El 23 de julio de 2025, mediante Resolución No. SPDP-SPD-2025-0022-R, la Superintendencia de Protección de Datos Personales (en adelante “SPDP” o “Autoridad”) expidió el Reglamento para la aplicación de la metodología para el cálculo de las multas en el régimen administrativo sancionatorio de la SPDP (en adelante “Reglamento”).
El Reglamento es de aplicación obligatoria para la SPDP y tiene como objetivo establecer la metodología para el cálculo de las multas para las infracciones establecidas en la Ley Orgánica de Protección de Datos Personales (en adelante “LOPDP”).
La Autoridad aplicará el principio de proporcionalidad para determinar los valores correspondientes para el cálculo de la multa, los cuales estarán justificados con argumentos o rationales.
En caso de que el cálculo de la multa sea inferior al mínimo previsto en la LOPDP, se aplicará el valor mínimo. Si el cálculo excede el máximo previsto, se aplicará el valor máximo establecido por la LOPDP.
En virtud del Reglamento, la SPDP podrá utilizar dos modelos para el cálculo de multas. La Autoridad podrá aplicar el modelo determinístico cuando tenga certidumbre de los valores a aplicar para el cálculo o el modelo estocástico cuando tenga incertidumbre.
- Cálculos determinísticos
- Modelo de cálculo MPRIV-1
La SPDP podrá aplicar este modelo para establecer la multa correspondiente para las instituciones privadas con fines de lucro. El modelo considera los siguientes factores:
- Volumen de negocio (“VDN”): Corresponde a los ingresos del último ejercicio fiscal del presunto infractor, previa deducción de impuestos relacionados con la operación económica.
- Categoría de la infracción (“CDI”): Considera lo siguiente:
a. Rango de la multa (“RDM”): Permite identificar la categoría de la infracción y establecer el porcentaje aplicable de la multa. Las infracciones leves se sancionan con un porcentaje entre el 0,1% al 0,7%, mientras que las infracciones graves se sancionan con un porcentaje entre el 0,7% al 1% del VDN.
b. Peso de la infracción (“PDI”): Permite estimar el grado de madurez de cumplimiento de la LOPDP y las medidas correctivas implementadas por el presunto infractor. Se determinará en un rango de entre 0% a 100%.
- Seriedad de la infracción (“SDI”): Está compuesto por 3 factores que se calcularán, cada uno, por medio de la fórmula PERT:
a. Afectación que pueden sufrir los titulares en sus derechos y libertades (“IED”), con un peso de 60%. Está compuesto por cuatro elementos:
-
-
- Tipos de datos personales.
- Número de titulares afectados y volumen de datos.
- Naturaleza de la vulneración.
- Grupos de titulares especialmente vulnerables.
-
b. Intencionalidad (“INT”), con un peso de 40%. Se estima en función del dolo o negligencia y conocimiento de causa del presunto infractor.
c. Como un factor opcional a aplicar, se podría estimar la reincidencia[1] y reiteración[2] (“RER”), con un peso adicional de 20%.
- La multa se obtendrá multiplicando el valor estimado en función de la CDI por el SDI.
- Fórmulas para calcular la multa en el modelo MPRIV-1
- CDI = VDN x RDM mínimo + (PDI/100) x (VDN (RDM máximo – RDM mínimo))
- SDI = 2 (IED + INT + RER)
- IED: PERT = (valor mínimo + 4 x valor más probable + valor máximo) / 6
- INT: PERT = (valor mínimo + 4 x valor más probable + valor máximo) / 6
- RER: PERT = (valor mínimo + 4 x valor más probable + valor máximo) / 6
- Multa = CDI x SDI
2. Modelo de cálculo MPUB-1
Este modelo corresponde a las sanciones para servidores y funcionarios públicos. Se aplica la misma metodología que para el modelo de cálculo MPRIV-1, con la diferencia que el factor volumen de negocio será sustituido con base en salarios básicos unificados.
3. Cálculo estocástico
Este cálculo se hace usando un análisis de Monte Carlo, en los casos en que hay incertidumbre sobre los valores necesarios para calcular la multa. Con este análisis, se generan distintos escenarios aleatorios, lo que permite a la SPDP contar con un intervalo de aciertos y moverse dentro de este de acuerdo con su sana crítica.
[1] Art. 71 y 72 Ley Orgánica de Protección de Datos Personales, Registro Oficial Suplemento 459 de 26 de mayo de 2021. Se configura cuando la infracción anterior y la actual son de la misma naturaleza, es decir, tratan sobre el mismo tipo de incumplimiento o conducta infractora.
[2] Ibid. Ocurre cuando el infractor ya ha sido sancionado previamente por dos o más infracciones menores, o por una infracción de igual o mayor gravedad que la actual, aunque no necesariamente de la misma naturaleza.
Rafael Serrano, Socio en CorralRosales
rserrano@corralrosales.com
+593 2 2544144
