La LSSI establece en su título VII (arts. 37 a 45) un régimen sancionador en caso de incumplimiento de sus preceptos al que están sujetos los prestadores de servicios de la sociedad de la información.

“El incumplimiento de la obligación de suspender la transmisión, el alojamiento de datos, el acceso a la red o la prestación de cualquier otro servicio equivalente de intermediación, cuando un órgano administrativo competente lo ordene, en virtud de lo dispuesto en el art. 11”.

Como infracciones graves, la LSSI en su art. 38.3 establece las siguientes:

1. El incumplimiento significativo de lo establecido en los párrafos a) y f) del art. 10.1 de la LSSI. Es decir, el incumplimiento de los deberes de información general del prestador del servicio de la sociedad de la información de permitir el acceso al nombre o denominación social; su residencia o domicilio o, en su defecto, la dirección de uno de sus establecimientos permanentes en España; su dirección de correo electrónico y cualquier otro dato que permita establecer con él una comunicación directa y efectiva. Así como el incumplimiento, cuando sea aplicable, del deber de facilitar información clara y exacta sobre el precio del producto o servicio, de los impuestos aplicables y, sobre los gastos de envío o, en su caso, aquello que dispongan las normas de las Comunidades Autónomas con competencias en la materia.
2. El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el 21. El incumplimiento significativo de la obligación del prestador de servicios establecida en el art. 22.1 de la LSSI, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios.
3. No poner a disposición del destinatario del servicio las condiciones generales a que, en su caso, se sujete el contrato, en la forma prevista en el 27 de la LSSI.
4. El incumplimiento habitual de la obligación de confirmar la recepción de una aceptación, cuando no se haya pactado su exclusión o el contrato se haya celebrado con un consumidor.
5. La resistencia, excusa o negativa a la actuación inspectora de los órganos facultados para llevarla a cabo con arreglo a esta ley.
6. El incumplimiento significativo de lo establecido en el 10.3 de la LSSI, sobre las obligaciones de información referidas a servicios de tarificación adicional en que se permita el acceso a servicios de la sociedad de la información.
7. La reincidencia en el plazo de tres años de la comisión de la infracción leve relativa a los dispositivos de almacenamiento y recuperación de datos en equipos terminales. Según el 37 de la LSSI, serán responsables de esta infracción el editor del sitio web y la red publicitaria o agente que gestione directamente con el editor la colocación de anuncios en el sitio web, siempre que este no haya tomado medidas para exigir el cumplimiento de la normativa.

Se consideran infracciones leves de acuerdo con el art. 38.4 de la LSSI:

1. El incumplimiento de lo previsto en el 12 bis de la LSSI para los proveedores de servicios de que realicen actividades consistentes en la prestación de servicios de acceso a internet.
2. No informar en la forma prescrita por el 10.1 de la LSSI sobre los aspectos señalados en el mismo, en el caso de los párrafos a) y f), será infracción leve cuando no constituya infracción grave.
3. El incumplimiento de lo previsto en el 20 de la LSSI para las comunicaciones comerciales, ofertas promocionales y concursos.
4. El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando, en dichos envíos, no se cumplan los requisitos establecidos en el 21 de la LSSI y no constituya infracción grave.
5. No facilitar la información a que se refiere el 27.1 de la LSSI (sobre información previa a la contratación), cuando las partes no hayan pactado su exclusión o el destinatario sea un consumidor.
6. El incumplimiento de la obligación de confirmar la recepción de una petición en los términos establecidos en el 28 de la LSSI, cuando no se haya pactado su exclusión o el contrato se haya celebrado con un consumidor, salvo que constituya infracción grave.
7. Utilizar dispositivos de almacenamiento y recuperación de datos (cookies) cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el 22.2 de la LSSI. Nuevamente, según el art. 37 de la LSSI, serán responsables de esta infracción el editor del sitio web y la red publicitaria o agente que gestione directamente con el editor la colocación de anuncios en el sitio web, siempre que este no haya tomado medidas para exigir el cumplimiento de la normativa.
8. El incumplimiento de la obligación del prestador de servicios establecida en el 22.1 de la LSSI, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios cuando no constituya infracción grave.
9. El incumplimiento de lo establecido en el 10.3 de la LSSI, sobre las obligaciones de información referidas a servicios de tarificación adicional en que se permita el acceso a servicios de la sociedad de la información, cuando tal incumplimiento no constituya infracción grave.

La LSSI prevé la imposición de sanciones de multa por la comisión de las infracciones descritas.

La cuantía de las sanciones se fija en el art. 39 de la LSSI de la siguiente manera:

1. Por la comisión de infracciones muy graves, multa de 150.001 hasta 600.000 euros.
2. Por la comisión de infracciones graves, multa de 30.001 hasta 1 50.000 euros.
3. Por la comisión de infracciones leves, multa de hasta 30.000 euros.

El art. 39 bis, introducido en la ley mediante la reforma de la Ley General de Telecomunicaciones de 2014, incluye la posibilidad de moderar las sanciones en base a una serie de factores:

1. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el 40.
2. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
3. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
4. Cuando el infractor haya reconocido espontáneamente su culpabilidad.
5. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.

La reforma introdujo, a través del art. 39 bis 2.), la figura del apercibimiento, similar a la encontrada en el ámbito de actuación de la LOPD. En base a este nuevo artículo, los órganos con potestad sancionadora podrán, atendida la naturaleza de los hechos y la concurrencia de los criterios establecidos en el apartado anterior, acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes. Se abre así la posibilidad de no proceder automáticamente a la sanción, buscando que la posibilidad de evitar la sanción conlleve una corrección rápida por parte del infractor.

La LSSI establece una sanción de prohibición para mantener la actividad en España en casos de reincidencia en la comisión de infracciones muy graves, de forma que la reiteración en el plazo de tres años de dos o más infracciones muy graves, sancionadas con carácter firme, podrá dar lugar, en función de sus circunstancias, a la sanción de prohibición de actuación en España durante un plazo máximo de dos años.

Para la graduación de la cuantía de las multas, la LSSI (art. 40) fija una serie de criterios:

1. La existencia de intencionalidad.
2. El plazo de tiempo en el que se haya cometido la infracción.
3. La reincidencia por comisión de infracciones de la misma naturaleza, cuando haya sido declarado por resolución firme.
4. La naturaleza y cuantía de los perjuicios causados.
5. Los beneficios obtenidos por la infracción.
6. El volumen de facturación a que afecte la infracción cometida.
7. La adhesión a códigos de conducta o sistemas de autorregulación publicitaria informados favorablemente por los órganos competentes.

La LSSI también prevé, en su art. 41, la posibilidad de adoptar medidas de carácter provisional en los procedimientos sancionadores por infracciones graves o muy graves, según lo previsto en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y sus normas de desarrollo, cuando tales medidas se estimen necesarias para asegurar la eficacia de la resolución que definitivamente se dicte, el buen fin del procedimiento, evitar el mantenimiento de los efectos de la infracción y las exigencias de los intereses generales.

En particular, el precepto prevé que podrán acordarse como medidas provisionales:

1. La suspensión temporal de la actividad del prestador de servicios y, en su caso, cierre provisional de sus establecimientos.
2. El precinto, depósito o incautación de registros, soportes y archivos informáticos, y de documentos en general, así como de aparatos y equipos informáticos de todo tipo.
3. La advertencia al público de la existencia de posibles conductas infractoras y de la incoación del expediente sancionador de que se trate, así como de las medidas adoptadas para el cese de dichas conductas.

El art. 8 de la LSSI contiene una previsión similar, si bien, tras la modificación realizada por la Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información, la referencia a los órganos jurisdiccionales se limitaba a los casos en que estos tengan atribuida la competencia de forma excluyente.

También se prevé en el art. 41.4 de la LSSI, para casos de urgencia y para la inmediata protección de los intereses implicados, que las medidas provisionales puedan ser acordadas antes de la iniciación del expediente sancionador. En tal caso, las medidas deberán ser confirmadas, modificadas o levantadas en el acuerdo de iniciación del procedimiento, que deberá efectuarse dentro de los quince días siguientes a su adopción, y podrá ser objeto del recurso que proceda.

Las medidas adoptadas quedarán sin efecto si no se inicia el procedimiento sancionador en el plazo de 15 días o cuando el acuerdo de iniciación no contenga un pronunciamiento expreso acerca de las mismas.

Por último, la LSSI (art. 42) contempla la posibilidad de que el órgano administrativo competente para resolver el procedimiento sancionador imponga multas coercitivas de hasta de 6.000 euros por cada día que transcurra sin cumplir las medidas provisionales que hubieran sido acordadas.

La competencia para imponer estas sanciones viene atribuida por la LSSI de forma compleja:

1. La imposición de sanciones por infracciones muy graves corresponderá al Ministro de Industria, Energía y Turismo.
2. La imposición de sanciones por infracciones graves y leves corresponderá al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información.

No obstante, la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en relación a la suspensión de servicios de intermediación (como transmisión, alojamiento de datos, acceso a la red o cualquier otro servicio equivalente) corresponderá al órgano que dictó la resolución incumplida.

La Agencia de Protección de Datos será competente para la imposición de sanciones por la comisión de las infracciones relacionadas con el envío de comunicaciones comerciales y el uso de dispositivos de almacenamiento y recuperación de datos (cookies) tipificadas en los arts. 38.3 c), d) e i) y 38.4 d), g) y h) de la LSSI.

En cuanto al procedimiento para la imposición de sanciones, la LSSI establece que se estará a lo establecido al respecto en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en sus normas de desarrollo. No obstante, el plazo máximo de duración del procedimiento simplificado será de tres meses.

Asimismo, la LSSI recoge el principio de non bis in idem y establece, en su art. 44.1, que no podrá ejercerse la potestad sancionadora prevista en la propia ley cuando haya recaído sanción penal, en los casos en que se aprecie identidad de sujeto, hecho y fundamento. Cuando se esté tramitando un proceso penal por los mismos hechos o por otros cuya separación de los sancionables sea racionalmente imposible, el procedimiento administrativo quedará suspendido respecto de tales hechos mismos hasta que recaiga pronunciamiento firme de la autoridad judicial.

No obstante, la imposición de una sanción prevista en la LSSI no impedirá la tramitación y resolución de otro procedimiento sancionador por los órganos u organismos competentes en cada caso cuando la conducta infractora se hubiera cometido utilizando técnicas y medios telemáticos o electrónicos y resulte tipificada en otra ley, siempre que no haya identidad del bien jurídico protegido. Si hubiese identidad del bien jurídico protegido y los hechos constitutivos de infracción lo sean también de otra tipificada en la normativa sectorial a la que esté sujeto el prestador del servicio, no procederá la imposición de sanciones de la LSSI.

En cuanto a la prescripción de las infracciones previstas en la ley, la LSSI dispone que las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses.

En el caso de las sanciones, estas prescribirán si fueron impuestas por:

1. Las faltas muy graves a los tres años
2. las impuestas por faltas graves a los dos años
3. las impuestas por faltas leves al año