¿Qué cambió?

Se ha incorporado el artículo 12-A a la Ley de Delitos Informáticos, tipificando como delito la adquisición, posesión y tráfico ilícito de datos informáticos, incluyendo credenciales de acceso y bases de datos personales.

A partir de ahora, no solo es delito “hackear”, sino también comprar, recibir, vender, intercambiar o facilitar datos cuando se conoce o se debe presumir que fueron obtenidos sin consentimiento, mediante vulneración de sistemas de seguridad o a través de otro delito informático.

Las penas pueden llegar hasta 10 años de prisión, con agravantes relevantes cuando exista organización criminal, afectación a múltiples personas, perjuicio patrimonial grave o cuando se trate de bases de datos de entidades públicas.

¿Riesgo penal para las empresas?

Esta modificación amplía de forma significativa el riesgo penal para empresas, directivos y colaboradores que interactúan con datos de origen ilícito, incluso sin haber participado en el ataque informático original.

El estándar de responsabilidad incluye el “deber de presumir”, lo que eleva las exigencias de debida diligencia, trazabilidad del origen de los datos y controles internos en procesos como:

• Compra o cesión de bases de datos
• Intercambio de información con terceros
• Uso de credenciales, accesos o información sensible

Si bien la norma excluye la responsabilidad cuando existe autorización del titular, mandato legal o ejercicio legítimo de funciones, esta excepción no aplica si hay finalidad de aprovechamiento ilícito o comercialización indebida.

¿Qué debe tenerse en cuenta?

Considerando el incremento del riesgo penal frente a conductas o malas prácticas en la gestión y tratamiento de datos personales se recomienda tener en cuenta lo siguiente:

• Involucramiento real de la alta dirección y de las personas a cargo del tratamiento de datos personales en el cumplimiento de las obligaciones previstas en la Ley de Protección de Datos Personales y su Reglamento.
• Implementación de medidas legales, técnicas y organizativas para una adecuada gestión de datos personales que evidencien la aplicación efectiva de las políticas internas de la organización.
• Definir y asignar de manera clara funciones y responsabilidades frente al tratamiento de datos personales que realiza la organización.
• Validar la obligación de designar a un Oficial de Datos Personales para la verificación, asesoramiento e implementación del cumplimiento de las obligaciones en materia de protección de datos personales.
• Capacitar a los miembros de la organización sobre las implicancias administrativas y penales en el tratamiento de datos personales y el cumplimiento de las obligaciones en esta materia.
• Realizar auditorías periódicas para identificar potenciales riesgos y brechas de cumplimiento para la adopción de medidas correctivas eficaces y adecuadas.

Mensaje clave: la gestión de datos deja de ser solo un tema de privacidad y pasa a ser un riesgo penal directo. Es momento de reforzar compliance digital, políticas de datos y controles con terceros.

Para más información contáctanos a [email protected]