La filtración de datos personales puede generar consecuencias irreversibles, especialmente cuando la información de los usuarios termina en manos de terceros.
Sin embargo, un reciente cambio de criterio de la Autoridad Nacional de Protección de Datos Personales abre la posibilidad de que las empresas queden exentas de sanciones administrativas si corrigen oportunamente sus incumplimientos, incluso cuando el daño ocasionado ya no pueda revertirse.
Este nuevo enfoque plantea interrogantes sobre los límites de la subsanación voluntaria. ¿Basta con corregir las fallas de seguridad para evitar una multa cuando los datos de los clientes ya fueron expuestos? ¿Qué condiciones deberán cumplir las empresas para acogerse a este beneficio y qué ocurre con los derechos de los consumidores afectados?
La nueva interpretación establece pautas para estos casos, aunque no supone una exoneración automática de responsabilidad.
yt:2BwRWBtYKVc
En octubre de 2024, una entidad financiera sufrió una filtración de datos personales de sus clientes, luego de que terceros no autorizados accedieran a información confidencial.
A raíz de este incidente, la Autoridad Nacional de Protección de Datos Personales inició una investigación y detectó deficiencias en los mecanismos de seguridad de la empresa.
Durante el procedimiento, la entidad acreditó haber implementado algunas medidas para corregir estas fallas, lo que llevó a la autoridad a evaluar si correspondía exonerarla de una multa por haber subsanado voluntariamente sus incumplimientos.
Al analizar el caso, la autoridad modificó el criterio que venía utilizando para aplicar esta exoneración. Antes exigía que una empresa cumpliera dos condiciones: corregir la infracción y revertir el daño que había ocasionado.
Sin embargo, cuando los datos personales ya fueron filtrados y llegaron a manos de terceros, resulta prácticamente imposible deshacer lo ocurrido.
Por ello, al resolver este procedimiento, la autoridad estableció que ya no será necesario revertir el daño para evitar una multa, sino demostrar que se corrigió completamente el incumplimiento, de manera voluntaria y antes de recibir la imputación de cargos. Se trata de un cambio de interpretación aplicado al resolver este caso, no de la aprobación de una nueva norma.
Pese a esta nueva interpretación, la entidad financiera del caso analizado recibió una multa de 16.88 UIT (S/ 92,840) por incumplir su obligación de confidencialidad: si bien había implementado medidas de seguridad, no logró demostrar que todas las deficiencias detectadas estuvieran corregidas.
¿Qué deberán demostrar las empresas para evitar una multa?
Con lo mencionado, entonces, la diferencia es que una empresa ya no necesita borrar las consecuencias de una filtración para evitar una multa, pero sí debe acreditar que solucionó por completo las fallas que constituyen la infracción.
Fabricio Sánchez Concha, socio de Benites, Vargas & Ugaz (BVU), explicó que el cambio de criterio no significa que cualquier empresa que corrija sus fallas de seguridad pueda quedar exenta de una sanción. Para acceder a este beneficio, deberá demostrar que subsanó completamente la conducta infractora, que lo hizo voluntariamente y que las medidas fueron implementadas antes de recibir la imputación de cargos.
En esa línea, Alex Sosa, socio del estudio Muñiz, sostuvo que la principal modificación consiste en dejar de exigir que desaparezcan las consecuencias de la infracción.
Según explicó, anteriormente esta interpretación dificultaba aplicar la eximente, pues en numerosos casos el daño ya se había producido y resultaba imposible revertirlo. Ahora, lo determinante será acreditar que las medidas adoptadas son idóneas para corregir el incumplimiento y evitar su reiteración.
Sánchez Concha precisó que no basta con presentar nuevas políticas internas o planes de mejora. Las empresas deberán respaldar sus acciones con pruebas técnicas, registros y documentación que permitan verificar que las deficiencias fueron efectivamente corregidas. Si la subsanación es parcial, no corresponderá excluir la responsabilidad administrativa.
¿Qué ocurre con las investigaciones en curso?
Sosa añadió que el cambio podría tener efectos en procedimientos sancionadores que se encuentran en trámite.
Por ejemplo, si una empresa solicitó acogerse a la eximente y esta fue rechazada en primera instancia únicamente porque el daño era irreversible, podría volver a plantear su aplicación durante la apelación. Sin embargo, deberá demostrar que cumplió oportunamente con los tres requisitos exigidos.
El especialista del estudio Muñiz refirió que existe una diferencia importante entre quedar exento de responsabilidad y obtener una reducción de la multa.
Si una empresa corrige sus incumplimientos después de recibir la imputación de cargos, ya no podrá acogerse a la eximente por esa subsanación, aunque las medidas adoptadas podrían ser consideradas como atenuantes de la sanción.
¿Los consumidores afectados pierden el derecho a reclamar?
Ambos especialistas coincidieron en que la exoneración de una multa administrativa no elimina la posibilidad de que los ciudadanos afectados reclamen una reparación por los daños sufridos.
Sánchez explicó que el artículo 25 de la Ley de Protección de Datos Personales reconoce el derecho a solicitar una indemnización por la vía judicial. No obstante, precisó que esta compensación no es automática, pues el afectado deberá acreditar el daño y su relación con el incumplimiento.
Sosa complementó que se trata de responsabilidades distintas. Mientras la autoridad administrativa evalúa si corresponde sancionar una infracción, el Poder Judicial puede determinar si la exposición de información personal ocasionó daños que deban ser indemnizados.
Por ello, una empresa podría quedar exenta de una multa y, aun así, enfrentar reclamaciones de los usuarios perjudicados.
¿El nuevo criterio incentivará la prevención?
Sobre las consecuencias de esta interpretación, los especialistas identificaron posibles efectos distintos. Sánchez advirtió que existe el riesgo de que algunas empresas posterguen sus inversiones en seguridad y opten por corregir sus deficiencias únicamente después de sufrir una filtración. Sin embargo, reconoció que la eximente también puede incentivar respuestas más rápidas y completas frente a los incumplimientos.
Sosa consideró, por el contrario, que el nuevo criterio fortalecerá los incentivos para prevenir infracciones. A su juicio, las empresas tendrán mayores razones para implementar programas de cumplimiento, auditorías y mecanismos de seguridad, al saber que una corrección voluntaria y oportuna puede evitar una sanción.
El abogado vinculó esta interpretación con el principio de responsabilidad proactiva incorporado en el reglamento de la Ley de Protección de Datos Personales, vigente desde marzo de 2025. Asimismo, recordó que la regulación ya contempla atenuantes para empresas que implementen determinadas medidas de cumplimiento y evaluación de riesgos.
En su opinión, el nuevo criterio refuerza ese enfoque al reconocer los esfuerzos efectivos de las organizaciones por adecuarse a la normativa.
