Santo Domingo.– El nuevo Código Penal de la República Dominicana establece penas de hasta dos años de prisión para las personas responsables de empresas que incurran en determinadas prácticas ilegales relacionadas con la recopilación, conservación, comercialización o divulgación de información personal.
La abogada Emely García, especialista en cumplimiento normativo y privacidad, explicó durante una entrevista en el programa Esto No Tiene Nombre que las empresas deben fortalecer sus mecanismos de protección de datos para evitar posibles responsabilidades legales.
¿Qué establece el nuevo Código Penal?
El artículo 198 contempla penas de uno a dos años de prisión menor y multas de tres a seis salarios mínimos del sector público para quienes, de manera intencional, recojan, conserven o comercialicen datos personales mediante procedimientos automatizados sin el consentimiento correspondiente.
Las sanciones también pueden aplicarse cuando se continúa utilizando la información después de que su titular haya retirado la autorización, así como en otros supuestos de acceso o divulgación indebida previstos por la legislación.
Cuando alguna de estas conductas se comete por culpa, el artículo establece multas de uno a tres salarios mínimos del sector público.
Una filtración no significa automáticamente prisión
García aclaró que sufrir un ataque informático o una filtración de datos no implica, por sí solo, que los responsables de una empresa hayan cometido un delito.
Para determinar posibles responsabilidades, las autoridades deberán investigar las circunstancias del incidente y establecer si se produjo alguna de las conductas sancionadas por la ley.
En ese sentido, la especialista destacó la importancia de que las organizaciones puedan demostrar que adoptaron medidas razonables para proteger la información de sus clientes, empleados y usuarios.
Empresas deben reforzar sus controles de seguridad
La abogada recomendó implementar programas de cumplimiento normativo, documentar los procedimientos de protección de datos y revisar los acuerdos con proveedores externos que tengan acceso a información personal.
También señaló que las medidas preventivas pueden resultar relevantes durante una investigación, especialmente cuando una empresa ha sido víctima de un ataque informático.
El artículo 199 contempla, además, la posibilidad de responsabilidad penal de las personas jurídicas bajo las condiciones establecidas en el Código Penal.
No obstante, el régimen general de responsabilidad penal empresarial tiene prevista su entrada en vigor el 5 de noviembre de 2026, conforme al plazo establecido por la Ley 44-26.
Las nuevas disposiciones refuerzan la importancia de que las empresas dominicanas revisen sus prácticas de manejo de información y adopten controles para proteger la privacidad de los ciudadanos.