JUSTIFICACIÓN PARA LA EMISIÓN DE LAS REGLAS DE OPERACIÓN DEL REGISTRO DE ESQUEMAS DE AUTORREGULACIÓN VINCULANTE

Transcripción

1 El presente documento tiene como objeto señalar los aspectos más relevantes del anteproyecto de Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante (Reglas de Operación), y las razones por las cuales estas reglas deben ser emitidas por parte del Instituto Federal de Acceso a la Información y Protección de Datos (IFAI o Instituto), a fin de que el público interesado conozca dicha información en el marco de la consulta pública que se realiza, por un plazo de 20 días hábiles, en cumplimiento al artículo 10 de la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental. I. Fundamento jurídico para la emisión de las Reglas de Operación Las Reglas de Operación son un instrumento normativo que deriva de una obligación establecida en los Parámetros de Autorregulación en materia de Protección de Datos Personales (Parámetros), expedidos por la Secretaría de Economía y por el Instituto, el 29 de mayo de 2014, de conformidad con lo establecido por el artículo 43, fracción V, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (Ley o LFPDPPP). En específico, los numerales 50, 85 y Tercero transitorio de los Parámetros establecen lo siguiente: Trámites relacionados 50. Las Reglas de Operación desarrollan los procedimientos para la notificación, validación por parte del Instituto, modificación y baja de los esquemas. Administración del Registro 85. De conformidad con el artículo 86 del Reglamento, el Registro será administrado por el Instituto, quien establecerá las reglas para su operación. TERCERO. Las Reglas de Operación del Registro a que se refiere el numeral 50, serán publicadas por el Instituto a más tardar dentro de los nueve meses siguientes a la entrada en vigor de los presentes Parámetros. De esta manera, los Parámetros establecen la existencia de las Reglas de Operación que desarrollarán los procedimientos para realizar las notificaciones de la existencia, modificaciones o baja de los esquemas de autorregulación vinculante (esquemas de autorregulación), así como para que el Instituto realice la validación o reconocimiento de los mismos, y para desarrollar las características generales de la operación del Registro de Esquemas de Autorregulación Vinculante (REA o Registro). Por su parte, el artículo Tercero Transitorio de los Parámetros prevé que es obligación del Instituto emitir las Reglas de Operación dentro de los nueve meses siguientes a la entrada en vigor de los Parámetros, es decir, a más tardar el 28 de febrero de

2 II. Objetivos generales y estructura del anteproyecto de las Reglas de Operación El anteproyecto de Reglas de Operación describe los aspectos operativos y los procedimientos necesarios para el funcionamiento del REA, previsto en el artículo 86 del Reglamento de la Ley y Capítulo V de los Parámetros. En ese sentido, el anteproyecto de Reglas de Operación específica y detalla: Su objeto y su ámbito de aplicación, así como algunas definiciones y aspectos comunes de los trámites ante el REA. Los requisitos de la notificación de los esquemas de autorregulación y de los siguientes trámites: De validación de los esquemas de autorregulación y su inscripción en el Registro; De modificación del esquema de autorregulación, y De baja del esquema de autorregulación del Registro. Los requisitos de las notificaciones y trámites relacionados con el sistema de certificación en materia de protección de datos personales y sus distintos niveles: De autorizaciones, suspensiones y revocaciones a entidades de acreditación; De acreditaciones, modificaciones, suspensiones y cancelaciones a organismos de certificación, y De esquemas de autorregulación, prácticas y herramientas tecnológicas certificadas por organismos de certificación acreditados, así como las correspondientes modificaciones, suspensiones y cancelaciones de certificados. La información que los autorregulados deben entregar para que el Registro cumpla con su objeto de transparentar lo relacionado con el sistema de autorregulación en materia de datos personales. El anteproyecto de Reglas de Operación consta de 80 artículos y dos transitorios, distribuidos de la siguiente forma: Capítulo I Capítulo II Capítulo III Disposiciones Generales, que desarrolla generalidades de las Reglas de Operación, incluyendo su objeto, algunas definiciones y generalidades de los procedimientos ante el REA; De los trámites de los esquemas con validación o que soliciten la validación del Instituto, que desarrolla requisitos, plazos y procedimientos para la validación, modificación, baja e inscripción de los esquemas de autorregulación en el REA; De los trámites relacionados con el sistema de certificación en materia de protección de datos personales y el Registro, incluyendo requisitos, plazos y procedimientos para que la Secretaría de Economía, 2

3 las entidades de acreditación y los organismos de certificación realicen las notificaciones relacionadas con sus actividades de certificación en materia de protección de datos personales, al Instituto, para lograr su reconocimiento e inscripción en el REA, Capítulo IV Transitorios De la Información para el Registro, que contiene información que debe ser proporcionada al Instituto para que el Registro cumpla con su objeto de transparentar lo relacionado con el sistema de autorregulación en materia de protección de datos personales y Que prevén la entrada en vigor de las Reglas de Operación y las primeras fechas en las cuales deben presentarse informes relacionados por parte de los adheridos a algún esquema de autorregulación. III. Descripción de la situación que da origen a la intervención gubernamental a través de la regulación propuesta. En el artículo 16 de la Constitución Política de los Estados Unidos Mexicanos se reconoce a todos los individuos el derecho a la protección de sus datos personales, al señalar que toda persona tiene derecho a la protección de sus datos personales, al acceso, rectificación y cancelación de los mismos, así como a manifestar su oposición a su tratamiento, en los términos que fije la ley. Dicho precepto constitucional es desarrollado, a nivel federal, a través de: (i) la Ley de Transparencia y Acceso a la Información Pública Gubernamental, en lo que respecta a la protección de datos personales en posesión de las autoridades federales y (ii) la LFPDPPP, la cual regula el debido tratamiento de la información personal por parte de los particulares. De esta manera, la LFPDPPP se constituye en un marco general que contempla reglas, requisitos, condiciones y obligaciones mínimas para garantizar un adecuado tratamiento de los datos personales por parte de los particulares, independientemente del sector económico al que pertenezcan, sin obstaculizar el flujo de los datos, que pudiera traducirse en la imposición de barreras para el desarrollo de las actividades económicas del país. Dicho marco general puede ser complementado a través de dos vías: (i) de la regulación sectorial, cuando deban preverse aspectos adicionales para la protección de datos personales en determinados ámbitos, por ejemplo el financiero o el sector salud y (ii) a través de la autorregulación en materia de protección de datos personales. En dicho contexto, la autorregulación se vuelve una herramienta idónea para que los particulares establezcan reglas específicas para resolver problemas que podrían presentarse en un sector en particular al momento de aplicar la Ley. También permite que se adopten las mejores prácticas y estándares internacionales en la protección de los datos personales, lo que, sin duda, ayuda a elevar y mejorar los niveles de protección de los datos personales de los individuos. 3

4 Sin embargo, la autorregulación prevista por la LFPDPPP y su Reglamento, para ser efectiva y reconocida por el Instituto, debe cumplir con ciertas condiciones mínimas que garanticen el adecuado funcionamiento de los esquemas de autorregulación adoptados de manera voluntaria por los responsables y encargados del tratamiento de los datos personales. Dichas condiciones están previstas por la propia LFPDPPP, su Reglamento y los Parámetros. De conformidad con el artículo 86 del Reglamento de la LFPDPPP, únicamente aquellos esquemas de autorregulación que, a juicio del Instituto, reúnan los requisitos previstos en la Ley, su Reglamento y los Parámetros, serán inscritos en el REA. Es por eso que surge la necesidad de contar con las Reglas de Operación que definan y describan los aspectos operativos y los procedimientos necesarios para el funcionamiento de dicho registro, incluidos la notificación de esquemas de autorregulación, su validación o reconocimiento por parte del Instituto y su modificación o baja, de conformidad con lo previsto por los artículos 50 y 85 de los Parámetros. IV. Tipo de ordenamiento jurídico propuesto y motivo por el cual el ordenamiento existente es insuficiente. El ordenamiento propuesto son las Reglas de Operación. Las siguientes son disposiciones vigentes directamente aplicables a esquemas de autorregulación en materia de protección de datos personales: (i) (ii) (iii) La LFPDPPP, El Reglamento de la LFPDPPP, y Los Parámetros. Tanto la LFPDPPP como su Reglamento son disposiciones insuficientes para atender la problemática identificada, toda vez que son generales, abstractas e impersonales y, aunque contienen referencias claras sobre la autorregulación vinculante en materia de protección de datos personales, no desarrollan ni especifican los aspectos operativos y los procedimientos necesarios para el funcionamiento del REA, ni desarrollan las obligaciones que deberán cumplir los interesados en que el IFAI valide o reconozca e inscriba y publicite en el REA sus esquemas de autorregulación. Por su parte, si bien los Parámetros desarrollan determinados procedimientos que deben ser observados por los interesados en el sistema de autorregulación, no desarrollan ni especifican los aspectos operativos del REA, ni abordan a detalle todos los procedimientos relacionados con esquemas de autorregulación y el sistema de certificación. Es en este sentido que los propios Parámetros prevén, en los numerales 50 y 85, la emisión de las Reglas de Operación. De esta manera, con la emisión de las Reglas de Operación se busca dotar de elementos específicos normativos para que el Instituto pueda integrar y administrar el REA, así como publicar aquellos esquemas de autorregulación que sean validados o reconocidos por el IFAI, para, de esta manera, cumplir debidamente con lo dispuesto en la Ley, su Reglamento y los Parámetros, dando certeza a los actores relacionados con los diferentes esquemas de autorregulación, así 4

5 como también brindar información al público en general interesado en los distintos esquemas de autorregulación validados o reconocidos por el Instituto, que le permita tomar decisiones al momento adquirir un producto o contratar algún servicio con algún responsable que trate datos personales. V. Beneficios de la regulación superiores a sus costos. Es importante destacar que los costos generados por los esquemas de autorregulación son marginales, es decir, no representan un gasto que ponga en riesgo la estabilidad económica u operación de una empresa u organización. Ello, en virtud de que la adopción de determinado esquema es totalmente voluntaria, es decir, es una decisión del responsable o encargado. Éstos tienen la posibilidad de considerar si la adopción de un modelo de autorregulación les resulta conveniente, tomando en cuenta la relación costo/beneficio que para su empresa u organización representa. Por otra parte, el anteproyecto de Reglas de Operación establece los trámites para que los esquemas de autorregulación que cumplan por lo previsto por la Ley, su Reglamento y los Parámetros sean inscritos y dados a conocer a todo el público interesado, a través del REA. Los trámites y obligaciones previstos en dicho ordenamiento son los mínimos requeridos para que el REA cuente con la información actualizada de los esquemas de autorregulación validados o reconocidos por el IFAI y para dar certeza a los sujetos interesados sobre los trámites que deben realizarse ante el IFAI en relación con los esquemas de autorregulación a los cuales se encuentran adheridos. El objetivo que se persigue es brindar a los responsables las herramientas necesarias para saber cómo y a través de qué medio notificar estos esquemas de autorregulación para que sean inscritos en el REA y para que sean validados o reconocidos por el Instituto. Bajo esta lógica, de conformidad con el artículo 1 de anteproyecto de Reglas de Operación, el objeto de dichas reglas es definir y describir los aspectos operativos y procedimientos necesarios para el funcionamiento del REA, previsto por el artículo 86 del Reglamento de la LFPDPPP y el Capítulo V de los Parámetros. Cabe destacar la gratuidad de los trámites relacionados con el REA que se realicen ante el Instituto, lo cual queda de manifiesto en el artículo 7 del anteproyecto de Reglas de Operación. Por lo anterior, es importante señalar que la estimación de costos por trámites y obligaciones previstos por el anteproyecto de Reglas de Operación se basan en las horas hombre y recursos materiales que invierta un sujeto regulado para gestionar los trámites ante el Instituto y para cumplir con la obligaciones identificadas en el mencionado anteproyecto. Lo anterior, considerando también que el Instituto procurará que los trámites y asuntos que se tramiten ante él sean sencillos y expeditos. Asimismo, se debe hacer énfasis en que el costo de implementar un esquema de autorregulación que sea notificado al Instituto varía dependiendo del modelo que se elija, que puede ir desde la adopción de un esquema de autorregulación, en sentido amplio, como podría 5

6 ser un código de conducta; hasta la adopción de un sistema de certificación por parte de un tercero. Por otro lado, cabe mencionar que la adopción de esquemas de autorregulación no sólo representará beneficios a los titulares de los datos personales, sino también para las personas físicas o morales que los adopten pues tendrán más posibilidades de establecer relaciones comerciales en el mercado nacional e internacional, así como: (i) (ii) (iii) (iv) Reducir los gastos en materia contenciosa y en multas y sanciones: El hecho de estar adheridos a esquemas de autorregulación minimiza las probabilidades de ser sujetos de verificaciones y procedimientos sancionadores, cuyas resoluciones pueden imponer multas, procesos contenciosos y judiciales, así como el pago de indemnizaciones y riesgos reputacionales frente a sus clientes por incumplimiento de la norma. Atenuar el monto de las sanciones: De conformidad con el artículo 81 de Reglamento de la LFPDPPP y el numeral undécimo de los Parámetros, cuando un responsable adopte y cumpla un esquema de autorregulación, dicha circunstancia será tomada en consideración para determinar la atenuación de la sanción que corresponda, en caso de que el Instituto verifique algún incumplimiento a lo dispuesto por la Ley y su Reglamento. Mejorar la imagen de la empresa: Con la adopción de esquemas de autorregulación vinculante, la empresa u organización otorga confianza y mayor certidumbre a los titulares de los datos personales de que éstos estarán debidamente protegidos. En ese sentido, la empresa proyecta una imagen de socialmente responsable. Adaptar la normativa a las especificidades que presenta el tratamiento de datos en un determinado sector. Es decir, existen particularidades inherentes a cada tipo de responsable que por su complejidad serían difíciles de incluir en la normatividad, por lo que los esquemas de autorregulación brindan la flexibilidad necesaria para poder adecuar las reglas a casos específicos. Con ello, los vacíos legales que pudieran existir quedarían cubiertos por esquemas de autorregulación diseñados a la medida. En este sentido, los esquemas de autorregulación reflejan las necesidades precisas del sector del que se trate en particular. (v) Facilitar las transferencias nacionales e internacionales de datos entre organizaciones del mismo grupo autorregulado. Los esquemas de autorregulación permiten incrementar la interoperabilidad (jurídica) global entre países y empresas a través del desarrollo de modelos de privacidad y de reforzar la cooperación para eliminar las barreras para el intercambio de datos personales. (vi) Ahorrar costos, al implementar mecanismos de solución alternativa de controversias entre responsables, titulares y terceros, como son los de conciliación y mediación, que eviten el seguimiento de procesos administrativos o judiciales. (vii) Incrementar la vinculación con las empresas de la misma industria, a través de esquemas de autorregulación sectoriales. 6