Ley Federal de Protección de Datos Personales en Posesión de los Particulares Mayo de 2011

Transcripción

1 Ley Federal de Protección de Datos Personales en Posesión de los Particulares Mayo de 2011 Carlos Chalico LI, CISA, CISSP, CISM, CGEIT, CRISC Socio de Asesoría en TI México y Centroamérica Ernst & Young

2 Agenda Qué es privacidad? Reglas en el Mundo En México Recorrido por la LFPDPPP* Qué hacer? Conclusiones * Ley Federal de Protección de Datos Personales en Posesión de los Particulares

3 Qué es Privacidad? En términos generales privacidad es la habilidad de controlar cómo un individuo es identificado, contactado y localizado. Por décadas, los principios sobre privacidad han evolucionado presentando algunos temas en común a pesar de relacionarse con estructuras legales y sociales diferentes alrededor del mundo. La Privacidad agrupa los derechos y obligaciones de los individuos y las organizaciones con respecto a la colección, uso, revelación y retención de información para identificar personas (personally identifiable information / PII) Fuente: AICPA

4 Qué es Privacidad? El adagio: Puedes tener buena seguridad sin tener buena privacidad, pero no puedes tener buena privacidad sin tener buena seguridad. Proteger los datos Gobernar su tratamiento Privacidad Qué significa?: La seguridad es un componente necesario de la privacidad Privacidad se refiere a: Proteger datos personales Gobernar su tratamiento Correcta y legalmente De acuerdo a lo mostrado en los avisos de privacidad Dentro de los límites del consentimiento del individuo (siempre que esto aplique)

5 Reglas en el Mundo LEYENDAS Ley Nacional de privacidad o protección de datos vigente Otras leyes significativas vigentes Leyes de Privacidad o Protección de Datos emergentes Fuente: Ernst & Young

6 En México 2003 IFAI 2009 Art.16 Const. Leyes locales 2010 LFPDPPP e IFAI (PD) Por venir: Reglamento de la LFPDPPP y criterios de la autoridad Ejecución de acciones de verificación de cumplimiento de la LFPDPPP

7 En México Ley Federal de Protección de Datos Personales en Posesión de Particulares Aprobado por diputados:15 de abril, 2010 Aprobado por senadores: 27 de abril, 2010 Publicado en DOF: 5 de julio, 2010 Vigente a partir de: 6 de julio, 2010

8 LFPDPPP El objeto de la LFPDPPP: la protección de los datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado, a efecto de garantizar la privacidad y el derecho a la autodeterminación informativa de las personas Quién debe acatar esta Ley? Los particulares (individuos, empresas, instituciones) que posean datos personales Quiénes son los Actores? El Titular El Responsable El Encargado Los otros (terceros, cuartos) Qué son datos personales?. Cualquier información concerniente a una persona física identificada o identificable (personales, patrimoniales, personales sensibles).

9 Datos de mayor cuidado Tratamiento de aquellos datos personales que afecten a la esfera más íntima de su titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve riesgo grave para éste, pudiendo ser: datos financieros o patrimoniales* origen racial o étnico estado de salud presente o futuro información genética creencias religiosas, filosóficas y morales afiliación sindical * Los datos financieros o patrimoniales no son considerados por la LFPDPPP como sensibles pero sí requieren consideraciones de cuidado diferentes o más robustas que las que se precisan para los datos personales.

10 Nuevas Obligaciones Consentimiento: Todo tratamiento de datos personales estará sujeto al consentimiento de su titular (datos personales tácito, datos patrimoniales expreso, datos personales sensibles expreso y por escrito) Aviso de Privacidad: mediante el cual se informe los datos que se recaban y el fin Tratamient o de Datos Personales Tratamiento: Obtención, Uso (acceso, manejo, aprovechamiento, transferencia o disposición), Divulgación, Almacenamiento Confidencialidad: cualquier involucrado en el tratamiento de datos personales deberá guardar su confidencialidad Persona o Departamento de Privacidad: se deberá designar para dar trámite a las solicitudes de protección de derechos de los titulares y atender posibles ejercicios de verificación de cumplimiento.

11 Nuevas Obligaciones Pincipios: licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad Los datos personales deben ser pertinentes, correctos y actualizados para los fines para los cuales fueron recabados Cuando los datos hayan dejado de ser necesarios para el fin previsto por el aviso de privacidad y las disposiciones legales aplicables, deberán ser cancelados Habrán de tomarse las medidas necesarias y suficientes para garantizar que el aviso de privacidad dado a conocer al titular, sea respetado en todo momento por el poseedor de los datos o por terceros (cuartos ) Se deberán establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado.

12 Derechos ARCO El titular podrá solicitar al responsable en cualquier momento el: Acceso Rectificación Cancelación Oposición A los datos personales objeto de tratamiento y/o al tratamiento mismo.

13 Consecuencias Los riesgos asociados a una falla de protección de datos personales pueden causar daños financieros y legales, pero irremediablemente afectarán la marca y reputación. Considerar la notificación de vulnerabilidades. Robo de identidad (usuarios, clientes, proveedores, socios, empleados) Daño a marca y reputación Litigios Sanciones y penas corporales Pérdidas financieras Pérdida de valor de mercado Pérdida de confianza del consumidor o socio de negocio Convertirse en el ejemplo de lo que puede salir mal

14 Sanciones y Penas Sanciones: 100 hasta 320,000 DSMVDF, con doble imposición para los casos de reincidencia. * Desde $5,000 hasta $73 000,000 * Penas: de 3 meses a 5 años de prisión. Estas penas y sanciones se duplicarán en aquellos casos de infracciones relativas a datos personales sensibles.

15 Calendario de Aplicación Para que los responsables que traten datos designen a la persona o departamento de datos personales Para que los responsables que traten datos personales expidan los avisos de privacidad a los titulares Para que el Ejecutivo emita el Reglamento a la Ley Para que los titulares puedan ejercer sus derechos ARCO 1 año (Julio de 2011) 1 año (Julio de 2011) 1 año (Julio de 2011) 18 meses (Enero de 2012)

16 Qué Hacer?

17 Conocer

18 Conocer

19 Etapas Definición y Diseño Departamento de datos personales Implantación y Mantenimiento Convenios y contratos Avisos de privacidad Departamenteo de datos personales Avisos de privacidad Convenios y contratos Preparación del Entorno Monitoreo Gobierno de Datos Adecuación de procesos de negocio Normatividad Controles Tecnológicos Adecuación de procesos de TI Normatividad Adecuación de procesos de negocio Gobierno de Datos Controles Tecnológicos Adecuación de procesos de TI Fuente: Ernst & Young, Derechos Reservados

20 Nuestro Enfoque - Diagnóstico Licitud Preparando el Entorno Uso Almacenamiento Calidad Consentimiento Tratamiento Legítimo en Procesos Datos Lealtad Información Principios Obtención Divulgación Avisos de privacidad Finalidad Aspectos Legales Responsabilidad Contratos Proporcionalidad Fuente: Ernst & Young, Derechos Reservados

21 Obtención Uso Divulgación Almacenamiento Medidas de Seguridad Técnicas Administratiivas Físicas Procesos de Negocio Area de Recursos Humanos Area de Ventas Area de Compras Area de Atención a Clientes Area de Finanzas Area de Mercadotecnia Area Legal Area de Operaciones Seguridad de datos Procesos de TI Proceso de adquisición, desarrollo y mantenimiento de sistemas Proceso de respados Proceso de configuración de sistemas y bases de dados Proceso de control de acceso Matriz de perfiles y privilegios Seguridad física Fuente: Ernst & Young, Derechos Reservados

22 Recuerde

23 Puntos Clave Cumplimiento razonado Consentimiento Avisos de Privacidad Alcance Todos los procesos que tratan datos personales Manejo de Incidentes Notificaciones de vulneración Empatía con iniciativas de Gobierno, Riesgo y Cumplimiento Relaciones con terceros Manejo de dispositivos móviles Privacidad por diseño Redes Sociales Reporte a terceros Manejo integral de riesgos.

24 Conclusiones Como ciudadanos, debemos comprender con claridad los derechos a los que tenemos acceso a través de la LFPDPPP En la medida en la que comprendamos esos derechos, comprenderemos la responsabilidad que tenemos al tratar datos personales de otros individuos La LFPDPPP es una regulación de mínimos Es importante comenzar a trabajar de inmediato, a fin de estar en posibilidades de atender oportunamente los compromisos requeridos por esta legislación Re visitar los procesos en los que se tratan datos personales, resulta una tarea clave en este ejercicio y apoya la efectividad de otra tarea importante que es la concientización No actuar hoy puede traer consecuencias relevantes.

25 Ley Federal de Protección de Datos Personales en Posesión de los Particulares Carlos Chalico, LI, CISA, CISSP, CISM, CGEIT, CRISC Socio de Asesoría en TI México y Centroamérica Ernst & Young Tel: Tel (2): carlos.chalico@mx.ey.com