Las consecuencias del incumplimiento de las leyes y reglamentos sobre sanciones aplicables. Déjenme decirles esto de inmediato, las violaciones de las sanciones son probablemente una de las peores cosas que se pueden tener como organización.

Las consecuencias del incumplimiento

El incumplimiento, en el fondo, puede dar lugar a sanciones civiles y penales, incluso a la cárcel. La ONU y la UE dependen de sus miembros para aplicar los regímenes de sanciones. Estados Unidos es más conocido por su aplicación de sanciones y las multas resultantes, por lo que en esta lección hablaremos en primer lugar de las violaciones de las sanciones estadounidenses. Sin embargo, otros países han comenzado a imponer sanciones más severas por las violaciones de las sanciones.

Oficina de Control de Activos Extranjeros (OFAC)

Así pues, en Estados Unidos, la OFAC utiliza sus directrices de aplicación como método para determinar si se merece una investigación adicional, si debe haber una sanción civil y, en caso afirmativo, cuál debe ser el importe de la sanción civil. A la hora de determinar si se inicia un procedimiento de ejecución civil, la OFAC tiene en cuenta factores tales como «si la infracción implicó una conducta deliberada o temeraria, el daño que la infracción causó a los objetivos del programa de sanciones y las características individuales del infractor».38 Estas características pueden incluir si el infractor tiene un programa de cumplimiento de sanciones, el grado de sofisticación del programa y qué medidas correctoras se adoptaron, en su caso, para abordar el problema y evitar que se repita.

Otra consideración es si la entidad ha revelado voluntariamente la posible infracción. Si una empresa determina que ha infringido las sanciones de la OFAC, puede presentar una autodeclaración voluntaria, adoptando la postura de que la infracción sólo constituye una infracción civil y no una infracción penal. Sin embargo, una empresa puede presentar una autodeclaración voluntaria, y la OFAC puede no estar de acuerdo con su presentación o con la naturaleza de la infracción.

Sin embargo, si se trata de un caso atroz, lo que significa que la actividad fue intencionada o temeraria o que la entidad era consciente de la conducta, éste será otro factor que se tendrá en cuenta.

Respuesta a una infracción

En respuesta a una infracción, la OFAC puede no tomar ninguna medida o puede tomar una serie de medidas, incluyendo la emisión de una amonestación, la imposición de una sanción monetaria civil o incluso la remisión del caso para su enjuiciamiento penal.

La OFAC también tiene un calendario para administrar las multas en función de las transacciones, y hay una cierta variación en función del programa concreto. Por ejemplo, en virtud de la Ley Kingpin, la pena máxima es de 1 millón de dólares estadounidenses por infracción. La gravedad (o el importe) de la multa está directamente correlacionada con el valor de la transacción. Cuanto mayor sea el valor de la transacción, mayor será la multa.

Otras consideraciones para mitigar las posibles sanciones son si la entidad cooperó con la investigación de la OFAC, si la dirección estuvo implicada en la infracción y si la entidad cuenta con un sólido programa de cumplimiento.

Consecuencias legales

Para reducir el riesgo de una brecha de seguridad, las empresas están obligadas por ley a seguir las normas de privacidad y protección de datos. Cualquier incumplimiento tendrá las consecuencias legales que se indican a continuación.

• Multas y sanciones: Las organizaciones que infringen las normas de privacidad pueden enfrentarse a multas y sanciones impuestas por los organismos reguladores que las rigen. Estas multas pueden variar en función de la gravedad de la infracción y del organismo regulador encargado del asunto. Las multas del GDPR, por ejemplo, pueden costar a una organización hasta el 4% de sus ingresos.
• Demandas judiciales: Cuando se produce una violación de datos como resultado del incumplimiento, las consecuencias van más allá de las multas y sanciones. Los clientes, los empleados, los proveedores y otras partes interesadas se ven afectados por una violación de datos. Existe una gran posibilidad de que estas partes afectadas decidan emprender acciones legales y presentar una demanda.
• Escrutinio normativo: Recuperarse de una brecha de seguridad causada por un incumplimiento no es una tarea fácil. Incluso después de pagar las multas y sanciones, las empresas pueden enfrentarse a costosas auditorías reglamentarias durante años.
• Encarcelamiento: Las normas reguladoras exigen a las organizaciones que tomen las medidas necesarias para proteger los datos de sus clientes. En los casos más graves de incumplimiento, los propietarios, directores y ejecutivos de una empresa pueden enfrentarse a penas de prisión por negligencia criminal.

Reflexiones finales

Normalmente, el cumplimiento comienza con la creación de políticas apropiadas que rigen los datos y otras medidas de seguridad. Al aplicar estos controles, puede reducir una serie de riesgos para su infraestructura de TI. Además, el cumplimiento no es una tarea de una sola vez. Las organizaciones deben revisar constantemente las normas reglamentarias que rigen sus operaciones y colmar las lagunas de cumplimiento. Con un fuerte compromiso con el cumplimiento de la normativa, no sólo puede evitar multas y sanciones, sino también mejorar la postura de seguridad general de su organización.