Informe anual 2013 en materia de Protección de Datos Personales

Transcripción

1 Fecha 27/01/14 dd/mm/aa Nombre del ente público Corporación Mexicana de Impresión, S.A. de C.V. Ley de Protección de Datos Personales para el Distrito Federal Art El titular del ente público designará al responsable de los sistemas de datos personales, mismo que deberá: III. Elaborar y presentar al Instituto un informe correspondiente sobre las obligaciones previstas en la presente Ley, a más tardar el último día hábil del mes de enero de cada año. La omisión de dicho informe será motivo de responsabilidad; Lineamientos para la Protección de Datos Personales del Distrito Federal 37. El informe a que hace referencia la fracción III del artículo 21 de la Ley deberá contener los siguientes apartados. 38. El servidor público designado como enlace tendrá las siguientes obligaciones: ( ) IV. Remitir el informe a que hace referencia la fracción III del artículo 21 de la Ley. 1

2 I. Número de solicitudes de acceso, rectificación, cancelación y oposición de datos personales presentadas ante el ente público, así como su resultado; ATENDER VÍA SICRESI Esta fracción debe responderse en el Sistema de Captura de Reportes Estadísticos de Solicitudes de información (SICRESI) que el InfoDF habilitó para el ejercicio del derecho de acceso a la Información Pública y solicitudes ARCO, establecido mediante acuerdo 0383/SO/06-04/2011. II. Tiempo de respuesta de la solicitud; ATENDER VÍA SICRESI Esta fracción debe responderse en el Sistema de Captura de Reportes Estadísticos de Solicitudes de información (SICRESI) que el InfoDF habilitó para el ejercicio del derecho de acceso a la información Pública y solicitudes ARCO, establecido mediante acuerdo 0383/SO/06-04/

3 III. El estado que guardan las denuncias presentadas ante los órganos internos de control, así como las vistas dadas por el Instituto: Fracción III El estado que guardan las denuncias presentadas ante los órganos internos de control al 20 de Diciembre de 2013 Fecha inicio Fecha término Expediente Estado Procesal. (Concluida ó en Trámite) Sanción No se han recibido quejas y denuncias ante el Órgano Interno de Control 3

4 Fracción III El estado que guardan las vistas dadas por el InfoDF al 20 de Diciembre de 2013 Fecha inicio No se han recibido vistas del Instituto de Acceso a la Información Pública y Protección de Datos Personales del Distrito Federal ante Corporación Mexicana de Impresión, S.A. de C.V. Fecha término Expediente INFODF Expediente Contraloría Origen de la Vista (Pleno / Incumplimiento) Motivo de la Vista Resolución (SI/) Fecha de Resolución Sentido de la Resolución Oficio de Notificación Recurso Resolución del Recurso Resolución en Firme Estado Procesal. (Concluida ó en Trámite) Sanción Tipo de Sanción Nota: En caso de que algún particular hubiera presentado denuncias ante el Órgano Interno de Control, hacer la mención correspondiente, precisando número de denuncias y hechos denunciados. 4

5 IV. Dificultades observadas en el cumplimiento de la Ley; Fracción IV Dificultades observadas en el cumplimiento de la Ley Falta de personal con conocimientos en los temas que la LPDPDF garantiza. Falta de capacitación en los temas de protección de datos personales al interior del ente público. Falta de recursos, físicos y automatizados para el resguardo y protección de los sistemas de datos personales. Rotación del personal vinculado con los temas de la LPDPDF. El nombramiento del enlace en materia de datos personales recae en una persona con nivel jerárquico necesario para dar cumplimiento a las obligaciones especificadas en el numeral 38 de los Lineamientos para la Protección de Datos Personales para el Distrito Federal. Carece de procedimientos internos para la atención de solicitudes ARCO. Se incluyó información de protección de datos personales en las actas de entrega y recepción? Existen problemas en la publicación en la gaceta oficial del distrito federal de los acuerdos de creación, modificación y supresión establecidos en el artículo 7 de la Ley de Protección de Datos Personales para el Distrito Federal. SÍ - SÍ SÍ SÍ Observaciones, SDP DE RECURSOS HUMAS Y SERVICIOS DE ATENCIÓN MÉDICA SÍ, EN SL SDP DE PROVEEDORES-PERSONAS FÍSICAS, SDP DE RECURSOS HUMAS Y SERVICIOS DE ATENCIÓN MÉDICA SÍ, EN EL SDP DE PROVEEDORES-PERSONAS FÍSICAS, SDP DE RECURSOS HUMAS Y SERVICIOS DE ATENCIÓN MÉDICA SÍ, EN SL SDP DE PROVEEDORES-PERSONAS FÍSICAS 5

6 Fracción IV Dificultades observadas en el cumplimiento de la Ley Confusión sobre el origen, competencia, atribución y resguardo de los datos personales contenidos en los sistemas de datos personales. Dudas en la identificación de datos personales y categorías de los mismos. Dificultad sobre el contenido, finalidad, uso y destino de los sistemas de datos personales. Se realizó auditoría a las medidas de seguridad de los sistemas de datos personales? (En caso de ser afirmativo remitir informe al InfoDF; si ya fue remitido hacer caso omiso) Se solicitó la auditoría al órgano de control interno. El órgano de control interno informó el motivo por el cual no realizaría auditoría. SÍ - N/A Observaciones EN 2013 CORRESPONDIÓ LA AUDITORÍA A LAS MEDIDAS DE SEGURIDAD DE LOS SDP DE COMISA, YA QUE FUE REALIZADA EN 2012, POR LO QUE ES PROCEDENTE EN 2014, DE CONFORMIDAD CON EL NUMERAL 16 FRACCIÓN II, INCISO B) DE LOS LINEAMIENTOS PARA LA PROTECCIÓN DE DATOS PERSONALES EN EL D.F. En caso de ser afirmativo especifique el motivo señalado por el órgano de control interno: Otras especifique: 6

7 V. Descripción de los recursos públicos utilizados en la materia; Cuántas personas fungen como Responsables de los Sistemas de Datos Personales? Cuántas personas fungen como Responsables de Seguridad de los Sistemas de Datos Personales? Cuántas personas fungen como Encargados de los Sistemas de Datos Personales? Los recursos humanos son suficientes? Fracción V Descripción de los recursos públicos utilizados en la materia 3 Cabe señalar que el Responsable del Sistema de Recursos Humanos y el Responsable del Sistema de Servicios de Atención Médica es el mismo servidor público. 3 Cabe señalar que el Responsable de Seguridad del Sistema de Recursos Humanos y el Responsable de Seguridad del Sistema de Servicios de Atención Médica es el mismo servidor público del Sistema de Recursos Humanos, 1 del Sistema de Servicios de Atención Médica y 7 del Sistema de Proveedores-Personas Físicas SÍ para los Sistemas de Recursos Humanos y de Servicios de Atención Médica para el Sistema de Proveedores-Personas Físicas Observaciones: Sistema de Proveedores-Personas Físicas: se requiere de personal para realizar coberturas ante el Enlace del Sistema de Datos Personales Los recursos materiales son suficientes para resguardar los datos personales físicos o automatizados? SÍ Descripción de recursos materiales necesarios para resguardar los datos personales físicos o automatizados. Observaciones: Sistemas de Recursos Humanos: archiveros y Sistema de Información (M201). Sistema de Servicios de Atención Médica: archivos contenidos en el equipo de cómputo 7

8 Descripción de los recursos públicos utilizados en la materia Cuenta con partida especial o asignación presupuestal para cumplir con las obligaciones de la Ley de Protección de Datos Personales para el Distrito Federal? Especificar (Cantidad): Fracción V En caso de no contar, especifique el monto destinado No se establece un monto; sin embargo, se cuenta con la suficiencia para dar cumplimiento a las obligaciones de la Ley de presupuestal para dar cumplimiento a las obligaciones de la LPDPDF. Protección de Datos Personales. VI. Sistemas de datos personales creados, modificados y/o suprimidos; Fracción VI Sistemas de datos personales creados, modificados y ó suprimidos Creados (Denominación del Sistema) Fecha Publicación GODF Modificados (Denominación del Sistema) Fecha Publicación GODF Suprimidos (Denominación del Sistema) Fecha Publicación GODF Sistema de Datos Personales de Recursos Humanos de Corporación Mexicana de Impresión, S.A. de C.V. 06/11/ /12/2013 Sistema de Datos Personales de Servicios de Atención Médica de Corporación Mexicana de Impresión, S.A. de C.V. Sistema de Datos Personales de Proveedores- Personas Físicas de Corporación Mexicana de Impresión, S.A. de C.V. 06/11/ /11/2013 8

9 VII. Acciones desarrolladas para dar cumplimiento a las disposiciones contenidas en la Ley. Realizó acciones internas de capacitación en materia de Protección de Datos Personales: Sí X No Número total de servidores capacitados 14 Nombre de cursos: LEY DE PROTECCIÓN DE DATOS PERSONALES PARA EL DISTRITO FEDERAL A TRAVÉS DEL CEVAT. ASIMISMO, EL INFODF ENTREGÓ A COMISA LAS CONSTANCIAS DE VIGENCIA 2013 DE LOS CERTIFICADOS 100% DE SERVIDORES PÚBLICOS CAPACITADOS EN METRIA DE LEY DE PROTECCIÓN DE DATOS PERSONALES PARA EL DISTRITO FEDERAL, LEY DE TRANSPARENCIA Y ACCESO A LA INFORMACIÓN PÚBLICA DEL DISTRITO FEDERAL Y ÉTICA PÚBLICA. EN CUANTO A LAS ACCIONES DE CAPACITACIÓN FOCALIZADAS EN MATERIA DE DATOS PERSONALES, LA RESPONSABLE DE LA OIP Y A SU VEZ ENLACE DE DATOS PERSONALES CURSÓ LOS 9 MÓDULOS QUE FORMAN PARTE DEL ESQUEMA DE CAPACITACIÓN MODULAR ADOPTADO POR LA DIRECCIÓN DE CAPACITACIÓN Y CULTURA DE LA TRANSPARENCIA DEL INSTITUTO. Desarrolló micrositios orientados a la materia de protección de datos personales: Sí No X Nombre de micrositio o dirección electrónica: Desarrolló materiales de difusión en materia de protección de datos personales. Trípticos Carteles Mensajes telefónicos Dípticos Videos Mensajes de radio Otros (especifique) Organizó eventos en materia de protección de datos personales Cuáles?: Realizó reuniones internas con responsables de sistemas de datos personales al interior de su ente público Cuántas?: Sistemas de Recursos Humanos y Servicios de Atención Médica: Sistema de Proveedores-Personas Físicas: Se realizaron 3 reuniones y por medio de los oficios DG/557/13 y DG/686/13 se le notificó al Director de Comercialización de su responsabilidad como Titular del Sistema de Datos Personaes, así como de las responsabilidades y obligaciones de acuerdo a su cargo administrativo. Desarrolló aplicaciones(apps) vinculadas con los principios de la Ley de Protección de Datos Personales para el Distrito Federal. Sí No Cuál? 9

10 VIII. Cesiones de datos personales efectuadas que deberá detallar: DESTINATARIOS a) Identificación del sistema mediante número de folio otorgado por el Instituto, del ente cedente y del cesionario; b) A quién se realizó la cesión c) Finalidad de la cesión; d) La mención de si se trata de una cesión total o parcial de un sistema de datos personales y, en su caso, las categorias de datos de que se trate; e) Fecha de inicio y término de la cesión y, en su caso, la periodicidad de la misma; f) Medio empleado para realizar la cesión; g) Medidas y niveles de seguridad empleados para la cesión; h) Obligaciones al término del tratamiento; i) El nivel de seguridad aplicado por el cesionario. Cesiones de datos efectuadas que deberá detallar Identificación del sistema mediante número de folio A quién se realizó la otorgado por el cesión InfoDF del ente cedente. Finalidad de la cesión (Motivo) Mención total o parcial de la cesión de un sistema de datos personales y en su caso, las categorías de datos de que se trate Fecha de inicio de la cesión y, en su caso, la periodicidad de la misma Fecha de término de la cesión y, en su caso, la periodicidad de la misma Medidas y niveles Medio empleado para de seguridad realizar la cesión empleados para la (Oficio, electrónico, cesión. (Cifrado, etc.) control de perfiles, registro, etc.) Obligaciones al término del tratamiento Nivel de seguridad aplicado por el cesionario DURANTE EL EJERCICIO 2013 SE REALIZARON CESIONES DE DATOS PERSONALES A DESTINATARIOS RESPECTO DEL SISTEMA DE PROVEEDORES-PERSONAS FÍSICAS DE CORPORACIÓN MEXICANA DE IMPRESIÓN, S.A. DE C.V Instituto Mexicano del Seguro Social Asegurar a los trabajadores al régimen obligatorio previsto en la Ley del Seguro Social, artículo 15, fracciones I y II Nombre, número de afiliación, RFC 01/01/2013 la cesión 31/12/2013 la cesión Electrónico (IDSE, SUA) Registros El tratamiento de datos especificado con el IMSS por tratarse de una obligación patronal Instituto Nacional del Fondo para la Vivienda de los Trabajadores Inscribir a los trabajadores al Instituto, de acuerdo a lo establecido en Nombre, número de 01/01/2013 la cesión los artículos 29 y 31 afiliación, RFC delaleydelinstituto del Fondo para la Vivienda de los Trabajadores. 31/12/2013 la cesión Electrónico (IDSE, SUA) Registros El tratamiento de datos especificado con el Infonavit por tratarse de una obligación patronal Fondo Nacional para el Consumo de los Trabajadores Afiliación del centro de trabajo a efecto de que los trabajadores puedan Nombre, número de ser sujetos del 01/01/2013 la cesión afiliación, RFC, fecha crédito, de acuerdo a de nacimiento lo establecido en el artículo 132 fracción XXVI Bis de la Ley Federal del Trabajo. 31/12/2013 la cesión Informe para autorización del crédito Registros El tratamiento de datos especificado con el Infonacot por tratarse de una obligación patronal 10

11 USUARIOS a) Identificación del sistema mediante número de folio otorgado por el Instituto, del ente cedente y del cesionario; b) A quién se realizó la cesión. c) Finalidad de la cesión; d) La mención de si se trata de una cesión total o parcial de un sistema de datos personales y, en su caso, las categorias de datos de que se trate; e) Fecha de inicio y término de la cesión y, en su caso, la periodicidad de la misma; f) Medio empleado para realizar la cesión; g) Medidas y niveles de seguridad empleados para la cesión; h) Obligaciones al término del tratamiento; i) El nivel de seguridad aplicado por el cesionario. Cesiones de datos efectuadas que deberá detallar Identificación del sistema mediante número de folio A quién se realizó la otorgado por el cesión InfoDF del ente cedente. Finalidad de la cesión (Motivo) Mención total o parcial de la cesión de un sistema de datos personales y en su caso, las categorías de datos de que se trate Fecha de inicio de la cesión y, en su caso, la periodicidad de la misma Fecha de término de la cesión y, en su caso, la periodicidad de la misma Medidas y niveles Medio empleado para de seguridad realizar la cesión empleados para la (Oficio, electrónico, cesión. (Cifrado, etc.) control de perfiles, registro, etc.) Obligaciones al término del tratamiento Nivel de seguridad aplicado por el cesionario APLICAN LAS CESIONES DE DATOS PERSONALES A USUARIOS RESPECTO DEL SISTEMA DE PROVEEDORES-PERSONAS FÍSICAS DE CORPORACIÓN MEXICANA DE IMPRESIÓN, S.A. DE C.V Banco Mercantil del Norte, S.A. Afiliación del centro de trabajo a efecto de que los trabajadores puedan ser sujetos del Nombre, RFC, fecha crédito, de acuerdo a de nacimiento lo establecido en el artículo 132 fracción XXVI Bis de la Ley Federal del Trabajo. 01/01/2013 la cesión 31/12/2013 la cesión Electrónico Registros El tratamiento de datos especificado con el Banco debido a que el contrato data de Aseguradora Interacciones, S.A. de C.V. seguro de vida grupo contratado para asegurar a los trabajadores contra riesgos propios de la operación de vida, con vigencia del 01/02/13 al 31/12/13 Nombre, RFC, fecha de nacimiento 01/02/2013, inicio de la vigencia del contrato 31/12/2013 termino de la vigencia del contrato Electrónico Registros El tratamiento de datos fue durante la vigencia del contrato especificado con la aseguradora. 11

12 Contrato Administrativo Abierto Consolidado Número DA , del servicio de impresión de credenciales para los 20/05/2013, inicio de 31/12/2013 termino DOCUSEC, S.A. de trabajadores del Nombre, RFC, CURP la vigencia del de la vigencia del C.V. Gobierno del Distrito contrato contrato Federal, correspondiente al ejercicio 2013, con vigencia del 20 de mayo de 2013 al 31 de diciembre de Nombre, edad, fecha de nacimiento, Pasantes de Servicio descripción de Social provenientes sintomatologías, 01/02/2013, inicio de 31/01/2014 termino Convenio con la de la Facultad de vacunas, detección la vigencia del de la vigencia del UNAM Medicina de la de enfermedades, convenio convenio UNAM. estado físico o mental de la persona Electrónico Electrónico Registros Registros El tratamiento de datos fue durante la vigencia del contrato El tratamiento de datos se realizará durante la vigencia del convenio especificado con el proveedor. especificado en el convenio. En caso de haber realizado Auditoría a medidas de seguridad o solventar observaciones pendientes en el año, informar por escrito a este Instituto. 12