Source: https://archive.is/8MtxJ
Timestamp: 2019-10-18 19:44:29
Document Index: 270083744

Matched Legal Cases: ['artículo 75', 'artículo 38', 'artículo 13', 'artículo 18', 'artículo 12', 'artículo 18', 'artículo 122', 'artículo 38', 'artículo 74', 'artículo 99', 'artículo 38', 'artículo 132', 'artículo 38', 'Artículo 246', 'artículo 246', 'artículo 13', 'artículo 38', 'artículo 132', 'artículo 39', 'artículo 39', 'artículo 255', 'artículo 126', 'artículo\n25514', 'Artículo 255', 'artículo 253', 'Artículo 126', 'artículo 38', 'artículo 255', 'artículo 126', 'artículo 246', 'artículo 13', 'Artículo 13', 'artículo 18', 'Artículo 11', 'Artículo 12', 'artículo 7', 'Artículo 18', 'artículo 12', 'artículo 18', 'artículo 14', 'Artículo 14', 'artículo 255', 'artículo\n33', 'Artículo 33', 'artículo 38', 'artículo 38', 'artículo 132', 'artículo 39', 'artículo 118', 'Artículo 118', 'artículo 246', 'artículo 2', 'artículo 126', 'artículo 12', 'Artículo 1', 'artículo 38', 'Artículo 2', 'Artículo 3', 'artículo 132', 'Artículo 4', 'artículo 216', 'Artículo 216', 'Artículo 5', 'artículo 128', 'Artículo 6', 'Artículo 128']

Resolución Directoral N° 1182-2018-JUS/DGTAIPD-DPDP
9 Sep 2019 22:01:48 UTC
<a href="http://archive.today/8MtxJ"> <img style="width:300px;height:200px;background-color:white" src="https://archive.is/8MtxJ/9f27f29dea10fde3d730244beed1a2c71c371c3d/scr.png"><br> Resolución Directoral N° 1182-2018-JUS/DGTAIPD-DPDP<br> archived 9 Sep 2019 22:01:48 UTC </a>
{{cite web | title = Resolución Directoral N° 1182-2018-JUS/DGTAIPD-DPDP | url = https://www.minjus.gob.pe/wp-content/uploads/2018/09/ITM-130-RD-1182-2018-JUS-DGTAIPD-DPDP-31-05-18-MIFARMA-SAC-SANCION.pdf | date = 2019-09-09 | archiveurl = http://archive.today/8MtxJ | archivedate = 2019-09-09 }}
This is the HTML version of the file https://www.minjus.gob.pe/wp-content/uploads/2018/09/ITM-130-RD-1182-2018-JUS-DGTAIPD-DPDP-31-05-18-MIFARMA-SAC-SANCION.pdf. Google automatically generates HTML versions of documents as we crawl the web.
Resolución N° 1182-2018-JUS/DGTAIPD-DPDP
021-2018-JUS/DPDP-PS
El Informe N° 035-2017-JUS/DGPDP-DSC1 del 22 de marzo de 2017 (Expediente de
Fiscalización N° 081-2016-DSC), emitido por la Dirección de Supervisión y Control de la
Dirección General de Protección de Datos Personales, junto con los demás documentos
que obran en el respectivo expediente; y,
1. Mediante la Orden de Visita de Fiscalización N° 085-2016-JUS/DGPDP-DSC2, la
Dirección de Supervisión y Control de la Dirección General de Protección de Datos
Personales (en adelante, la DSC) dispuso la realización de la fiscalización a Mifarma
S.A.C. (en adelante, la administrada), identificada con R.U.C. N° 20512002090 y
dedicada a la venta al por menor de productos farmacéuticos y médicos en comercios
2. La visita de fiscalización fue llevada a cabo por el personal de la DSC el 15 de
noviembre de 2016, en el establecimiento de dicha entidad ubicado en Calle Víctor
Alzamora N° 147, Urb. Santa Catalina, distrito de La Victoria, provincia y departamento
de Lima; dejando constancia de lo verificado en el Acta de Fiscalización N° 01-20163.
3. Durante dicha visita de fiscalización, se verificó que la administrada recopilaba
información de sus clientes a través de su programa "Monedero del Ahorro Mifarma",
utilizando una cartilla informativa sobre las promociones, así como un formato de
Folios 39 a 43
2 Folio 5
3 Folios 6 a 10
+n. GONZ'tEZt
afiliación en el que se aprecia una cláusula referida a la autorización para el tratamiento
de los datos personales del cliente, cuyo contenido es el siguiente:
"AUTORIZACIÓN PARA EL TRATAMIENTO DE SUS DATOS PERSONALES: La
información proporcionada al inscribirse y participar en el programa "Monedero del
Ahorro de Mifarma" y aquella obtenida con anterioridad por cualquier medio, es
considerada como datos personales (Ley N° 27933). Usted nos da su consentimiento
libre, previo, expreso e informado, de forma indefinida, para tratar sus datos
personales según la referida Ley. Sus datos personales serán conservados de
manera segura en nuestro banco de datos de clientes. Con esta autorización nuestra
empresa podrá ofrecerle promociones, ofertas, descuentos, información de diversa
índole, realizar estudios de mercado, elaborar perfiles de compra así como usar y/o
transferir esta información a terceros. Usted puede revocar este consentimiento a
través de una solicitud escrita simple en nuestra oficina principal, en Calle Víctor
Alzamora 147, La Victoria, Lima, Perú"
4. Así también, se pudo constatar que recopilan información de los postulantes a
empleos por medio de formulario "Únete a Nosotros" de su página web
(www.mifarma.corre).
5. El 22 de marzo de 2017 se puso en conocimiento de la Dirección de Sanciones de la
Dirección General de Protección de Datos Personales el resultado de la fiscalización
realizada a dicha entidad por medio del Informe N° 035-2017-JUS/DGPDP-DSC,
adjuntando el acta de fiscalización mencionada, así como los demás anexos y
documentos que conforman el respectivo expediente administrativo.
6. Mediante la comunicación del 17 de abril de 2017, ingresada con Hoja de Trámite N°
22753, la administrada señaló lo siguiente:
• A la fecha, el párrafo del formato de afiliación "Monedero del Ahorro de Mifarma"
referido a la autorización para el tratamiento había sido modificado de la
"AUTORIZACIÓN PARA EL TRATAMIENTO DE SUS DATOS PERSONALES:
La información proporcionada al inscribirse y participar en el programa
"Monedero del Ahorro de Mifarma" y aquella obtenida con anterioridad por
cualquier medio, es considerada como datos personales (Ley N° 27933). Usted
nos da su conocimiento libre, previo, expreso e informado, de forma indefinida,
para tratar sus datos personales según la referida Ley. Sus datos personales
serán conservados de manera segura en nuestro banco de datos de clientes.
Con esta autorización nuestra empresa podrá ofrecerle promociones, ofertas,
descuentos, información de diversa índole, realizar estudios de mercado,
elaborar perfiles de compra así como usar y/o transferir esta información a
terceros vinculados a nuestra empresa. Usted puede revocar este
consentimiento a través de una solicitud escrita simple en nuestra oficina
principal, en Calle Víctor Alzamora 147, La Victoria, Lima, Perú". (El subrayado
es nuestro)
• La opción "Únete a Nosotros" de su página web se ha eliminado.
7. Cabe señalar que mediante el artículo 75 del Reglamento de Organización y
Funciones del Ministerio de Justicia y Derechos Humanos, aprobado por Decreto
Supremo N° 013-2017-JUS el 22 de junio de 2017 (en adelante, ROF), se asignó a la
Dirección de Fiscalización e instrucción de la Dirección General de Transparencia,
Acceso a la Información Pública y Protección de Datos Personales (en adelante, la DFI)
las funciones de fiscalizar los presuntos actos contrarios a lo establecido por la Ley de
Protección de Datos Personales (en adelante, la LPDP) y su reglamento, así como el
inicio de los procedimientos sancionadores por infracción a dicha ley, efectuando la
imputación de cargos. En vista de ello, la DFI continuó dando trámite al expediente.
8. Por medio del Informe N° 02-2018-DFI-ORQR del 5 de enero de 2018, el Analista de
Fiscalización en Seguridad de la Información de la DFI indicó que, según verificó que la
administrada ya no realiza tratamiento de datos personales a través de la opción "Únete
a Nosotros" de la página web www.mifarma.compe.
9. Mediante la Resolución Directoral N° 06-2018-JUS/DGTAIPD-DFI4 del 22 de enero
de 2018, la DFI resolvió iniciar procedimiento administrativo sancionador a la
administrada, por la presunta comisión de la infracción leve tipificada en el literal a. del
numeral 1 del artículo 38 de la LPDP, en su redacción anterior al 15 de septiembre de
2017, consistente en recopilar los datos personales de los clientes afiliados al programa
"Monedero del Ahorro Mifarma" sin obtener su consentimiento de forma válida, al no
informarles sobre la identidad de los destinatarios de las transferencias de los datos
personales a realizar, según lo disponen el numeral 13.5 del artículo 13 y el artículo 18
de la LPDP, así como el artículo 12 del Reglamento de la LPDP.
10. Dicha Resolución Directoral fue notificada a la administrada el 31 de enero de 2018,
a través del Oficio N° 41-2018-JUS/DGTAIPD-DFI5.
11. Por medio de la comunicación ingresada con la Hoja de Trámite N' 12200 del 21
de febrero de 2018, la administrada presentó sus descargos y documentación adjunta6,
exponiendo lo siguiente:
• El texto de autorización para el tratamiento de datos personales del programa
"Monedero del Ahorro de Mifarma" fue modificado antes de la notificación de la
imputación de los cargos, por lo que debe evaluarse la versión actual, que implica la
subsanación de la conducta detectada durante la fiscalización.
° Folios 069 a 074
6 Folios 95 a 169
• Dicho texto sí identifica suficientemente a los destinatarios, al expresarse de manera
indubitable y sencilla que "pueden usar y/o transferir esta información a terceros
vinculados a su empresa".
• Con la imputación, lo que se pretende es que se detalle con nombre y apellido a los
que son o pueden ser destinatarios de una eventual transferencia, lo cual es un
imposible jurídico en el caso de los futuros destinatarios, pues no se puede identificar
a alguien cuya identidad es incierta en el presente.
• Considerando que puede transferirse la información a destinatarios presentes o
futuros, basta con identificar el género o categoría de los mismos, estableciendo que
la información podrá ser transferida únicamente a los "terceros vinculados".
• El artículo 18 de la LPDP se limita a establecer que el titular de los datos personales
debe conocer quiénes son o pueden ser los destinatarios de tales datos, admitiendo
una identificación general de la categoría de los destinatarios, lo cual en su caso está
• Para la inscripción de los bancos de datos personales no se requiere la identificación
de cada destinatario, bastando la mención de su categoría, como se puede apreciar
en el formulario correspondiente, en lo respectivo a transferencias nacionales, a
diferencia de lo que sucede con las comunicaciones de flujo transfronterizo, que
requieren las denominaciones de los destinatarios; dicha situación orienta a los
administrados a redactar sus solicitudes de autorización con el mismo criterio de
• En tal sentido, no se debería aplicar un estándar aparte para fiscalizar y otro para
autorizar, debiendo concluirse, de acuerdo con la práctica de la propia entidad, que
sí informan suficientemente a los titulares sobre quienes son o serán los posibles
destinatarios a nivel nacional.
• La dirección contraviene el Principio de Predictibilidad del procedimiento
administrativo, puesto que han sido fiscalizadas anteriormente, no habiéndose
observado entonces la autorización suscrita por los titulares de bancos de datos
personales, y esta última observación revelaría que ante la falta de omisiones, se
recurren a criterios arbitrarios para hallar conductas sancionables.
12. Por medio de la Resolución Directoral N° 46-2018-JUS/DGTAIPD-DFI del 26 de
marzo de 2018, notificada el 10 de abril de 2018, la DFI, siguiendo lo establecido en el
artículo 122 del Reglamento de la LPDP, cerró la etapa instructiva del presente
13. A través del Informe Final de Instrucción N° 24-2018-JUS/DGTAIPD-DF17 del 26 de
marzo de 2018, la DFI remitió a la Dirección de Protección de Datos Personales de la
Dirección General de Transparencia, Acceso a la Información Pública y Protección de
Datos Personales (en adelante, la DPDP) el expediente del presente caso,
recomendando imponer a la administrada una multa ascendente a cuatro unidades
impositivas tributarias (4 UIT) a la administrada por la infracción leve tipificada en el
literal a. del numeral 1 del artículo 38 de la LPDP, en su redacción anterior al 15 de
septiembre de 2017: "Dar tratamiento a datos personales sin recabar el consentimiento
de sus titulares, cuando el mismo sea necesario conforme a lo dispuesto en la Ley".
14. Por medio del Oficio N° 326-2018-JUS/DGTAIPD-DPDP del 22 de febrero del 2018,
se remitió la Resolución Directoral N° 13-2018-JUS-DGTAIPD a la administrada.
15. A través del Oficio N° 327-2018-JUS/DGTAIPD-DPDP del 22 de febrero de 2018,
la DPDP remitió el expediente a esta dirección en mérito de lo dispuesto por la
Resolución Directoral N° 13-2018-JUS/DGTAIPD, a fin de continuar con su tramitación.
' Folios 176 a 182
izeolxx~i
16. Conforme con lo dispuesto en el artículo 74 del Reglamento de Organiz:ación y
Supremo N° 013-2017-JUS, la DPDP es la unidad orgánica competente para resolver
en primera instancia, los procedimientos administrativos sancionadores iniciados por la
17. Es preciso anotar que, al haber firmado el Informe N° 01-2017-JUS/DGPDP-DSC,
la Directora de la DPDP formuló su abstención para resolver el presente procedimiento
sancionador por medio del Oficio N° 564-2018-JUS/DGTAIPD-DPDP.
18. No obstante, al no existir otra autoridad de igual jerarquía que no se encuentre
incursa en alguna causal de abstención, la abstención formulada fue denegada por el
Director General de Transparencia, Acceso a la Información Pública y Protección de
Datos Personales mediante la Resolución Directoral N° 74-2018-JUS-DGTAIPD,
aplicando lo establecido en el inciso 99.3 del artículo 99 de la LPAG8.
19. En tal sentido, corresponde que el presente procedimiento sancionador continúe
siendo conocido por la Directora de la DPDP.
III. Normas aplicables
20. Los hechos del presente caso fueron verificados antes del 15 de septiembre de
2017, vale decir, estando en vigencia la anterior redacción del artículo 38 de la LPDP;
la cual incluía como infracción leve, en el literal a. de su numeral 1, dar tratamiento a
datos personales sin obtener el consentimiento de sus titulares, cuando el mismo sea
necesario conforme a lo dispuesto en dicha ley9.
e Texto Único Ordenado de la Ley N° 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto
Supremo N° 006-2017-JUS
"Articulo 99.- Disposición superior de abstención
99.3 Cuando no hubiere otra autoridad pública apta para conocer el asunto, el superior optará por habilitar a una autoridad
ad hoc, o disponer que el incurso en causal de abstención tramite y resuelva el asunto, bajo su directa supervisión."
e Ley N° 29733, Ley de Protección de Datos Personales (redacción vigente antes del 15 de septiembre de 2017)
"Articulo 38. Infracciones
21. Posteriormente, mediante el Decreto Supremo N° 019-2017-JUS del 15 de
septiembre de 2017, se aprobó el reglamento del Decreto Legislativo N° 1353 que crea
la Autoridad Nacional de Transparencia y Acceso a la Información Pública, Fortalece el
Régimen de Protección de Datos Personales y la Regulación de la Gestión de Intereses
(en adelante, Reglamento del Decreto Legislativo N° 1353).
22. La Tercera Disposición Complementaria Modificatoria de dicho reglamento
incorpora el capítulo de infracciones al Título VI del Reglamento de la LPDP,
agregándole el artículo 132 que tipifica las infracciones, sustrayendo tal tipificación del
artículo 38 de la LPDP.
23. Es así que de acuerdo con el literal b) del numeral 2 de dicho artículo, se tipifica
como infracción grave realizar el tratamiento de datos personales sin haber obtenido el
consentimiento libre, expreso, inequívoco, previo e informado del titular, cuando el
mismo sea necesario conforme a lo dispuesto en la LPDP y su reglamento10.
24. Cabe señalar que en atención a la retroactividad benigna, contemplada como una
excepción del principio de irretroactividad" que rige la potestad sancionadora
administrativa, es de aplicación la disposición más favorable a la administrada.
25. La retroactividad benigna se hace efectiva si luego de la comisión de una infracción,
se produce una modificación normativa que establezca una consecuencia más
beneficiosa para el infractor, sea la derogación de la tipificación de la infracción, así
como el establecimiento de supuestos de hecho distintos o una sanción menor que la
contemplada en la norma vigente al momento que se cometió dicho ilícito, por lo que
debe aplicarse retroactivamente la nueva norma.
`-^ GONZ EZ L.
Texto Único Ordenado de la Ley N° 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto
"Artículo 246.- Principios de la potestad sancionadora administrativa
5.- Irretroactividad.- Son aplicables las disposiciones sancionadoras vigentes en el momento de incurrir el administrado
en la conducta a sancionar, salvo que las posteriores le sean más favorables.
Las disposiciones sancionadoras producen efecto retroactivo en cuanto favorecen al presunto infractor o al infractor,
tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de
las sanciones en ejecución al entrar en vigor la nueva disposición.
26. Asimismo, se debe tomar en cuenta que la retroactividad debe ser el resultado de
una evaluación integral por parte de la Administración y como tal, debe verificarse los
Constituye infracción sancionable toda acción u omisión que contravenga o incumpla alguna de las disposiciones
contenidas en esta Ley o en su reglamento.
a) Dar tratamiento a datos personales sin obtener el consentimiento de sus titulares, cuando el mismo sea necesario
conforme a lo dispuesto en esta Ley."
Reglamento de la Ley de Protección de Datos Personales, aprobado por Decreto Supremo N° 003-2013-JUS
Las infracciones a la Ley N° 29733, Ley de Protección de Datos Personales, o su Reglamento se califican como leves,
graves y muy graves y se sancionan con multa de acuerdo al articulo 39 de la citada Ley.
1. Son infracciones graves
b) Dar tratamiento a los datos personales sin el consentimiento libre, expreso, inequívoco, previo e informado del titular,
cuando el mismo sea necesario conforme a lo dispuesto en la Ley N° 29733 y su Reglamento."
izeotoveai
supuestos y requisitos que la norma exija de manera que produzca consecuencias
jurídicas favorables para la administrada.
27. En tal sentido, el numeral 5 del artículo 246 del Texto Único Ordenado de la Ley N°
N° 006-2017-JUS (en adelante, la LPAG) contempla el principio de irretroactividad,
precisando los supuestos sobre los cuales se podría aplicar la retroactividad benigna,
- Tipificación de la infracción más favorable
- Previsión de la sanción más favorable, incluso de aquellas que se encuentran en
- Plazos de prescripción más favorables.
28. En la línea de lo expuesto, apreciándose que el supuesto de hecho (incumplimiento
de la obligación) en el cual habría incurrido la administrada ha variado de tipificación y
de sanción (respecto del momento en que se detectó la infracción), en atención a la
retroactividad benigna establecida en el principio de irretroactividad que rige la potestad
sancionadora administrativa, se aplicará la disposición que resulte más favorable al
29. Sobre la realización del tratamiento de datos personales de sus clientes sin recabar
el consentimiento válidamente, según dispone la normativa, se tiene la siguiente
- Numeral 13.5 del artículo 13 - Numeral 13.5 del artículo
de la LPDP
13 de la LPDP
- Artículos 11 y 12 del - Artículos 11 y 12 del
Reglamento de la LPDP
Ti pificadora
Literal a. del numeral 1 del Literal b) del numeral 2 del
artículo 38 de la LPDP, esto artículo 132 del Reglamento
es: "Dar tratamiento a los de la LPDP, esto es: "Dar
datos personales sin recabar tratamiento a los datos
el consentimiento de sus personales
titulares, cuando el mismo consentimiento
expreso, inequívoco, previo
sea necesario conforme a lo
dispuesto en esta Ley'
e informado del titular,
cuando el mismo sea
necesario conforme a lo
dispuesto en la Ley N°
29733 y su Reglamento"
Numeral 1 del artículo 39 de
la LPDP que establece la
infracción leve sancionada
con 0,5 UIT hasta 5 UIT
Numeral 2 del artículo 39 de
infracción grave sancionada
con más de 5 hasta 50 UIT
30. Se desprende de lo anterior que el marco normativo actual (norma que entró en
vigencia el 16 de setiembre de 2017) no presenta ninguna situación favorable para la
administrada en comparación con el estado anterior, en la cual la infracción analizada
es tipificada como leve, a diferencia de lo establecido por la tipificación vigente, que la
recoge dentro de las infracciones graves. En tal sentido, no existen condiciones en las
que la retroactividad benigna proceda, debiendo aplicarse las normas vigentes al
momento de detección de la infracción.
31. De otro lado, acerca de la responsabilidad de la administrada, se debe tener en
cuenta que el literal del numeral 1 del artículo 255 de la LPAG, establece como una
causal eximente de la responsabilidad por infracciones, la subsanación voluntaria del
hecho imputado como infractor, si es realizada de forma previa a la notificación de
imputación de cargos12.
32. Asimismo, se debe atender a lo dispuesto en el artículo 126 del Reglamento de la
LPDP, que considera como atenuantes la colaboración con las acciones de la autoridad
y el reconocimiento espontáneo de las infracciones conjuntamente con la adopción de
medidas de enmienda; dichas atenuantes, de acuerdo con la oportunidad del
reconocimiento y las fórmulas de enmienda, pueden permitir la reducción motivada de
la sanción por debajo del rango previsto en la LPDP13.
33. Dicho artículo debe leerse conjuntamente con lo previsto en el numeral 2 del artículo
25514 de la LPAG, que establece como condición atenuante el reconocimiento de la
responsabilidad por parte del infractor de forma expresa y por escrito, debiendo reducir
la multa a imponérsele hasta no menos de la mitad del monto de su importe; y por otro
lado, las que se contemplen como atenuantes en las normas especiales.
12 Texto Único Ordenado de la Ley N° 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto
"Artículo 255.- Eximentes y atenuantes de responsabilidad por infracciones
I) La subsanación voluntaña por parte del posible sancionado del acto u omisión imputado como constitutivo de infracción
administrativa, con anterioridad a la notificación de la imputación de cargos a que se refiere el inciso 3) del artículo 253"
13 Reglamento de la Ley de Protección de Datos Personales, aprobado por Decreto Supremo N° 003-2013-JUS
"Artículo 126.- Atenuantes.
La colaboración con las acciones de la autoridad y el reconocimiento espontáneo de las infracciones acompañado de
acciones de enmienda se considerarán atenuantes. Atendiendo a la oportunidad del reconocimiento y a las fórmulas de
enmienda, la atenuación permitirá incluso la reducción motivada de la sanción por debajo del rango previsto en la Ley"
14 Texto Único Ordenado de la Ley N° 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto
a) Si iniciado un procedimiento administrativo sancionador el infractor reconoce su responsabilidad de forma expresa y
En los casos en que la sanción aplicable sea una multa esta se reduce hasta un monto no menor de la mitad de su
b) Otros que se establezcan por norma especial."
izerytozizai
IV. Análisis de la cuestión en discusión
34. Corresponde a la Dirección de Transparencia y Acceso a la Información Pública
determinar si se han cometido infracciones a la LPDP y su reglamento, para lo cual se
deberá analizar:
34.1 Si la administrada es responsable por recopilar los datos personales de sus
clientes afiliados al programa "Monedero del Ahorro de Mifarma", sin obtener su
consentimiento de forma válida, al no informar sobre los destinatarios de dichos datos
en el caso de las transferencias, siendo este uno de los requisitos establecidos en la
LPDP y su reglamento, configurando la infracción leve prevista en el literal a. del
numeral 1 del artículo 38 de la LPDP, en su redacción anterior al 15 de septiembre
34.2 En el supuesto de ser responsable, si debe aplicarse la exención de
responsabilidad por la subsanación de la infracción, prevista en el literal f) del numeral
1 del artículo 255 de la LPAG, o las atenuantes, de acuerdo con lo dispuesto en el
artículo 126 del reglamento de la LPDP.
34.3 Determinar la multa que corresponde imponer, tomando en consideración los
criterios de graduación contemplados en el numeral 3) del artículo 246 de la LPAG.
Sobre el deber de obtener el consentimiento del titular de los datos personales
35. Según lo dispone el inciso 13.5 del artículo 13 de la LPDP, los datos personales
solo pueden ser objeto de tratamiento mediando el consentimiento del titular de los
mismos, requiriendo que se otorgue de manera previa, informada, expresa e inequívoca:
"Artículo 13. Alcances sobre el tratamiento de datos personales
13.5 Los datos personales solo pueden ser objeto de tratamiento con consentimiento
de su titular, salvo ley autoritativa al respecto. Ei consentimiento debe ser previo,
informado, expreso e inequívoco."
36. Asimismo, el Reglamento de la LPDP desarrolla las características del
consentimiento y los requisitos de su otorgamiento válido en sus artículos 11 y 1215
37. Respecto del requisito de informar adecuadamente para obtener el consentimiento
del titular, debe apreciarse el contenido del primer párrafo del artículo 18 de la LPDP,
15 Reglamento de la Ley de Protección de Datos Personales, aprobado por Decreto Supremo N° 003-2013-JUS
"Artículo 11.- Disposicic nes generales sobre el consentimiento para el tratamiento de datos personales.
"El titular del banco de datos personales o quien resulte como responsable del tratamiento, deberá obtener el
consentimiento para el tratamiento de los datos personales, de conformidad con lo establecido en la Ley y en el
La solicitud del consentimiento deberá estar referida a un tratamiento o serie de tratamientos determinados, con expresa
identificación de la finalidad o finalidades para las que se recaban los datos; así como las demás condiciones que
concurran en el tratamiento o tratamientos
Cuando se solicite el consentimiento para una forma de tratamiento que incluya o pueda incluir la transferencia nacional
o internacional de los datos, el titular de los mismos deberá ser informado de forma que conozca inequívocamente tal
circunstancia, además de la finalidad a la que se destinarán sus datos y el tipo de actividad desarrollada por quien recibirá
Artículo 12.- Características del consentimiento.
Además de lo dispuesto en el articulo 18 de la Ley y en el articulo precedente del presente reglamento, la obtención del
consentimiento debe ser:
1. Libre: Sin que medie error, mala fe, violencia o dolo que puedan afectar la manifestación de voluntad del titular de los
datos personales. La entrega de obsequios o el otorgamiento de beneficios al titular de los datos personales con ocasión
de su consentimiento no afectan la condición de libertad que tiene para otorgado, salvo en el caso de menores de edad,
en los supuestos en que se admite su consentimiento, en que no se considerará libre el consentimiento otorgado
mediando obsequios o beneficios. El condicionamiento de la prestación de un servicio, o la advertencia o amenaza de
denegar el acceso a beneficios o servicios que normalmente son de acceso no restringido, si afecta la libertad de quien
otorga consentimiento para el tratamiento de sus datos personales, si los datos solicitados no son indispensables para
la prestación de los beneficios o servicios.
2. Previo: Con anterioridad a la recopilación de los datos o en su caso, anterior al tratamiento distinto a aquel por el cual
ya se recopilaron.
3. Expreso e Inequívoco: Con anterioridad a la recopilación de los datos o en su caso, anterior al tratamiento distinto a
aquel por el cual ya se recopilaron queda o pueda ser impreso en una superficie de papel o similar. La condición de
expreso no se limita a la manifestación verbal o escrita. En sentido restrictivo y siempre de acuerdo con lo dispuesto por
el artículo 7 del presente reglamento, se considerará consentimiento expreso a aquel que se manifieste mediante la
conducta del titular que evidencie que ha consentido inequívocamente, dado que de lo contrario su conducta,
necesariamente, hubiera sido otra.
Tratándose del entorno digital, también se considera expresa la manifestación consistente en "hacer clic", "cliquear" o
"pinchar", "dar un toque", "touch" o "pad" u otros similares. En este contexto el consentimiento escrito podrá otorgarse
mediante firma electrónica, mediante escritura que quede grabada, de forma tal que pueda ser leída e impresa, o que
por cualquier otro mecanismo o procedimiento establecido permita identificar al titular y recabar su consentimiento, a
través de texto escrito. También podrá otorgarse mediante texto preestablecido, fácilmente visible, legible y en lenguaje
sencillo, que el titular pueda hacer suyo, o no, mediante una respuesta escrita, gráfica o mediante clic o pinchado. La
sola conducta de expresar voluntad en cualquiera de las formas reguladas en el presente numeral no elimina, ni da por
cumplidos, los otros requisitos del consentimiento referidos a la libertad, oportunidad e información.
4. Informado: Cuando al titular de los datos personales se le comunique clara, expresa e indubitablemente, con lenguaje
sencillo, cuando menos de lo siguiente a. La identidad y domicilio o dirección del titular del banco de datos personales o
del responsable del tratamiento al que puede dirigirse para revocar el consentimiento o ejercer sus derechos. b. La
finalidad o finalidades del tratamiento a las que sus datos serán sometidos. c. La identidad de los que son o pueden ser
sus destinatarios, de ser el caso. d. La existencia del banco de datos personales en que se almacenarán, cuando
corresponda. e. El carácter obligatorio o facultativo de sus respuestas al cuestionario que se le proponga, cuando sea el
caso. f. Las consecuencias de proporcionar sus datos personales y de su negativa a hacerlo. g. En su caso, la
transferencia nacional e internacional de datos que se efectúen."
"Artículo 18. Derecho de información del titular de datos personales
El titular de datos personales tiene derecho a ser informado en forma detallada,
sencilla, expresa, inequívoca y de manera previa a su recopilación, sobre la finalidad
para la que sus datos personales serán tratados; quiénes son o pueden ser sus
destinatarios, la existencia del banco de datos en que se almacenarán, así como la
identidad y domicilio de su titular y, de ser el caso, del o de los encargados del
tratamiento de sus datos personales; el carácter obligatorio o facultativo de sus
respuestas al cuestionario que se le proponga, en especial en cuanto a los datos
sensibles; la transferencia de los datos personales; las consecuencias de
proporcionar sus datos personales y de su negativa a hacerlo; el tiempo durante el
cual se conserven sus datos personales; y la posibilidad de ejercer los derechos que
la ley le concede y los medios previstos para ello.
38. Lo anteriormente señalado implica que la validez del consentimiento tiene como
requisitos que este haya sido obtenido de manera previa, expresa e inequívoca, libre e
informada, detallados en el artículo 12 del Reglamento de la LPDP y en el caso de la
información para obtener el consentimiento, también en el artículo 18 de la LPDP. Por
ello, la omisión de alguno de tales requisitos implica la nulidad de su obtención, vale
decir, un escenario como en el que nunca se hubiera otorgado.
39. Por su parte, la LPDP contempla también supuestos de excepción de dicha
obligación en su artículo 14, siendo uno de ellos el tratamiento necesario para la
ejecución de la relación contractual que exista entre el titular de los datos personales y
el responsable de su recopilación, tal como se tiene previsto en el numeral 5 de dicho
"Artículo 14. Limitaciones al consentimiento para el tratamiento de datos
No se requiere el consentimiento del titular de datos personales, para los efectos de
su tratamiento, en los siguientes casos:
5. Cuando los datos personales sean necesarios para la preparación, celebración y
ejecución de una relación contractual en la que el titular de datos personales sea
parte, o cuando se trate de datos personales que deriven de una relación científica o
profesional del titular y sean necesarios para su desarrollo o cumplimiento."
40. Al respecto, debe señalarse que la obtención del consentimiento no es obligatoria
para casos de tratamientos necesarios para el cumplimiento de las prestaciones
derivadas de un contrato entre el titular de los datos personales y el responsable del
41. En este expediente, debe indicarse la obtención del consentimiento para el
tratamiento de tales datos personales resulta obligatoria en este caso, puesto que la
recopilación tiene como finalidad, como se puede leer en la misma cláusula, la
realización de estudios de mercado y acciones de perfilamiento, las cuales no son
esenciales para la finalidad de la recopilación, que es la oferta de promociones y
descuentos en productos farmacéuticos.
42. De forma previa a analizar el hecho materia de imputación, es necesario señalar
que durante la fiscalización se detectó el uso de la cláusula citada textualmente en el
considerando 3 de esta resolución, la cual fue variada, de acuerdo a lo que la
administrada informó en su comunicación del 17 de abril de 2017, antes de la
notificación de la Resolución Directoral N° 06-2018-JUS/DGTAIPD-DFI.
43. En dicha comunicación, se adjunta la cláusula de solicitud de consentimiento citada
en el considerando 6 de esta resolución, en la cual se hace alusión a los destinatarios
de los datos personales recopilados con la frase "terceros vinculados a nuestra
44. Esta dirección debe señalar que uno de los requisitos de validez de obtención del
consentimiento consistente en conseguirlo de manera informada el consentimiento, es
brindar al titular de los datos personales información referida a, entre otros factores, la
identidad de quienes son o pueden ser sus destinatarios, lo cual implica dar a conocer
la denominación o razón social de los mismos; información debe ser proporcionada de
manera clara, detallada e indubitable al mencionado titular.
45. En este caso, la frase "terceros vinculados a nuestra empresa" resulta ser genérica,
no pudiendo cumplir con informar de forma clara, detallada e indubitable al titular de los
datos, acerca de la identidad de los destinatarios de sus datos personales, incumpliendo
con el requisito de validez señalado.
46. Por lo tanto, la modificación presentada no puede operar como un acto de
subsanación que active la eximente de responsabilidad prevista en el literal f) del
numeral 1 del artículo 255 de la LPAG, pues mantiene la circunstancia infractora de la
versión original; en ese sentido, se inició el procedimiento administrativo sancionador,
imputando la infracción detectada en esta segunda versión.
47. Los descargos de la administrada se basan en los siguientes puntos:
• En el texto de la autorización, sí han cumplido con identificar suficientemente a los
destinatarios de los datos personales a transferir, pues basta para ello con señalar
su categoría o género.
• La imposibilidad de identificar a los futuros destinatarios.
• La autoridad, al requerir que se identifique con denominaciones a los presentes y
futuros destinatarios, estaría estableciendo un doble estándar, considerando que
para la inscripción de los bancos de datos personales, sí acepta la mención genérica
de la categoría de destinatarios.
• Se contraviene el Principio de Predictibilidad, toda vez que en anteriores
fiscalizaciones, no se había observado las autorizaciones dirigidas a sus clientes.
48. Sobre la alegación referida a la suficiencia de la mención de la categoría de los
destinatarios ("terceros vinculados"), es preciso reiterar lo señalado en los
considerandos 43 y 44 de esta resolución, debiendo recalcar que a criterio de esta
dirección, la certeza de la información sobre los destinatarios de los datos personales
reside en la revelación de sus identidades, lo que permite al titular de dichos datos
personales el ejercicio de su derecho de ser informado sobre qué otras entidades van a
realizar el tratamiento de su información.
49. En tal sentido, la no identificación de los destinatarios, implica proporcionar al titular
de los datos personales información incompleta, con lo cual se incumple con el requisito
consistente en informar de forma clara, detallada e indubitable al titular para obtener su
50. En lo que concierne a la imposibilidad de identificar a futuros destinatarios, se debe
señalar que la información sobre los mismos se refiere a quienes estén certeramente
identificados, ya sea que estén recibiendo los datos personales en el presente, o ya
sean parte de un vínculo por el cual van a recibir, en un momento posterior determinado,
los datos personales de los clientes afiliados al programa "Monedero del Ahorro
Mifarma"
51. Respecto del supuesto doble estándar que se manejaría respecto de la información
de los destinatarios, debe precisarse que en el caso de este procedimiento, se trata de
información que al llegar al conocimiento del titular de los datos personales, puede
determinar su voluntad de otorgar o denegar su consentimiento para el tratamiento de
52. Cabe indicar que el proporcionar información de los destinatarios con el fin de
obtener el registro de un banco de datos personales, es un hecho que no se encuentra
relacionado con los requisitos para obtener el consentimiento otorgado por los titulares
de dichos datos, sino que se trata de información general sobre el tratamiento de los
datos ya almacenados en un determinado banco de datos personales, por lo que no se
requiere indicar, para ese efecto, la identidad de los destinatarios, pero sí las categorías
53. En lo concerniente al Principio de Predictibilidad, se debe señalar que el segundo
párrafo del numeral 1.15 del artículo IV este obliga a la administración a realizar
acciones congruentes con las expectativas surgidas de los antecedentes
administrativos, debiendo la autoridad explicitar la razón por la cual se aparta de tal
expectativa surgida de sus actuaciones previas16.
54. Sobre ello, esta dirección tiene en cuenta que existe un procedimiento sancionador
seguido a la administrada en el expediente N° 068-2015-JUS/DGPDP-DS, en el cual se
aplicó, mediante la Resolución Directoral N° 159-2016-JUS/DGPDP-DS, las siguientes
• Doce unidades impositivas tributarias (12 UIT) por efectuar el tratamiento no
proporcional de los datos personales de familiares de trabajadores.
• Siete unidades impositivas tributarias (7 UIT) por no haber inscrito los bancos de
datos personales correspondientes a sus clientes y a sus trabajadores.
55. El presente procedimiento sancionador se centra en una presunta infracción
vinculada con el tratamiento de datos personales efectuado sin haberse obtenido
válidamente el consentimiento de sus titulares, una materia distinta a la de la
fiscalización del anterior expediente.
56. De otro lado, resulta preciso indicar que en los numerales 17, 19 y 20 del artículo
33 de la LPDP17 establecen las funciones de la Autoridad Nacional de Protección de
Datos Personales concerniente a la supervisión del cumplimiento de la normativa de
protección de datos personales, a través de la fiscalizaciones iniciadas de oficio y la
aplicación de sanciones en caso corresponda, que cuentan como facultad a ejercer, más
aún si no existe ningún impedimento o contravención a los principios de la LPAG.
'6 Texto Único Ordenado de la Ley N° 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto
"Artículo IV.- Principios del procedimiento administrativo
El procedimiento administrativo se sustenta fundamentalmente en los siguientes principios, sin perjuicio de la vigencia
de otros principios generales del Derecho Administrativo:
1.15 Principio de predictibilidad o de confianza legítima.- La autoridad administrativa brinda a los administrados o
sus representantes información veraz, completa y confiable sobre cada procedimiento a su cargo, de modo tal que, en
todo momento, el administrado pueda tener una comprensión cierta sobre los requisitos, trámites, duración estimada y
resultados posibles que se podrían obtener.
Las actuaciones de la autoridad administrativa son congruentes con las expectativas legítimas de los administrados
razonablemente generadas por la práctica y los antecedentes administrativos, salvo que por las razones que se expliciten,
por escrito, decida apartarse de ellos.
La autoridad administrativa se somete al ordenamiento jurídico vigente y no puede actuar arbitrariamente. En tal sentido,
la autoridad administrativa no puede variar irrazonable e inmotivadamente la interpretación de las normas aplicables."
'7 Ley N° 29733, Ley de Protección de Datos Personales
"Artículo 33. Funciones de la Autoridad Nacional de Protección de Datos Personales
La Autoridad Nacional de Protección de Datos Personales ejerce las funciones administrativas, orientadoras, normativas,
resolutivas, fiscalizadoras y sancionadoras siguientes:
17. Velar por el cumplimiento de la legislación vinculada con la protección de datos personales y por el respeto de sus
19. Supervisar la sujeción del tratamiento de los datos personales que efectúen el titular y el encargado del banco de
datos personales a las disposiciones técnicas que ella emita y, en caso de contravención, disponer las acciones que
correspondan conforme a ley.
20. Iniciar fiscalizaciones de oficio o por denuncia de parte por presuntos actos contrarios a lo establecido en la presente
Ley y en su reglamento y aplicar las sanciones administrativas correspondientes, sin perjuicio de las medidas cautelares
o correctivas que establezca el reglamento."
,exICA
<G41‘5'
57. Por lo tanto, de acuerdo con la LPDP y el antecedente procedimental señalado, la
actuación de la autoridad en este caso, no es inesperada, puesto que obedece a
funciones establecidas legalmente, ni se encuentra alejada de antecedente alguno,
puesto que en la fiscalización que se realizó anteriormente a la administrada, se incidió
en temas distintos a la obtención del consentimiento.
58. En conclusión, la administrada es responsable por la infracción consistente en no
recabar válidamente el consentimiento para utilizar las datos de los afiliados al programa
"Monedero del Ahorro de Mifarma", de acuerdo con lo tipificado en el literal a. del
numeral 1 del artículo 38 de la LPDP en su redacción anterior al 15 de septiembre de
Sobre las normas sancionadoras a aplicar a los hechos analizados
59. La Tercera Disposición Complementaria Modificatoria del Reglamento del Decreto
Legislativo N° 1353, modificó el artículo 38 de la LPDP que tipificaba las infracciones a
la LPDP y su reglamento, incorporando el artículo 132 al Título VI sobre Infracciones y
Sanciones de dicho reglamento, que en adelante tipifica las infracciones.
60. Por su parte, el artículo 39 de la LPDP establece las sanciones administrativas
calificándolas como leves, graves o muy graves y su imposición va desde una multa de
cero coma cinco (0,5) unidades impositivas tributarias hasta una multa de cien (100)
unidades impositivas tributarias18, sin perjuicio de las medidas correctivas que puedan
determinarse según lo establecido en el artículo 118 del Reglamento de la LPDP19.
"' Ley N° 29733, Ley de Proteccion de Datos Personales
"Articulo 39. Sanciones administrativas
En caso de violación de las normas de esta Ley o de su reglamento, la Autoridad Nacional de Protección de Datos
Personales puede aplicar las siguientes multas:
1. Las infracciones leves son sancionadas con una multa mínima desde cero coma cinco de una unidad impositiva
tributaria (UIT) hasta cinco unidades impositivas tributarias (UIT).
2. Las infracciones graves son sancionadas con multa desde más de cinco unidades impositivas tributarias (U17) hasta
cincuenta unidades impositivas tributarias (UIT).
3. Las infracciones muy graves son sancionadas con multa desde más de cincuenta unidades impositivas tributarias
(UIT) hasta cien unidades impositivas tributarias (UIT),"
"Artículo 118.- Medidas cautelares y correctivas.
Una vez iniciado el procedimiento sancionador, la Dirección de Sanciones podrá disponer, mediante acto motivado, la
adopción de medidas de carácter provisional que aseguren la eficacia de la resolución final que pudiera recaer en el
referido procedimiento, con observancia de las normas aplicables de la Ley IV° 27444, Ley del Procedimiento
61. En el presente caso, siguiendo la excepción del principio de irretroactividad (la
retroactividad benigna), se ha establecido la responsabilidad de la administrada por
haber recabado el consentimiento de sus clientes afiliados al programa "Monedero del
Ahorro de Mifarma" para dar tratamiento a sus datos personales, sin haber obtenido
válidamente su consentimiento por no cumplir con el requisito de informar acerca de la
identidad de los destinatarios en los casos de transferencia de tales datos.
62. Cabe señalar que esta dirección determina el monto de la multa a ser impuesta
tomando en cuenta para su graduación los criterios establecidos en el Principio de
Razonabilidad de la potestad sancionadora, presente en el numeral 3 del artículo 246
de la LPAG. En tal sentido, debe prever que la comisión de la conducta sancionable no
resulte más ventajosa para el infractor que cumplir la norma infringida o asumir la
sanción administrativa, por lo que la sanción deberá ser proporcional al incumplimiento
calificado como infracción, observando para ello los criterios que dicha disposición
señala para su graduación.
63. En el presente caso, se considera como criterios relevantes para graduar la sanción,
El beneficio ilícito resultante por la comisión de la infracción:
No se ha evidenciado beneficio ilícito alguno resultante de la comisión de la infracción.
La probabilidad de detección de las infracciones:
Para detectar la infracción se requirió información a la administrada durante la
fiscalización, a fin de verificar la cláusula con la que se solicitó dicho consentimiento
(que solo es facilitada a los clientes interesados), por lo que la probabilidad de detección
La gravedad del daño al interés público vio bien jurídico protegido:
La infracción detectada afecta el derecho fundamental a la protección de datos
personales, el cual se encuentra reconocido en el artículo 2, numeral 6 de la
Constitución Política del Perú, siendo desarrollado por la LPDP y su reglamento.
En lo concerniente a la infracción relativa a la recopilación de los datos personales de
los clientes afiliados al programa "Monedero del Ahorro de Mifarma" sin haber obtenido
su consentimiento válido, debe señalarse que implica la vulneración de uno de los
principios rectores de la protección de los datos personales, el Principio del
Consentimiento, que a su vez constituye la base de la autodeterminación informativa
que asiste al titular de los datos personales, vale decir, la potestad de decidir qué se
hará con sus datos personales.
El perjuicio económico causado:
No se evidencia un perjuicio económico resultante de la comisión de la infracción.
Asimismo, sin perjuicio de la sanción administrativa que corresponda por una infracción a las disposiciones contenidas
en la Ley y el presente reglamento, se podrán dictar, cuando sea posible, medidas correctivas destinadas a eliminar,
evitar o detener los efectos de las infracciones."
La reincidencia en la comisión de la infracción:
Del mismo modo, se tiene en cuenta que la administrada no es reincidente, ya que no
ha sido sancionado en alguna otra ocasión por la infracción señalada.
Las circunstancias de la comisión de la infracción:
Sobre la infracción a sancionar, debe señalarse que la modificación de la cláusula
mediante la cual se solicita tal consentimiento, citada en el considerando 6 de esta
resolución directoral, no es considerada un acto de subsanación de la infracción
imputada, toda vez que no cumple con identificar a los destinatarios de los datos
personales como la normativa lo requiere. Es preciso indicar también que durante la
instrucción, la administrada no sustentó haber realizado acciones de enmienda que
hagan operar la atenuante de responsabilidad del artículo 126 del Reglamento de la
La existencia o no de intencionalidad en la conducta del infractor:
De lo actuado, se desprende que la administrada tuvo conocimiento de que la cláusula
utilizada no cumplía con el requisito de informar adecuadamente a los clientes del
programa "Monedero del Ahorro Mifarma", por lo que fue objeto de modificación de
forma previa al inicio del procedimiento administrativo sancionador, sin que a través de
esta cumpla con lo requerido respecto de la información, a través del artículo 12 del
Reglamento de la LPDP.
Es preciso señalar que la continuidad en el hecho infractor deriva de una interpretación
errónea del artículo señalado en el párrafo anterior, en la que la administrada persistió,
actuación en la que se evidencia el conocimiento de la situación ilícita, más no la
intención de adoptar una conducta acorde con lo requerido por la normativa.
64. Es pertinente indicar que el rango medio de las sanciones a infracciones leves es
de dos coma setenta y cinco (2.75) unidades impositivas tributarias (UIT) y es razonable
que a partir de allí se apliquen los atenuantes (o agravantes, cuando sea el caso) para
ello se tendrá en cuenta los criterios que permiten graduarla conforme a los argumentos
desarrollados en el considerando 63 de la presente resolución directoral.
Por las consideraciones expuestas y de conformidad con lo dispuesto por la LPDP y su
reglamento, la LPAG, y el Reglamento del Decreto Legislativo N° 1353 que crea la
Autoridad Nacional de Transparencia y Acceso a la Información Pública, fortalece el
aprobado por Decreto Supremo N° 019-2017-JUS;
Artículo 1.- Sancionar a Mifarma S.A.C. con la multa ascendente a cuatro
unidades impositivas tributarias (4 UIT), por recopilar el tratamiento de los datos
personales de sus clientes afiliados al programa "Monedero del Ahorro Mifarma" sin
haber obtenido el consentimiento válidamente; conducta prevista como infracción leve
en el literal a. del numeral 1 del artículo 38 de la LPDP en su redacción anterior al 15 de
septiembre de 2017, esto es, "dar tratamiento a datos personales sin recabar el
consentimiento de sus titulares cuando el mismo sea necesario conforme a lo dispuesto
en esta Ley".
Artículo 2.- Imponer como medida correctiva a Mifarma S.A.C. la exhibición de
la cláusula de consentimiento para el tratamiento de datos personales en el programa
"Monedero del Ahorro Mifarma" debidamente adecuada, informando sobre la identidad
de los destinatarios de los datos personales. Para ello, se otorga el plazo de treinta (30)
días hábiles contados a partir de la notificación que declare consentida o firme la
presente resolución directoral.
Artículo 3.- Informar a Mifarma S.A.C. que el incumplimiento de la medida
correctiva impuesta constituye la comisión de la infracción tipificada como muy grave en
el literal d) del numeral 3 del artículo 132 del Reglamento de la LPDP20.
Artículo 4.- Informar a Mifarma S.A.C. que contra la presente resolución
directoral, de acuerdo con lo indicado en el artículo 216 de la LPAG, proceden los
recursos de reconsideración o apelación dentro de los quince (15) días hábiles
posteriores a su notificación21.
20 Reglamento de la Ley de Protección de Datos Personales, aprobado por Decreto Supremo N° 003-2013-JUS
"TÍTULO VI INFRACCIONES Y SANCIONES
d) No cesar en el indebido tratamiento de datos personales cuando existiese un previo requerimiento de la Autoridad
como resultado de un procedimiento sancionador o de un procedimiento trilateral de tutela"
2i Texto Único Ordenado de la Ley N° 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto
"Artículo 216. Recursos administrativos
216.1 Los recursos administrativos son:
Solo en case que por iey o decreto legislativo se establezca expresamente, cabe la interposición del recurso
administrativo de revisión.
216.2 El término para la interposición de los recursos es de quince (15) días perentorios, y deberán resolverse en el plazo
de treinta (30) días."
Artículo 5.- El pago de la multa será requerido una vez que la resolución que
impone la sanción quede firme. En el requerimiento de pago se le otorgará diez (10)
días hábiles para realizarlo y se entiende que se cumple con pagar la multa impuesta,
si antes de que venza el plazo establecido en el requerimiento de pago, se cancela el
60% de la multa impuesta, de conformidad con lo dispuesto en el artículo 128 del
Reglamento de la LPDP22.
Artículo 6.- Notificar a Mifarma S.A.C. la presente resolución.
WIARiKAL JAN A GONZÁLEZ LUNA
Directora (e) de la Dirección de Protección de
2' Reglamento de la Ley de Protección de Datos Personales, aprobado por Decreto Supremo N° 003-2013-JUS
"Artículo 128.- Incentivos para el pago de la sanción de multa.
Se considerará que el sancionado ha cumplido con pagar la sanción de multa si, antes de vencer el plazo otorgado para
pagar la multa, deposita en la cuenta bancaria determinada por la Dirección General de Protección de Datos Personales
el sesenta por ciento (60%) de su monto. Para que surta efecto dicho beneficio deberá comunicar tal hecho a la Dirección
General de Protección de Datos Personales, adjuntando el comprobante del depósito bancario correspondiente. Luego
de dicho plazo, el pago sólo será admitido por el integro de la multa impuesta."