¿Cuáles son las infracciones a la Ley de Datos Personales?

Las empresas públicas y privadas ya pueden ser multadas con hasta 1% de su facturación por hacer mal uso de los datos personales de sus clientes o usuarios.

Las multas y otras sanciones administrativas entraron en vigor desde el 26 de mayo de 2023, a dos años de la publicación de la Ley de Protección de Datos Personales.

Sin embargo, aún no está creada la Superintendencia de Protección de Datos Personales, entidad que debe velar por el cumplimiento de la norma y que estará a cargo de imponer las sanciones.

El Ejecutivo aún no ha enviado la terna para la elección del Superintendente al Consejo de Participación Ciudadana y Control Social. A dos años de publicada la norma, tampoco existe un reglamento para esta Ley.

Una de las obligaciones que establece la Ley de Protección de Datos es que las empresas deben contar con el consentimiento libre e informado de las personas para hacer uso de sus datos personales.

Además, los titulares deben ser informados sobre el tratamiento que se dará a sus datos y sobre cómo se obtuvieron, en caso de no haberlos otorgado directamente a esa empresa.

Medidas de adecuación

Además de contar con el consentimiento informado de los usuarios, las empresas debieron implementar ciertas medidas para adecuarse a la ley en los últimos dos años. Entre esas medidas están:

• Política de protección de datos y de seguridad de la información.
• Capacitaciones al personal para una adecuada gestión de los datos personales. 
• Medidas técnicas, organizativas y de seguridad para proteger los datos ante cualquier riesgo o vulnerabilidad.  
•  Cláusulas contractuales de protección de datos, entre los responsables y los encargados del tratamiento de datos personales. 
• Evaluación del impacto del tratamiento de datos personales.
• Designación de un delegado de protección de datos, el cual será obligatorio para entidades públicas y en ciertos casos para el sector público, dependiendo del volumen y la naturaleza de los datos.

Tipos de infracciones

La Ley de Protección de Datos Personales determina que una infracción leve puede acarrear una multa de hasta 0,7% de la facturación de una empresa. Algunas infracciones de este tipo son:

• No tramitar las peticiones o quejas de los propietarios de los datos o hacerlo fuera de tiempo.
• Mantener políticas de protección de datos personales diferentes al tratamiento que se les está dando a los datos. 
• Elegir un encargado del tratamiento de datos personales que no ofrezca garantías suficientes para la protección de datos personales. El encargado puede ser un proveedor de servicios de mercadeo.

Por una infracción grave, una compañía puede ser multada con hasta el 1% de su facturación. Entre las consideradas como graves estarían:

• Utilizar información para fines diferentes a los que se informó al usuario. 
• Ceder o comunicar a terceros datos personales sin cumplir con los requisitos y procedimientos establecidos en la ley. 
•  No realizar evaluaciones de impacto al tratamiento de datos.

• No implementar medidas para prevenir riesgos y vulneraciones a la seguridad de datos personales que hayan sido identificados.
• No notificar vulneraciones de seguridad a la Superintendencia de Protección de Datos y a los titulares, cuando afecten derechos fundamentales y libertades individuales. 
• No designar un delegado de protección de datos cuando corresponda. 

La Superintendencia también podrá sancionar con medidas correctivas, como el cese de tratamiento de los datos, la eliminación de los datos o la implementación de medidas técnicas o jurídicas para un adecuado uso de los datos.

¿Quiénes más podrán ser sancionados?

Los encargados del tratamiento de los datos, por ejemplo, un proveedor de la empresa, también serán multados por incumplir la ley.

De igual manera, los servidores públicos que infrinjan la ley serán sancionados con multas de entre uno y 20 salarios básicos (USD 9.000 al 2023).