Privacidad y Protección de Datos Personales. Rosa Maria Franco CIPP/US

Transcripción

1 Privacidad y Protección de Datos Personales Rosa Maria Franco CIPP/US

2 Antecedentes de la protección de datos en Mx 2 Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental. (D.O.F. 11 de junio de 2002). Reforma al artículo 6 de la Constitución Política de los Estados Unidos Mexicanos (D.O.F ). Límite al derecho de acceso a la información. Reforma al artículo 73 de la Constitución Política de los Estados Unidos Mexicanos (D.O.F ). Facultad para legislar en la materia. Reforma al artículo 16 de la Constitución Política de los Estados Unidos Mexicanos (D.O.F ). Inclusión del derecho a la protección de datos y los derechos de acceso, rectificación, cancelación y oposición.

3 Antecedentes 3 Articulo 73, fracción XXIX-O Se adiciona la fracción XXIX-O al artículo 73, la cual faculta al congreso para legislar en materia de protección de datos personales en posesión de los particulares. Artículo Toda persona tiene derecho a la protección de sus datos personales, al acceso, rectificación y cancelación de los mismos, así como a manifestar su oposición, en los términos que fije la ley, la cual establecerá los supuestos de excepción a los principios que rijan el tratamiento de datos, por razones de seguridad nacional, disposiciones de orden público, seguridad y salud públicas o para proteger los derechos de terceros.

4 Antecedentes 4

5 Antecedentes 5

6 Antecedentes 6

7 Antecedentes 7 La magia gracias a Facebook Ng

8 LFPDPPP y su Reglamento 8 Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la Ley o LFPDPPP) DOF el 5 de julio de 2010, entró en vigor el 6 de julio de Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. DOF 21 de diciembre de 2011, entró en vigor el 22 de diciembre de 2011.

9 LFPDPPP 9 Orden público y observancia general. Objeto.- protección de los datos personales en posesión de particulares (e.g.,hospitales, farmacéuticas, aseguradoras, bancos, tiendas departamentales, compañías telefónicas, laboratorios, etc.). Finalidad.- regular el tratamiento (automatizado o no) legítimo, controlado e informado de los datos personales a efecto de garantizar la privacidad y el derecho a la autodeterminación informativa (facultad del individuo de ejercer control sobre sus datos - a quién, para qué, cuándo y por qué comunica sus datos).

10 Definiciones 10 Datos personales Cualquier información concerniente a una persona física identificada o identificable. Categorías: Datos de identificación (nombre, domicilio, teléfono, correo electrónico, firma, RFC, fecha de nacimiento, edad, nacionalidad, etc.) Datos Patrimoniales (información fiscal, cuentas bancarias, ingresos, etc.) Datos Laborales (puesto, datos de contacto del trabajo) Datos Académicos (trayectoria educativa, cédula, título, certificados)

11 Definiciones 11 Datos personales sensibles Afectan la esfera más íntima de su titular, su utilización indebida pueda dar origen a discriminación o conlleva un riesgo grave para éste. Revelan aspectos como: origen racial o étnico, estado de salud, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, preferencia sexual. Categorías: Ideológicos (creencias religiosas, afiliación política y/o sindical, etc.) De salud (historial clínico, enfermedades, cuestiones psicológicas,) Características personales (tipo de sangre, ADN, huella digital, etc.) Características físicas (color de piel, iris, señas particulares)

12 DATOS PERSONALES DATOS PERSONALES SENSIBLES

13 Definiciones 13 Tratamiento Obtención, uso, divulgación o almacenamiento por cualquier medio. Uso acceso, manejo, aprovechamiento, transferencia o disposición. Sujetos involucrados en el tratamiento: Responsable Encargado Tercero

14 Definiciones 14 Transferencia Comunicación de datos realizada a persona distinta del responsable o encargado del tratamiento. No requiere consentimiento (Art. 37): I. Ley o Tratado Internacional en el que México sea parte, II. Prevención o diagnostico médico, asistencia sanitaria, tratamiento médico, etc. III. Sociedad del mismo grupo que opere bajo los mismos procesos y políticas internas, IV. Contrato celebrado o por celebrarse en interés del titular, por responsable y un tercero, (ej: reserva online) V. Interés público, procuración o administración de justicia, VI. Defensa o ejercicio de un derecho en un proceso judicial, VII. Para mantener o cumplir una relación jurídica entre el responsable y el titular.

15 Definiciones 15 Transmisión Comunicación de datos a encargados. La LFPDPPP no regula la celebración de contratos específicos pero: Responsable velará por cumplimiento de principios de PD. Medidas necesarias para su aplicación. Medidas necesarias y suficientes para garantizar Aviso de Privacidad (e.g., cláusulas contractuales apropiadas) Ejemplo Unión Europea: Nivel adecuado de protección (Suiza, Argentina, Guernsey, Isla de Man, USA). Cláusulas contractuales tipo (Comisión Europea).

16 Definiciones 16 Transferencia Transmisión o Remisión

17 Principios de protección de datos 17 Los responsables del tratamiento deben observar los siguientes principios: Licitud - Proporcionalidad Consentimiento - Responsabilidad Información Calidad Finalidad Lealtad

18 Principios 18 Licitud - La obtención de datos personales no debe hacerse por medios engañosos o fraudulentos. - Fines determinados y legítimos.

19 Principios 19 Consentimiento Manifestación de la voluntad del titular mediante la cual se efectúa el tratamiento de datos personales. Expreso (datos financieros o patrimoniales) Verbal, escrito, por medios electrónicos, ópticos o cualquier otra tecnología o signos inequívocos. Tácito No se manifiesta oposición cuando se pone a disposición el aviso de privacidad Expreso y por escrito (datos sensibles) Firma autógrafa, firma electrónica o mecanismos de autenticación que se establezcan.

20 Principios 20 Excepciones al consentimiento: Previsto en una ley Fuentes de acceso público Datos disociados Cumplir obligaciones derivadas de una relación jurídica (titular responsable). Situación de emergencia daño en su persona o bienes. Indispensables para atención médica, por persona sujeta a secreto profesional u obligación equivalente. Resolución de autoridad competente.

21 Principios 21 Información Informar expresamente, de manera precisa e inequívoca sobre qué datos se recaban y para qué fines.

22 Principios 22 Calidad Los datos deben ser pertinentes, correctos y actualizados para los fines para los cuales fueron recabados. No excesivos, adecuados, puestos al día Deben ser cancelados cuando hayan dejado de ser necesarios para el cumplimiento de las finalidades para los que se recabaron. Eliminados de forma segura.

23 Principios 23 Finalidad Tratamiento debe limitarse al cumplimiento de finalidades previstas en el Aviso de Privacidad u otras no incompatibles o análogas. Especificas y determinadas. No utilizar frases ambiguas, vagas o inexactas. Un fin distinto requiere un nuevo consentimiento. Primarias y que dan origen y son necesarias para la existencia mantenimiento y cumplimiento de la relación jurídica. Secundarias (mecanismos para manifestar negativa).

24 Principios 24 Lealtad Tratamiento presume existencia expectativa razonable de privacidad (confianza en cuanto a que los datos personales serán tratados conforme al Aviso de Privacidad). Responsable o terceros en cualquier fase del tratamiento deberán guardar confidencialidad respecto de los datos personales. Subsiste al terminar relación.

25 Principios 25 Proporcionalidad Todo tratamiento será el que resulte necesario, adecuado y relevante. (Art. 13) En caso de datos personales sensibles se deberán realizar esfuerzos razonables para limitar el periodo de tratamiento de los mismos a efecto de que sea el mínimo indispensable.

26 Principios 26 Responsabilidad Velar por el cumplimiento de los principios y rendir cuentas al titular de los datos en caso de incumplimiento. Medidas necesarias para garantizar que el Aviso de Privacidad es respetado en todo momento. (Convenios con encargados y terceros). Medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, perdida, alteración, destrucción o tratamiento no autorizado. Obligación de confidencialidad en todas las fases del tratamiento. Vulneraciones de seguridad deben ser informadas inmediatamente al titular

27 Aviso de Privacidad 27 Documento físico, electrónico o en cualquier otro formato, generado por el responsable, puesto a disposición del titular, previo al tratamiento de sus datos personales.

28 Aviso de Privacidad 28 Integral Cuando se recaban datos personalmente del titular, el Aviso de Privacidad deberá será facilitado en el momento en que se recaban los datos (salvo que haya sido proporcionado con anterioridad). 1. Identidad y domicilio del responsable, 2. Finalidades del tratamiento, 3. Opciones y medios para limitar el uso o divulgación de los datos, 4. Medios para ejercer derechos ARCO, 5. Transferencias que se efectúen, 6. Procedimiento y medio por el cual se comunicarán los cambios, 7. En el caso de tratar datos sensibles, ello deberá señalarse. Simplificado o corto.- Por cualquier medio electrónico, óptico, sonoro, visual o a través de cualquier otra tecnología. Identidad y domicilio del responsable, finalidades del tratamiento, mecanismos para conocer el texto completo, indicar si se tratan datos sensibles.

29 Aviso de Privacidad 29 Medidas compensatorias (Reglamento) previa autorización del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) o dentro de los supuestos previstos que no requieren autorización. cuando resulte imposible dar a conocer el Aviso de Privacidad al titular o exija esfuerzos desproporcionados, en consideración al número de titulares o a la antigüedad de los datos.

30 Aviso de Privacidad 30 Carga de la prueba recae en el Responsable. Debe demostrar haber puesto a disposición el Aviso de Privacidad y recabado consentimiento cuando sea procedente.

31 Medidas de seguridad 31 Medidas de seguridad Establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado. Garanticen la integridad, confidencialidad, disponibilidad de la información. No deben ser menores a aquellas utilizadas para el manejo de su información

32 Medidas de Seguridad 32 Tomar en cuenta para su adopción: el riesgo existente, posibles consecuencias para los titulares, sensibilidad de los datos, desarrollo tecnológico.

33 Es importante 33 Privacy. Are you in control?

34 Derechos ARCO 34 Derechos ARCO Acceso (datos y Aviso de Privacidad.) Rectificación (inexactos incompletos) Cancelación (bloqueo supresión) Oposición (causa legítima) - Los puede ejercer el titular de los datos o su representante legal. - Debe presentarse solicitud ante el responsable - El ejercicio de un derecho no impide el ejercicio de otro.

35 Derechos ARCO 35

36 Infracciones 36 Infracciones No cumplir con la solicitud de derechos ARCO. Negligencia o dolo en tramitación o respuesta de derechos ARCO. Declarar dolosamente la inexistencia de datos personales (total o parcialmente). Tratamiento de datos personales en contravención a los principios de la Ley. Omitir aviso de privacidad o alguno de sus elementos. Datos personales inexactos. Incumplir deber de confidencialidad. Cambiar finalidad de tratamiento sin la obtención de consentimiento. Transferir datos a terceros sin comunicar a éstos el aviso de privacidad. Vulnerar seguridad de bases de datos. Transferencia de datos personales fuera de los casos permitidos por la Ley. Recabar o transferir datos sin consentimiento expreso el titular, cuando así se exija.

37 Sanciones 37 Sanciones Apercibimiento para que se cumpla con la solicitud de derechos ARCO. Multa de 100 a 160,000 días de salario mínimo vigente en el Distrito Federal (~de $7,304 a ~11,686,400) (UMA). Multa de 200 a 320,000 días de salario mínimo vigente en el Distrito Federal (~de $14,608 a ~$23,372,800) (UMA). Si persisten las infracciones, se impondrá una multa adicional que irá de 100 a 320,000 días de salario mínimo vigente en el Distrito Federal. (UMA) Infracciones en el tratamiento de datos sensibles, sanciones podrán incrementarse hasta por el doble.

38 Delitos 38 Delitos Cuando una persona autorizada para tratar datos personales, con ánimo de lucro, provoque una vulneración de seguridad a las bases de datos bajo su custodia prisión 3 meses a 3 años. Cuando con el fin de alcanzar un lucro indebido, una persona trate datos personales mediante el engaño, aprovechándose del error en que se encuentre el titular o la persona autorizada para transmitirlos prisión 6 meses a 5 años. Tratándose de datos personales sensibles, las penas se duplicarán.

39 Calendario de implementación 39 A mas tardar el 6 de julio de 2011 A mas tardar el 6 de julio de 2011 Enero de 2012 Enero de 2012 Empresas deberán designar una persona o Departamento de Datos Personales Empresas deberán dar a conocer los Avisos de Privacidad Individuos podrán ejercer derechos ARCO ante responsables (empresas) Individuos podrán dar inicio al procedimiento de protección de derechos ante el INAI

40 Es importante 40 Encuesta Nacional de Protección de Datos Personales (2012), reveló que: El 74% de las empresas encuestadas reconoce la importancia de los datos personales para sus actividades. El 84% desconoce las obligaciones de la Ley Federal de Protección de Datos Personales. El 45% cuenta con algún programa o política de protección de datos personales, destaca el sector financiero con el 70%. Las micro y pequeñas empresas son las menos avanzadas en este sentido. El 53% conoce del Aviso de Privacidad, en especial en servicios financieros y educativos. Una tercera parte de las empresas tiene un área específica para atender solicitudes ARCO.

41 Es importante 41 Protección de la privacidad por parte de las empresas representa beneficios para ellas como son: Proteger y dotar de prestigio a la marca e imagen de la empresa. Promover la credibilidad y la confianza en la empresa. Difundir la importancia de la protección de datos personales dentro de la empresa y tomar conciencia como individuos del valor de nuestra información personal.

42 Es importante 42 Data Protection Day

43 GRACIAS! r franco@axkati.mx