Source: http://www.habeasdata.org/wp/category/america_central/
Timestamp: 2018-09-26 05:40:16+00:00

Document:
Habeasdata.org » América central
En la Asociación Ecuatoriana de Derecho Informático y Telecomunicaciones “AEDIT”:http://www.aedit.org.ec/, and estamos preparando un anteproyecto de Ley de Protección de datos personales y lo estamos proponiendo al Congreso Nacional. Al igual como lo hicimos en su momento con la Ley de Comercio Electrónico para el Ecuador, ahora pedimos formalmente vuestro apoyo, para que nos den observaciones y recomendaciones al proyecto que tenemos preparado. El documento se basa en normas internacionales y en la poca normativa que tenemos en el Ecuador sobre el tema, por lo que será valioso contar con su experiencia práctica en la aplicación de la norma en sus respectivos paí­ses. Pese a que estamos concientes de la dificultad de sacar una Ley de este tipo, es un desafí­o que nos hemos propuesto y esperamos reducir los dos años y medio que nos tomó lograr la aprobación de la Ley de Comercio electrónico. Gracias por su colaboración.
Dato caduco: Aquel que ha perdido vigencia por disposición de la ley, por el cumplimiento de la condición o la expiración del plazo señalado para su finalidad.
Dato estadí­stico: Para efectos de esta Ley, son aquellos que permiten el cálculo de probabilidades a partir de datos personales, los que no podrán en ningún momento ser asociados a un titular identificado o identificable.
c). Los datos de carácter personal que resultaren ser inexactos o incompletos, en todo o en parte, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, previa notificación al titular de los datos.
Los datos de carácter personal también deberán ser cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados; y no serán conservados de manera que permita la identificación del interesado durante un perí­odo superior al necesario para las finalidades para las que hubieran sido recopiladas o registradas.
h) No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. En estos casos constarán expresamente los lí­mites de uso en un contrato.
i) En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, por lo que deberá respoder por las infracciones en que hubiera incurrido personalmente.
Sección Séptima: Derechos de los titulares de datos
Artí­culo 11.- Conocimiento del titular de los datos.- Toda persona tiene derecho a conocer la información que se tiene sobre su persona. También tiene derecho a no verse sometido a decisiones relacionadas con su persona en base al tratamiento de sus datos personales, así­ como a solicitar rectificaciones o indemnizaciones en caso de ser necesario. Los derechos constantes en este artí­culo serán ejercidos por el titular de los datos en cualquier momento.
a). Toda persona puede solicitar información a la Agencia de Protección de Datos relativa a la existencia de archivos, registros, bases o bancos de datos personales, sus finalidades y la identidad de sus responsables.
b). Toda persona tiene derecho a ejercer el derecho de acceso a la información de acuerdo con la Constitución Polí­tica. Para esto:
i. El titular de los datos tiene derecho a solicitar y obtener información de sus datos personales incluidos en los bancos de datos públicos o privados destinados a proveer información.
ii. El responsable o usuario debe proporcionar la información solicitada dentro de los diez dí­as plazo. Vencido el plazo sin que se satisfaga el pedido, o si evacuado el informe, éste se estimara insuficiente, quedará expedita la acción de protección de los datos personales o de hábeas data prevista en esta ley.
iii. El derecho de acceso a que se refiere este artí­culo será ejercido en forma gratuita, en intervalos no inferiores a tres meses, salvo que se acredite un interés legí­timo al efecto.
iv. El ejercicio del derecho al cual se refiere este artí­culo en el caso de datos de personas fallecidas le corresponderá a sus sucesores.
v. El titular de los datos podrá obtener la información gratuitamente, en los términos de esta Ley, sobre el origen de los datos y las comunicaciones realizadas o lo que se prevé hacer con los mismos.
i. La información debe ser suministrada en forma clara, de libre acceso y en su caso acompañada de una explicación, en lenguaje accesible al conocimiento medio de la población, de los términos que se utilicen.
ii. La información debe ser amplia y versar sobre la totalidad del registro perteneciente al titular, aun cuando el requerimiento sólo comprenda un aspecto de los datos personales. En ningún caso el informe podrá revelar datos de terceros, aun cuando se vinculen con el interesado.
iii. La información, a opción del titular, podrá suministrarse por escrito, por medios electrónicos, telefónicos, de imagen, u otro idóneo a tal fin.
d). El Derecho de rectificación, actualización o supresión será ejercido.
i. Toda persona tiene derecho a que sean rectificados, actualizados y, cuando corresponda, suprimidos o sometidos a confidencialidad los datos personales de los que sea titular y que estén incluidos en un banco de datos.
ii. El responsable o usuario del banco de datos, debe proceder a la rectificación, supresión o actualización de los datos personales del titular en el plazo máximo de quince dí­as luego de recibido el reclamo del titular de los datos o advertido del error o falsedad.
iii. El incumplimiento de esta obligación dentro del término acordado en el inciso precedente, habilitará al interesado a promover la acción de protección de los datos personales o de hábeas data prevista en la presente ley.
iv. En el supuesto de cesión o transferencia de datos, el responsable o usuario del banco de datos debe notificar la rectificación, supresión o transferencia al cesionario dentro del término de cinco dí­as de efectuado el tratamiento del dato.
v. La supresión no procede cuando pudiese causar perjuicios a derechos o intereses legí­timos de terceros, o cuando existiera una obligación legal de conservar los datos.
vi. Durante el proceso de verificación y rectificación del error o falsedad de la información que se trate, el responsable o usuario del banco de datos deberá bloquear el archivo, o consignar al proveer información relativa al mismo la circunstancia de que se encuentra sometida a revisión.
vii. Los datos personales deben ser conservados durante los plazos previstos en las disposiciones aplicables o en su caso, en las contractuales entre el responsable o usuario del banco de datos y el titular de los datos.
viii. Los datos originales que fueren rectificados, suprimidos o actualizados, deberán conservarse a disposición de autoridades competentes en caso de procesos legales seguidos en contra del titular de los datos. La supresión definitiva se hará una vez transcurridos 15 años desde su creación.
e). Excepciones.-
i. Los responsables o usuarios de bancos de datos públicos pueden, mediante decisión fundada, denegar el acceso, rectificación o la supresión en función de la protección de la defensa de la Seguridad Nacional, del orden y la seguridad públicos, o de la protección de los derechos e intereses de terceros. En caso de oposición a esta actuación, deberá resolver la Agencia de Protección de datos en un término de 10 dí­as.
ii. La información sobre datos personales también puede ser denegada por los responsables o usuarios de bancos de datos públicos, cuando de tal modo se pudieran obstaculizar actuaciones judiciales o administrativas en curso vinculadas a la investigación sobre el cumplimiento de obligaciones tributarias o de seguridad social, el desarrollo de funciones de control de la salud y del medio ambiente, la investigación de delitos penales y la verificación de infracciones administrativas. La resolución que así­ lo disponga debe ser motivada y notificada al titular en el término de 10 dí­as.
iii. Sin perjuicio de lo establecido en los incisos anteriores, se deberá brindar acceso a los registros en cuestión, cuando el titular tenga que ejercer su derecho de defensa.
f). La rectificación, actualización o supresión de datos personales inexactos o incompletos que consten en registros públicos o privados se efectuará sin costo alguno para el interesado.
g). Los procedimientos para el ejercicio de los derechos de actualización, rectificación o supresión de los datos personales, serán determinados en los reglamentos pertinentes.
h). El Derecho a indemnización será ejercido de la siguiente manera.-
i. Los titulares de datos personales que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados.
ii. Cuando se trate de archivo de titularidad pública, la responsabilidad se exigirá de acuerdo con lo dispuesto en la Constitución y demás normas sobre la indemnización de perjuicios por parte de la administración pública y el ejercicio del derecho de repetición del Estado.
iii. En el caso de los archivos de titularidad privada, la acción se ejercitará ante la justicia ordinaria.
i. Las decisiones judiciales o los actos administrativos que impliquen apreciación o valoración de conductas humanas, no podrán tener como único fundamento el resultado del tratamiento de datos personales que suministren una definición del perfil o personalidad del interesado.
ii. Los actos que resulten contrarios a esta disposición serán nulos.
Artí­culo 12.- Registro de archivos de datos.- El archivo, registro y manejo de bases de datos cumplirá con lo dispuesto en este artí­culo:
a). Inscripción.-
1. Todo archivo, registro, base o banco de datos público y privado destinado a proporcionar informes o que los proporcionare en cualquier momento, debe inscribirse en el Registro que al efecto habilite La Agencia de Protección de Datos Personales.
2. El registro de archivos de datos debe comprender como mí­nimo la siguiente información:
i) Nombre, apellido y domicilio del responsable;
ii) Caracterí­sticas y finalidad del archivo;
iii) Naturaleza de los datos personales contenidos en cada archivo;
iv) Forma de recolección y actualización de datos;
v) Destino de los datos y personas fí­sicas o jurí­dicas a las que pueden ser transmitidos en cualquier momento o tiempo;
vi) Modo de interrelacionar la información registrada;
vii) Medios utilizados para garantizar la seguridad de los datos, debiendo detallar las especificaciones que deberán cumplir las personas con acceso al tratamiento de la información;
viii) Tiempo de conservación de los datos;
ix) Forma y condiciones en que las personas pueden acceder a los datos referidos a ellas y los procedimientos a seguir para la rectificación o actualización de los datos.
3) Ningún usuario de datos podrá poseer datos personales de naturaleza distinta a los declarados en el registro. El incumplimiento de estos requisitos dará lugar a las sanciones administrativas previstas en la presente ley.
b). Archivos, registros o bancos de datos públicos.- Las Resoluciones sobre creación, modificación o supresión de archivos, registros o bancos de datos pertenecientes a Instituciones públicas deben publicarse en el Registro Oficial.
Las Resoluciones deben indicar:
i) Caracterí­sticas y finalidad del archivo;
ii) Personas respecto de las cuales se pretenda obtener datos y el carácter facultativo u obligatorio de su suministro por parte de aquéllas;
iii) Procedimiento de obtención y actualización de los datos;
iv) Estructura básica del archivo y la descripción de la naturaleza de los datos personales que contendrán;
v) Las cesiones, transferencias o interconexiones previstas;
vi) Órganos responsables del archivo, precisando dependencia jerárquica en su caso;
vii) Las oficinas ante las que se pudiesen efectuar las reclamaciones en ejercicio de los derechos de acceso, rectificación o supresión.
En las Resoluciones que se dicten para la supresión de los registros informatizados o manuales se establecerá el destino de los mismos o las medidas que se adopten para su destrucción.
c). Comunicación de datos entre Administraciones Públicas.- Los datos de carácter personal recogidos o elaborados por las Administraciones Públicas para el desempeño de sus atribuciones no serán comunicados a otras Administraciones Públicas para el ejercicio de competencias diferentes o de competencias que versen sobre materias distintas, salvo cuando la comunicación tenga por objeto el tratamiento posterior de los datos con fines históricos, estadí­sticos o cientí­ficos.
No obstante lo establecido en esta Ley, la comunicación de datos recogidos de fuentes accesibles al público no podrá efectuarse a archivos de titularidad privada, sino con el consentimiento del interesado o cuando una Ley prevea otra cosa.
En los supuestos previstos en los apartados 1 y 2 del presente artí­culo no será necesario el consentimiento del titular a que se refiere esta Ley.
d). Casos especiales.- Quedarán sujetos al régimen de la presente ley, los datos personales que por haberse almacenado para fines administrativos, deban ser objeto de registro permanente en los bancos de datos de las fuerzas armadas, Policí­a Nacional, organismos encargados de la seguridad nacional o seccional; y aquéllos sobre antecedentes personales que proporcionen dichos bancos de datos a las autoridades administrativas o judiciales que los requieran en virtud de disposiciones legales.
El tratamiento de datos personales con fines de defensa nacional o seguridad pública por parte de las fuerzas armadas, Policí­a Nacional, organismos encargados de la seguridad nacional o seccional, sin consentimiento de los titulares, queda limitado a aquellos supuestos y categorí­a de datos que resulten necesarios para el estricto cumplimiento de las misiones legalmente asignadas a aquéllos para la defensa nacional, la seguridad pública o para la represión de los delitos. Los archivos, en tales casos, deberán ser especí­ficos y establecidos al efecto, debiendo clasificarse por categorí­as, en función de su grado de fiabilidad.
Los responsables de los archivos del Servicio de Rentas Internas podrán, igualmente, denegar el ejercicio de los derechos a que se refiere el apartado anterior cuando el mismo obstaculice las actuaciones administrativas tendentes a asegurar el cumplimiento de las obligaciones tributarias.
e). Archivos, registros o bancos de datos privados.- Los particulares que formen archivos, registros o bancos de datos que no sean para un uso exclusivamente personal deberán registrarse conforme lo previsto en esta Ley.
g). Prestación de servicios de información crediticia. -
1. En la prestación de servicios de información crediticia sólo pueden tratarse datos personales de carácter patrimonial relativos a la solvencia económica y al crédito, obtenidos de fuentes accesibles al público o procedentes de informaciones facilitadas por Burós de crédito legalmente establecidas..
2. Pueden tratarse igualmente datos relativos al cumplimiento o incumplimiento de obligaciones de contenido patrimonial, facilitados por el acreedor o por quien actúe por su cuenta o interés.
4. Sólo se podrán archivar, registrar o ceder los datos personales que sean significativos para evaluar la solvencia económico-financiera de los titulares durante los últimos seis años. Dicho plazo se reducirá a dos años cuando el deudor cancele o de otro modo extinga la obligación, debiéndose hacer constar dicho hecho.
h). Archivos, registros o bancos de datos con fines de publicidad.-
Los datos personales que figuren en el censo promocional o las listas de personas pertenecientes a grupos de profesionales a que se refiere esta Ley, deberán limitarse a los que sean estrictamente necesarios para cumplir la finalidad a que se destina cada listado. La inclusión de datos adicionales por las entidades responsables del mantenimiento de dichas fuentes requerirá el consentimiento del interesado, que podrá ser revocado en cualquier momento.
El titular podrá en cualquier momento solicitar el retiro o bloqueo de su nombre de los bancos de datos a los que se refiere el presente artí­culo.
i). Archivos, registros o bancos de datos relativos a encuestas. -
Las normas de la presente ley no se aplicarán a las encuestas de opinión, mediciones y estadí­sticas, trabajos de prospección de mercados, investigaciones cientí­ficas o médicas y actividades análogas, en la medida que los datos recogidos no puedan atribuirse a una persona determinada o determinable.
Si en el proceso de recolección de datos no resultara posible mantener el anonimato, se deberá utilizar una técnica de disociación, de modo que no permita identificar a persona alguna, caso contrario no se podrán utilizar los datos recopilados.
6) Controlar la observancia de las normas sobre integridad y seguridad de datos por parte de los archivos, registros o bancos de datos. A tal efecto podrá solicitar a través de providencias preventivas, la autorización judicial para acceder a locales, equipos, o programas de tratamiento de datos a fin de verificar infracciones al cumplimiento de la presente ley;
En caso de que por el soporte en el cual esté contenida la información, las pruebas del incumplimiento a la Ley, puedan ser borradas o desaparecidas, el Director de la Agencia de Protección de Datos podrá disponer medidas cautelares de carácter administrativo a fin de verificar el incumplimiento de la Ley.
El Defensor del Pueblo o su representante.
e). El Registro General de Protección de Datos.- El Registro General de Protección de Datos será conformado en la Agencia de Protección de Datos.
g). De la Delegación.- La Agencia de Protección de datos personales podrá crear delegaciones en cualquier ciudad del Ecuador. El funcionamiento de cada Delegación se financiera con los recursos económicos que se obtengan de acuerdo con esta Ley.
h). Recursos económicos.- La Agencia de Protección de datos se financiará:
1.	Con el valor a cobrarse por concepto de Inscripción en el Registro y por el pago anual de un valor determinado correspondiente a USD. 50.
i). De las Resoluciones.- Las resoluciones de la Agencia de Protección de Datos se harán públicas, una vez hayan sido notificadas a los interesados.
La publicación se realizará preferentemente a través de medios informáticos o telemáticos.
La obligación establecida en el apartado anterior no existirá cuando la cesión venga impuesta por Ley.
e). Datos incluidos en las fuentes de acceso público.- Los datos personales que figuren en las listas de personas pertenecientes a grupos de profesionales de fuentes de acceso público, deberán limitarse a los que sean estrictamente necesarios para cumplir la finalidad a que se destina cada listado. La inclusión de datos adicionales por las entidades responsables del mantenimiento de dichas fuentes requerirá el consentimiento del interesado, que podrá ser revocado en cualquier momento.
Los interesados tendrán derecho a que la entidad responsable del mantenimiento de los listados de los Colegios profesionales o gremios, indique gratuitamente que sus datos personales no pueden utilizarse para fines de publicidad o prospección comercial.
Artí­culo 20. Responsables
1. Los responsables de los archivos y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.
2. Cuando se trate de archivos de los que sea responsable la Administración Pública se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en esta Ley.
Artí­culo 21. Tipos de infracciones
a). Las infracciones se calificarán como leves, graves o muy graves.
1). Son infracciones leves:
i) No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento, cuando legalmente proceda.
ii) No proporcionar la información que solicite la Agencia de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas, en relación con aspectos no sustantivos de la protección de datos personales.
iii) No solicitar la inscripción del archivo de datos de carácter personal en el Registro General de Protección de Datos, cuando no sea constitutivo de infracción grave.
iv) Proceder a la recogida de datos de carácter personal de los propios titulares sin proporcionarles la información que señala esta Ley.
v) Incumplir el deber de secreto establecido en esta Ley, salvo que constituya infracción grave.
vi) Incumplir con las normas de la presente Ley, que no estuvieren consideradas como una infracción grave o muy grave.
i) Proceder a la creación de ficheros de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin Resolución Administrativa o Decreto Ejecutivo, publicada en el Registro Oficial.
ii) Proceder a la creación de archivos de titularidad privada o iniciar la recogida de datos de carácter personal para su propio uso con finalidades distintas de las que constituyen el objeto legí­timo de la empresa o entidad.
iii) Proceder a la recopilación de datos de carácter personal sin el consentimiento expreso de los titulares, en los casos en que éste sea exigible.
iv) Tratar los datos de carácter personal o usarlos posteriormente con violación de los principios y garantí­as establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave.
v) El impedimento o la obstaculización del ejercicio de los derechos de acceso y oposición y la negativa a facilitar la información que sea solicitada.
vi) Mantener datos de carácter personal inexactos o no efectuar las rectificaciones o cancelaciones de los mismos de los titulares de derechos que la presente Ley ampara.
vii) La vulneración del deber de guardar secreto sobre los datos de carácter personal incorporados a archivos que contengan datos relativos a antecedentes penales, del Servicio de Rentas Internas, servicios financieros, prestación de servicios de solvencia patrimonial y crédito, así­ como aquellos otros archivos que contengan un conjunto de datos de carácter personal suficientes para obtener una evaluación de la personalidad del individuo.
viii) Mantener los archivos, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por ví­a reglamentaria se determinen.
ix) No remitir a la Agencia de Protección de Datos las notificaciones previstas en esta Ley o en sus disposiciones de desarrollo, así­ como no proporcionar a la Agencia de Protección de Datos, cuantos documentos e informaciones deba recibir o sean requeridos por aquél a tales efectos.
x) La obstrucción al ejercicio de la facultad de inspección de la Agencia de Protección de Datos.
xi) No inscribir el archivo de datos de carácter personal en el Registro General de Protección de Datos, cuando haya sido requerido para ello por el Director de la Agencia de Protección de Datos.
xii) Incumplir el deber de información que se establece en esta Ley, cuando los datos hayan sido recabados de persona distinta del titular.
i) La recogida de datos en forma engañosa y fraudulenta.
ii) La comunicación o cesión de los datos de carácter personal, fuera de los casos en que estén permitidas.
iii) Recabar y tratar los datos de carácter personal a los que se refiere esta Ley, cuando no medie el consentimiento expreso del titular; recopilar y tratar los datos referidos en la normativa cuando no lo disponga especí­ficamente una Ley o el titular no haya consentido expresamente, o violentar la prohibición contenida en esta Ley.
iv) No cesar en el uso ilegí­timo de los tratamientos de datos de carácter personal cuando sea requerido para ello por el Director de la Agencia de Protección de Datos o por las personas titulares de los datos.
v) La transferencia temporal o definitiva de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recopilados para someterlos a dicho tratamiento, en paí­ses que no proporcionen un nivel de protección equiparable al mantenido en el paí­s, sin autorización del Director de la Agencia de Protección de Datos.
vi) Tratar los datos de carácter personal de forma ilegí­tima o con menosprecio de los principios y garantí­as que les sean de aplicación, cuando con ello se impida o se atente contra el ejercicio de los derechos fundamentales consagrados en la Constitución o esta Ley.
vii) La vulneración del deber de guardar secreto sobre los datos de carácter personal a que hacen referencia esta Ley, así­ como los que hayan sido recabados para fines de la fuerza pública sin consentimiento de las personas afectadas.
viii) No atender, u obstaculizar de forma sistemática el ejercicio de los derechos de acceso, rectificación, cancelación u oposición.
ix) No atender de forma sistemática el deber legal de notificación de la inclusión de datos de carácter personal en un archivo.
b). Sanciones
1. Las infracciones leves serán sancionadas con multa de $1000 a $5000 Dólares de los Estados Unidos de América.
2. Las infracciones graves serán sancionadas con multa de $5.001 a $10.000 Dólares de los Estados Unidos de América.
3. Las infracciones muy graves serán sancionadas con multa de $10.001 a $15.000 Dólares de los Estados Unidos de América.
4. La cuantí­a de las sanciones se graduará atendiendo a la naturaleza de los derechos personales, de los titulares de los datos, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de la infracción y responsabilidad en la actuación infractora.
5. En ningún caso podrá imponerse una sanción más grave que la fijada en la Ley para la clase de infracción en la que se integre la que se pretenda sancionar.
6. En el caso de las infracciones muy graves, se aplicará la norma y reformas contenidas en la Ley de Comercio Electrónico.
c). Infracciones de las Administraciones Públicas
1. Cuando las infracciones a que se refiere esta Ley, fuesen cometidas en archivos de los que sea responsable la Administración Pública, el Director de la Agencia de Protección de Datos dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del archivo, al órgano del que dependa jerárquicamente y a los titulares de los datos personales si los hubiera.
2. El Director de la Agencia de Protección de datos podrá proponer también la iniciación de expedientes administrativos en contra de los funcionarios que incumplan con las disposiciones de la presente Ley, pudiendo llegar a la aplicación de la destitución del funcionario público. El procedimiento y las sanciones a aplicar serán las establecidas en la normativa de la Institución Pública responsable de la protección de los datos o la que se dictare para el efecto.
3. Se deberá comunicar a la Agencia de Protección de datos personales, las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.
Artí­culo 22. Prescripción
3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante seis meses o más por causas no imputables al presunto infractor.
5. El plazo de prescripción de las sanciones comenzará a contarse desde el dí­a siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción.
7. Será responsable civil, penal y pecuniariamente el funcionario de Cualquier institución pública, incluida la Agencia de Protección de Datos Personales, que no hubiera continuado con el proceso administrativo correspondiente o no hubiera efectuado el cobro de las mismas.
Artí­culo 23. Procedimiento sancionador
2. Las resoluciones de la Agencia de Protección de Datos agotan la ví­a administrativa.
3. Los procedimientos sancionadores tramitados por la Agencia de Protección de Datos, en ejercicio de las potestades que a la misma atribuyan esta u otras Leyes, tendrán una duración máxima de seis meses.
Artí­culo 24. Potestad de inmovilización de ficheros
En los supuestos, constitutivos de infracción muy grave, de utilización o cesión ilí­cita de los datos de carácter personal en que se impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que la Constitución y las leyes garantizan, el Director de la Agencia de Protección de Datos podrá, además de ejercer la potestad sancionadora, requerir a los responsables de archivos de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilí­cita de los datos. Si el requerimiento fuera desatendido, la Agencia de Protección de Datos podrá, mediante resolución motivada, inmovilizar tales archivos a los solos efectos de restaurar los derechos de las personas afectadas.

References: resolución 
 Resolución 
 resolución 
 resolución 
 resolución 
 resolución