Sanciones: infracciones leves, graves y gravísimas
La nueva ley de protección de datos personales clasifica las infracciones en tres niveles: leves, graves y gravísimas. Tratar datos sin consentimiento ni base legal es grave; tratar a sabiendas datos sensibles contra la ley, no hacer una evaluación de impacto exigida u omitir deliberadamente comunicar una vulneración de seguridad son gravísimas.
En breve
- Hay tres niveles de infracción: leve, grave y gravísima. Cada uno tiene una sanción más alta que el anterior.por validar
- Tratar datos sin consentimiento o sin otra base legal es una infracción grave.por validar
- Son gravísimas, entre otras, tratar a sabiendas datos sensibles contra la ley, omitir una evaluación de impacto exigida y omitir deliberadamente comunicar una vulneración de seguridad.por validar
- La reincidencia agrava la sanción; reparar, colaborar y haber supervisado con diligencia la atenúan.por validar
- Un modelo de prevención certificado es voluntario y sirve para demostrar la diligencia de la dirección.por validar
Los tres niveles de infracción
La ley distingue infracciones leves, graves y gravísimas. Las leves se sancionan con una amonestación por escrito o con una multa; las graves y las gravísimas, con multas cada vez más altas. Las cuantías las fija la ley y se confirman con el texto oficial.por validar
Quien sanciona es la Agencia de Protección de Datos Personales, que ejerce la potestad sancionadora sobre quienes tratan datos personales y fiscaliza el cumplimiento de la ley.por validar
Qué significa en tu operación
- Revisa tu operación frente a las conductas del cuadro: consentimiento o base legal, datos sensibles, evaluación de impacto y reporte de vulneraciones.por validar
- Asume que el nivel lo define la conducta, no el tamaño del error: confirma el nivel de cada caso con tu asesor legal.por validar
| Nivel | Cómo se sancionapor validar | Ejemplos de conductapor validar |
|---|---|---|
| Levepor validar | Amonestación por escrito o multa. | [por validar] Los ejemplos de conductas leves se confirman con el texto oficial. |
| Gravepor validar | Multa más alta que la leve. | Tratar datos personales sin el consentimiento de la persona o sin otro fundamento legal. |
| Gravísimapor validar | La multa más alta de la ley; si se repite, puede sumar la suspensión del tratamiento por un tiempo limitado. | Tratar, comunicar o ceder a sabiendas datos sensibles o datos de niños, niñas y adolescentes contra la ley; no hacer una evaluación de impacto cuando corresponde; omitir deliberadamente comunicar una vulneración de seguridad. |
Conductas graves: sin consentimiento ni base legal
Tratar datos personales sin el consentimiento de la persona o sin otro fundamento legal es una infracción grave. El consentimiento debe ser libre, informado y específico, y corresponde al responsable probar que lo obtuvo.por validar
Qué significa en tu operación
- Para cada tratamiento, anota cuál es su base: el consentimiento o la excepción legal que lo permite.por validar
- Si la base es el consentimiento, conserva la prueba de que lo obtuviste y de cómo.por validar
Conductas gravísimas
Tratar, comunicar o ceder a sabiendas datos sensibles o datos de niños, niñas y adolescentes contra la ley es una infracción gravísima.por validar
Lo es también no hacer la evaluación de impacto cuando corresponde, y omitir deliberadamente comunicar las vulneraciones de seguridad que la ley manda reportar.por validar
Qué significa en tu operación
- Confirma que toda decisión de tratar datos sensibles tiene una base legal escrita y revisada por tu asesor legal.por validar
- Prepara con tiempo la evaluación de impacto y un procedimiento de reporte de vulneraciones con responsables definidos.por validar
Las cuantías
Cada nivel tiene una multa máxima distinta, y la ley prevé reglas especiales para la reincidencia. Las cuantías las fija la ley y se confirman con el texto oficial; esta guía no las reproduce.por validar
Qué significa en tu operación
- Pide a tu asesor legal el cálculo del riesgo económico de tu operación con el texto oficial a la vista.por validar
Reincidencia
Hay reincidencia cuando el responsable ya fue sancionado más de una vez, en un período reciente, por infracciones a la ley. La reincidencia agrava la sanción y puede llevar a una multa más alta.por validar
Qué significa en tu operación
- Trata la primera sanción como una señal para corregir la causa, no solo el caso.por validar
Qué atenúa una sanción
La ley considera atenuantes: reparar el daño y los acuerdos reparatorios; colaborar con la investigación; no haber sido sancionado antes; autodenunciarse y adoptar medidas; y haber cumplido con diligencia los deberes de dirección y supervisión para proteger los datos.por validar
Este último factor se verifica con el certificado del modelo de prevención de infracciones, que otorga la Agencia.por validar
Qué significa en tu operación
- Prepara desde ya la evidencia de cada atenuante: lo que no puedes demostrar, no cuenta.por validar
| Factor | Efectopor validar | Qué conviene tener a manopor validar |
|---|---|---|
| Reparación y acuerdos reparatoriospor validar | Atenúa. | Un procedimiento para reparar a las personas afectadas. |
| Colaboración en la investigaciónpor validar | Atenúa. | Una persona definida que responda a la Agencia. |
| Ausencia de sanciones previaspor validar | Atenúa. | El historial de tu organización ordenado. |
| Autodenuncia con medidaspor validar | Atenúa. | Un procedimiento para reportar y corregir por iniciativa propia. |
| Dirección y supervisión diligentespor validar | Atenúa. | El certificado del modelo de prevención y la evidencia de su uso. |
| Reincidenciapor validar | Agrava. | Corregir la causa de cualquier sanción anterior. |
| Carácter continuadopor validar | Agrava. | Detener a tiempo una conducta que se repite. |
| Riesgo para la seguridad de derechos y libertadespor validar | Agrava. | Medidas de seguridad proporcionales al riesgo. |
Qué agrava una sanción
La ley considera agravantes la reincidencia, el carácter continuado de la infracción y el riesgo que esta supone para la seguridad de los derechos y las libertades de las personas.por validar
Qué significa en tu operación
- Si detectas una infracción en curso, detenla y documenta la corrección: una conducta que se prolonga pesa más.por validar
El modelo de prevención
Adoptar un modelo de prevención de infracciones, que es un programa de cumplimiento, es voluntario. Debe incluir, entre otros elementos, un delegado de protección de datos, los medios y facultades del delegado, la identificación de los datos y los procesos de riesgo, protocolos, mecanismos de reporte internos y sanciones internas.por validar
La Agencia certifica y supervisa el modelo, y registra a quienes tienen una certificación vigente en el Registro Nacional de Sanciones y Cumplimiento. El certificado sirve de prueba de que la dirección cumplió con diligencia sus deberes de supervisión, lo que atenúa la sanción.por validar
Qué significa en tu operación
- Evalúa con tu asesor legal si te conviene adoptar un modelo de prevención y certificarlo.por validar
- Si ya tienes un programa de cumplimiento, compara su contenido con los elementos mínimos que la ley menciona.por validar
Suspensión de las operaciones de tratamiento
Cuando un responsable acumula multas por infracciones gravísimas repetidas dentro de un período reciente, la ley permite además una sanción accesoria: suspender sus operaciones de tratamiento de datos por un tiempo limitado. Los plazos y los límites se confirman con el texto oficial.por validar
Qué significa en tu operación
- Considera el riesgo operativo: una suspensión puede detener un servicio que depende de datos personales.por validar
- Prepara un plan de continuidad que no dependa de un solo tratamiento de datos.por validar
Cómo responde BiometryPass
- [por validar] Si BiometryPass tiene hoy alguna certificación, auditoría o modelo de prevención de infracciones, o si alguno está en curso. Mientras no se confirme con un documento, esta guía no afirma ninguno.por validar
- Solo uno de los cinco métodos de identificación de BiometryPass trabaja con datos biométricos; los otros cuatro no, lo que acota los tratamientos de datos sensibles de una operación.por validar
- [por validar] Qué documentos y procedimientos de BiometryPass ayudan al cliente a demostrar su diligencia: consentimiento, evaluación de impacto y reporte de vulneraciones.por validar
Tecnologías relacionadas
Preguntas frecuentes
¿Cuáles son los niveles de infracción?por validar
Leves, graves y gravísimas. Las leves se sancionan con una amonestación por escrito o con una multa; las graves y gravísimas, con multas más altas.
¿Cuánto es la multa?por validar
Las cuantías las fija la ley y se confirman con el texto oficial; esta guía no las reproduce.
¿Tratar datos sin consentimiento es una infracción grave?por validar
Sí, tratar datos personales sin consentimiento o sin otro fundamento legal está entre las conductas graves.
¿No hacer la evaluación de impacto es una infracción gravísima?por validar
Sí, cuando la ley la exige. Es una de las conductas gravísimas, junto con tratar a sabiendas datos sensibles contra la ley y omitir deliberadamente comunicar una vulneración de seguridad.
¿Sirve de algo tener un modelo de prevención?por validar
Es voluntario, pero un modelo certificado por la Agencia sirve para demostrar que la dirección supervisó con diligencia, y eso atenúa la sanción.
¿Tiene BiometryPass algún certificado de modelo de prevención?por validar
[por validar] Si BiometryPass tiene hoy alguna certificación o auditoría. Mientras no se confirme, esta guía no afirma ninguna.
Fuentes
- Texto oficial de la nueva ley de protección de datos personales, que se publica en el Diario Oficial (fecha y enlace por confirmar). Se confirman antes de indexar esta página.por validar
- Las cuantías y los plazos no están reproducidos en esta guía: se confirman con el texto oficial.por validar
Aviso
Este contenido es informativo: resume la nueva ley y describe cómo trabaja BiometryPass en lenguaje claro. No constituye asesoría legal, auditoría ni certificación, y no reemplaza la revisión de un abogado sobre tu caso.por validar