La Protección de Datos Personales en México

Transcripción

1

2

3 La Protección de Datos Personales en México VIII Encuentro Iberoamericano de Protección de Datos Ciudad de México. Septiembre 29 y 30, 2010 Equilibrio entre la Protección de Datos y el Comercio Internacional Alfredo Kupfer Domínguez Socio Nacional de Baker & McKenzie y Presidente del Comité de Capital Humano y Asuntos Laborales del American Chamber

4 Aspectos Generales

5 Fundamento constitucional: Artículo 16 de la Constitución: Toda persona tiene derecho a la protección de su datos personales, al acceso, rectificación, cancelación de los mismos, así como a manifestar su oposición, en los términos que fije la ley Artículo 73, fracción XXIX-O de la Constitución: Competencia del Congreso de la Union para expedir leyes federales en materia de datos personales en posesión de particulares.

6 Ley Federal de Protección de Datos Personales en Posesión de los Particulares Publicación: 5 de julio de 2010 en el DOF Inicio de Vigencia: 6 de julio de 2010 Reglamento: Deberá expedirse al año siguiente de la g p g entrada en vigor de la Ley.

7 Ámbito de Aplicación

8 la protección de los datos personales en posesión de los particulares, Sujetos regulados: Los particulares personas físicas o morales de carácter privado Responsable: Persona física o moral de carácter privado que decide sobre el tratamiento de datos personales Titular: Persona física a quien corresponden los datos personales

9 Conceptos Relevantes

10 Aviso de Privacidad: Documento físico, electrónico o en otro formato que es puesto a disposición del titular, previo al tratamiento de sus datos personales (un año para cumplir con la entrega del aviso al titular). Consentimiento: Manifestación de voluntad del titular de los datos para el tratamiento de los mismos, el cual puede ser tácito (no oposición), o expreso (medio electrónico, óptico, u otro). Datos personales: Cualquier información de una persona identificada d o indentificable.

11 Datos personales sensibles: Datos personales que afecten a la esfera más íntima del titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste, tales como: Origen racial o étnico Estado de salud presente y futuro Información genética Creencias religiosas, filosóficas y morales Afiliación sindical Opiniones políticas Preferencia sexual

12 Encargado: Persona física o moral que sola o conjuntamente con otras trate datos personales por cuenta del responsable (proveedor de servicios) Responsable: Persona física o moral de carácter privado que decide sobre el tratamiento de datos personales (el agente de comercio) Titular: Persona física a quien corresponden los datos personales Tercero: Persona física o moral, nacional o extranjera

13 Tratamiento: Obtención, uso, divulgación o almacenamiento de datos personales, por cualquier medio. El uso abarca cualquier acción de acceso, manejo, aprovechamiento, transferencia o disposición de datos personales. Transferencia: Toda comunicación de datos realizada a persona distinta del responsable o encargago del tratamiento

14 No está sujeto a consentimiento el tratamiento de datos personales cuando: Esté previsto en una ley Datos figuren en fuentes de acceso público Datos personales sean objeto de procedimiento previo de disociación Tenga el propósito de cumplir obligaciones derivadas de la relación jurídica entre titular y responsable Situación de emergencia que podría dañar a la persona o sus bienes Indispensables para atención médica Resolución de autoridad competente

15 Principios de Proteccion

16 Principio de Licitud Pi Principio i i de Consentimiento i t Datos Personales Sensibles Principio i i de Información y Calidad d Principio de Finalidad Pi Principio i i de Lealtad Principio de Proporcionalidad Principio i i de Responsabilidad d

17 Aviso de Privacidad

18 El Aviso de Privacidad deberá contener, al menos: Nombre y domicilio ili del responsable Finalidad del tratamiento de datos Opciones y medios para limitar el uso o divulgación de datos Medios para ejercer derechos de acceso, rectificación, cancelación, u oposición Procedimiento y medio para cambios al Aviso de Privacidad Identificación de los datos personales sensibles y consentimiento expreso para su tratamiento Medios para revocación de consentimiento La no oposición del titular al Aviso de Privacidad

19 El Aviso de Privacidad deberá contener (continuación): Disponibilidad ibilid d del propio aviso para el titular, en formato impreso, digital, visual, sonoro u otro Las medidas de seguridad administrativas, técnicas y físicas Aviso de confidencialidad de los datos, por parte del responsable, aún concluida la relación de trabajo Mención sobre persona o departamento de protección de datos, para el ejercicio de derechos del titular Consentimiento i para transmitir i datos a terceros nacionales o extanjeros y su finalidad (recomendable)

20 Forma del Aviso de Privacidad Impreso, digital, it visual, sonoro o cualquier otra tecnología Entrega del Aviso de Privacidad Medidas compensatorias: Cuando resulte imposible dar el aviso al titular, exija esfuerzos desproporcionados de acuerdo al número de titulares, o por la antigüedad de los datos, el Instituto autorizará previamente las medidas compenensatorias, que se establecerán en el Reglamento Fecha límite para la entrega de Avisos de Privacidad: 5 de julio de 2011.

21 Acciones del Titular

22 Derechos ARCO del titular: Acceder a los datos personales y al Aviso de Privacidad id d Rectificar los datos cuando sean inexactos o incompletos Cancelar los datos personales Excepción: Si los datos personales se refieren a las partes de un contrato privado y sean necesarios para su desarrollo y cumplimiento. Oposición al tratamiento de datos personales

23 Persona o departamento de datos personales para tramitar solicitudes de derechos ARCO: un año a partir de la entrada en vigor de la Ley Solicitud de protección de derechos: 18 meses después de la entrada en vigor de la Ley

24 Transferencia de Datos

25 La transferencia de datos podrá ser nacional o internacional, de acuerdo a lo establecido en el Aviso de Privacidad No es necesario el consentimiento del titular si la transferencia es a una sociedad controladora o matriz, subsidiaria o afiliada al mismo grupo del responsable, y que opere bajo los mismos procesos y políticas internas El tercero receptor (casa matriz, corporativo) asumirá las obligaciones del responsable que transfirió los datos

26 Nuevo Derecho Tutelado o Restricción ccó al Comercio? eco

27 Instituto Federal de Acceso a la Información y Protección de Datos Personales ( IFAI ): IFAI): Vigilar y verificar el cumplimiento de la Ley; emitir criterios y recomendaciones; divulgar mejores prácticas; conocer y resolver procedimientos de protección de derechos; imponer sanciones; brindar capacitación a sujetos obligados El Reglamento establecerá forma, términos y plazos para el procedimiento de protección de datos 50 días para resolver Se privilegiará la conciliación. El convenio será por escrito y con efectos vinculantes

28 Aspectos que limitan el comercio: Mayores cargas administrativas i ti Inversión requerida en medidas de seguridad (administrativas, técnicas, físicas) de protección de datos Inversión en capacitación interna Inversión en capacitación externa (clientes, proveedores, usuarios, socios comerciales, casa matriz) Tiempo invertido en posibles disputas con titulares Tiempo invertido por verificaciones del IFAI Temor a las sanciones (multa US$3 millones, responsabilidad civil, delito grave)

29 Aspectos que promueven el comercio: Reglas claras respecto a la protección de datos Seguridad y certeza para contratar servicios Competitividad nacional Competitividad internacional ( safe harbors ) Excepciones en la ley para el consentimiento y tratamiento de datos personales (cumplir obligaciones, transferencias de datos, no cancelación de datos) Nueva industria de la protección de datos ( cloud computing ) Inversión nacional y extranjera, innovación, creatividad, emprendimiento, Pymes, mayor empleo

30 Algunas preguntas: Hasta donde se quiere llevar la aplicación de la Ley? Habrá impulso al comercio nacional e internacional? Y el comercio electrónico? Habrá retorno de la inversión requerida? Cuál será el efecto en el micro-empresario y las Pymes? Contribuirá la Ley a eliminar la discriminación? Contribuirá la Ley al uso indiscriminado de nuestra información personal? Puede contribuir la Ley entonces a un Estado mas seguro?

31 Conclusión

32 No hay conclusión! Se trata de una legislación viviente que aún tiene que navegar por aguas desconocidas. Responsables, titulares y autoridades somos nóveles en la aplicación de la Ley. Aún falta mucho camino por recorrer

33 Recomendaciones: Estudio de otras legislaciones y experiencias internacionales Aplicación de mejores prácticas con adecuación a la Ley IFAI: fuente del conocimiento para aplicación e interpretación Promover y difundir una cultura de la protección y confidencialidad de datos personales Meditar desde la perspectiva del titular, el responsable, el encargado, el tercero, el Instituto.

34 Muchas gracias Baker & McKenzie International is a Swiss Verein with member law firms around the world. In accordance with the common terminology used in professional service organizations, reference to a partner means a person who is a partner, or equivalent,in such a law firm. Similarly, reference to an office means an office of any such law firm.