Resumen.
El anteproyecto tiene por objeto modificar y añadir disposiciones a la Ley 81 de 2019, sobre protección de datos personales. Propone una nueva redacción de su artículo 36 para facultar a la Autoridad Nacional de Transparencia y Acceso a la Información, por medio de la Dirección competente en esta materia, a sancionar a la persona natural o jurídica responsable del tratamiento de datos personales y al custodio de la base de datos cuando, tras investigar una queja o denuncia, se compruebe una infracción de los derechos del titular. Las decisiones de esa Dirección podrían impugnarse mediante reconsideración ante ella y apelación ante el director general de la Autoridad, como segunda instancia. Los recursos se sustentarían en un término de cinco días, contado desde el día siguiente hábil a la notificación.
El artículo 36 propuesto también dispone que los entes reguladores apliquen supletoriamente las sanciones de la Ley 81 del 2019 a las quejas sobre tratamientos de datos regidos por leyes especiales, cuando estas no tipifiquen expresamente las sanciones correspondientes a las faltas cometidas. La Autoridad fijaría los montos según la gravedad de las faltas, desde mil balboas (B/.l,OOO.OO) hasta cien mil balboas (B/.I00,OOO.OO), y reglamentaría el procedimiento. Las sanciones pecuniarias que imponga y que permanezcan impagas al vencer el término concedido se remitirían para su cobro a la Dirección General de Ingresos del Ministerio de Economía y Finanzas.
La modificación del artículo 41 clasifica como infracciones muy graves la recopilación dolosa de datos personales, el incumplimiento de las reglas sobre datos sensibles y la continuación del tratamiento después de un requerimiento de suspensión de la Autoridad. Incluye el almacenamiento o la transferencia internacional contrarios a la Ley, la reincidencia en faltas graves y el tratamiento indebido de datos personales de un menor de edad. La modificación del artículo 42 dispone que las sanciones a los responsables de bases de datos y demás sujetos alcanzados por la Ley y sus reglamentos se gradúen conforme a la gravedad de la infracción y la capacidad económica del infractor, con criterios de proporcionalidad y efecto disuasivo.
El nuevo artículo 43-A encarga a la Autoridad llevar un registro público que inscribiría únicamente sanciones administrativas firmes por infracciones graves o muy graves. Cada asiento contendría el nombre o razón social del infractor, el tipo de infracción, la sanción y la fecha de la resolución firme. La información sería pública por un máximo de tres (3) años desde la ejecutoria de la sanción y después se eliminaría de oficio. El registro no podría incorporar otros datos personales ni afectar derechos distintos de los previstos en la Ley; se garantizarían el debido proceso y los derechos del titular. El anteproyecto reitera las modificaciones y la adición indicadas y dispone su vigencia desde la promulgación en la Gaceta Oficial. Su contenido concierne a la Autoridad Nacional de Transparencia y Acceso a la Información, la Dirección General de Ingresos, el Ministerio de Economía y Finanzas, los entes reguladores, los responsables del tratamiento y los custodios de bases de datos.
Qué propone.
- Potestad sancionadora en materia de protección de datos personales.
- Infracciones muy graves y graduación de sanciones.
- Impugnación, cobro y publicidad limitada de sanciones.
A quién afectaría.
- Personas naturales o jurídicas responsables del tratamiento de datos personales.
- Custodios de bases de datos.
- Demás sujetos alcanzados por el régimen de protección de datos personales.
- Entes reguladores que reciben las quejas previstas en el texto.
Puntos clave.
- Faculta a la Autoridad Nacional de Transparencia y Acceso a la Información para sancionar infracciones comprobadas de los derechos del titular de datos personales.Art. 2
- Prevé reconsideración y apelación de las decisiones de la Dirección competente, con un término de cinco días para sustentar los recursos.Art. 2
- Dispone la aplicación supletoria de sanciones por entes reguladores, la fijación de sus montos y el cobro de sanciones pecuniarias impagas.Art. 2
- Define conductas relativas a recopilación, datos sensibles, suspensión, almacenamiento, transferencia internacional, reincidencia y datos de menores como infracciones muy graves.Art. 3
- Ordena graduar las sanciones según la gravedad de la infracción y la capacidad económica del infractor.Art. 4
- Crea un registro público limitado a sanciones administrativas firmes por infracciones graves o muy graves, con eliminación de oficio tras el plazo previsto.Art. 5
- Reitera los artículos modificados y adicionados y fija la entrada en vigor desde la promulgación en la Gaceta Oficial.Arts. 6-7