Ley de Protección de Datos Personales

Ley Federal de Protección de Datos Personales

• La Ley Federal de Protección de Datos Personales en Posesión de los Particulares fue publicada el 5 de julio de 2010.
• Tiene como objetivo proteger los datos personales en posesión de los particulares y regular su tratamiento legítimo para garantizar la privacidad y la autodeterminación informativa.

Sujetos Regulados

• Los sujetos regulados por esta ley son los particulares, ya sean personas físicas o morales de carácter privado, que realicen el tratamiento de datos personales.
• Se excluyen de esta ley a las sociedades de información crediticia reguladas por la ley correspondiente y a las personas que recolecten datos para uso exclusivamente personal y sin fines comerciales.

Definiciones Clave

• Aviso de Privacidad: Documento que el responsable pone a disposición del titular para informarle sobre el tratamiento de sus datos personales.
• Bases de datos: Conjunto ordenado de datos personales referentes a una persona identificada o identificable.
• Bloqueo: Identificación y conservación de datos una vez cumplida su finalidad, para determinar posibles responsabilidades.
• Consentimiento: Manifestación de la voluntad del titular para que se realice el tratamiento de sus datos.
• Datos personales: Información concerniente a una persona física identificada o identificable.
• Datos personales sensibles: Datos que afecten la esfera más íntima del titular, como origen racial o étnico, estado de salud, información genética, creencias religiosas, afiliación sindical, opiniones políticas o preferencia sexual.
• Disociación: Procedimiento para que los datos personales no puedan asociarse al titular.
• Encargado: Persona física o jurídica que trata datos personales por cuenta del responsable.
• Fuente de acceso público: Bases de datos cuya consulta puede ser realizada por cualquier persona mediante pago.
• Responsable: Persona física o moral de carácter privado que decide sobre el tratamiento de datos personales.
• Titular: La persona física a quien corresponden los datos personales.
• Tratamiento: Obtención, uso, divulgación o almacenamiento de datos personales.
• Transferencia: Comunicación de datos a persona distinta del responsable o encargado del tratamiento.

Principios y Derechos

• Los principios y derechos establecidos en la ley tienen como límite la protección de la seguridad nacional, el orden, la seguridad y la salud públicos, así como los derechos de terceros.
• En caso de falta de disposición expresa en la ley, se aplicarán de manera supletoria las disposiciones del Código Federal de Procedimientos Civiles y de la Ley Federal de Procedimiento Administrativo.

Principios de Protección de Datos Personales

• Los responsables en el tratamiento de datos personales deben observar los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad.
• Los datos personales deben recabarse y tratarse de manera lícita, sin utilizar medios engañosos o fraudulentos.
• Se presume que existe una expectativa razonable de privacidad en el tratamiento de datos personales.

Consentimiento del Titular

• Todo tratamiento de datos personales está sujeto al consentimiento del titular, con algunas excepciones.
• El consentimiento puede ser expreso (verbal, escrito, electrónico u otro) o tácito (si el titular no manifiesta su oposición).
• Los datos financieros o patrimoniales requieren consentimiento expreso.
• El consentimiento puede ser revocado en cualquier momento, estableciendo mecanismos y procedimientos en el aviso de privacidad.

Excepciones al Consentimiento

• No se necesita el consentimiento para el tratamiento de datos cuando:
  • Esté previsto en una ley.
  • Los datos figuren en fuentes de acceso público.
  • Se sometan a un procedimiento previo de disociación.
  • Tenga el propósito de cumplir obligaciones derivadas de una relación jurídica.
  • Exista una situación de emergencia que dañe a una persona o sus bienes.
  • Sean indispensables para la atención médica, o
  • Se dicte resolución de autoridad competente.

Calidad de los Datos Personales

• El responsable debe procurar que los datos personales sean pertinentes, correctos y actualizados para los fines para los que fueron recabados.
• Los datos que dejen de ser necesarios para las finalidades previstas deben ser cancelados.
• Existe la obligación a eliminar información sobre incumplimiento de obligaciones contractuales después de 72 meses.

Limitación del Tratamiento

• El tratamiento de datos personales debe limitarse al cumplimiento de las finalidades previstas en el aviso de privacidad.
• Si se pretende tratar los datos para un fin distinto, se requiere obtener nuevamente el consentimiento del titular.
• El tratamiento debe ser necesario, adecuado y relevante en relación con las finalidades previstas.

Protección de Datos Sensibles

• Para datos personales sensibles, el responsable debe realizar esfuerzos razonables para limitar el periodo de tratamiento.

Obligaciones del Responsable

• Debe velar por el cumplimiento de los principios de protección de datos y adoptar las medidas necesarias para su aplicación.
• Informar a los titulares sobre la información que se recaba y con qué fines, a través del aviso de privacidad.

Contenido del Aviso de Privacidad

• El aviso de privacidad debe contener:
  • La identidad y domicilio del responsable que los recaba.
  • Las finalidades del tratamiento de datos.
  • Las opciones y medios que el responsable ofrece para limitar el uso o divulgación de los datos.
  • Los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición.
  • Las transferencias de datos que se efectúen.
  • El procedimiento para comunicar cambios al aviso de privacidad.

Formato del Aviso de Privacidad

• El aviso de privacidad debe ponerse a disposición de los titulares a través de formatos impresos, digitales, visuales, sonoros o cualquier otra tecnología.
• Si los datos se obtienen personalmente, el aviso debe facilitarse de forma clara y fehaciente en el momento en que se recaba el dato.

Medidas de Seguridad

• Todo responsable debe establecer y mantener medidas de seguridad administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado.
• Las vulneraciones de seguridad que afecten significativamente los derechos de los titulares deben ser informadas de forma inmediata.
• El responsable y terceros deben guardar confidencialidad sobre los datos.

Derechos de los Titulares (ARCO)

• Los titulares pueden ejercer los derechos de acceso, rectificación, cancelación y oposición (ARCO).
• Los titulares tienen derecho a acceder a sus datos personales, rectificarlos si son inexactos o incompletos, cancelarlos y oponerse a su tratamiento.
• El ejercicio de un derecho no impide el ejercicio de otro.

Procedimiento para Ejercer los Derechos ARCO

• La solicitud debe contener:
  • El nombre del titular y domicilio u otro medio para comunicarle la respuesta.
  • Los documentos que acrediten la identidad o representación legal.
  • La descripción clara y precisa de los datos personales respecto de los que se busca ejercer el derecho.
  • Cualquier otro elemento que facilite la localización de los datos personales.
• El responsable deberá designar a una persona o departamento de datos personales para dar trámite a las solicitudes.
• El responsable comunicará al titular la determinación adoptada en un plazo máximo de veinte días, y en caso de ser procedente, se hará efectiva dentro de los quince días siguientes.
• La entrega de los datos personales será gratuita, pero el titular deberá cubrir los gastos justificados de envío o reproducción.

Negativa al Acceso, Rectificación, Cancelación u Oposición

• El responsable puede negar el acceso a los datos personales, o a realizar la rectificación o cancelación o conceder la oposición al tratamiento, en ciertos supuestos, como:
  • Cuando el solicitante no sea el titular o su representante legal.
  • Cuando los datos no se encuentren en su base de datos.
  • Cuando se lesionen los derechos de un tercero.
  • Cuando exista un impedimento legal o resolución judicial.
  • Cuando la rectificación, cancelación u oposición haya sido previamente realizada.

Transferencia de Datos

• Cuando el responsable pretenda transferir los datos personales a terceros nacionales o extranjeros, deberá comunicar a éstos el aviso de privacidad y las finalidades del tratamiento.
• El tratamiento de los datos se hará conforme a lo convenido en el aviso de privacidad.

Transferencias sin Consentimiento

• Las transferencias nacionales o internacionales de datos pueden llevarse a cabo sin el consentimiento del titular en ciertos supuestos, como:
  • Cuando esté prevista en una ley o tratado.
  • Cuando sea necesaria para la prevención o el diagnóstico médico.
  • Cuando se efectúe a sociedades bajo el control común del responsable.
  • Cuando sea necesaria por virtud de un contrato en interés del titular.
  • Cuando sea necesaria para la salvaguarda de un interés público o para la procuración o administración de justicia.
  • Cuando sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, y
  • Cuando sea precisa para el mantenimiento o cumplimiento de una relación jurídica entre el responsable y el titular.

El Instituto Federal de Acceso a la Información y Protección de Datos (IFAI)

• El Instituto tiene por objeto difundir el conocimiento del derecho a la protección de datos personales, promover su ejercicio y vigilar por la debida observancia de las disposiciones de la ley.
• Tiene atribuciones como vigilar el cumplimiento de la ley, interpretar la ley en el ámbito administrativo, proporcionar apoyo técnico a los responsables, emitir criterios y recomendaciones, divulgar estándares internacionales, conocer y resolver los procedimientos de protección de derechos y de verificación, cooperar con otras autoridades y organismos, rendir un informe anual al Congreso de la Unión, entre otras.

La Secretaría de Economía

• Tiene como función difundir el conocimiento de las obligaciones en torno a la protección de datos personales entre la iniciativa privada nacional e internacional con actividad comercial en territorio mexicano, promover las mejores prácticas comerciales en torno a la protección de los datos personales como insumo de la economía digital, y el desarrollo económico nacional en su conjunto.
• Tiene atribuciones como emitir lineamientos para el contenido y alcances de los avisos de privacidad en coadyuvancia con el Instituto, emitir disposiciones administrativas de carácter general, fijar parámetros para el desarrollo de mecanismos de autorregulación, llevar a cabo registros de consumidores, celebrar convenios con cámaras de comercio, diseñar e instrumentar políticas para la modernización del comercio electrónico, acudir a foros comerciales, y apoyar la realización de eventos de difusión.

Esquemas de Autorregulación

• Las personas físicas o morales pueden convenir entre ellas o con organizaciones civiles o gubernamentales, esquemas de autorregulación vinculante en la materia, que complementen lo dispuesto por la ley.
• Estos esquemas deben contener mecanismos para medir su eficacia, consecuencias y medidas correctivas en caso de incumplimiento.

Procedimiento de Protección de Derechos ante el IFAI

• El procedimiento se inicia a instancia del titular de los datos o de su representante legal, expresando con claridad el contenido de su reclamación y de los preceptos de esta Ley que se consideran vulnerados.
• La solicitud de protección de datos deberá presentarse ante el Instituto dentro de los quince días siguientes a la fecha en que se comunique la respuesta al titular por parte del responsable.
• Recibida la solicitud de protección de datos ante el Instituto, se dará traslado de la misma al responsable, para que, en el plazo de quince días, emita respuesta, ofrezca las pruebas que estime pertinentes y manifieste por escrito lo que a su derecho convenga.

Resolución del IFAI

• El plazo máximo para dictar la resolución en el procedimiento de protección de derechos será de cincuenta días.
• Las resoluciones del Instituto podrán sobreseer o desechar la solicitud de protección de datos por improcedente, o Confirmar, revocar o modificar la respuesta del responsable.

El Procedimiento de Verificación

• El Instituto verificará el cumplimiento de la presente Ley y de la normatividad que de ésta derive. La verificación podrá iniciarse de oficio o a petición de parte.
• La verificación de oficio procederá cuando se dé el incumplimiento a resoluciones dictadas con motivo de procedimientos de protección de derechos a que se refiere el Capítulo anterior o se presuma fundada y motivadamente la existencia de violaciones a la presente Ley.

Sanciones

• El Instituto podrá imponer sanciones como: apercibimiento, multa de 100 a 160,000 días de salario mínimo vigente en el Distrito Federal, multa de 200 a 320,000 días de salario mínimo vigente en el Distrito Federal, y multa adicional que irá de 100 a 320,000 días de salario mínimo vigente en el Distrito Federal.

Delitos

• Se impondrán de tres meses a tres años de prisión al que estando autorizado para tratar datos personales, con ánimo de lucro, provoque una vulneración de seguridad a las bases de datos bajo su custodia.
• Se sancionará con prisión de seis meses a cinco años al que, con el fin de alcanzar un lucro indebido, trate datos personales mediante el engaño, aprovechándose del error en que se encuentre el titular o la persona autorizada para transmitirlos.
• Tratándose de datos personales sensibles, las penas a que se refiere este Capítulo se duplicarán.

Preguntas sobre la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Incluye las partes, definiciones y principios de la ley. Ideal para estudiantes de derecho.