Multas de la Ley 21.719: cuánto, por qué y cómo se calculan.

Los montos

El artículo 35 fija las sanciones para personas naturales y jurídicas de derecho privado:

Los montos están en unidades tributarias mensuales, cuyo valor en pesos publica el SII cada mes. Son máximos: la Agencia fija la multa concreta según los criterios del artículo 37.

Tres reglas pueden aumentarla:

• No corregir. La Agencia indica medidas para subsanar la causa de la sanción. Si no se adoptan en 60 días, la multa sube un 50%.
• Reincidir. Hay reincidencia cuando el responsable fue sancionado dos o más veces en los últimos 30 meses. La multa puede llegar al triple del monto de la infracción.
• Reincidir siendo una empresa grande. Si no es empresa de menor tamaño y reincide en una infracción grave o gravísima, la multa puede llegar al 2% o al 4% de sus ingresos anuales del último año, respectivamente, si ese monto es mayor.

Qué infracción es cada cosa

Los artículos 34 bis, 34 ter y 34 quáter enumeran las conductas. Una selección de las más comunes en empresas:

Leves (artículo 34 bis)

• No cumplir total o parcialmente el deber de información y transparencia del artículo 14 ter.
• No tener un canal de contacto actualizado y operativo para que los titulares ejerzan sus derechos.
• No responder, responder incompleto o fuera de plazo las solicitudes de los titulares.
• No enviar a la Agencia las comunicaciones obligatorias.
• Cualquier otra infracción que no esté calificada como grave o gravísima.

Graves (artículo 34 ter)

• Tratar datos sin consentimiento ni otra base legal, o para una finalidad distinta de aquella para la que se recogieron.
• Comunicar o ceder datos sin consentimiento cuando era necesario.
• Tratar datos innecesarios para la finalidad, o datos inexactos o desactualizados.
• Impedir u obstaculizar el ejercicio de los derechos de los titulares.
• Tratar datos de niños, niñas y adolescentes infringiendo la ley.
• Vulnerar el deber de confidencialidad o las obligaciones de seguridad.
• Omitir las comunicaciones o registros de una vulneración de seguridad.
• Hacer transferencias internacionales contra lo que dispone la ley.
• No cumplir una resolución o requerimiento de la Agencia.

Gravísimas (artículo 34 quáter)

• Tratar datos en forma fraudulenta o destinarlos maliciosamente a otra finalidad.
• Tratar, comunicar o ceder a sabiendas datos sensibles o de menores infringiendo la ley.
• Vulnerar la confidencialidad de datos sensibles o de antecedentes penales, civiles, administrativos y disciplinarios.
• Omitir deliberadamente la comunicación de una vulneración de seguridad.
• No cumplir lo que resuelva la Agencia sobre un reclamo de un titular.
• No hacer la evaluación de impacto del artículo 15 ter cuando corresponde.

Cómo se fija la multa

Dentro del máximo, la Agencia aplica prudencialmente los criterios del artículo 37:

1. La gravedad de la conducta.
2. Si hubo falta de diligencia o cuidado.
3. El perjuicio causado, especialmente el número de titulares afectados.
4. El beneficio económico obtenido, si lo hubo.
5. Si se trataron datos sensibles o de niños, niñas y adolescentes.
6. La capacidad económica del infractor.
7. Las sanciones aplicadas antes en las mismas circunstancias.
8. Las atenuantes y agravantes.

Si una sola conducta da lugar a varias infracciones, se aplica una sola multa, la de la más grave. Si son conductas independientes, las multas se suman. La multa se paga en la Tesorería dentro de 10 días hábiles desde que la resolución queda firme.

Atenuantes y agravantes

Todas están en el artículo 36. La última es la razón de ser del modelo de prevención, que explicamos en la guía del delegado de protección de datos.

Otras consecuencias

• Suspensión. Con multas por infracciones gravísimas reiteradas en 24 meses, la Agencia puede suspender total o parcialmente los tratamientos hasta por 30 días, prorrogables mientras no se corrija (artículo 38).
• Registro público. Las sanciones se anotan en el Registro Nacional de Sanciones y Cumplimiento, de acceso público y gratuito, y quedan visibles por cinco años (artículo 39). Para muchas empresas, ese es el costo más alto.
• Otras responsabilidades. Las sanciones de esta ley no excluyen las responsabilidades civiles o penales que correspondan (artículo 34).
• Prescripción. Las infracciones prescriben en cuatro años desde el hecho o desde que cesa si es continuada; las sanciones impuestas, en tres años (artículo 40).

Empresas de menor tamaño

Durante los primeros doce meses de vigencia de la ley, la Agencia puede sancionar a las empresas de menor tamaño con una amonestación por escrito en vez de una multa (artículo sexto transitorio). La amonestación también se anota en el registro público. Y el límite del 2% o 4% de los ingresos no se aplica a ellas.

La mejor forma de no llegar a ninguna de estas tablas es empezar por lo básico: el registro de tratamientos, la información publicada, un canal para los derechos de los titulares y un procedimiento de brechas.