Capítulo XI. De las Infracciones y Sanciones

Constituyen infracciones a esta Ley, las conductas llevadas a cabo por el responsable:

I.No cumplir con la solicitud para el ejercicio de los derechos ARCO de la persona titular, sin razón fundada, en los términos previstos en esta Ley;

II.Actuar con negligencia o dolo durante la sustanciación de las solicitudes para el ejercicio de los derechos ARCO;

III.Declarar dolosamente la inexistencia de datos personales, cuando exista total o parcialmente en las bases de datos del responsable;

IV.Dar tratamiento a los datos personales en contravención a los principios establecidos en la presente Ley;

V.Omitir en el aviso de privacidad, alguno o todos los elementos a que se refiere el artículo 15 de esta Ley;

VI.Mantener datos personales inexactos cuando resulte imputable al responsable, o no efectuar las rectificaciones o cancelaciones de los mismos que legalmente procedan cuando resulten afectados los derechos de las personas titulares;

VII.No cumplir con el apercibimiento a que se refiere la fracción I del artículo 59 de la presente Ley;

VIII.Incumplir el deber de confidencialidad establecido en el artículo 20 de esta Ley;

IX.Cambiar sustancialmente la finalidad originaria del tratamiento de los datos, sin observar lo dispuesto por el artículo 11 de esta Ley;

X.Transferir datos a terceros sin comunicar a estos el aviso de privacidad que contiene las limitaciones a que la persona titular sujetó la divulgación de los mismos;

XI.Vulnerar la seguridad de bases de datos, locales, programas o equipos, cuando resulte imputable al responsable;

XII.Llevar a cabo la transferencia o cesión de los datos personales, fuera de los casos en que esté permitida por la Ley;

XIII.Recabar o transferir datos personales sin el consentimiento expreso de la persona titular, en los casos en que éste sea exigible;

XIV.Obstruir los actos de verificación de la autoridad;

XV.Recabar datos en forma engañosa y fraudulenta;

XVI.Continuar con el uso ilegítimo de los datos personales cuando se ha solicitado el cese del mismo por la Secretaría o las personas titulares;

XVII.Tratar los datos personales de manera que se afecte o impida el ejercicio de los derechos ARCO establecidos en el artículo 16 de la Constitución Política de los Estados Unidos Mexicanos;

XVIII.Crear bases de datos en contravención a lo dispuesto por el artículo 8, segundo párrafo de esta Ley, y

XIX.Cualquier incumplimiento del responsable a las obligaciones establecidas a su cargo en términos de lo previsto en la presente Ley.

Las infracciones a la presente Ley serán sancionadas por la Secretaría con:

I.El apercibimiento para que el responsable lleve a cabo los actos solicitados por la persona titular, en los términos previstos por esta Ley, tratándose de los supuestos previstos en la fracción I del artículo anterior;

II.Multa de 100 a 160,000 veces la Unidad de Medida y Actualización, en los casos previstos en las fracciones II a VII del artículo anterior;

III.Multa de 200 a 320,000 veces la Unidad de Medida y Actualización, en los casos previstos en las fracciones VIII a XVIII del artículo anterior, y

IV.En caso de que de manera reiterada persistan las infracciones citadas en los incisos anteriores, se impondrá una multa adicional que irá de 100 a 320,000 veces la Unidad de Medida y Actualización. En tratándose de infracciones cometidas en el tratamiento de datos sensibles, las sanciones podrán incrementarse hasta por dos veces, los montos establecidos.

La Secretaría fundará y motivará sus resoluciones, considerando:

I.La naturaleza del dato;

II.La notoria improcedencia de la negativa del responsable, para realizar los actos solicitados por la persona titular, en términos de esta Ley;

III.El carácter intencional o no, de la acción u omisión constitutiva de la infracción;

IV.La capacidad económica del responsable, y

V.La reincidencia.

Las sanciones que se señalan en este Capítulo se impondrán sin perjuicio de la responsabilidad civil o penal que resulte.