Rodrigo tiene tres ópticas en Concepción. Un domingo lee en el celular un titular que habla de multas «de hasta el 4 % de las ventas» por la nueva ley de datos, y se pasa la tarde haciendo cuentas. El lunes llama a su contador para preguntar si eso le puede pasar a él.
La respuesta corta es que ese 4 % existe, pero es el techo de un caso muy específico. La respuesta larga está en los artículos 34 a 39 de la ley, y vale la pena leerla con calma.
Tres tipos de infracción
La ley clasifica las infracciones en leves, graves y gravísimas (artículo 34). Cada tipo tiene su lista. Algunos ejemplos, leídos del texto:
Leves (artículo 34 bis). No cumplir del todo el deber de información y transparencia del artículo 14 ter; no tener un correo o medio operativo para que las personas se comuniquen con la empresa; no responder, responder incompleto o fuera de plazo una solicitud de una persona sobre sus datos. Y, como regla residual, cualquier otra infracción que no esté calificada como grave o gravísima.
Ejemplo. Una clienta le pide a la óptica, por escrito, saber qué datos suyos tiene. La óptica contesta a los dos meses. Eso es responder fuera de plazo.
Graves (artículo 34 ter). Tratar datos sin consentimiento ni otra base legal, o para una finalidad distinta de la que se informó; tratar datos innecesarios para el fin; impedir u obstaculizar que una persona ejerza sus derechos; vulnerar el deber de confidencialidad o las obligaciones de seguridad; omitir las comunicaciones o los registros cuando hay una vulneración de seguridad; hacer transferencias internacionales contra las reglas de la ley; tratar datos de niños, niñas y adolescentes infringiendo sus normas.
Ejemplo. La óptica usa la base de clientes que dio su celular para avisar que llegaron sus lentes, y empieza a mandarles promociones de una tienda asociada. Es otra finalidad.
Gravísimas (artículo 34 quáter). Tratar datos de forma fraudulenta; destinar maliciosamente datos a otra finalidad; ceder a sabiendas información falsa sobre una persona; vulnerar la confidencialidad de datos sensibles; tratar o ceder a sabiendas datos sensibles o de niños contra la ley; omitir deliberadamente comunicar una vulneración de seguridad; hacer a sabiendas transferencias internacionales contra la ley; no hacer la evaluación de impacto del artículo 15 ter cuando corresponde.
Fíjate en las palabras en cursiva. Muchas de las gravísimas exigen intención: saber, querer o hacerlo de forma maliciosa.
Cuánto
El artículo 35 fija los topes en unidades tributarias mensuales (UTM), cuyo valor en pesos cambia cada mes:
| Infracción | Sanción |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Multa de hasta 10.000 UTM |
| Gravísima | Multa de hasta 20.000 UTM |
Son topes, no tarifas. Además, en cada caso la Agencia indica medidas para corregir lo que motivó la sanción, que hay que adoptar en no más de 60 días. Si no se adoptan, la multa sube un 50 %.
El 2 % y el 4 %: cuándo aparecen
Aquí está el titular que asustó a Rodrigo. El artículo 35 dice que, si hay reincidencia, la multa puede llegar a tres veces el monto de la infracción. Y si quien reincide en una infracción grave o gravísima es una empresa que no es de menor tamaño según la Ley 20.416, la multa puede llegar a lo más alto entre ese triple y el 2 % (graves) o el 4 % (gravísimas) de sus ingresos anuales por ventas y servicios del último año calendario.
Reincidencia tiene una definición precisa (artículo 36): haber sido sancionado dos o más veces en los últimos treinta meses, con resoluciones firmes. Es decir, el porcentaje de los ingresos no aplica a una primera infracción, ni a una empresa de menor tamaño.
Cómo se decide el monto
El artículo 37 le pide a la Agencia considerar, entre otros criterios, la gravedad de la conducta, el perjuicio causado —especialmente el número de personas afectadas—, el beneficio económico obtenido, si había datos sensibles o de niños, niñas y adolescentes, y la capacidad económica del infractor. Si una misma conducta configura dos infracciones, se aplica una sola multa: la de la más grave.
Atenuantes (artículo 36): reparar el daño o llegar a acuerdos con las personas afectadas; colaborar con la investigación; no tener sanciones previas; autodenunciarse, comunicando las medidas adoptadas; y haber cumplido los deberes de dirección y supervisión, acreditado con el certificado del modelo de prevención de infracciones (lo explicamos aquí).
Agravantes: la reincidencia, que la infracción sea continuada y haber puesto en riesgo la seguridad de los derechos de las personas.
Lo que viene con la multa
- El registro público. Las sanciones quedan en el Registro Nacional de Sanciones y Cumplimiento (artículo 39), público y gratuito, con la conducta, las circunstancias y la sanción, durante cinco años.
- La suspensión. Si hay multas por infracciones gravísimas reiteradas en 24 meses, la Agencia puede suspender las operaciones de tratamiento de datos hasta por 30 días (artículo 38).
- La indemnización. Aparte de la multa, la persona perjudicada puede pedir que se le indemnice el daño (artículo 47).
Las empresas de menor tamaño, el primer año
El artículo sexto transitorio de la Ley 21.719 dice que, durante los primeros doce meses de vigencia, a una empresa de menor tamaño la Agencia puede sancionarla con una amonestación por escrito en vez de una multa. Es una facultad, no una exención: la infracción existe, y la amonestación igual queda en el registro del artículo 39. Más en La Ley 21.719 para una pyme.
Lo que conviene sacar de esto
Las multas grandes son para infracciones graves, intencionales o repetidas. Lo que sí le puede pasar a cualquier empresa desde el primer día es lo cotidiano: no responder a tiempo, no tener política publicada, usar un dato para algo que no se informó. Para eso está la lista de qué hacer antes del 1 de diciembre.
Si tus colaboradores usan IA con datos de clientes, Plumii deja un registro de uso —quién, cuándo, con qué modelo, qué datos y qué regla se aplicó, sin las conversaciones— para que tu empresa pueda mostrar cómo la usa si la Agencia pregunta. Mira cómo funciona, o lee La Ley 21.719 y la IA.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.