En lo que va de año la Audiencia Nacional y el Tribunal Supremo han revisado 70 resoluciones sancionatorias de la Agencia Española de Protección de Datos (AEPD), que imponían un total de 6.293.193,07 € de multas. De ese total, la Audiencia Nacional y el Tribunal Supremo han confirmado que sólo procede el pago de 1.658.533,85 € y han ordenado la devolución de 4.634.659,22 €, que representa el 73 %.

Este comportamiento de la Audiencia Nacional y del Tribunal Supremo se debe, en gran medida, a la aplicación de nuevos criterios sancionadores introducidos desde la Ley de Economía Sostenible, que modificó la Ley Orgánica de Protección de Datos. Esta modificación supuso la posibilidad de graduar la cuantía de las sanciones, atendiendo a ciertos criterios, como por ejemplo, el carácter continuado de la infracción, el volumen de los tratamientos efectuados, la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, el volumen de negocio o actividad del infractor, los beneficios obtenidos como consecuencia de la comisión de la infracción, el grado de intencionalidad, la reincidencia por comisión de infracciones de la misma naturaleza, la naturaleza de los perjuicios causados a las personas interesadas o a terceras personas, etc. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en determinados supuestos: cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, cuando la entidad infractora haya regularizado la situación irregular de forma diligente, cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción, cuando el infractor haya reconocido espontáneamente su culpabilidad o cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. Excepcionalmente el órgano sancionador puede, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios mencionados anteriormente, y siempre que los hechos no sean constitutivos de infracción muy grave y que el infractor no hubiera sido sancionado o apercibido con anterioridad, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes.

Además, hay que tener en cuenta que cada vez se recurren más las resoluciones de la Agencia Española de Protección de Datos y que hay una mayor especialización judicial.