El mito de la “inmunidad” sancionadora en las entidades públicas
¿Se pueden imponer multas a colegios profesionales por incumplimiento del RGPD, siendo corporaciones de derecho público? Existe una creencia muy extendida: las entidades de derecho público no pueden ser sancionadas económicamente en materia de protección de datos. Y, en gran medida, es cierto. El artículo 77 de la Ley Orgánica 3/2018 (LOPDGDD) establece que a estos organismos no se les aplican las multas pecuniarias del RGPD, sino otro tipo de medidas correctivas.
Sin embargo, la realidad ha demostrado que esta protección tiene grietas. La Agencia Española de Protección de Datos (AEPD) ha impuesto multas a colegios profesionales en varios procedimientos. Y eso nos lleva a la pregunta que da título a este artículo: ¿cómo es posible que una entidad de derecho público acabe pagando una sanción económica? Vamos a responderla en tres claves.
Respuesta 1: la naturaleza híbrida de los colegios profesionales
La clave está en que, aunque los colegios profesionales son corporaciones de derecho público, en la práctica desarrollan actividades que se asemejan a las de cualquier organización privada: gestionan datos de colegiados, tramitan altas y bajas, publican listados, custodian expedientes disciplinarios y, en ocasiones, prestan servicios que poco tienen que ver con su función pública estricta.
La AEPD ha interpretado en distintas resoluciones que, cuando el tratamiento de datos que origina la infracción no está directamente vinculado al ejercicio de potestades públicas, el colegio profesional puede ser tratado como cualquier otro responsable del tratamiento. Es decir: la “etiqueta” de derecho público no blinda automáticamente frente a las sanciones protección de datos cuando la actividad tiene un componente más cercano a la gestión privada.
Respuesta 2: los casos típicos que han motivado sanciones
Algunos de los motivos más habituales por los que los colegios profesionales han recibido resoluciones sancionadoras incluyen:
- Publicación de listados de colegiados con datos excesivos (teléfonos, direcciones, fotografías) sin base legitimadora suficiente.
- Falta de información clara en los procesos de inscripción y baja colegial.
- Conservación de expedientes disciplinarios más allá de los plazos legalmente establecidos.
- Ausencia de un Delegado de Protección de Datos (DPD) cuando la normativa lo exige.
En todos estos casos, el denominador común es el mismo: actividades de gestión ordinaria, no funciones públicas en sentido estricto. Por eso, cuando hablamos de multas a colegios profesionales, casi siempre nos referimos a este tipo de tratamientos.
Respuesta 3: cómo saber si toca multa o medida correctiva
Esta es la pregunta que más dudas genera entre los propios colegios. La respuesta depende de cómo califique la AEPD la actividad concreta que originó la infracción:
- Si la actividad está ligada al ejercicio de potestades públicas (por ejemplo, funciones disciplinarias delegadas por ley), lo habitual es que se apliquen apercibimientos o requerimientos de adecuación, no multas.
- Si la actividad es de gestión ordinaria (gestión de colegiados, comunicaciones, publicidad de listados), la AEPD puede considerar que actúa como cualquier responsable del tratamiento y aplicar la sanción económica correspondiente.
- La responsabilidad personal de directivos también puede entrar en juego, especialmente cuando se detectan incumplimientos reiterados.
Cómo pueden prevenir las sanciones los colegios profesionales
La línea entre “función pública” y “gestión ordinaria” no siempre es evidente, por lo que la prevención es la mejor estrategia:
- Realizar una auditoría de protección de datos que distinga claramente qué tratamientos están vinculados a potestades públicas y cuáles no.
- Designar un DPD con conocimiento real del funcionamiento colegial.
- Revisar los procedimientos de transparencia hacia colegiados y terceros.
- Establecer protocolos claros de conservación y eliminación de expedientes.
Si quieres profundizar en este y otros temas similares, puedes consultar también nuestro artículo sobre la figura del delegado de protección de datos y su papel específicamente en el sector público o nuestro post sobre protección al denunciante en el ámbito de las Administraciones Públicas.
Conclusión
Aunque la regla general indica que las entidades de derecho público no reciben multas económicas, las multas a colegios profesionales son la prueba de que esta regla tiene excepciones importantes. Conocer dónde está esa frontera entre función pública y gestión ordinaria (y actuar de forma preventiva ante posibles sanciones protección de datos) es clave para evitar sorpresas.
Recuerda que, además, siempre cuentas con guías y demás recursos interesantes sobre éste y otros temas en la web de la Agencia Española de Protección de Datos (AEPD) Y que, si sigues con dudas, siempre puedes consultarnos sin compromiso.