Mal manejo de datos personales puede llevar a representantes de empresas a dos años de prisión con el nuevo Código Penal
Santo Domingo.– Las personas responsables de manejar información personal en una empresa pueden enfrentar penas de prisión si incurren en determinadas conductas ilegales relacionadas con la captación, el uso o la divulgación de datos personales, de acuerdo con el nuevo Código Penal dominicano.
El artículo 198 establece penas de uno a dos años de prisión menor y multas de tres a seis salarios mínimos del sector público para quienes recojan, conserven o comercialicen datos personales mediante procedimientos automatizados, sin consentimiento previo o después de que este haya sido retirado, así como para quienes accedan a esos datos o divulguen información privada en las condiciones descritas por la ley.
Si la conducta se comete por culpa, contempla multas de uno a tres salarios mínimos del sector público.
La abogada Emely García, especialista en cumplimiento y privacidad, explicó las implicaciones de estas disposiciones durante una entrevista en el programa Esto No Tiene Nombre, donde señaló que una empresa que sufra una filtración debe poder demostrar que tomó medidas para proteger la información bajo su responsabilidad.
“Cuando el Código Penal te habla de 6 meses a 2 años, evidentemente lo que está diciendo es: no es que la empresa per se va a ir a prisión, porque luego de una revisión e investigación, obviamente los que van a ir a prisión serían las personas que representan a las empresas”, explicó García.
La especialista indicó que las organizaciones deben implementar un sistema de cumplimiento normativo específico para la protección de datos personales.
Esto les permitiría documentar las medidas adoptadas y demostrar, durante una eventual investigación, que trabajaron para prevenir incidentes de seguridad.
“Esto puede mitigar la pena”, afirmó García al explicar que, cuando se produce una filtración, se debe investigar si la empresa estaba protegiendo correctamente la información o si el incidente ocurrió pese a las medidas implementadas.
La abogada advirtió que ninguna organización está completamente exenta de riesgos, tanto en el entorno físico como en el digital.
Sin embargo, insistió en que las empresas deben prepararse para responder ante posibles incidentes y contar con mecanismos que permitan demostrar cómo protegían los datos.
“Al final, si hay una filtración porque has sido hackeado, se verificará si este estuvo protegiendo la información correctamente, si esto fue porque ya fue inevitable… todo va a depender en cada contexto”, sostuvo.
¿Una filtración implica automáticamente una sanción?
No. Que una empresa sufra un ataque informático o una filtración no significa, por sí solo, que sus representantes hayan cometido el delito descrito en el artículo 198. La investigación debe establecer qué ocurrió y si los hechos corresponden a alguna de las conductas sancionadas por la ley.
El artículo 199 también contempla la responsabilidad penal de las personas jurídicas por la captación y el uso no consentido de datos personales, conforme a las condiciones establecidas en el Código.
Sin embargo, la Ley 44-26 difirió la entrada en vigor del régimen de responsabilidad penal de las personas jurídicas hasta tres meses después de su publicación, realizada el 5 de agosto de 2026. Por tanto, al 16 de octubre de 2026, ese régimen todavía no había entrado en vigor.
García también destacó la importancia de revisar los acuerdos con proveedores que manejan información personal por cuenta de una empresa y de establecer reglas claras para su protección.
La prevención, explicó, debe formar parte de la organización interna y no limitarse a actuar después de que se produzca un incidente.
Sobre el autor
Katherine Nicole Espino Cuevas. Periodista, locutora profesional y CMM. Máster en Comunicación Política Avanzada por Next Educación (Madrid). Amante de la escritura bien hecha, las historias con sentido humano y las causas sociales. Creo en la comunicación con propósito, en los valores y en la fe que transforma.
leídas
