de formación, cuando no son tales.
Formando parte del servicio publicitado, se puede incluir, en particular, la puesta a disposición de un Delegado de Protección de Datos, haciendo creer que su nombramiento es siempre obligatorio, cuando disponer de un DPD no es obligado en todos los casos (art. 34 LOPDGDD). Además, la decisión acerca del mejor modo de realizar la adecuación debería tomarse en base al tipo de entidad, en función del tratamiento de datos que realicen y de los recursos humanos y materiales de los que se disponga.
Asimismo, los ofertantes pueden emplear signos institucionales (por ejemplo, el logotipo de la AEPD o de entidades de certificación acreditadas) para hacer creer que cuentan con el aval de organismos públicos.

A los efectos previstos en el artículo 8 de la Ley 3/1991, de 10 de enero, de Competencia Desleal, se considera “práctica agresiva” actuar con intención de suplantar la identidad de la AEPD en la realización de comunicaciones a los responsables y encargados de los tratamientos, generar la apariencia de que se está actuando en colaboración con la AEPD, realizar prácticas comerciales en las que se coarte el poder de decisión de los destinatarios mediante la referencia a la posible imposición de sanciones por incumplimiento de la normativa de protección de datos, u ofrecer documentación por la que se pretenda crear una apariencia de cumplimiento de la normativa de forma complementaria a la realización de acciones formativas sin haber llevado a cabo las actuaciones necesarias para verificar que dicho cumplimiento se produce efectivamente.
En caso de producirse este tipo de prácticas agresivas, los afectados podrán ejercitar las acciones oportunas ante los juzgados de lo mercantil.
De otra parte, en caso de que los ofertantes estuvieren publicitando servicios a un coste notoriamente inferior a los precios de mercado, se podría estar cometiendo competencia desleal.

La competencia para investigar las conductas que pudiesen vulnerar la Ley 15/2007, de 3 de julio, de Defensa de la Competencia, y en su caso, sancionar las posibles infracciones, correspondería a la Comisión Nacional de los Mercados y de la Competencia.

• Utilización de fondos destinados a programas de formación

La contratación del servicio de adecuación a la normativa de protección de datos a coste cero, financiada con cargo a fondos públicos a través de bonificaciones en las cuotas a la Seguridad Social para la formación profesional para el empleo, puede derivar en infracciones que se sancionarán, por la Inspección de Trabajo y Seguridad Social, con multas de 626 euros a 187.515 euros, sin perjuicio de considerar, en cada caso, una infracción por cada empresa y por cada acción formativa, la solidaridad de los distintos sujetos intervinientes en la organización y ejecución de la formación en la devolución de las cantidades indebidamente obtenidas y las sanciones accesorias que en cada caso procedan.

• Infracción tributaria

Por lo que respecta al cumplimiento de obligaciones tributarias por parte de las empresas, tanto de quien oferta el servicio como de quien lo contrata, las actividades formativas dirigidas a los empleados están exentas de tributación por el Impuesto del Valor Añadido (IVA), mientras que el tipo que corresponde a un servicio de adecuación a una determinada legislación sería del 21%. De enmascararse el servicio realmente llevado a cabo se puede
estar cometiendo, por tanto, una infracción tributaria, sancionable con multa pecuniaria proporcional, del 50% en adelante, sobre la cuantía no ingresada.

¿QUÉ RECOMENDACIONES OFRECE LA AGENCIA A PYMES Y AUTÓNOMOS?

Antes de contratar, infórmese para conocer sus obligaciones y cuál es el modo más seguro para su empresa de cumplir con ellas.
Es conveniente que las pymes y autónomos que quieran o tengan que contratar servicios de adecuación a la normativa de protección de datos se aseguren de que los servicios que les ofrecen las consultoras o empresas no incurren en las prácticas mencionadas con anterioridad.
Si tienen la intención de adaptarse por sus propios medios, la AEPD pone a su disposición varios canales de información a los responsables (Canal INFORMA) y a los ciudadanos (Atención al ciudadano) y una herramienta gratuita de ayuda (FACILITA_RGPD) dirigida a empresas que realicen un tratamiento de datos personales de escaso riesgo.
Facilita_RGPD está orientada a empresas que tratan datos personales de escaso riesgo, por ejemplo, datos personales de clientes, proveedores o recursos humanos. Con tan solo tres pantallas de preguntas muy concretas, FACILITA permite a quien la utiliza valorar su situación respecto del tratamiento de datos personales que lleva a cabo: si se adapta a los requisitos exigidos para utilizar la herramienta o si debe realizar un análisis de riesgos. FACILITA genera diversos documentos adaptados a la empresa concreta, cláusulas informativas que debe incluir en sus formularios de recogida de datos personales, cláusulas contractuales para anexar a los contratos de encargado de tratamiento, el registro de actividades de tratamiento, y un anexo con medidas de seguridad orientativas consideradas mínimas.