Protección de Datos Personales en la Actividad de Cobranza Extrajudicial

Transcripción

1 Protección de Datos Personales en la Actividad de Cobranza Extrajudicial MARÍA ADRIANA BÁEZ RICÁRDEZ DIRECTORA GENERAL DE AUTORREGULACIÓN MAYO 25, 2016

2 Algunas cifras.. Primer trimestre de 2016 La CONDUSEF ha recibido más de 5 mil 720 quejas en contra de los Despachos de Cobranza que gestionan la cartera de la instituciones de Banca Múltiple. Lo que equivale al: 30% de lo registrado durante todo el 2015 (18,544).

3 Algunas cifras Fuente: Disponible en:

4 Caso práctico.. Conducta objeto de una denuncia Conducta denunciada: Denunciante se queja de que sus datos personales fueron utilizados para enviar correspondencia a su domicilio particular, requiriendo el pago de un adeudo, sin que el denunciante fuera el deudor. Procedimiento de Verificación Procedimiento de Imposición de Sanciones Presuntas conductas infractoras: a) Dar tratamiento a los datos personales del denunciante en contravención a los principios de la Ley de acuerdo a los principios vulnerados. b) Mantener datos personales inexactos en su base de datos Conductas infractoras: a) No dar a conocer a los titulares el Aviso de Privacidad e informar de las características principales del tratamiento: Multa por más de $500,000 Mantener datos personales inexactos en su base de datos: Multa por más de $600,000.

5 Disposiciones de carácter general aplicables a las entidades financieras en materia de Despachos de Cobranza, CONDUSEF. DOF7 octubre 2014 CUARTA.- Las Entidades Financieras al contratar Despachos de Cobranza, para que realicen gestiones de cobro, negociación o reestructuración de sus créditos, préstamos o financiamientos, serán responsables de que éstos se sujeten a las siguientes condiciones: VIII. Tratar los datos personales de conformidad con lanormativa aplicable enla materia. SEXTA.- Asimismo, en la cesión o venta de cartera se deberá observar lo dispuesto en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares DÉCIMA.- En caso de que las quejas sean por el indebido tratamiento de datos personales, se podrán presentar ante el Instituto Federal de Acceso a la Información y Protección de Datos.

6 Guía para Orientar el Debido Tratamiento de Datos Personales en la Actividad de Cobranza Extrajudicial: Objetivo y Sector objetivo Servir como material didáctico que permita identificar obligaciones en función de los principios rectores dela materia. Dirigida a los responsables y encargados del tratamiento de datos personales en la actividad decobranza Extrajudicial. Desincentivar el tratamiento indebido de la información personal, promoviendo que en la actividad de cobranza extrajudicial se respete la ley. Facilitar a las Entidades Financieras y Despachos de Cobranza, el cumplimiento de las obligaciones legales en materia de PDP Disponible en:

7 Principios en materia de Protección de Datos Personales Licitud Consentimiento Información Calidad Finalidad Lealtad Proporcionalidad Responsabilidad

8 Recomendaciones para cumplir con el Principio de Licitud Conocer la normatividad Conocer la normatividad que aplica a la actividad de cobranza extrajudicial para saber bajo qué condiciones se pueden tratar los datos personales. Capacitación Tomar la capacitación que ofrece el INAI en materia de protección de datos personales y consulte el material que ha desarrollado. Conocer obligaciones del Responsable Conocer las obligaciones que tiene todo Responsable en el tratamiento de datos personales e identificar las prácticas adecuadas para su cumplimiento.

9 Recomendaciones para cumplir con el Principio de Lealtad Obtención datos del deudor Utilizar medios que estén permitidos por la ley para obtener los datos personales. Proteger la privacidad del deudor Asegurarse que la persona con la que se está tratando sea el deudor. No difundir datos personales No difundir datos personales a terceros no autorizados por el Titular.

10 Recomendaciones para cumplir con el Principio de Información Dar a conocer el Aviso de Privacidad (AP) El Responsable deberá dar a conocer al Titular el Aviso de Privacidad previo a la obtención de sus datos personales. (Art. 3, fr. I y 15 LFPDPPP) Contenido Aviso de Privacidad El Aviso de Privacidad correspondiente al crédito que origina la relación jurídica entre el titular y el Responsable, deberá contener como una de las finalidades del tratamiento, lo relativo a la actividad de cobranza. En qué momento dar a conocer AP Los Despachos decobranza queadquieran una cartera vencida, y quese conviertan en responsables del tratamiento, deberán dar a conocer su aviso de privacidad en el primer contacto que tengan con los deudores.

11 Recomendaciones para cumplir con el Principio de Consentimiento Divulgación ilegal El Divulgar datos personales a terceros que no sean los garantes, fiadores, obligados solidarios o representantes legales del deudor, para realizar el cobro sin consentimiento del deudor y en detrimento de su privacidad, constituye una violación al derecho a la protección de datos personales. Transferencias prohibidas No se pueden realizar transferencias de datos personales a terceros no autorizados por los deudores, salvo que se actualicen las excepciones del artículo 37 de la LFPDPPP, como es el caso de las personas que han garantizado la deuda (fiadores). Transferencias legales Si el Responsable obtiene datos personales por medio de una transferencia, para la finalidad de cobranza extrajudicial, deberá verificar que la transferencia se haya realizado conforme a los requisitos de ley.

12 Recomendaciones para cumplir con el Principio de Finalidad

13 Recomendaciones para cumplir con el Principio de Proporcionalidad Realizar esfuerzos razonables para que los datos personales que se recaben, sean los mínimos necesarios de acuerdo con la finalidad del tratamiento. (Art. 13 LFPDPPP) Tratar sólo los datos personales necesarios, adecuados y relevantes para la finalidad que se obtuvieron. (Art. 45 Reglamento LFPDPPP) Realizar esfuerzos razonables para limitar el periodo de tratamiento de los datos personales sensibles, almínimo indispensable. (Art. 13 LFPDPPP) Crear bases de datos con datos personales sensibles sólo cuando: (i) Obedezca a un mandato legal; (ii) se justifique para la seguridad nacional, el orden, la seguridad y la salud públicos, así como derechos de terceros, o (iii) el Responsable lo requiera para finalidades legítimas, concretas y acordes con las actividades o fines explícitos que persiga. (Art. 56 Reglamento LPDPPP)

14 Recomendaciones para cumplir con el Principio de Calidad Obtener los datos de manera directa de los deudores a fin de contar con datos: exactos, actualizados, completos, pertinentes y correctos Mantener los datos actualizados de los deudores, así como los datos de la deuda Instruir a los Despachos de Cobranza que supriman y/o regresen a la Entidad los datos personales de los deudores cuyos asuntos hayan sido retirados por parte de ésta

15 Recomendaciones para cumplir con el Principio de Responsabilidad Supervisión de las actividades realizadas por los Despachos de Cobranza que se contraten Asegurarse de que la recuperación de adeudos a través de los Despachos de Cobranza se apeguen a la Ley en la materia Elaboración de políticas y programas de privacidad obligatorios y exigibles al interior de la Entidad Poner en práctica programas de capacitación, actualización y concientización del personal en materia de protección de datos Instrumentar procedimientos para atender el riesgo para la protección de datos por la implementación de nuevos productos o tecnologías, Vigilar y documentar el desempeño del personal para medir su apego a la normatividad de datos Revisar periódicamente políticas y programas de seguridad para determinar modificaciones o actualizaciones Adoptar esquemas de Autorregulación vinculante

16 Recomendaciones para cumplir Seguridad con el Deber de Herramientas elaboradas por el INAI en materia de cumplimiento al deber de seguridad bit.ly/seguridatosinai

17 Obligaciones que derivan del Deber de Confidencialidad Guardar confidencialidad en cualquier fase del tratamiento de los datos personales, incluso después de finalizar la relación con el Titular (Art. 21 LFPDPPP) Verificar que los encargados guarden confidencialidad de los datos personales que tratan a nombre y por cuenta del Responsable, aún después de concluida la relación con éste

18 Recomendaciones para cumplir con el deber de confidencialidad Evitar divulgar datos personales del deudor, a menos que se encuentren legalmente autorizados. No realizar gestiones de cobro con terceros. No utilizar lenguaje o símbolos en las envolturas que indiquen que se trata de gestiones de Cobranza. Asegurarse de que la persona con quien se esté tratando sea el deudor No revelar información del deudor Evitar visitas o llamadas en el lugar de trabajo del deudor No utilizar medios impresos en lugares públicos que divulguen la información de los deudores Mantener confidencialidad de la información relacionada con los deudores

19 Obligaciones generales que derivan del régimen de transferencias B Obligaciones del Responsable Informar al Titular, a través del Aviso de privacidad, las transferencias a las que se someterán sus datos Limitar las transferencias a lo convenido en el Aviso de privacidad Comunicar a los terceros receptores el Aviso de privacidad y las finalidades del tratamiento Obtener el consentimiento del Titular para las transferencias (Salvo que opere alguna excepción del art. 37 LFPDPPP) Probar que la transferencia se realizó conforme a lo establecido en la ley. Transferencias nacionales: Responsable debe comunicar al tercero, las condiciones en que el titular consintió el tratamiento Transferencias internacionales: Acordar las mismas obligaciones a las que se encuentra sujeto el Responsable que transfiere los datos

20 Obligaciones generales que derivan del régimen de transferencias B Obligaciones del Receptor de los datos personales Tratar los datos personales de acuerdo a lo convenido en el Aviso de Privacidad Limitar el tratamiento de los datos transferidos a las finalidades que justifican las transferencias Asumir las mismas obligaciones que corresponden al Responsable que transfirió los datos Probar que la transferencia se realizó conforme a la ley y demás normativa aplicable

21 Recomendaciones para el régimen de transferencias de datos personales Identificar las transferencias que se vayan a realizar de los datos personales de los deudores, a fin de cumplir en todos los casos con las obligaciones legales Aunque no se necesite consentimiento para las transferencias de datos personales se debe informar a través del AVISO DE PRIVACIDAD Recuerda

22 Principales recomendaciones para los despachos de cobranza extrajudicial

23 Obligaciones que derivan del Deber de Seguridad Establecer medidas de seguridad administrativas, físicas y técnicas (Art. 19 LFPDPPP) Tomar en cuenta el riesgo inherente por el tipo de dato personal (Art. 60 Reglamento LPDPPP) Actualizar las medidas de seguridad (Art. 62 Reglamento LFPDPPP) Notificar a los titulares las vulneraciones a la seguridad (Art. 64 LFPDPPP) Llevar a cabo acciones correctivas (Art. 66 Reglamento LFPDPPP)