I. Introducción

En la República Argentina los datos personales tienen una protección especial dada por la Constitución Nacional (en adelante, la “CN”)[1] y la Ley Nº 25.326 de Protección de Datos Personales y Hábeas Data (en adelante, la “Ley de Protección de Datos Personales”)[2] que establece una serie de conceptos -presupuesto básico para que opere este marco de protección- y un conjunto de reglas y principios que procuran que los individuos tengan control sobre sus datos personales.

Frente al incumplimiento de dichas reglas y principios, el órgano de control tiene la atribución de imponer sanciones administrativas[3].

Recientemente, la Agencia de Acceso a la Información Pública -en su carácter de órgano de control de la Ley de Protección de Datos Personales a través de la Dirección Nacional de Protección de Datos Personales- (en adelante, la “AAIP”) dictó dos resoluciones que actualizan los criterios de gradualidad para imponer sanciones en caso de comprobarse infracciones a la Ley de Protección de Datos Personales. Me estoy refiriendo a (i) la Resolución N° 240/2022[4] (en adelante, la “Resolución 240/22”), que clasificó a las infracciones en leves, graves y muy graves y estableció un procedimiento de graduación de sanciones; y (ii) la Resolución N° 244/2022[5] (en adelante, la “Resolución 244/22” y conjuntamente con la Resolución 240/22, las “Resoluciones”), que modificó los topes máximos de las multas por infracciones a la Ley de Protección de Datos Personales cuando un acto administrativo condenatorio incluya más de una sanción pecuniaria por idéntica conducta sancionable dentro de cada uno de los niveles de “graduación de las sanciones”.

II. Clasificación de las infracciones por violación a la Ley de Protección de Datos Personales. Sanciones y topes máximos

Mediante el dictado de la Resolución 240/22, la AAIP clasificó las infracciones a la Ley de Protección de Datos Personales en leves, graves y muy graves[6], conforme se describe a continuación:

II. 1. Infracciones leves

Serán consideradas infracciones leves las siguientes conductas:

a) efectuar tratamiento de datos personales sin encontrarse inscripto ante el Registro Nacional de Bases Datos[7];

b) no informar en tiempo y forma modificaciones, actualizaciones o bajas de las bases de datos registradas ante el Registro Nacional de Bases de Datos;

c) No proporcionar en tiempo y forma la información que solicite la AAIP;

d) no acompañar en tiempo y forma la documentación requerida en el marco de un procedimiento de inspección;

e) no respetar el principio de gratuidad[8] para el ejercicio del titular de los datos personales de su derecho de rectificación, actualización o supresión de datos personales inexactos o incompletos que obren en registros públicos o privados;

Ante la comisión de una infracción considerada leve, la AAIP podrá aplicar hasta 2 (dos) apercibimientos y/o una multa[9] de $1.000 (mil pesos) a $80.000 (ochenta mil pesos)[10]. Sin perjuicio de ello, la AAIP podrá imponer a la sancionada una obligación de hacer con el objeto de que cese en el incumplimiento que diera origen a la sanción y la capacitación obligatoria en materia de protección de datos personales para evitar que la conducta que generó la infracción se produzca nuevamente.

II. 2. Infracciones graves

Por su parte, serán consideradas infracciones graves las siguientes acciones:

a) no inscribir la base de datos en el Registro Nacional de Bases de Datos cuando ello haya sido requerido por la AAIP;

b) declarar datos falsos o inexactos en las inscripciones ante el Registro Nacional de Bases de Datos[11];

c) tratar datos personales sin contar con una base de legitimación adecuada[12];

d) recolectar datos personales sin informar a los titulares de dichos datos personales[13]: (i) la finalidad para que serán tratados y quiénes pueden ser sus destinatarios o clase de destinatarios; (ii) la existencia de la base de datos y la identidad y domicilio de su responsable; (iii) el carácter obligatorio o facultativo de brindar los datos personales solicitados; (iv) las consecuencias de proporcionar dichos datos o de la negativa a hacerlo o de la inexactitud de los mismos; y (v) la posibilidad del titular de los datos de ejercer los derechos de acceso, rectificación y supresión de los datos.

e) no atender en tiempo y forma la solicitud de los titulares de los datos personales de los derechos de acceso, rectificación o supresión cuando legalmente proceda[14];

f) Proceder al tratamiento de datos de carácter personal que no reúnan las calidades de ciertos, adecuados, pertinentes y no excesivos en relación al ámbito y finalidad para los que se hubieren obtenido[15];

g) incumplir el deber de confidencialidad y seguridad sobre los datos personales incorporados en una base de datos[16];

h) mantener bases de datos locales, programas o equipos que contengan datos personales sin las debidas condiciones de seguridad que la normativa determina;

i) mantener por más tiempo que el establecido legalmente, el registro, archivo o cesión de los datos significativos para evaluar la solvencia económico-financiera de los titulares de los datos[17];

j) tratar, dentro de la prestación de servicios de información crediticia, datos personales patrimoniales que excedan la información relativa a la solvencia económica y al crédito del titular de tales datos;

k) no retirar o bloquear el nombre y dirección de correo electrónico de las bases de datos con finalidad de publicidad, cuando así lo solicite el titular de los datos[18];

l) usar ilegítimamente el isologo que identifica a los responsables inscriptos en el Registro Nacional de Bases de Datos[19];

m) contactar con el objeto de publicidad, oferta, venta o regalo de bienes o servicios utilizando los servicios de telefonía en cualquiera de sus modalidades a quienes se encuentren debidamente inscriptos ante el Registro Nacional “NO LLAME” creado por la Ley N° 26.951;

n) utilizar los servicios de telefonía en cualquiera de sus modalidades para publicitar, ofertar, vender o regalar bienes o servicios sin haber obtenido de la AAIP la habilitación de usuario autorizado para la descarga de la lista de inscriptos ante el Registro Nacional “NO LLAME”;

o) no adoptar las medidas que garanticen el cumplimiento de la Ley N° 26.951, en campañas donde se contraten empresas tanto en el país como en el exterior que utilicen los servicios de telefonía en cualquiera de sus modalidades para publicitar, ofertar, vender o regalar bienes o servicio;

p) obstruir el ejercicio de la función de inspección y fiscalización a cargo de la Dirección Nacional de Protección de Datos Personales; y

q) no dar respuesta a los requerimientos cursados por la AAIP en el ejercicio de las competencias que tiene atribuidas.

En el caso de las infracciones graves, la sanción a aplicar será de hasta 4 (cuatro) apercibimientos y/o suspensión de 1 (uno) a 30 (treinta) días y/o multas[20] que van de $80.001 (ochenta mil un pesos) a $90.000 (noventa mil pesos)[21].  Al igual que para el caso de las infracciones leves, la AAIP podrá, además, imponer a la sancionada una obligación de hacer con el objeto de que cese en el incumplimiento que diera origen a la sanción y la capacitación obligatoria en materia de protección de datos personales para evitar que la conducta que generó la infracción se produzca nuevamente.

II. 3. Infracciones muy graves

Finalmente, serán consideradas infracciones muy graves las acciones que se describen a continuación:

a) omitir denunciar, con motivo del tratamiento de datos personales en Internet, el domicilio legal y demás datos identificativos del responsable, sea ante el Registro Nacional de Bases de Datos como así también en su política de privacidad, de modo tal que mediante dicha conducta afecte el ejercicio de los derechos del titular del dato y la actividad de contralor de la AAIP;

b) formar una base de datos con una finalidad contraria a las leyes o a la moral pública[22];

c) recolectar datos personales mediante ardid, engaño o fraude a la ley[23].

d) tratar los datos personales en forma ilegítima o con menosprecio de los principios y garantías establecidos en Ley de Protección de Datos Personales;

e) realizar acciones concretas tendientes a impedir u obstaculizar el ejercicio por parte del titular de los datos de los derechos reconocidos en la Ley Protección de Datos Personales[24];

f) mantener datos personales inexactos o no efectuar las rectificaciones, actualizaciones o supresiones de los mismos cuando legalmente proceda y previamente hubiera sido intimado por la AAIP;

g) transferir datos personales a países u organismos internacionales o supranacionales que no proporcionen niveles de protección adecuados[25];

h) ceder ilegítimamente los datos personales[26];

i) recolectar y tratar datos sensibles sin que medie el consentimiento del titular de los datos, razones de interés general autorizadas por ley o sean tratados con finalidades estadísticas/ científicas sin la debida anonimización;

j) formar bases de datos que directa o indirectamente revelen datos sensibles, salvo en los casos expresamente previstos en el art. 7, inc. 3 de la Ley de Protección de Datos Personales[27];

k) incumplir el deber de confidencialidad y seguridad respecto de los datos sensibles, así como de los que hayan sido recabados y tratados para fines penales y contravencionales;

l) no cesar en el uso y tratamiento ilegítimo de datos personales cuando sea requerido por el titular y/o por la AAIP; y

m) realizar maniobras tendientes a sustraerse o impedir el desarrollo de la actividad de contralor de la AAIP.

Para las infracciones muy graves la AAIP podrá aplicar hasta 6 (seis) apercibimientos[28] y/o suspensión de 31 (treinta y uno) a 365 (trescientos sesenta y cinco días) y/o clausura o cancelación de la base de datos y/o multa[29] de $90.001 (noventa mil un peso) a $100.000 (cien mil pesos)[30]. En este caso, la AAIP también podrá imponer a la sancionada una obligación de hacer con el objeto de que cese en el incumplimiento que diera origen a la sanción y la capacitación obligatoria en materia de protección de datos personales para evitar que la conducta que generó la infracción se produzca nuevamente.

II. 4. Gradualidad de las sanciones. Topes máximos

En el punto 6 del Anexo II de la Resolución 240/22 se establece que  la aplicación y cuantía de las sanciones se graduará atendiendo: (a) la naturaleza y dimensión del daño o peligro de los derechos personales afectados; (b) el beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; (c) la reincidencia en la comisión de la infracción; (d) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la AAIP; (e) el incumplimiento de los requerimientos u órdenes impartidas por la AAIP; (f) el reconocimiento o aceptación expresa que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar; (g) la condición económica del infractor; (h) la adopción demostrada de medidas correctivas y mecanismos y procedimientos internos capaces de minimizar el daño, tendientes al tratamiento seguro y adecuado de los datos; (i) la proporcionalidad entre la gravedad de la falta y de la sanción; (j) si se han afectado datos personales de niños, niñas y adolescentes; (k) el volumen de los datos tratados; (l) la categoría de datos personales afectados, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas; y (m) la naturaleza del caso.

Asimismo, indica que, ante incidentes de seguridad, se considerará como atenuante la colaboración con la AAIP y la implementación demostrada de medidas correctivas, mecanismos y procedimientos internos capaces de minimizar el daño por parte del responsable o encargado de tratamiento.

Por su parte, en el punto 7 del Anexo II de la Resolución 240/22 se indica que cada infracción deberá ser sancionada en forma independiente, debiendo acumularse cuando varias conductas sancionables se den en las mismas actuaciones. Y, en los casos donde haya pluralidad de sujetos afectados y el acto administrativo condenatorio incluya más de una sanción pecuniaria por idéntica conducta sancionable, resultan aplicables los topes máximos previstos en la normativa vigente.

En este contexto, se dictó la Resolución 244/22 que modificó[31] los topes máximos de las multas por infracciones a la Ley de Protección de Datos Personales. Según dicha norma, cuando un acto administrativo condenatorio incluya más de una sanción pecuniaria por idéntica conducta sancionable, se considerarán los siguientes topes máximos: (a) para las infracciones leves: $ 3.000.000; (b) para las infracciones graves: $ 10.000.000; y (c) para las infracciones muy graves $15.000.000.

Teniendo en cuenta los avances tecnológicos y el nuevo paradigma del mercado, es importante que la AAIP haya actualizado la clasificación de las infracciones por incumplimiento a la Ley de Protección de Datos Personales -haciendo mención específica a infracciones por el tratamiento de datos en Internet- como así también la actualización de los montos de las multas. Las sanciones que la AAIP aplique deben, por un lado, sancionar las acciones violatorias a la Ley de Protección de Datos Personales y por otro, disuadir y desalentar conductas similares en el futuro.

Por otra parte, también es importante que dentro de los criterios que se tomarán en consideración para la graduación de las sanciones se consideren las medidas adoptadas por el infractor y los mecanismos de corrección y/o prevención que pueda acreditar haber realizado. Esto es, en definitiva, comenzar a transitar el camino de la responsabilidad proactiva adoptada por el Reglamento Europeo de Protección de Datos Personales.