La Ley Orgánica de Protección de Datos Personales en el Ecuador establece un conjunto de principios, derechos y obligaciones normas necesarias para garantizar la protección de datos personales. A más de estos aspectos, dicha norma establece un régimen sancionatorio para los personales y responsables del tratamiento de datos personales.
La normativa establece dos tipos de multas para el Responsable y Encargado por su incumplimiento: leves y graves
- Infracciones Leves
- Multa de 10 a 20 SBU para servidores públicos.
- Multa de entre el 0.1% y el 0.7% de los ingresos brutos del año anterior al de imposición de la sanción; para entidades de derecho privado.
- Infracciones Graves
- Multa de 1 a 10 SBU para servidores públicos.
- Multa de entre el 0.7% y el 1% de los ingresos brutos del año anterior al de imposición de la sanción; para entidades de derecho privado.
Ahora bien, cabe hacerse la pregunta: ¿cuáles son las conductas objeto de sanción?.
La ley en mención, divide en cuatro tipos las conductas objeto de sanción: leves para el responsable (5), leves para el encargado (4), graves para el responsable (14) y graves para el encargado (9). Mencionar en este blog todas las infracciones sería un tanto tedioso, sin embargo las más importantes son:
- Infracciones leves del responsable:
- No atender o atender fuera del término previsto, las peticiones o quejas del titular.
- No implementar protección de datos desde el diseño y por defecto.
- No mantener disponibles políticas de protección de datos personales afines al tratamiento de datos personales.
- Infracciones leves del encargado:
- No colaborar con el responsable del tratamiento de datos personales para que este cumpla su obligación de atender solicitudes de los titulares.
- No facilitar el acceso al responsable del tratamiento de datos personales a toda la información referente al cumplimiento de las obligaciones establecidas en la Ley.
- Infracciones graves del responsable:
- No implementar medidas administrativas, técnicas y físicas, organizativas y jurídicas, para garantizar el tratamiento de datos personales conforme la Ley.
- Utilizar los datos para fines distintos a los indicados al titular .
- Ceder o comunicar datos personales sin cumplir con los requisitos o autorizaciones correspondientes del titular.
- No notificar a la Autoridad de Protección de Datos Personales y al titular, de vulneraciones a la seguridad y protección de datos personales, cuando afecte los derechos fundamentales y libertades individuales de los titulares.
- No suscribir contratos que incluyan cláusulas de confidencialidad y tratamiento adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales.
- Infracciones graves del encargado
- Realizar tratamientos de datos personales sin observar los principios y derechos desarrollados en la Ley.
- No tratar datos personales de conformidad con lo previsto, en el contrato que mantenga con el responsable del tratamiento de datos personales inclusive en lo que respecta a la transferencia o comunicación internacional.
- No suscribir contratos que contengan cláusulas de confidencialidad y tratamiento adecuado de datos personales con el personal a cargo del tratamiento de datos personales o quien tenga conocimiento de los datos personales.
- No implementar mecanismos destinados a mantener la confidencialidad, integridad, disponibilidad y resiliencia de los datos personales.
- No eliminar los datos personales transferidos o comunicados al responsable del tratamiento de los datos personales, una vez haya culminado su encargo.
Finalmente es importante indicar que el régimen sancionatorio de la Ley Orgánica de Protección de Datos Personales está vigente desde el pasado 26 de mayo del 2023.