Multas de la Ley 21.719: tramos y montos

Los tres tramos y sus montos

Los montos en pesos son referenciales y varían con el valor de la UTM. Lo relevante es el orden de magnitud: una infracción gravísima puede costar más que el presupuesto anual completo de tecnología de una organización mediana.

Qué agrava y qué atenúa la sanción

Agravan la sanción la reincidencia, el beneficio económico obtenido con la infracción, el número de titulares afectados, la duración de la conducta, la naturaleza de los datos involucrados y la conducta obstructiva frente al requerimiento de la autoridad.

Atenúan la sanción la autodenuncia, la colaboración con la Agencia durante el procedimiento, la reparación de los efectos causados y —de forma muy concreta— las medidas de mitigación que la organización pueda acreditar documentalmente: políticas vigentes, RAT actualizado, capacitaciones realizadas, controles de acceso implementados y un procedimiento de incidentes efectivamente ejecutado.

La diferencia entre un tramo y otro casi nunca es el hecho aislado, sino qué puede probar la organización sobre cómo administraba sus datos antes de que ocurriera el problema.

Ejemplos generales por tramo

Tramo leve: no informar adecuadamente al titular sobre el tratamiento, no mantener actualizado el registro de tratamientos, o responder fuera de plazo una solicitud de acceso o rectificación.

Tramo grave: tratar datos sin una base de licitud identificable, usar datos para una finalidad distinta de la informada, no notificar un incidente de seguridad en los plazos exigidos, o impedir en la práctica el ejercicio de los derechos ARCO+BP.

Tramo gravísimo: comunicar o transferir datos a terceros sin habilitación legal, tratar datos sensibles sin fundamento, obtener datos de forma fraudulenta o incumplir de manera sistemática las instrucciones de la Agencia. La reincidencia en este tramo es la que abre la puerta a los montos más altos.

Cómo reducir el riesgo con evidencia documentada

El riesgo sancionatorio se reduce con documentación viva, no con declaraciones. En concreto: un RAT actualizado con responsable por tratamiento, bases de licitud definidas y registradas, políticas publicadas y versionadas, consentimientos con trazabilidad de texto y fecha, un canal de derechos con plazos medidos, un procedimiento de incidentes probado y capacitaciones con registro de asistencia.

Cuando cada uno de esos elementos tiene fecha, responsable y huella verificable, la organización llega a la fiscalización con una posición defendible: puede mostrar qué sabía, qué decidió y qué medidas tomó. Sin esa evidencia, incluso una infracción menor se discute en el tramo más alto que la autoridad pueda sostener.

Preguntas frecuentes