Multas y sanciones de la Ley 21.719
Actualizado el
Cómo se clasifican las infracciones
La ley ordena las infracciones en tres niveles según su gravedad:
“Las infracciones cometidas por los responsables de datos a los principios señalados en el artículo 3° y a los derechos y obligaciones establecidos en esta ley se califican, atendida su gravedad, en leves, graves y gravísimas.”
Infracciones leves
Son, entre otras:
“a) Incumplir total o parcialmente el deber de información y transparencia, establecido en el artículo 14 ter. b) Carecer de la individualización del domicilio postal, correo electrónico o medio electrónico equivalente que permita comunicarse con el responsable de datos o su representante legal, actualizado y operativo, a través del cual los titulares de datos puedan dirigir sus comunicaciones o ejercer sus derechos. c) Omitir la respuesta, responder en forma incompleta o fuera de plazo, las solicitudes formuladas por el titular de datos en conformidad a esta ley.”
Las dos primeras se pueden ver desde afuera: el Art. 14 ter pide publicar, entre otras cosas, la política de tratamiento de datos y un medio de contacto, y un sitio web es el lugar habitual para hacerlo. Lo detallamos en la guía para tu sitio web.
Infracciones graves
Entre otras:
“a) Tratar los datos personales sin contar con el consentimiento del titular de datos o sin un antecedente o fundamento legal que otorgue licitud al tratamiento, o tratarlos con una finalidad distinta de aquélla para la cual fueron recolectados. [...] g) Realizar tratamiento de datos personales de niños, niñas y adolescentes con infracción a las normas previstas en esta ley. [...] j) Vulnerar o infringir las obligaciones de seguridad en el tratamiento de los datos personales establecidas en el artículo 14 quinquies. [...] m) Realizar operaciones de transferencia internacional de datos en contravención a las normas previstas en esta ley.”
Infracciones gravísimas
Entre otras:
“a) Efectuar tratamiento de datos personales en forma fraudulenta. [...] e) Tratar, comunicar o ceder, a sabiendas, datos personales sensibles o datos personales de niños, niñas y adolescentes, en contravención a las normas de esta ley. f) Omitir en forma deliberada la comunicación de las vulneraciones a las medidas de seguridad que puedan afectar la confidencialidad, disponibilidad o integridad de los datos personales. [...] k) Incumplir la obligación establecida en el artículo 15 ter, en los casos que corresponda.”
Varias gravísimas se distinguen de las graves por la intención: exigen que la conducta sea fraudulenta, deliberada o a sabiendas. La última de la lista se refiere a la evaluación de impacto que el Art. 15 ter exige antes de ciertos tratamientos de alto riesgo, como las decisiones automatizadas con efectos jurídicos significativos o el tratamiento masivo de datos.
Cuánto son las multas
“a) Las infracciones leves serán sancionadas con amonestación escrita o multa de hasta 5.000 unidades tributarias mensuales. b) Las infracciones graves serán sancionadas con multa de hasta 10.000 unidades tributarias mensuales. c) Las infracciones gravísimas serán sancionadas con multa de hasta 20.000 unidades tributarias mensuales.”
Son montos máximos, expresados en UTM (unidad tributaria mensual), cuyo valor en pesos cambia mes a mes. Además de la multa, la Agencia indica las medidas para corregir la situación, y no adoptarlas a tiempo la encarece:
“la Agencia señalará las medidas tendientes a subsanar las causales que dieron motivo a la sanción, las que deberán ser adoptadas en un plazo no mayor a sesenta días, de lo contrario se impondrá un recargo de 50% a la multa cursada [...]”
Reincidencia: cuando la multa puede multiplicarse
La ley define la reincidencia con un plazo concreto:
“a) La reincidencia. Existe reincidencia cuando el responsable ha sido sancionado en dos o más ocasiones, en los últimos treinta meses, por infracción a esta ley.”
Con reincidencia, la multa puede llegar a tres veces el monto asignado a la infracción (Art. 35). Y en las empresas que no son de menor tamaño, si la reincidencia es en una infracción grave o gravísima, la multa puede calcularse sobre sus ingresos:
“En caso de que el infractor corresponda a una empresa distinta de aquéllas definidas como empresas de menor tamaño en el artículo segundo de la ley N° 20.416, que reincida en infracción de carácter grave o gravísima [...] la multa podrá alcanzar a la más gravosa entre la señalada en el inciso anterior o hasta el monto correspondiente al 2% o 4% de los ingresos anuales por ventas y servicios y otras actividades del giro en el último año calendario, según se trate de infracciones graves o gravísimas, respectivamente.”
Qué atenúa y qué agrava la sanción
El Art. 36 enumera como atenuantes reparar el daño por iniciativa propia o por acuerdo con los afectados, colaborar con la investigación de la Agencia, no tener sanciones previas, autodenunciarse informando las medidas adoptadas, y contar con un modelo de prevención de infracciones certificado. Como agravantes, la reincidencia, que la infracción sea continuada y haber puesto en riesgo los derechos y libertades de las personas.
Para fijar el monto, el Art. 37 obliga a la Agencia a considerar, entre otros criterios, la gravedad de la conducta, el número de personas afectadas, el beneficio económico obtenido, si hubo datos sensibles o datos de niños, niñas y adolescentes, y la capacidad económica del infractor.
Suspensión y registro público
Si se imponen multas por infracciones gravísimas reiteradas en un período de 24 meses, la Agencia puede suspender las operaciones de tratamiento de datos hasta por 30 días, en períodos que se pueden prorrogar mientras no se cumpla lo ordenado (Art. 38). Además, las sanciones quedan en un registro público:
“El registro será público y su acceso gratuito. [...] Las anotaciones en el registro serán de acceso público por el período de cinco años, a contar de la fecha en que se practicó la anotación.”
Pymes: la ventana de amonestación
Durante los primeros doce meses de vigencia de la ley, a las empresas de menor tamaño la Agencia puede aplicarles una amonestación por escrito en lugar de una multa. Es una facultad de la Agencia, no una exención, y la amonestación también queda en el registro. Lo explicamos en la guía para pymes. Para el resto de la ley, vuelve a la guía completa de la Ley 21.719.
Esta guía es informativa: resume y cita la Ley 21.719, pero no constituye asesoría legal ni reemplaza la revisión de un abogado sobre el caso concreto de tu empresa.
Revisa tu sitio frente a la Ley 21.719
Escanea tu sitio gratis: detectamos riesgos en formularios, cookies, scripts y consentimiento, con el artículo de la ley citado en cada riesgo detectado y una recomendación para corregirlo.
Escanear mi sitio gratis