Próximamente, el Tribunal de Justicia de la Unión Europea (en adelante, TJUE) tendrá ocasión de pronunciarse sobre una cuestión de gran interés para las autoridades de protección de datos, así como para las entidades que desarrollan funciones de interés general: ¿qué se entiende por "autoridad u organismo público" a efectos del artículo 83.7 RGPD?
La cuestión surge en el asunto C‑458/25, Gegevensbeschermingsautoriteit c. Onderwijsgroep Zusters der Christelijke Scholen Zuid‑Kempen (Autoridad de Protección de Datos contra el Grupo Educativo Hermanas de las Escuelas Cristianas de Zuid-Kempen VZW), referido a una entidad privada que presta servicios educativos subvencionados en Bélgica. La controversia no gira en torno a la existencia de una infracción de protección de datos, sino sobre si dicha entidad puede beneficiarse del régimen nacional que excluye o limita la imposición de sanciones administrativas a determinadas entidades consideradas públicas.
El litigio tiene su origen en una encuesta sobre bienestar infantil realizada en un centro belga que imparte educación privada subvencionada. La autoridad belga de protección de datos (en adelante, DPA) apreció diversas infracciones del RGPD relacionadas con el tratamiento de datos de menores, entre ellas cuestiones vinculadas a la base legitimadora, la información facilitada y el principio de minimización de datos. Como consecuencia, impuso una multa administrativa al centro educativo.
Sin embargo, la entidad sancionada sostuvo que, al desarrollar una actividad educativa subvencionada y de interés general, debía beneficiarse de la exención prevista por el derecho belga para determinadas autoridades y organismos públicos. La controversia acabó llegando al Tribunal de Casación belga (Hof van Cassatie), que decidió plantear una cuestión prejudicial al Tribunal de Justicia.
Concretamente el debate gira alrededor del artículo 83.7 RGPD, precepto que permite a los Estados miembros establecer reglas sobre si las multas administrativas pueden imponerse, y en qué medida, a las autoridades y organismos públicos establecidos en su territorio. La peculiaridad de esta disposición es que el RGPD no define expresamente qué debe entenderse por "autoridad" u "organismo público", lo que ha llevado a algunos Estados miembros a adoptar enfoques más o menos restrictivos. La cuestión, por tanto, radica en si los Estados miembros disponen de libertad para definir que se entiende por autoridad pública a estos efectos, o si estamos ante un concepto autónomo cuyo significado debería ser uniforme en toda la Unión Europea (UE).
Unos de los aspectos más relevantes de la consulta es la distinción entre (i) entidades que ejercen potestades públicas; y (ii) entidades privadas que desarrollan funciones de interés general o reciben subvenciones públicas (por ejemplo, centros educativos, asociaciones que gestionan servicios públicos, etc.). La integración de este tipo de entidades en el régimen del artículo 83.7 RGPD ampliaría el número de entidades excluidas del régimen sancionador.
La cuestión no es baladí porque el futuro pronunciamiento no solo afectará al régimen jurídico aplicable a los centros educativos subvencionados en Bélgica. La interpretación que adopte el TJUE sobre el concepto de "autoridad u organismo público" del artículo 83.7 RGPD podría tener un impacto significativo en aquellos Estados miembros que han optado por limitar o excluir la imposición de sanciones administrativas a determinadas entidades públicas, por ejemplo, España, Austria o Francia.
En consecuencia, la sentencia podría obligar a revisar determinados modelos nacionales de exención sancionadora y ampliar el alcance del régimen de multas previsto por el RGPD a entidades que hasta ahora quedaban excluidas de su aplicación.