El término "coste cero"
Se refiere a la práctica de ofrecer servicios completos de adecuación a la normativa de protección de datos a un precio muy bajo o incluso de forma gratuita. Sin embargo, es importante tener en cuenta que para lograr una adecuación correcta a esta legislación se requiere un estudio individual detallado de la entidad, los tipos de tratamientos de datos que se llevan a cabo, los sistemas informáticos y de gestión documental, además de un programa de formación para los empleados.
¿Cómo distingo estas prácticas y cuáles son los riesgos?
Existen algunas características distintivas de estas prácticas fraudulentas que debemos tener en cuenta
Apariencia de cumplimiento: En algunos casos, se ofrece una «adecuación a la normativa de protección de datos», pero en realidad se entregan formularios precompletados que simplemente cumplen los requisitos mínimos sin considerar la situación específica de la entidad. Es importante destacar que el cumplimiento del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) implica revisar, diseñar y aplicar los principios de protección de datos de acuerdo a las circunstancias particulares de cada empresa. El incumplimiento de estas normativas puede resultar en sanciones por parte de la Agencia Española de Protección de Datos (AEPD).
Se promueven prácticas comerciales agresivas, servicios innecesarios y competencia desleal: Se intenta convencer a entidades, pymes y autónomos de contratar servicios de adecuación de terceros, insinuando que hacerlo internamente sería costoso o demasiado exigente. Esta publicidad puede resultar engañosa al ofrecer servicios a veces innecesarios, presentándolos como formación cuando no lo son.
Algunos de estos servicios incluyen la contratación de un Delegado de Protección de Datos, dando a entender que su nombramiento es siempre obligatorio, cuando en realidad no es así (art. 34 LOPDGDD). Además, la decisión de cómo llevar a cabo la adecuación debería basarse en el tipo de entidad, el manejo de datos y los recursos disponibles.
Además, los proveedores pueden utilizar logotipos institucionales (como el de la AEPD o entidades de certificación acreditadas) para hacer creer que cuentan con la aprobación de organismos públicos.
Según lo establecido en el artículo 8 de la Ley 3/1991, de 10 de enero, de Competencia Desleal, se considera «práctica agresiva» el actuar con la intención de suplantar la identidad de la AEPD en las comunicaciones a los responsables y encargados de los tratamientos, generar la apariencia de colaboración con la AEPD, restringir el poder de decisión de los destinatarios mediante la referencia a posibles sanciones por incumplimiento de la normativa de protección de datos, o proporcionar documentación que pretenda crear una apariencia de cumplimiento normativo sin haber realizado las acciones necesarias para verificar dicho cumplimiento.
En caso de que se presenten este tipo de prácticas agresivas, los afectados pueden tomar las medidas correspondientes ante los tribunales correspondientes.
Por otro lado, si los proveedores están publicitando servicios a un precio notablemente inferior al del mercado, podrían estar incurriendo en competencia desleal.
La Comisión Nacional de los Mercados y de la Competencia sería la entidad encargada de investigar las conductas que puedan violar la Ley 15/2007, de 3 de julio, de Defensa de la Competencia, y, en su caso, sancionar las posibles infracciones.
Utilización indebida de fondos para formación
La utilización indebida de fondos destinados a programas de formación para financiar el servicio de adecuación a la normativa de protección de datos a coste cero puede resultar en infracciones graves. La Inspección de Trabajo y Seguridad Social tiene la autoridad para imponer multas que van desde 626 euros hasta 187.515 euros, considerando una infracción por cada empresa y por cada acción formativa. Además, se puede requerir la devolución de las cantidades obtenidas indebidamente y aplicar sanciones adicionales a los diferentes participantes en la organización y ejecución de la formación, según corresponda en cada caso.
Se comete infracción tributaria
Por lo que respecta al cumplimiento de obligaciones tributarias por parte de las empresas,
tanto de quien oferta el servicio como de quien lo contrata, las actividades formativas
dirigidas a los empleados están exentas de tributación por el Impuesto del Valor Añadido
(IVA), mientras que el tipo que corresponde a un servicio de adecuación a una determinada
legislación sería del 21%. De enmascararse el servicio realmente llevado a cabo se puede
estar cometiendo, por tanto, una infracción tributaria, sancionable con multa pecuniaria
proporcional, del 50% en adelante, sobre la cuantía no ingresada.
