Asesoramiento de expertos

Infracciones del RGPD con consecuencias penales en Polonia

09.09.2026

Una infracción del RGPD supone el incumplimiento de las normas que regulan el tratamiento lícito, la seguridad, la conservación, la divulgación o el uso de datos personales. En Polonia, la mayoría de las infracciones dan lugar a procedimientos administrativos ante el presidente de la Oficina de Protección de Datos Personales (UODO). No obstante, determinados actos intencionados o no autorizados también pueden constituir un delito. Esta distinción es importante para las empresas, ya que un único incidente de protección de datos puede generar, simultáneamente, riesgos regulatorios, civiles, penales y reputacionales.

Por tanto, el marco de las sanciones penales por infracciones del RGPD en Polonia no se encuentra únicamente en el RGPD. El Reglamento establece sanciones administrativas y exige a los Estados miembros prever sanciones efectivas. Las consecuencias penales en Polonia están reguladas principalmente por la Ley de 10 de mayo de 2018 sobre Protección de Datos Personales y, según la conducta concreta, por el Código Penal polaco.[1][2]

Multas administrativas del RGPD frente a responsabilidad penal en Polonia

No toda infracción de protección de datos constituye un delito por filtración de datos. Una empresa puede incumplir el RGPD al no proporcionar cláusulas informativas adecuadas, conservar los datos durante más tiempo del necesario, utilizar una base jurídica incorrecta o no celebrar un contrato con un encargado del tratamiento. Estos casos pueden dar lugar a medidas correctivas, una orden para modificar las prácticas de tratamiento, una amonestación o una multa administrativa.

Con arreglo al artículo 83 del RGPD, las multas pueden alcanzar los 20 millones de euros o el 4 % del volumen de negocio total anual global de la empresa correspondiente al ejercicio financiero anterior, optándose por la cuantía más elevada. El umbral aplicable depende del tipo de infracción. La UODO debe valorar, entre otros factores, la naturaleza, gravedad, duración y carácter intencionado de la infracción, las medidas adoptadas para mitigar sus efectos, las infracciones anteriores y el grado de cooperación con la autoridad.[1]

Por regla general, la responsabilidad penal requiere algo más que una deficiencia procedimental u organizativa. La cuestión esencial es determinar si los datos personales fueron tratados sin autorización o si la conducta implicó acceso ilícito, interferencia en sistemas, divulgación, fraude u otro acto prohibido.

Delito de tratamiento ilícito de datos personales

El artículo 107 de la Ley polaca de Protección de Datos Personales establece el principal delito directamente relacionado con el tratamiento ilícito de datos. Una persona que trate datos personales sin estar autorizada para ello, o cuando el tratamiento no esté permitido, puede enfrentarse a una multa, una pena de limitación de libertad o una pena de prisión de hasta dos años.[2]

La pena se agrava cuando el tratamiento ilícito afecta a categorías especiales de datos personales, incluidos los datos que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos, los datos biométricos utilizados para la identificación, los datos relativos a la salud o los datos relativos a la vida sexual o la orientación sexual. En estos casos, la pena de prisión puede alcanzar los tres años.[2]

El artículo 107 se refiere a personas físicas. En el contexto empresarial, el riesgo potencial puede afectar a un empleado, directivo, administrador de TI, contratista u otra persona que haya actuado sin autorización. La responsabilidad personal de un miembro del consejo de administración dependerá de los hechos concretos, incluidos su conocimiento, facultades de decisión, intención y ámbito de sus funciones.

Cuándo una brecha de datos puede convertirse en un ciberdelito

Una violación de la seguridad de los datos personales es un incidente de seguridad que ocasiona la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a dichos datos. No implica automáticamente que se haya cometido un delito. Por ejemplo, un correo electrónico enviado al destinatario equivocado puede constituir un incidente notificable conforme al RGPD, pero puede no reunir los elementos de un delito.

La exposición a responsabilidad penal es más probable cuando el incidente deriva de una conducta deliberada. Entre las disposiciones relevantes del Código Penal pueden incluirse:

Artículo 267: acceso ilícito a información, incluido el quebrantamiento o la elusión de protecciones electrónicas, magnéticas, informáticas u otras medidas especiales de seguridad;
Artículo 268: destrucción, daño, eliminación o alteración de información, o la imposibilidad de acceder a ella;
Artículo 268a: interferencia en datos informáticos, incluida la obstaculización significativa del tratamiento, la recopilación o la transmisión automatizados de datos;
Artículo 269a: interferencia en un sistema o red informáticos que cause una obstaculización considerable de su funcionamiento.

Estas disposiciones son especialmente relevantes en casos de ransomware, robo de credenciales, extracción interna de datos, acceso no autorizado a bases de datos y sabotaje. Puede encontrar más información sobre el contexto práctico del derecho penal aplicable a los incidentes digitales en la descripción de la práctica de ciberdelincuencia de KKZ.

Tres excepciones al ámbito de aplicación del RGPD relevantes para evaluar el riesgo penal

Antes de evaluar un incumplimiento del RGPD, debe verificarse el ámbito de aplicación del Reglamento. El artículo 2 del RGPD contiene excepciones que pueden afectar a la aplicabilidad de las obligaciones previstas en él. Tres ejemplos prácticos son especialmente relevantes:

El tratamiento realizado por una persona física en el ejercicio de una actividad exclusivamente personal o doméstica queda fuera del ámbito de aplicación del RGPD.
El tratamiento realizado por autoridades competentes para la prevención, investigación, detección o enjuiciamiento de infracciones penales se rige, por lo general, por el régimen independiente de protección de datos aplicable a las autoridades policiales y judiciales.
El tratamiento realizado en el marco de actividades que queden fuera del ámbito de aplicación del Derecho de la Unión está excluido del RGPD.

Estas excepciones no eliminan automáticamente el riesgo penal. El acceso no autorizado a los datos de otra persona, la divulgación de información confidencial o la interferencia en un sistema pueden seguir siendo objeto de valoración conforme al Código Penal u otra legislación. La calificación jurídica depende de la fuente de los datos, la finalidad de la conducta, el modo de acceso y el daño resultante.

Consecuencias empresariales ante la sospecha de un delito por filtración de datos

Una empresa que se enfrente a la sospecha de un delito relacionado con una brecha de datos debe actuar con rapidez, pero también con cautela. Las comunicaciones internas descontroladas, la alteración de registros o las acusaciones prematuras contra empleados pueden perjudicar las pruebas y aumentar el riesgo jurídico. Las primeras actuaciones deben centrarse en detener el incidente, preservar las pruebas y esclarecer los hechos.

Una respuesta estructurada suele incluir:

proteger los sistemas, cuentas, dispositivos y registros de acceso afectados;
identificar las categorías y el volumen de datos personales implicados;
evaluar si el incidente supone un riesgo para los derechos y libertades de las personas;
considerar la notificación a la UODO en un plazo de 72 horas conforme al artículo 33 del RGPD;
considerar la comunicación a las personas afectadas conforme al artículo 34 del RGPD;
evaluar si está justificada la notificación a las autoridades policiales o judiciales;
documentar las decisiones, la preservación de pruebas y las medidas correctoras.

El plazo de 72 horas previsto por el RGPD se aplica cuando sea probable que una violación de la seguridad de los datos personales entrañe un riesgo para los derechos y libertades de las personas físicas. No constituye una obligación automática para todos los incidentes técnicos. Por ello, es fundamental realizar una evaluación documentada. Si es improbable que la violación genere dicho riesgo, puede no ser necesario notificarla a la UODO, aunque el responsable del tratamiento deberá documentar igualmente la violación.[1]

Responsabilidad de la dirección e investigaciones internas

Los incidentes de protección de datos suelen revelar deficiencias más amplias de gobernanza: permisos excesivos, ausencia de procedimientos de baja de empleados, controles insuficientes sobre proveedores, formación inadecuada o supervisión ineficaz. Estas deficiencias pueden aumentar la probabilidad de una sanción administrativa y dificultar la defensa de que la empresa aplicó medidas técnicas y organizativas adecuadas conforme al artículo 32 del RGPD.

La revisión forense debe diferenciar los hechos confirmados de las suposiciones. Debe determinar quién accedió a los datos, cuándo se produjo el acceso, qué información se copió o divulgó, si los datos salieron de la organización y si la conducta fue intencionada. Cuando una investigación interna indique una posible conducta delictiva, desde el principio deben considerarse el secreto profesional, los derechos de los empleados, las obligaciones de denuncia interna y las normas de gestión de pruebas.

Kopeć & Zaborowski (KKZ) presta apoyo a empresas en la evaluación penal de incidentes cibernéticos, investigaciones internas, respuesta regulatoria y comunicación de crisis cuando una infracción de protección de datos puede tener consecuencias penales.

Este material tiene carácter informativo y no constituye asesoramiento jurídico. Cada evaluación depende de las circunstancias fácticas, incluida la naturaleza de los datos, el alcance del acceso y la conducta de las personas implicadas.

Cuando el asunto también afecte a acusaciones penales relacionadas con el tratamiento de datos personales, puede ser conveniente consultar el caso con un abogado y obtener una evaluación de la situación. Una consulta temprana puede ayudar a identificar posibles actuaciones procesales y riesgos relacionados con las pruebas.

Preguntas frecuentes – Infracciones del RGPD con consecuencias penales en Polonia

¿Puede una infracción del RGPD conllevar pena de prisión en Polonia?

Sí. Conforme al artículo 107 de la Ley polaca de Protección de Datos Personales, el tratamiento ilícito de datos personales puede castigarse con una pena de prisión de hasta dos años, o de hasta tres años cuando estén implicadas categorías especiales de datos personales.[2]

¿Toda violación de la seguridad de los datos personales constituye un delito?

No. Una violación puede derivarse de un error, negligencia o fallo técnico. La responsabilidad penal exige que se cumplan los elementos de un delito específico, como el tratamiento ilícito, el acceso no autorizado o la interferencia en datos informáticos.

¿La UODO impone sanciones penales?

No. La UODO impone medidas administrativas y multas. La responsabilidad penal se evalúa en procedimientos penales por las autoridades policiales y judiciales y los tribunales.

¿Debe notificarse toda brecha de datos a la UODO en un plazo de 72 horas?

No. La notificación es obligatoria cuando sea probable que la violación entrañe un riesgo para los derechos y libertades de las personas físicas. No obstante, el responsable del tratamiento debe documentar la evaluación de cada violación.[1]

¿Puede un empleado incurrir en responsabilidad penal por copiar datos de clientes?

Potencialmente, sí. La responsabilidad dependerá de si el empleado estaba autorizado a acceder y utilizar los datos, de la finalidad de la copia, de la naturaleza del uso posterior y de otras circunstancias fácticas.

¿Puede una empresa ser penalmente responsable de una infracción de protección de datos?

Los delitos se atribuyen, por regla general, a personas físicas. Una entidad colectiva puede enfrentarse a consecuencias independientes conforme a la Ley sobre Responsabilidad de las Entidades Colectivas por Actos Prohibidos Bajo Pena, siempre que se cumplan las condiciones legales.[3]