Manual Básico de Protección de Datos Personales. Cynthia Solís.

Transcripción

1 Manual Básico de Protección de Datos Personales. Cynthia Solís. 6/10/ LEXINFORMATICA ABOGADOS S.C.

2 Introducción El derecho humano a la privacidad no es algo nuevo, quizás un poco desconocido en nuestra latitud, sin embargo la primera referencia data del 10 de diciembre de 1948 en el Artículo 12 de la "Declaración Universal de los Derechos Humanos" adoptada por la Asamblea General de Naciones Unidas que establece que el derecho a la vida privada es un derecho humano: "Nadie será objeto de injerencias arbitrarias en su vida privada, su familia, su correspondencia, ni de ataques a su honra o su reputación. Toda persona tiene derecho a la protección de la ley contra tales injerencias o ataques." Desde los años 70 en Europa, se empezaba poner en entredicho la utilización de cierta información personal; por ejemplo, en Francia, un proyecto gubernamental bastante ambicioso que buscaba identificar a los ciudadanos mediante una cédula única que pudiera además, enlazar toda su información existente en los organismos gubernamentales. Este proyecto, denominado SAFARI, señalaba los peligros que conllevaba la utilización de la informática al momento de crear un archivo como este. Esta inquietud motivó al gobierno a crear una comisión cuyo fin era garantizar que el desarrollo de la informática se realizara respetando siempre la vida privada, así como las libertades individuales y públicas. Así es como en la ley del 6 de enero de 1978 se crea la Comisión Nacional de Informática y Libertades. España, aunque es nuestra referencia más cercana por cuestiones del idioma, es mucho más joven en estos temas, ya que se remonta hasta los años noventa la primera iniciativa en la materia. Como una referencia más cercana, tenemos a países como Argentina y Canadá, cuya legislación data de los años 2000 y 1994 respectivamente, sin embargo son dos legislaciones que tienen características muy diferentes a nuestra ley En el caso de la Ley Argentina, ésta se encuentra en extremo basada en la legislación Europea, por lo tanto se puede decir que es mucho más estricta que la nuestra, sin embargo, ya en materia de aplicación la Dirección Nacional de Protección de Datos Personales que es el organismo encargado de su aplicación no tiene autonomía jurídica sino que depende del poder ejecutivo. Su aplicación es tanto para las bases de datos públicas como privadas que contengan datos personales.

3 Hablando de la legislación de Canadá, la ley aplicable al sector privado data del 1º de enero de El modelo está un poco más adaptado a las necesidades norteamericanas y emite recomendaciones después de sus decisiones. En nuestro país, los antecedentes legislativos se remontan hasta el año de 2009, cuando se reforma el artículo 16 constitucional, para quedar como sigue: Artículo 16. Nadie puede ser molestado en su persona, familia, domicilio, papeles o posesiones, sino en virtud de mandamiento escrito de la autoridad competente, que funde y motive la causa legal del procedimiento. Toda persona tiene derecho a la protección de sus datos personales, al acceso, rectificación y cancelación de los mismos, así como a manifestar su oposición, en los términos que fije la ley, la cual establecerá los supuestos de excepción a los principios que rijan el tratamiento de datos, por razones de seguridad nacional, disposiciones de orden público, seguridad y salud públicas o para proteger los derechos de terceros. ( ) De esta manera se sientan las bases constitucionales para la creación de la Ley Federal de Protección de Datos Personales en Posesión de Particulares que entró en vigor el 6 de julio del año Esta Ley que durante más 10 años estuvo cocinándose en el Poder Legislativo, tiene una composición hibrida pues no es tan estricta como la legislación europea en la materia pero tampoco es tan laxa como la regulación estadounidense. Esta Ley es complemento de la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental de 2002, que es aplicable al ámbito gubernamental y que contiene un capítulo especial dedicado a la protección de datos personales; y como su nombre lo indica es aplicable únicamente a particulares, ya sea personas físicas o morales. El Instituto Federal de Acceso a la Información y Protección de Datos, mejor conocido como IFAI, conjuntamente con la Secretaría de Economía son las autoridades facultadas para hacer cumplir esta ley, la primera como autoridad garante y la segunda como autoridad reguladora El Ejecutivo Federal deberá expedir el reglamento en el mes de julio, el cual fijará los parámetros de cumplimiento de esta ley de manera precisa.

4 Conceptos Básicos Para poder comprender los alcances de esta ley y poder aplicarla correctamente primero debemos entender su naturaleza, su razón de ser y los derechos que tutela, la misma ley nos ofrece un amplio glosario de conceptos que se manejan en la ley, sin embargo, queremos abordar más allá de lo que es un glosario, queremos que el lector comprenda claramente el término, lo haga suyo y lo aterrice en la aplicación de la ley. A continuación desarrollamos los conceptos aplicables en orden de importancia: Dato: El dato hace referencia a un atributo o una representación simbólica (alfabética, gráfica, numérica, etc.) como resultado de una observación, sujeta a determinadas normas o reglas, útil para la interpretación y el procesamiento, bien sea por medios humanos o automatizados. En sí mismo, el dato no tiene significado, por lo cual se requiere su procesamiento o tratamiento para que suministre información que pueda ser utilizada en la realización de cálculos y operaciones aritméticas, en procesos de análisis, planificación, investigación, negociación o para la toma de decisiones en cualquier ámbito. Dato personal: Un dato personal es aquella información que sirva para identificar a un individuo o lo vuelva susceptible de ser identificado. Por ejemplo: El nombre y los apellidos, la fecha de nacimiento, la dirección postal o de correo electrónico, el número de teléfono, la matrícula del coche y muchos otros datos que usamos a diario que constituyen información valiosa. Datos personales sensibles: Existe una subcategoría dentro de la ley que corresponde a los llamados datos personales sensibles, se llaman así porque afectan a la esfera más íntima de individuo y que de divulgarse de manera indiscriminada podría dar origen a algún tipo de discriminación, por ejemplo: preferencias sexuales, orientación política y/o religiosa, estado de salud, etc. Se le da un peso específico a este tipo de datos por lo delicado de su tratamiento, hay una enorme diferencia entre querer divulgar nuestro nombre a decir que tenemos una enfermedad terminal y corresponde únicamente a su titular el decidir su difusión Tratamiento: Este es un concepto muy importante, sobre todo porque es el que da sentido a esta ley, que lo que pretende regular es un tratamiento legítimo, controlado e informado. Por tratamiento entendemos la obtención, uso, divulgación o almacenamiento de datos personales, por cualquier medio. El uso abarca cualquier acción de acceso, manejo, aprovechamiento, transferencia o disposición de datos personales.

5 Como podemos observar, el concepto comprende una amplia gama de acciones que se llevan a cabo con los datos personales. A continuación veremos una lista de personas implicadas en el tratamiento de los datos Titular: Persona física a la que pertenecen los datos que se pretenden obtener (las personas morales no tienen datos personales, pero los miembros de las mismas sí). Responsable: Aquella persona física o moral que pretende llevar a cabo el tratamiento de los datos personales, ya sea por cuenta propia o de terceros. Encargado: Persona física o moral a la que fue encomendada la tarea del tratamiento de los datos por cuenta del responsable, recordemos que esta persona puede ser parte de la empresa en caso de ser una persona moral o bien, ser ajeno a la empresa pero asignado expresamente a esta misión. Recordemos que este encargado puede ser una sola persona o un equipo de personas, más adelante retomaremos el concepto. Así pues, el tratamiento de datos conlleva forzosamente alguno de estos dos esquemas: Titular Responsable Fig.1 Titular Responsable Encargado Fig

6 Cabe aclarar que existe una figura que aunque no siempre tiene que aparecer en el juego es importante mencionar, y esta figura es un tercero que eventualmente también efectuará el tratamiento de los datos y éste puede ser persona física o moral, nacional o extranjera, en todo caso siempre deberá estar perfectamente identificado por el titular. Consentimiento: Según el diccionario de la Real Academia de la lengua española, una de las acepciones de consentimiento y la que nos compete en esta ocasión es: la manifestación de voluntad, expresa o tácita, por la cual un sujeto se vincula jurídicamente. Nos enfrentamos ante uno de los conceptos más fundamentales de esta ley, por la simple razón de que es la condición básica para el acceso a la información, que el titular consienta que el responsable tenga acceso a la información para su respectivo tratamiento y que en algunos casos también será tratada por el encargado. Por otra parte y retomando la misma definición, la ley también prevé que el consentimiento puede ser tácito o expreso, señalando en casos se permite lo primero y se exige lo segundo. Aviso de privacidad: Hemos tocado el término consentimiento pero ahora es momento de hablar de aquél documento físico o electrónico o en cualquier otro formato, que será puesto a disposición del titular previo al tratamiento de los datos y que informará ciertos elementos muy específicos a éste, para que determine si otorga o no, su consentimiento para efectuar el tratamiento de sus datos personales y en los términos y alcances en que se dará el mismo. Ley Federal de Protección de Datos Personales en Posesión de Particulares Llega el momento de desmenuzar esta ley, entró en vigor el 6 de julio de 2010 y a la fecha ha logrado inquietar a muchos y permanece desconocida para otros, se han generado diversos mitos entorno a ella, a su aplicabilidad, a las sanciones que implica, las altas multas y los delitos previstos en ella. Comencemos por resolver las dudas más comunes que han salido a la luz.

7 Proporcionalidad y Responsabilidad Finalidad Lealtad Consentimiento Información Calidad Licitud Principios rectores Algo muy importante que debemos comprender pues son la esencia de esta ley, son los principios rectores sobre los que reposa, y estos son: Aplicabilidad Uno de los grandes mitos que cubren a esta ley es precisamente saber exactamente a quién le aplica, al respecto la ley es muy clara, pero a veces su interpretación no lo es tanto El artículo 2do de la ley nos indica que los sujetos regulados son personas físicas o morales que efectúen tratamiento de datos, y también establece que existen dos excepciones, la primera es a las Sociedades de Información Crediticia, puesto que cuentan con su propia legislación reguladora y la segunda que se refiere a las personas que utilicen la información obtenida para un fin exclusivamente personal, y sin fines de divulgación o utilización comercial. Por lo tanto, si analizamos las exclusiones, son muy claras y liberan de su aplicación a una sólo pequeña parte de la población.

8 Derechos de acceso, rectificación y oposición Los derechos que aquí se enuncian, deben ser garantizados al titular por parte del responsable del tratamiento y estar disponibles en todo momento, por ello se habla de que en todo momento debe existir un correcto canal de comunicación entre el responsable y el titular y en ocasiones el encargado también. La intención es que la persona a la que pertenecen los datos personales se encuentre notificada del estatus que guarda su información y que cuando considere pertinente pueda tener acceso a ella, solicitar su rectificación o cancelación bien, oponerse al tratamiento de la misma. Aviso de Privacidad El tan popular y tan incomprendido aviso de privacidad es nuestra puerta de entrada al tratamiento de la información personal, es el documento mediante el cual informamos al titular de lo que haremos con su información y por qué, es decir que la información requerida debe ser proporcional al fin que persigue. Asimismo se debe incluir en éste la información de los terceros que eventualmente tendrán acceso a la información y los mecanismos de comunicación mediante los cuales las partes podrán permanecer en constante comunicación. Un aviso de privacidad debe contener por ley, al menos los siguientes elementos: Aviso de Privacidad Identidad y domicilio del Responsable Finalidad Medios para limitar el uso o la divulgación Medios para ejercer los derechos ARCO Transferencia de datos (si aplica) Medios de contacto para notificación de cambios

9 Es importante recordar que estos requisitos son el mínimo permitido pero que podemos incluir muchos más, algo fundamental en el aviso de privacidad es que sea lo suficientemente claro y preciso pero que a su vez sea suficientemente amplio, respetando desde luego la proporcionalidad de la información solicitada con nuestra actividad. Otro punto importante es el consentimiento, ya que para el caso de datos financieros o sensibles, éste debe ser expreso, mientras que sólo para datos personales basta con que el titular no se oponga o manifieste en contra para que se presuma el consentimiento tácito. El rol del CPO Cuando mencionamos las siglas C.P.O. nos referimos al Chief Privacy Officer, o el encargado de la información; recordemos que no sólo puede ser una persona la que lleve a cabo esta tarea, sino un equipo multidisciplinario que es lo que recomendamos, muchas empresas pensarán enseguida en el jefe de sistemas o en el experto en seguridad informática, sin embargo, nosotros recomendamos que sea un equipo de trabajo en el que al menos se encuentre una persona del área de sistemas, el encargado del jurídico de la empresa y alguna persona de recursos humanos o personal administrativo. Lo anterior porque la ley misma nos habla de que las medidas con las que debemos asegurar los datos personales deben ser tanto físicas, como técnicas y administrativas, y proporcionales a la calidad de los datos que manejamos. No es lo mismo resguardar información de salud o datos financieros, por ejemplo, que una base de datos de correos electrónicos. Flujo de información Uno de los aspectos más relevantes es el control del flujo de la información, entre mejor lo tengamos identificado y restringido, menor será el costo que tengamos que invertir en otro tipo de herramientas, entre ellas el conjunto de soluciones informáticas incluyendo hardware y software que a veces preocupa mucho a las empresas por llegar a ser demasiado costosos, no estoy diciendo con esto que no sean necesarios y recomendables, lo son y mucho, pero un buen control de la información puede ayudarnos a reducir los costos.

10 Un esquema de flujo de información ideal sería el siguiente: Titular Responsable Tercero (si aplica) Encargado Estableciendo roles en el equipo de trabajo no tendría en teoría que existir una fuga de información, pero en caso de que así sea, gracias a un esquema de flujo de la misma, nos será más sencillo identificar el eslabón que se rompió para que esto sucediera