La conducta de la empresa antes y después de la infracción puede encajar en alguno de los supuestos previstos en las leyes administrativas que permiten aplicar una reducción en la cuantía de la sanción.
Existen precedentes en materia de Competencia, tanto en resoluciones del TJUE (Caso Schindler) como de la CNMC (Caso mudanzas), en las que se indica que disponer previamente de programas internos de cumplimiento en materia de competencia no supone automáticamente una circunstancia atenuante, sino que hay que analizar las circunstancias de cada caso. Una vez analizadas, la existencia de un modelo de compliance puede actuar como elemento moderador de la sanción. Así ocurrió en el caso relativo al acuerdo de las empresas de mudanzas, en el que la CNMC redujo la sanción a una empresa que había implantado un programa de cumplimiento normativo tras conocer la infracción. Se entiende que la reducción de la sanción habría sido mayor si el programa de compliance hubiese estado implantado con anterioridad.
En materia de protección de datos, el artículo 83.2.d del RGPD establece que, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado.
También se tendrá en cuenta la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción, y si la empresa estaba adherida a códigos de conducta o a mecanismos de certificación.
Todos estos puntos a valorar son indicadores del esfuerzo realizado por la empresa para cumplir la ley y permiten a la autoridad administrativa aplicar criterios de moderación que tengan como resultado final una reducción de la sanción aplicada.
Xavier Ribas
