La Ley Orgánica de Protección de Datos Personales (LOPDP) distingue infracciones leves y graves. No incluye una tercera categoría de “muy graves”. Para entender una sanción hay que identificar la conducta, el rol del infractor y la base económica que corresponde; la multa no se escoge comparando facturación y salarios para aplicar el resultado más alto.
Cómo se distinguen las infracciones
La ley contiene tipos específicos para responsables y encargados. Entre las conductas previstas se encuentran incumplimientos de información, protección desde el diseño, seguridad, gestión de riesgos, atención de derechos y notificación de incidentes. La calificación exige revisar el artículo y numeral aplicable: no depende solo de cómo se describa el hecho en una noticia.
Una medida correctiva busca que la organización subsane una situación; una sanción responde a una infracción comprobada. Tampoco son equivalentes al eventual daño civil o a otras responsabilidades que puedan corresponder.
Qué rangos contempla la ley
| Sujeto | Infracción leve | Infracción grave |
|---|---|---|
| Entidad privada o empresa pública, según su rol | 0,1 % a 0,7 % del volumen de negocio del ejercicio anterior al de la imposición. | 0,7 % a 1 % de esa base. |
| Servidor o funcionario público responsable de la acción u omisión | 1 a 10 salarios básicos unificados. | 10 a 20 salarios básicos unificados. |
El volumen de negocio legal corresponde a ventas de productos y prestación de servicios, con deducción del IVA y otros impuestos directamente vinculados a la operación. No es lo mismo que utilidad, dinero disponible ni cualquier entrada bancaria. La guía de cálculo de multas desarrolla ejemplos numéricos.
El máximo no se aplica automáticamente
La SPDP debe determinar la sanción dentro del rango permitido, con proporcionalidad y la metodología oficial. La ley contempla factores como intencionalidad, reiteración, naturaleza del perjuicio y reincidencia. Tener documentos o contratar un delegado no garantiza una reducción ni elimina un incumplimiento autónomo.
También debe verificarse si el DPD es obligatorio. En ese supuesto, su designación no es únicamente una buena práctica que se espera sea valorada favorablemente.
Un caso oficial y lo que enseña
El boletín de la SPDP de 20 de enero de 2026 identifica la Resolución RES-SPDP-ICS-2025-0005 contra LIGAPRO: infracción leve por falta de protección desde el diseño y por defecto en FAN ID, con multa de USD 95.502,63 y una medida de rediseño. El caso demuestra que “leve” no significa irrelevante y que la corrección técnica puede acompañar la multa. Puede consultar el boletín y la resolución en las fuentes oficiales al final.
Qué revisar si llega una notificación
- Compruebe autoridad, procedimiento, fecha de recepción y término para responder.
- Identifique la conducta atribuida, su tipificación y el rol que se imputa.
- Preserve registros, contratos, evaluaciones y comunicaciones pertinentes.
- Revise la base económica y las circunstancias consideradas en el cálculo.
- Prepare una respuesta sustentada y atienda las medidas exigibles sin destruir evidencia.
Supuesto hipotético: una empresa recibe un requerimiento por una filtración y descubre que no puede demostrar cuándo la detectó. La prioridad es reconstruir y preservar los hechos, evaluar las notificaciones y corregir el control que falló. Crear un documento con fecha retroactiva no subsana la falta de evidencia. Consulte el protocolo de incidentes para organizar la respuesta.
Fuentes oficiales
- Ley Orgánica de Protección de Datos Personales
- Metodología oficial de multas, Resolución 2025-0022-R
- Boletines oficiales de la SPDP de 20 de enero de 2026
- Resolución RES-SPDP-ICS-2025-0005: LIGAPRO
Revisión normativa: 12 de octubre de 2026.