Compartiendo Experiencias en la Implementación de la Ley de Protección de Datos

Transcripción

1 Compartiendo Experiencias en la Implementación de la Ley de Protección de Datos Verónica Ramírez General Motors de México, S. de R.L. de C.V. Chief Privacy Officer Junio 28,

2 Objetivo de la Presentación Compartir con ustedes algunas de las fases más importantes en la implementación de la Ley de Protección de Datos en General Motors de México 22

3 Objetivo de GMM Implementar la Ley de Protección de Datos Personales en GMM: con un bajo costo, utilizando preferentemente los mismos recursos humanos y sin grandes cargas administrativas para sus empleados. 3

4 I.- Implementación del Proyecto de Privacidad en GMM 4

5 General Motors de México El primer paso fue sensibilizar internamente a GMM sobre la importancia del cumplimiento de la Ley y solicitar a cada Area que designara a un representante para la implementación del proyecto. 5

6 Equipo de Privacidad El segundo paso dentro de la implementación de la Ley de Protección de Datos fue: Creación del Equipo de Privacidad (Privacy Core Team) y la designación de sus miembros, el cual incluye a los siguientes Departamentos: Legal Recursos Humanos Ventas, Servicio y Mercadotecnia Información y Tecnología Designación de miembros de Soporte al Equipo de Privacidad (Extended Privacy Team) de las siguientes áreas: Compras Centro de Atención al Cliente (Call Center) Relaciones Públicas Control Interno (Auditoría) Cada miembro tiene un rol definido y responsabilidades específicas 6

7 Inventario de Datos Personales y Datos Personales Sensibles El tercer paso en la implementación de la Ley de Protección de Datos fue la creación de un inventario y consolidación de la información. Los pasos a seguir fueron: 1. Desarrollar un formato estándar para saber: Qué Datos Personales y Datos Personales Sensibles son tratados por GMM? Dónde se obtienen? Con qué finalidades se obtienen, usan, transfieren, tratan? Dónde se almacenan? Son transferidos al extranjero? 2. Distribuir el formato a toda la organización 3. Entrenar a los diferentes departamentos de GMM en cuanto a los conceptos básicos de protección de datos personales, a fin de que pudieran llenar el formato 4. Consolidar toda la información en un solo formato 7

8 Calendario de Actividades El cuarto paso fue la creación de un calendario de actividades, con tiempos y responsables para laimplementación del proyecto. El Equipo de Privacidad identificó 2 grandes actividades y respecto de las cuales había que crear una estrategia: Estrategia de Privacidad para Recursos Humanos Estrategia de Privacidad para Consumidores y Clientes Potenciales 8

9 Estrategia de Privacidad El quinto paso fue llevar a cabo la implementación de la Ley de Protección de Datos Personales, la cual fue dividida de la siguiente forma: 1. Estrategia de Privacidad para Recursos Humanos: I. Desarrollar Avisos de Privacidad para empleados, empleados asignados en el extranjero y aspirantes. II. Desarrollar procesos para que los empleados, empleados asignados y aspirantes puedan ejercer sus derechos ARCO. III. Implementar medidas de seguridad para proteger los Datos Personales y Datos Personales Sensibles. IV. Entrenar al departamento de Recursos Humanos en el correcto tratamiento de Datos Personales y Datos Personales Sensibles. 2. Estrategia de Privacidad para Clientes y Clientes Potenciales: I. Desarrollar la Política de Privacidad para Clientes y Clientes Potenciales. II. Desarrollar Avisos de Privacidad para Clientes y Clientes Potenciales. III. Desarrollar procesos para que los Clientes y Clientes Potenciales puedan ejercer sus derechos ARCO. IV. Implementar medidas de seguridad para proteger los Datos Personales de los Clientes y Clientes Potenciales. V. Entrenar al departamento de Ventas, Servicio y Mercadotecnia en el correcto tratamiento de Datos Personales. VI. Entrenar a los Distribuidores de GMM en materia de protección de datos. 99

10 Estrategia de Privacidad - Recursos Humanos Avisos de Privacidad A fin de implementar los Avisos de Privacidad para empleados, empleados asignados en el extranjero y aspirantes, llevamos a cabo los siguientes pasos: 1. Reuniones de trabajo con los Representantes de Recursos Humanos (cascadear la información) 2. Desarrollar Avisos de Privacidad 3. Desarrollar una campaña de comunicación para los empleados de GMM (diferentes medios de comunicación para empleados de confianza y sindicalizados) 4. Llevar acabo juntas con los sindicatos 5. Entregar los Avisos de Privacidad para obtener el consentimiento expreso de nuestros empleados (firma de los Avisos de Privacidad) 6. Obtener los Avisos de Privacidad Firmados (obtuvimos mas de 12,000 firmas) 7. Guardar los Avisos de Privacidad en cada expediente de los empleados 10

11 Estrategia de Privacidad - Recursos Humanos Proceso ARCO De acuerdo a la Ley debemos implementar un proceso para que los empleados puedan ejercer sus derechos ARCO. GMM desarrolló un proceso a través del cual sus empleados, empleados asignados al extranjero y aspirantes pueden solicitar el Acceso, Rectificación, Cancelación u Oposición a sus Datos Personales y Datos Personales Sensibles. Aspectos principales del Proceso ARCO: 1. Los empleados y aspirantes podrán presentar su solicitud ARCO a través de su representante de Recursos Humanos en cada localidad 2. La solicitud ARCO se deberá efectuar por escrito 3. GMM contestará por escrito dentro de los plazos establecidos por la ley 4. Los representantes de Recursos Humanos llevarán un registro de las solicitudes ARCO 11

12 Estrategia de Privacidad Clientes Avisos de Privacidad A fin de implementar los Avisos de Privacidad para clientes y clientes potenciales: 1. GMM identificó que únicamente obtiene Datos Personales de sus clientes y clientes potenciales (p.ej nombre, , teléfono, dirección) No se obtienen Datos Personales Sensibles ni Patrimoniales o Financieros 2. Para tratar Datos Personales basta con obtener un consentimiento implícito ( opt-out ) Al momento que GMM ponga el Aviso de Privacidad a disposición de los clientes y/o prospectos y éstos no manifiesten su oposición a dicho aviso, consienten implícitamente el tratamiento de sus datos personales 3. A partir del 6 de julio, todas las comunicaciones directas de GMM hacia sus clientes y/o clientes potenciales incluirán Avisos de Privacidad (completos o simplificados) Páginas de Internet, Call Centers y Medios Impresos 4. La industria automotriz acordó implementar modelos estandarizados de Avisos de Privacidad para clientes y clientes potenciales (completos y simplificados) 12

13 Estrategia de Privacidad Clientes Avisos de Privacidad Dos tipos de Avisos de Privacidad para Clientes y Clientes Potenciales: 1. Aviso de Privacidad Completo.- Será publicado en las páginas en internet comerciales de GMM junto con la Política de Privacidad de GMM y en medios impresos. 2. Aviso de Privacidad Simplificado.- Será incluido en: Formatos electrónicos en paginas en internet Centro de Atención al Cliente (Call Center) Correos electrónicos 13

14 Estrategia de Privacidad Clientes Proceso ARCO De acuerdo a la Ley debemos implementar un proceso para que los clientes y clientes potenciales puedan ejercer sus Derechos ARCO. Aspectos principales del Proceso ARCO: 1. Los Clientes y/o Clientes Potenciales deberán contactar al Centro de Atención al Cliente de GMM (CAC) para poder realizar su solicitud ARCO Pusimos a disposición un número telefónico y un correo electrónico 2. El CAC identificará la razón por la que el Cliente y/o Cliente Potencial desea realizar una solicitud ARCO 3. Si el Cliente y/o Cliente Potencial desea procesar su solicitud ARCO deberá realizarla en el formato aprobado por GMM y enviarla por correo electrónico al CAC 4. El CAC determinará la procedencia de la solicitud ARCO 5. En cualquier caso (es decir proceda o no la solicitud) el CAC responderá por escrito al Cliente y/o Cliente Potencial (vía mail o a una dirección postal), de acuerdo al tiempo y forma establecidos por la Ley 6. El CAC llevará un registro de las solicitudes ARCO recibidas 7. El CAC actualizará las bases de datos ( Do not contact lists ) 14

15 II.- Otros Aspectos Importantes de la Implementación de la Ley de Protección de Datos 15

16 Protección de Datos Personales Proveedores de Servicios de GMM Con los Proveedores con los que se transfieren o transmiten Datos Personales o Datos Personales Sensibles: 1. GMM revisó que sus contratos y ordenes de compra tuvieran cláusulas de protección de datos personales 2. Incluyó cláusulas en los contratos u órdenes de compra que no las contenían 3. A solicitud de GMM, los Proveedores deberán emitir certificados de cumplimiento de la cláusula de protección de datos personales 4. GMM está facultado para auditar a los proveedores en el cumplimiento de la cláusula de protección de datos personales 16

17 Notificación de Incidentes de Seguridad De acuerdo a la Ley de Protección de Datos Personales, en caso de vulneración a la seguridad que afecten los derechos patrimoniales o morales de titulares, debemos de notificarlos de forma inmediata para que tomen las medidas correspondientes a la defensa de sus derechos. GMM elaboró un documento denominado Personal Information Security Incident para notificar a los titulares de los Datos Personales y/o Datos Sensibles en caso de una vulneración en su seguridad Preocupaciones: Qué se entiende por de forma inmediata? En las grandes corporaciones, los procesos de investigación toman bastante tiempo Cuándo se podrían afectar los derechos morales de los titulares? - Tema muy subjetivo GMM designó a los miembros del Equipo de Vulneraciones a la Seguridad de Datos Personales Reforzaremos la comunicación a nuestros empleados en cuanto al cuidado y medidas de seguridad que deben tomar para prevenir la pérdida 17 de información

18 Protección de Datos Personales en el Area de Tecnología de la Información (TI) Todos los sistemas de TI de GMM fueron revisados para detectar en cuales se procesan Datos Personales y/o Datos Personales Sensibles y verificamos que estuvieran en cumplimiento con: a) Los requerimientos de la Ley de Protección de Datos y b) Las políticas de seguridad en la información de GM (ISP&P). Los sistemas identificados con manejo de Datos Personales fueron revisados en cuanto a su seguridad en los siguientes aspectos: Seguridad Física (acceso instalaciones, centros de datos, servidores) Red Base de Datos (usuario/clave, control de accesos, tecnología) Aplicación (usuario/clave, control de accesos, tecnología) Transferencias seguras(sftp: Secure File Transfer Protocol) Derivado de este análisis, se determinó que las medidas de seguridad existentes en los sistemas de GMM cumplían con el requerimiento de Ley de Protección de Datos; sin embargo, en cuanto a cumplimiento de las políticas internas (ISP&P) aun teníamos trabajo por delante para remediar (encriptar) algunos sistemas Asignamos computadoras encriptadas al personal de GMM que trata datos personales y datos personales sensibles 18

19 Auditoría A fin de garantizar el cumplimiento a la legislación vigente en materia de protección de datos personales y de datos personales sensibles, el Area de Control Interno de GMM en coordinación con el Chief Privacy Officer de GMM llevarán acabo auditoría anuales. Para dichos efectos: GMM desarolló un criterio de auditoria para: Datos Personales de Clientes y/o Clientes Potenciales Datos Personales y Datos Sensibles de Empleados Sistemas de IT que procesen Datos Personales y/o Datos Sensibles GMM llevará acabo la primera auditoria de protección de datos personales y datos personales sensibles a principios del año entrante. De encontrarse algún area de oportunidad, los Departamentos deberán de trabajar un plan de acción y de remedación, el cual deberá de contener el visto bueno del Chief Privacy Officer de GMM 19

20 III.- Resumen 20

21 Resumen 1. Básico contar con un Líder y un Equipo de Trabajo comprometido 2. Contar con un inventario de los Datos Personales y/o Datos Sensibles que se tratan 3. Definir un calendario con actividades, tiempos de ejecución y responsables y darle seguimiento 4. Definir el método correcto para la obtención del consentimiento de los titulares (opt-in/opt-out) 5. No tratar Datos Personales y/o Datos Sensibles que NO sean necesarios 6. Entrenar a los empleados y sensibilizarlos de las obligaciones que se tienen y de las responsabilidades en que se pueden incurrir en caso de incumplimiento a la Ley 7. Asignar computadoras enciptadas a personal que trata datos personales y datos personales sensibles 8. Concientizar a la gente que el cumplimiento de la Ley es en beneficio de todos!! 21

22 Gracias 22