La diferencia entre la Ley 19.628 y la Ley 21.719 no está principalmente en las obligaciones —muchas ya existían— sino en que ahora hay alguien facultado para hacerlas cumplir y un régimen de multas con capacidad real de disuadir.
Los tres niveles de infracción
La ley clasifica las infracciones en leves, graves y gravísimas, y asocia a cada nivel un tope de multa expresado en Unidades Tributarias Mensuales.
Infracciones leves — hasta 5.000 UTM
Son fallas de transparencia y de procedimiento. Típicamente:
- No informar al titular en los términos que exige la ley.
- Omitir contenidos obligatorios en la política de privacidad.
- No responder, o responder fuera de plazo, una solicitud de ejercicio de derechos ARSOP.
- No mantener actualizada la información de contacto del responsable.
Son las más fáciles de cometer sin darse cuenta y también las más fáciles de corregir. La mayoría de los hallazgos que detectamos al escanear sitios web caen en esta categoría.
Infracciones graves — hasta 10.000 UTM
Afectan la sustancia del tratamiento:
- Tratar datos personales sin base de licitud.
- Usar datos para finalidades incompatibles con las informadas al recolectarlos.
- No adoptar medidas de seguridad apropiadas al riesgo.
- Omitir la notificación de una brecha de seguridad.
- Impedir u obstaculizar la fiscalización de la Agencia.
Infracciones gravísimas — hasta 20.000 UTM
Son las que suponen un riesgo alto para los titulares:
- Tratar datos sensibles sin habilitación legal suficiente.
- Realizar transferencias internacionales sin las garantías exigidas.
- Vulneraciones de seguridad reiteradas o de gran alcance.
- Entregar información maliciosamente falsa a la Agencia.
- Tratar datos de niños, niñas y adolescentes contraviniendo la ley.
El mecanismo de reincidencia: hasta 4% de los ingresos
Aquí está el elemento que cambia el cálculo para las organizaciones grandes. Un tope fijo en UTM puede volverse irrelevante para una empresa de escala; por eso la ley habilita un cálculo alternativo sobre los ingresos anuales del ejercicio anterior: hasta el 2% en infracciones graves reincidentes y hasta el 4% en gravísimas reincidentes.
Este mecanismo replica la lógica del GDPR europeo y tiene una consecuencia estratégica: para una empresa grande, la primera sanción importa menos por su monto que por lo que habilita. Es el registro de reincidencia lo que abre la puerta al cálculo porcentual.
Cómo se gradúa la multa dentro del rango
Los montos citados son topes, no montos fijos. La Agencia gradúa considerando factores como:
- La gravedad de la conducta y el número de titulares afectados.
- El beneficio económico obtenido con la infracción.
- La intencionalidad o el grado de negligencia.
- La conducta previa del infractor.
- La existencia y correcta implementación de un modelo de prevención de infracciones.
- La colaboración con la investigación y la adopción espontánea de medidas correctivas.
El penúltimo punto merece énfasis. Un modelo de prevención documentado y efectivamente implementado es un atenuante expreso. En infracciones limítrofes puede ser la diferencia entre una calificación de grave y una de leve, es decir, entre dos topes que difieren en el doble.
Los costos que no aparecen en la multa
Concentrarse solo en el monto de la sanción subestima el riesgo. En la experiencia de jurisdicciones con reguladores activos, los costos indirectos suelen superar a la multa:
Medidas correctivas. La Agencia puede ordenar suspender un tratamiento o eliminar datos obtenidos ilícitamente. Si ese tratamiento sostiene un proceso comercial —una base de prospección, un motor de recomendación, un sistema de scoring—, detenerlo tiene un costo operacional que puede exceder ampliamente la sanción económica.
Registro público de sanciones. La publicación es información permanente e indexable. Aparece en búsquedas, en due diligence de inversionistas, en evaluaciones de proveedores y en licitaciones públicas. A diferencia de la multa, no se paga y se olvida.
Acciones civiles de los titulares. La sanción administrativa no excluye que los afectados demanden indemnización por el daño causado. Una sanción firme facilita enormemente la prueba en ese juicio posterior.
Costo de remediación urgente. Adecuarse bajo presión de un procedimiento sancionatorio cuesta varias veces más que hacerlo de forma planificada, y se hace con peor criterio.
Una forma sensata de dimensionar tu exposición
Recomendamos este ejercicio, que toma menos de una hora:
- Lista tus tratamientos de datos personales por finalidad.
- Marca cuáles no tienen base de licitud claramente identificable. Esos son tu exposición a infracción grave.
- Marca cuáles involucran datos sensibles o transferencias internacionales sin instrumento documentado. Esos son tu exposición a gravísima.
- Revisa tu superficie pública: política de privacidad, cookies, formularios y canal ARSOP. Ahí está tu exposición a infracciones leves, que es la más visible desde fuera y la primera que un denunciante puede constatar.
El cuarto punto es el que puedes resolver más rápido y el que más reduce la probabilidad de una denuncia inicial. Nuestro escáner gratuito lo verifica automáticamente y estima la exposición en pesos usando el valor de la UTM vigente.
Los montos citados corresponden a los topes legales. La determinación concreta en un caso particular depende de la graduación que realice la Agencia. Este contenido es informativo y no constituye asesoría legal.