Infracciones— Causales. 1. Serán causas de responsabilidad y sanción por incumplimiento de las obligaciones establecidas en la materia de la presente Ley, las siguientes: 45 I. Actuar con negligencia, dolo o mala fe durante la sustanciación de las solicitudes para el ejercicio de los derechos ARCO o de la portabilidad de los datos personales;
II. Incumplir los plazos de atención previstos en la presente Ley para responder las solicitudes para el ejercicio de los derechos ARCO o para hacer efectivo el derecho de que se trate;
III. Ampliar con dolo los plazos previstos en la presente Ley para responder las solicitudes para el ejercicio de los derechos ARCO o la portabilidad de los datos personales;
IV. Usar, sustraer, divulgar, ocultar, alterar, mutilar, destruir o inutilizar, total o parcialmente y de manera indebida datos personales, que se encuentren bajo su custodia o a los cuales tengan acceso o conocimiento con motivo de su empleo, cargo o comisión;
V. Dar tratamiento, de manera intencional, a los datos personales en contravención a los principios y deberes establecidos en la presente Ley;
VI. Mantener los datos personales inexactos cuando resulte imputable al responsable;
VII. No efectuar la rectificación, cancelación u oposición al tratamiento de los datos personales que legalmente proceda, cuando resulten afectados los derechos de los titulares;
VIII. No contar con el aviso de privacidad, o bien, omitir en el mismo alguno de los elementos a que refieren los artículos 21, 22 y 23 de la presente Ley, según sea el caso, y demás disposiciones aplicables;
IX. Clasificar, con dolo o negligencia, datos personales sin que se cumplan las características señaladas en Ley de Transparencia. La sanción sólo procederá cuando exista una resolución previa, que haya quedado firme, respecto del criterio de clasificación de los datos personales;
X. Incumplir el deber de confidencialidad establecido en el artículo 44 de la presente Ley;
XI. No establecer las medidas de seguridad en los términos que establecen los artículos 30, 31, 32, 33, 34, 35 y 36 de la presente Ley;
XII. Presentar vulneraciones a los datos personales por la falta de implementación de medidas de seguridad según los artículos 30, 31, 37, 42 y 43 de la presente Ley;
XIII. Llevar a cabo la transferencia de datos personales, en contravención a lo previsto en la presente Ley;
XIV. Obstruir los actos de verificación de la autoridad;
XV. Crear bases de datos personales en contravención a lo dispuesto por la presente Ley;
XVI. No acatar las resoluciones emitidas por el Instituto;
XVII. Aplicar medidas compensatorias en contravención de los criterios que tales fines establezca el Sistema Nacional;
XVIII. Declarar dolosamente la inexistencia de datos personales cuando éstos existan total o parcialmente en los archivos del responsable;
XIX. No atender las medidas cautelares establecidas por el Instituto;
XX. Tratar los datos personales de manera que afecte o impida el ejercicio de los derechos fundamentales previstos en la Constitución Política de los Estados Unidos Mexicanos;
XXI. No cumplir con las disposiciones previstas en los artículos 65, 66, 68 y 69, de la presente Ley; 46 XXII. No presentar ante el Instituto la evaluación de impacto a la protección de datos personales en aquellos casos en que resulte obligatoria, de conformidad con lo previsto en la presente Ley y demás normativa aplicable;
XXIII. Realizar actos para intimidar o inhibir a los titulares en el ejercicio de los derechos ARCO; y XXIV. Omitir la entrega del informe anual a que se refiere el artículo 44, fracción VII de la Ley General de Transparencia y Acceso a la Información Pública, o bien, de manera extemporánea. 2. Las causas de responsabilidad previstas en las fracciones I, IV, V, IX XII, XIII, XIV XVI, XVIII XX y XXI, así como la reincidencia en las conductas previstas en el resto de las fracciones de este artículo, serán consideradas como graves para efectos de su sanción administrativa. 3. Las sanciones de carácter económico no podrán ser cubiertas con recursos públicos.