El Comité Europeo de Protección de Datos utilizó su sesión plenaria del 21 de septiembre para adoptar dos conjuntos de directrices: uno sobre cuándo las Autoridades de Protección de Datos deben imponer sanciones administrativas en virtud del GDPR, por sí solas o junto con otras medidas correctoras, y la versión definitiva de sus directrices sobre la interacción entre la Ley de Servicios Digitales (DSA) y el GDPR. El anuncio está disponible en el sitio web del EDPB.

Las directrices sobre multas son la noticia más relevante para cualquier responsable de sistemas de identidad que gestionen datos de personas en la UE. El GDPR otorgó a las APD un amplio conjunto de poderes correctores, y las multas son las que aparecen en las presentaciones a los consejos de administración. Lo que no les proporcionó fue un método compartido para decidir cuándo una multa es la herramienta adecuada en lugar de alguna de las otras medidas. El EDPB describe las nuevas directrices como "un paso importante en la mayor armonización" de la forma en que las APD toman esa decisión.

"El GDPR aumentó significativamente los poderes correctores de las APD, siendo las multas un instrumento importante para una aplicación efectiva. Las directrices reafirman nuestro compromiso de proporcionar mayor claridad y garantizar la aplicación coherente del GDPR en toda Europa", afirmó la vicepresidenta del EDPB, Jelena Virant Burnik.

Quien haya intentado predecir los resultados de la aplicación de la norma en los distintos estados miembros sabe que "coherente" ha descrito hasta ahora la aspiración más que el resultado. Un método por escrito cambia la conversación, porque ofrece a las organizaciones algo concreto a lo que señalar cuando argumentan en qué extremo de la escala se encuentran.

Según el resumen del EDPB, las APD deben seguir una metodología de cinco pasos para decidir si imponer una multa:

1. Base jurídica para una multa. La APD verifica si la infracción puede dar lugar a una multa, encontrando fundamento directamente en el GDPR o en la legislación nacional.
2. Quién puede ser multado. La APD determina si la parte investigada puede ser sancionada por la infracción en cuestión. La responsabilidad del responsable o del encargado del tratamiento depende de quién esté vinculado por la disposición infringida.
3. Culpabilidad. La APD evalúa si la infracción fue cometida de forma intencionada o por negligencia. Una infracción culpable es condición indispensable para imponer una multa.
4. Circunstancias agravantes y atenuantes. La APD pondera los factores que hacen la infracción más o menos grave.

El anuncio del EDPB no detalla el quinto paso con el mismo nivel de profundidad, ni resume cómo las directrices abordan la elección entre una multa y otros poderes correctores. Los profesionales que necesiten ese nivel de detalle deben leer las directrices completas y no el comunicado de prensa.

Dos de esos pasos recaen directamente sobre los equipos de identidad. El paso 2 gira en torno a la distinción entre responsable y encargado del tratamiento, que es exactamente donde los proveedores de identidad, las plataformas CIAM, los servicios de directorio y los sistemas IAM de fuerza laboral externalizados suelen encontrarse en una zona gris. Quien esté vinculado por la disposición infringida decide quién recibe la factura. El paso 3 convierte la intencionalidad o la negligencia en condición previa para una multa. Esa es la parte alentadora, aunque con cierto matiz: una prueba de culpabilidad recompensa el trabajo poco glamuroso de documentar decisiones, ejecutar revisiones de acceso con regularidad y mantener los registros que demuestran que se estuvo atento. Las evidencias aburridas pero defendibles pocas veces han valido tanto.

La segunda adopción es la versión definitiva de las directrices del EDPB sobre la interacción entre el DSA y el GDPR. El anuncio no describe qué cambió respecto a la versión anterior, por lo que las organizaciones que siguen ambos regímenes tendrán que comparar los textos por sí mismas. Para las plataformas sujetas al DSA, la cuestión práctica es qué conjunto de obligaciones rige cada actividad de tratamiento, y estas directrices son la respuesta del EDPB a esa pregunta.

Ninguno de los dos conjuntos de directrices crea nuevas obligaciones para responsables o encargados del tratamiento. Describen cómo deben razonar los reguladores. Pero conocer cómo piensa el árbitro no es una ventaja menor, y el EDPB acaba de publicar la lista de comprobación del árbitro.

Esto es lo que revisaría esta semana. Primero, revise los acuerdos de tratamiento de datos que sustentan su stack de identidad y confirme que cada uno establece claramente si actúa como responsable o encargado para cada flujo, porque el paso 2 de esta metodología formulará exactamente esa pregunta. Segundo, asegúrese de que los registros de revisión de accesos, las cronologías de incidentes y las decisiones de aceptación de riesgos estén documentados y sean recuperables, ya que "negligente" es la palabra a la que recurre una APD cuando no hay evidencia de que alguien estuviera prestando atención. Si su programa ya hace ambas cosas, enhorabuena: ha estado construyendo silenciosamente un expediente de mitigación todo este tiempo.