regulaciÓn en materia de proteciÓn de datos personales en posesiÓn de particulares lina gabriela...
Post on 28-Jan-2016
217 Views
Preview:
TRANSCRIPT
REGULACIÓN EN MATERIA DE PROTECIÓN DE DATOS
PERSONALES EN POSESIÓN DE PARTICULARES
LINA GABRIELA ORNELAS NÚÑEZPROFESORA INVESTIGADORA ASOCIADACENTRO DE INVESTIGACIÓN Y DOCENCIA ECONÓMICAS (CIDE)
2
¿QUÉ ES LA PROTECCIÓN DE DATOS?
Derecho fundamental del titular
Obligación de quien trata datos personales
3
PLAN DE EXPOSICIÓNPrimera parte
• Conceptos básicos– Titular– Datos personales – Bases de datos– Tratamiento– Responsable y encargado del tratamiento– La persona o departamento de datos personales– Otras definiciones
• ¿Por qué tengo que seguir las instrucciones internas en el tratamiento de datos personales?
– El objeto de la normatividad sobre protección de datos– Conocer los riesgos que implica el tratamiento de datos personales– Necesidad de evitar sanciones– Consecuencias en casos de incumplimiento para los empleados
• Los principios a observar en el tratamiento de datos personales– Responsabilidad– Licitud– Consentimiento– Información– Calidad– Finalidad– Lealtad– Proporcionalidad
4
CONCEPTOS
¿QUÉ ES LA PROTECCIÓN DE DATOS?
5
TITULAR
Persona física a quien
corresponden los datos personales.
Los clientes de la empresa, seguidores
en redes sociales, contactos, etc.
Tú, tu espos@, tus hij@s,
amig@s, etc.
6
TITULAR
TITULAR
De los datos
personales
De los derechos
ARCO
7
DATOS PERSONALES
Datos personales
Cualquier información concerniente a una persona física identificada o identificable.
Datos personales sensibles
Aquellos datos personales que afecten a la esfera más íntima de su titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste.
8
DATOS PERSONALES
Datos Personales
Número de teléfono
Dirección postal
Cualquier información
concerniente a una persona física
identificada o identificable.
Nombre y
apellidos
9
DATOS PERSONALES
Una dirección de e-mail, ¿es un dato personal?
10
DATOS PERSONALES
Los datos personales podrán estar expresados en forma: • numérica, • alfabética, • gráfica, • fotográfica, • acústica o • de cualquier otro tipo, • concerniente a una persona física
identificada o persona física identificable.
11
DATOS PERSONALES SENSIBLES
Origen racial o étnico
Estado de salud presente
y futuro
Información genética
Opiniones políticas
Afiliación sindical
Creencias religiosas,
filosóficas y morales
Preferencia sexual
12
DATOS PERSONALES SENSIBLES
Que me haya lesionado un pie, ¿es un dato sensible?
13
BASES DE DATOS
Medidas de seguridad aplicables.
14
BASES DE DATOS
Conj
unto ordenado
Criterio lógico
Datos personales
Cualquier información concerniente a una persona física identificada o identificable.
Trata
mi
ento
Por cualquier medio.
15
BASES DE DATOS
Clientes
Empleados (RR.HH.)
Agenda de contactos (Marketing
)
Proveedores que sean
personas físicas
Colaborado-res
externos
16
TRATAMIENTO
De datos personales
ObtenciónUso
DivulgaciónAlmacenamiento
El uso abarca cualquier acción de:
- Acceso,- Manejo,
- Aprovechamiento,- Transferencia,- Disposición de
datos.
Por cualquier medio
17
TRATAMIENTO DE DATOS PERSONALES
Verlo
s en p
antalla
.
Obtener datos personales mediante
un formulario electrónico o en papel.
Imprimir documentos.
Crear una base de
datos.
Enviar un e-mail que contenga un
archivo con datos personales.Remitirlos al encargado
del tratamiento. Transferir datos a las autoridades competentes.
Cumplimentar un contrato.
Rec
tifica
r dat
os
inco
rrec
tos.
Borrar datos.
18
RESPONSIBLE DEL TRATAMIENTO
Persona física o moral.
De carácter privado.
Que decide.
Sobre el tratamiento.
19
RESPONSABLE DEL TRATAMIENTO
Decide sobre el
tratamiento de los datos personales.
Empleados
Clientes
Otros
20
RESPONSABLE DEL TRATAMIENTO
Departamento de
Recursos Humanos
No decide sobre el tratamiento
Trata datos para cumplir sus funciones como parte del
responsable
El responsable es la empresa o asociación
Otros Departamen
tos
Misma situación (Marketing, Jurídico, etc.)
21
ENCARGADO DEL TRATAMIENTOTrata datos personales.
Por cuenta del responsable.
22
RESPONSABLE Y ENCARGADO
Responsable del tratamiento Encargado del tratamiento
Decide sobre el tratamiento de datos personales.
No decide.
Trata datos personales por cuenta del responsable.
Da instrucciones al encargado. Tiene que seguir las instrucciones del responsable.
Empresa que presta servicios a la asociación,
tales como almacenamiento de bases
de datos, contador externo, asistencia técnica, etc.
23
PERSONA O DEPARTAMENTO DE DATOS PERSONALES
PersonaDepartamento• Específico
Departamento• TI• Asuntos Legales• RR.HH.• Marketing• Otros
24
PERSONA O DEPARTAMENTO DE DATOS PERSONALES
Persona o departament
o
Fomentará la protección de
datos al interior de la organización
Dará trámite a las solicitudes de ejercicio de
derechos ARCO
25
PERSONA O DEPARTAMENTO DE DATOS PERSONALES
Procedimiento mediante el cual los datos personales
No pueden asociarse al titular
Ni permitir, por su estructura, contenido o grado de
desagregación, la identificación del mismo
26
PERSONA O DEPARTAMENTO DE DATOS PERSONALES
Recomendaciones del IFAI para la Designación de la Persona o
Departamento de Datos Personales http://
inicio.ifai.org.mx/DocumentosdeInteres/privacidadresponsable.pdf
27
PERSONA O DEPARTAMENTO DE DATOS PERSONALES (IFAI)
Funciones en materia de atención de solicitudes de derechos:
1. Establecer y administrar procedimientos para la recepción, tramitación, seguimiento y atención oportuna de las solicitudes para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, así como para la atención de quejas o solicitudes presentadas por los titulares relacionadas con las políticas y/o prácticas de protección de datos personales desarrolladas por la organización, y 2. Monitorear los avances o cambios legislativos en materia de privacidad y protección de datos personales que pudieran impactar en los ejes rectores y acciones desarrolladas en este tema al interior de la organización, haciendo las adecuaciones necesarias.
28
PERSONA O DEPARTAMENTO DE DATOS PERSONALES (IFAI)
Funciones en materia de fomento de la protección de datos al interior de la organización:
1. Diseñar y ejecutar una política y/o prácticas de protección de datos personales al interior de la organización, o bien, adecuar y mejorar las prácticas ya existentes en el marco de la Ley; 2. Alinear esta política y/o prácticas -incluyendo sus objetivos, acciones estratégicas, líneas de acción, asignación de roles y responsabilidades generales y específicas y un procedimiento y plazos de implementación- a los procesos internos de la organización que demanden o aprovechen información personal; 3. Desarrollar un mecanismo para evaluar la eficacia y eficiencia de esta política y/o prácticas; 4. Monitorear y evaluar los procesos internos de la organización vinculados con la obtención, uso, explotación, conservación, aprovechamiento, cancelación y transferencia de datos personales, a fin de asegurar que la información sea protegida, tratada conforme a los principios de la Ley y respetada; 5. Colaborar y coordinar acciones con otras áreas de la organización como la legal, de tecnologías, sistemas, seguridad de la información, mercadotecnia, atención al cliente, recursos humanos, entre otras, a efecto de asegurar el debido cumplimiento de la política y/o prácticas de privacidad en sus procesos internos, formatos, avisos, recursos y gestiones que se lleven a cabo; 6. Asegurar que la política y/o prácticas de protección de datos personales cumplan con la Ley y demás normatividad aplicable; 7. Difundir y comunicar la política y/o prácticas de protección de datos personales implementadas al interior de la organización, así como capacitar a todo el personal sobre las mismas; 8. Fomentar una cultura de protección de datos personales orientada a elevar el nivel de concienciación del personal y terceros involucrados, como encargados, en el tratamiento de datos personales; 9. Monitorear el cumplimiento de la política y/o prácticas de protección de datos personales de las sociedades subsidiarias o afiliadas bajo el control de común de la organización o cualquier sociedad del mismo grupo del responsable que opere y le sean aplicables estas prácticas; 10. Identificar e implementar mejores prácticas relacionadas con la protección de datos personales; 11. Promover la adopción de esquemas de autorregulación, y 12. Ser el representante de la organización en materia de protección de datos personales ante otros actores.
29
TRANSFERENCIA Y REMISIÓN
TRANSFERENCIA
REMISIÓN
30
TRANSFERENCIA Y REMISIÓN
TRANSFERENCIA REMISIÓNToda comunicación de datos realizada a persona distinta del responsable o encargado del tratamiento.
La comunicación de datos personales entre el responsable y el encargado, dentro o fuera del territorio mexicano.
31
FUENTE DE ACCESO PÚBLICOAquellas bases de datos cuya consulta puede ser realizada por cualquier persona.
Sin más requisito que, en su caso, el pago de una contraprestación.
De conformidad con lo señalado por el Reglamento de esta Ley.
32
FUENTE DE ACCESO PÚBLICO
I. Los medios remotos o locales de comunicación electrónica, óptica y de
otra tecnología, siempre que el sitio donde se encuentren los datos
personales esté concebido para facilitar información al público y esté abierto a
la consulta general.
II. Los directorios
telefónicos en términos de la
normativa específica.
III. Los diarios, gacetas o boletines
oficiales, de acuerdo con su
normativa.
IV. Los medios de
comunicación social.
33
¿POR QUÉ TENGO QUE SEGUIR LAS INSTRUCCIONES INTERNAS?
¿QUÉ ES LA PROTECCIÓN DE DATOS?
34
OBJETO DE LA NORMATIVIDAD
LFPDPPP y su Reglamento
FinalidadRegular su tratamiento legítimo, controlado e
informado
Garantizar la privacidad y el derecho a la autodeterminación
informativa de las personas
ObjetoProtección de los datos personales en
posesión de los particulares
35
TRATAMIENTO
LegítimoControladoInformado
36
RIESGOS QUE IMPLICA EL TRATAMIENTO
Sancione
sEconómicas
Mala imagen
Pérdida de clientes
Otros
Para el responsable y quienes tratan datos personales
37
SANCIONES
Admi
nistrativas
Multas económicas previstas en la LFPDPPP
Civiles
Exigencia de responsabilidad civil al responsable en caso de incumplimiento que cause un daño al titular
Penal
es
Exigencia de responsabilidad penal (cárcel) en caso de que se cometa un delito tipificado en la Ley
38
SANCIONES EN LA LFPDPPP
100 días de salario mínimo vigente (@ 64.76 pesos) = 6476 pesos
320,000 días de salario mínimo vigente = 20,723,200 pesos Mínimo
Máximo
39
SANCIONES EN LA LFPDPPP
Datos sensibles
Los montos podrán
incrementarse hasta por dos
veces
Total = 41,446,400
pesos
40
EVITAR SANCIONES
Una multa podría
suponer la quiebra de la
empresa
La multa hace que los clientes pierdan
confianza
Una multa significa que la
empresa no cumple con la
legalidad
La empresa podría pedir
responsabilidades a quien cometió la infracción
41
CONSECUENCIAS PARA LOS EMPLEADOS
Perder la confianza del patrón
Exigencia interna de
responsabilidad
Pérdida de oportunidades de ascensos,
mejoras económicas,
etc.
Despido
42
PRINCIPIOS A OBSERVAR EN EL TRATAMIENTO DE DATOS
PERSONALES
¿QUÉ ES LA PROTECCIÓN DE DATOS?
43
PRINCIPIOS DE LA PROTECCIÓN DE DATOS
Principios
Responsa-bilidad
Licitud
Consenti-miento
Informa-ciónCalidad
Finalidad
Lealtad
Proporcio-nalidad
44
RESPONSABILIDAD
Entre las medidas que podrá adoptar el responsable se encuentran por lo menos las siguientes:I. Elaborar políticas y programas de privacidad obligatorios y exigibles al interior de la organización del responsable;II. Poner en práctica un programa de capacitación, actualización y concientización del personal sobre las obligaciones en materia de protección de datos personales;III. Establecer un sistema de supervisión y vigilancia interna, verificaciones o auditorías externas para comprobar el cumplimiento de las políticas de privacidad;IV. Destinar recursos para la instrumentación de los programas y políticas de privacidad;V. Instrumentar un procedimiento para que se atienda el riesgo para la protección de datos personales por la implementación de nuevos productos, servicios, tecnologías y modelos de negocios, así como para mitigarlos;VI. Revisar periódicamente las políticas y programas de seguridad para determinar las modificaciones que se requieran;VII. Establecer procedimientos para recibir y responder dudas y quejas de los titulares de los datos personales;VIII. Disponer de mecanismos para el cumplimiento de las políticas y programas de privacidad, así como de sanciones por su incumplimiento;IX. Establecer medidas para el aseguramiento de los datos personales, es decir, un conjunto de acciones técnicas y administrativas que permitan garantizar al responsable el cumplimiento de los principios y obligaciones que establece la Ley y el presente Reglamento, oX. Establecer medidas para la trazabilidad de los datos personales, es decir, acciones, medidas y procedimientos técnicos que permiten rastrear a los datos personales durante su tratamiento.
45
LICITUDPrincipio de licitud
Con apego a la Ley.
Cumpliendo los principios de la protección de datos personales.
46
LICITUD
Actuación fraudulenta o engañosa
I. Exista dolo, mala fe o negligencia en la información proporcionada al titular sobre el tratamiento;
II. Se vulnere la expectativa razonable de privacidad del titular;
III. Las finalidades no son las informadas en el aviso de privacidad.
47
LICITUD
¿Qué ocurre si se han obtenido datos personales mediante engaño?
48
LICITUDTratamiento ilícito
Comisión de infracciónDar tratamiento a los datos personales en contravención a los principios establecidos en la Ley (fracción IV del artículo 63 de la LFPDPPP)
Otras sanciones (pérdida de clientes, etc.)
Obtener datos personales mediante
engaño
49
CONSENTIMIENTO
Definición
Manifestación de la voluntad del titular de los datos mediante la cual se efectúa el tratamiento de los mismos.
Validez
Cosentimiento informado
Legitimación
Es uno de los principios de la LFPDPPP, si bien se considera la causa principal legitimadora del tratamiento.
Inequívoco
En el caso del consentimiento expreso, de manera que existan elementos que indubitablemente demuestren su consentimiento.
50
CONSENTIMIENTO
Opt-out Opt-inRegla genera
l
Excepción
51
CARACTERÍSTICAS DEL CONSENTIMIENTO
Li
bre
Sin que medie error, mala fe, violencia o dolo, que puedan afectar la manifestación de voluntad del titular
Específico
Referido a una o varias finalidades determinadas que justifiquen el tratamiento
Infor
mado
Que el titular tenga conocimiento del aviso de privacidad previo al tratamiento a que serán sometidos sus datos personales y las consecuencias de otorgar su consentimiento
52
FORMAS DEL CONSENTIMIENTO
CONSENTIMIENTO
TácitoExpreso• Verbal• Por escrito
53
FORMAS DEL CONSENTIMIENTO
CRITERIO UTILIZADO
PARA DETERMINAR
QUÉ FORMA ES NECESARIA
NATURALEZA DE LOS DATOS PERSONALES
TRATADOS
54
CONSENTIMIENTO EXPRESO
I. Lo exija una ley o reglamento;
II. Se trate de datos financieros o patrimoniales;
III. Se trate de datos sensibles;
IV. Lo solicite el responsable para acreditar el mismo, o
V. Lo acuerden así el titular y el responsable (art. 15 del Reglamento de la Ley).
55
CONSENTIMIENTO
¿Siempre es necesario el consentimiento?
56
CONSENTIMIENTO
No será necesario el consentimiento para el tratamiento de los datos personales cuando (art. 10 de la LFPDPPP): I. Esté previsto en una Ley; II. Los datos figuren en fuentes de acceso público; III. Los datos personales se sometan a un procedimiento previo de disociación; IV. Tenga el propósito de cumplir obligaciones derivadas de una relación jurídica entre el titular y el responsable; V. Exista una situación de emergencia que potencialmente pueda dañar a un individuo en su persona o en sus bienes; VI. Sean indispensables para la atención médica, la prevención, diagnóstico, la prestación de asistencia sanitaria, tratamientos médicos o la gestión de servicios sanitarios, mientras el titular no esté en condiciones de otorgar el consentimiento, en los términos que establece la Ley General de Salud y demás disposiciones jurídicas aplicables y que dicho tratamiento de datos se realice por una persona sujeta al secreto profesional u obligación equivalente, o VII. Se dicte resolución de autoridad competente.
57
CONSENTIMIENTO
Las transferencias nacionales o internacionales de datos podrán llevarse a cabo sin el consentimiento del titular cuando se dé alguno de los siguientes supuestos (art. 37 de la LFPDPPP): I. Cuando la transferencia esté prevista en una Ley o Tratado en los que México sea parte; II. Cuando la transferencia sea necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios; III. Cuando la transferencia sea efectuada a sociedades controladoras, subsidiarias o afiliadas bajo el control común del responsable, o a una sociedad matriz o a cualquier sociedad del mismo grupo del responsable que opere bajo los mismos procesos y políticas internas; IV. Cuando la transferencia sea necesaria por virtud de un contrato celebrado o por celebrar en interés del titular, por el responsable y un tercero; V. Cuando la transferencia sea necesaria o legalmente exigida para la salvaguarda de un interés público, o para la procuración o administración de justicia; VI. Cuando la transferencia sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, y VII. Cuando la transferencia sea precisa para el mantenimiento o cumplimiento de una relación jurídica entre el responsable y el titular.
58
REVOCACIÓN DEL CONSENTIMIENTO
Por el titular
Sin que se le atribuyan efectos
retroactivos
En cualquier momento
59
REVOCACIÓN DEL CONSENTIMIENTO
¿Siempre se puede revocar el consentimiento dado para el
tratamiento de datos personales?
60
REVOCACIÓN DEL CONSENTIMIENTO
No, si una disposición legal lo impide
Es decir, obliga al responsable a tratar los datos personales
61
PRUEBA DEL CONSENTIMIENTO
La carga de la prueba recae siempre sobre el responsable.
62
INFORMACIÓN
Información al titular de los datos.
Aviso de Privacidad.
63
AVISO DE PRIVACIDAD
Documento físico, electrónico o cualquier otro
formato
Generado por el responsable que
es puesto a disposición del
titular
Previo al tratamiento de
sus datos personales
64
CARACTERÍSTICAS
Sencillo
Expresado en lenguaje
claro y comprensibl
e
Con una estructura y diseño que facilite su
entendimiento
Con información necesaria
65
CONTENIDO MÍNIMO
I. La identidad y domicilio del responsable que los recaba;II. Las finalidades del tratamiento de datos;III. Las opciones y medios que el responsable ofrezca a los titulares para limitar el uso o divulgación de los datos;IV. Los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición, de conformidad con lo dispuesto en esta Ley;V. En su caso, las transferencias de datos que se efectúen,VI. El procedimiento y medio por el cual el responsable comunicará a los titulares de cambios al aviso de privacidad, de conformidad con lo previsto en esta Ley.
66
CONTENIDO MÍNIMO
En el supuesto de que se traten datos personales sensibles, deberá indicarse expresamente tal
circunstancia
67
PUESTA A DISPOSICIÓN
• Obtenidos directamente del titular:– Personalmente del titular– Directamente del titular por cualquier medio electrónico,
óptico, sonoro o visual, o a través de cualquier otra tecnología
• Obtenidos indirectamente del titular:– En el primer contacto que se tenga con el titular cuando los
datos personales sean:* Tratados para una finalidad prevista en la transferencia
consentida.* Obtenidos de una fuente de acceso público.
– Previo al aprovechamiento de los datos personales:* Cuando el responsable pretenda utilizar los datos
personales para una finalidad distinta a la consentida, es decir, tenga lugar un cambio de finalidad.
68
INFORMACIÓN
Resolución Nº PS/0002/12, de 14 de noviembre de 2012. Infractor:
Pharma Plus, S.A. de C.V.
69
INFORMACIÓN
Infracción Art. de la LFPDPPP Monto Días de salario mínimo
Contravenir el principio de información en el tratamiento de datos personales
63, fracción IV $1,500,033.78 24,066 días
Omitir el elemento de identidad en el aviso de privacidad
63, fracción V $500,011.26 8,022 días
Total — $2,000,0045 32,088 días
70
CALIDAD
Finalidad
Exactos
Completos
Pertinentes
Correctos
Actualizados
71
CALIDAD
¿Quién tiene que velar por la calidad de los datos personales?
72
CALIDAD
¿Por qué es importante la calidad de los datos personales?
73
CALIDAD
DATO INEXACTO
DATO FALSO
AFECTA OTROS
DERECHOS Y LIBERTADES
DE LOS INDIVIDUOS
74
FINALIDAD
Determinadas.
Explícitas.
Legítimas.
Relacionadas con la actividad del responsable.
75
FINALIDAD
Para qué serán tratados los
datos
ClaridadSin lugar a confusiónDe manera
objetiva
76
FINALIDAD
Siempre que los mismos no sean incompatibles con los que motivaron el tratamiento inicial del dato.
77
FINALIDAD
Si el responsable pretende tratar los datos para un fin distinto que no resulte compatible o análogo a los fines establecidos en aviso de privacidad
Se requerirá obtener nuevamente el consentimiento del titular.
78
FINALIDADNo podrán crearse bases de datos que contengan datos personales sensibles
Sin que se justifique la creación de las mismas
Para finalidades legítimas, concretas y acordes
Con las actividades o fines explícitos que persigue el sujeto regulado
Datos personales sensibles
79
LEALTAD
Confianza que
deposita cualquier
persona en otra
Respecto de que los datos
personales proporcionados entre ellos
Expectativa
razonable de
privacidad
Serán tratados
conforme a lo que
acordaron las partes
80
PROPORCIONALIDAD
Datos proporciona
les
NecesariosAdecuados
Relevantes
81
PROPORCIONALIDAD
Mínima cantidad de información en atención a la finalidad (minimización)
82
¿Cuáles son los principios que tienen que cumplirse en el tratamiento de
datos personales?
83
GUÍA PRÁCTICA DEL IFAI
• Al momento de recabar los datos personales
Fase 1
84
GUÍA PRÁCTICA DEL IFAI
Fase Obligaciones
Al momento de recabar los datos personales
1. Dar un uso a los datos personales respetando la ley, desde el momento de su obtención (principio de licitud).2. No utilizar medios engañosos o fraudulentos para obtener los datos personales (principio de lealtad).3. Poner a disposición el aviso de privacidad, de tal manera que el titular pueda conocer de qué forma serán tratados sus datos personales y cómo podrá ejercer sus derechos ARCO (principio de información).4. Obtener el consentimiento o autorización del titular para el tratamiento de sus datos personales, salvo las excepciones previstas en el artículo 10 de la Ley. Cuando se recaben datos personales sensibles el consentimiento del titular deberá ser expreso y por escrito. En el caso de datos personales de carácter patrimonial o financiero, el consentimiento del titular deberá ser expreso únicamente. Fuera de estos dos casos, como regla general es válido el consentimiento tácito (principio de consentimiento) siempre y cuando se ponga a disposición de los individuos titulares de los datos, el aviso de privacidad, en el que se indique lo que se hará con su información. 5. Evitar la creación de bases de datos de carácter sensible, salvo que se justifique plenamente la necesidad del tratamiento para la consecución de finalidades legítimas y concretas relacionadas con las actividades estatutarias o comerciales que persigue el responsable.6. Recabar sólo aquellos datos personales que sean necesarios para las finalidades para las que se obtienen.
85
GUÍA PRÁCTICA DEL IFAI
Obligaciones1. Utilizar los datos personales respetando la Ley (principio de licitud).2. Respetar la expectativa razonable de privacidad del titular, es decir, la confianza que depositó este último en el responsable, respecto de los datos personales que serán tratados conforme a lo que acordaron y en los términos establecidos por la Ley (principio de lealtad).3. Limitar el tratamiento de la información personal al cumplimiento de las finalidades previamente consentidas por el titular (principio de finalidad).4. Usar los datos personales que resulten estrictamente necesarios para cumplir con las finalidades para las cuales fueron recabados (principio de proporcionalidad).5. Mantener los datos personales actualizados y correctos (principio de calidad).6. Limitar el periodo de conservación de la información personal tratada al mínimo necesario (principio de calidad).7. Mantener la confidencialidad de los datos personales tratados (deber de confidencialidad).8. Implementar medidas de seguridad de carácter administrativo, físico y técnico que garanticen la confidencialidad e integridad de los datos personales (deber de seguridad).9. Informar al titular, sin demora alguna, sobre las vulneraciones de seguridad ocurridas en cualquier fase del tratamiento que afecten de forma significativa los derechos patrimoniales o morales de éste, en cuanto se confirme la vulneración sucedida (deber de seguridad).10. Adoptar las medidas necesarias para cumplir con las obligaciones establecidas en la Ley (principio de responsabilidad).11. Rendir cuentas al titular en caso de algún incumplimiento con relación a la protección de sus datos personales (principio de responsabilidad).12. Comunicar los datos personales a terceros nacionales o extranjeros únicamente con la autorización del titular, salvo las excepciones previstas en la Ley, y hacer del conocimiento de los receptores de los datos personales el aviso de privacidad y las finalidades a las que el titular sujetó el tratamiento de su información personal.
86
GUÍA PRÁCTICA DEL IFAI
Fase Obligaciones
Una vez finalizado el tratamiento Suprimir los datos personales cuando hayan concluido las finalidades que dieron origen al tratamiento, previo bloqueo (principio de calidad).
87
PLAN DE EXPOSICIÓNSegunda parte
• Los deberes de quien trata datos personales– Medidas de seguridad– Confidencialidad
• Los derechos ARCO
– Acceso– Rectificación– Cancelación– Oposición
• Consejos prácticos para minimizar riesgos y garantizar el cumplimiento
– Cumplir con la política o reglas de privacidad corporativas– Seguir los procedimientos establecidos o que se establezcan– Notificar internamente incumplimientos o potenciales incumplimientos
• Conclusiones
88
DEBERES A OBSERVAR EN EL TRATAMIENTO DE DATOS
PERSONALES
¿QUÉ ES LA PROTECCIÓN DE DATOS?
89
Medidas de seguridad
Confidencialida
d
Deberes del
responsable y
encargado del
tratamiento
DEBERES EN PROTECCIÓN DE DATOS
90
Garantizar
- Confidencialidad- Integridad- Disponibilidad
Proteger
Los datos personales
Evitar
Daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado
MEDIDAS DE SEGURIDAD
91
Administrativas
Físicas
Técnicas
MEDIDAS DE SEGURIDAD
92
Conjunto de acciones y mecanismos para:
Establecer la gestión, soporte y revisión de la seguridad de la información a nivel organizacional, la identificación y clasificación de la información, así como la concienciación, formación y capacitación del personal, en materia de protección de datos personales.
ADMINISTRATIVAS
93
Conjunto de acciones y mecanismos, ya sea que empleen o no la tecnología, destinados para:
a) Prevenir el acceso no autorizado, el daño o interferencia a las instalaciones físicas, áreas críticas de la organización, equipo e información;b) Proteger los equipos móviles, portátiles o de fácil remoción, situados dentro o fuera de las instalaciones;c) Proveer a los equipos que contienen o almacenan datos personales de un mantenimiento que asegure su disponibilidad, funcionalidad e integridad, yd) Garantizar la eliminación de datos de forma segura.
FÍSICAS
94
Conjunto de actividades, controles o mecanismos con resultado medible, que se valen de la tecnología para asegurar que:
TÉCNICAS
95
MEDIDAS DE SEGURIDAD
96
I. El riesgo inherente
por tipo de dato
personal.
II. La sensibilidad de los datos personales tratados.
III. El desarrollo
tecnológico.
IV. Las posibles
consecuencias de una
vulneración para los titulares.
FACTORES PARA DETERMINAR LAS MEDIDAS
97
I. El número de titulares.
II. Las vulnerabilidad
es previas ocurridas en los sistemas
de tratamiento.
III. El riesgo por el valor potencial cuantitativo o cualitativo que
pudieran tener los datos personales tratados para una tercera persona no autorizada para su
posesión.
IV. Demás factores que puedan incidir
en el nivel de riesgo o que
resulten de otras leyes o regulación
aplicable al responsable.
OTROS FACTORES
98
I. Elaborar un inventario de datos personales y de los sistemas de tratamiento;
II. Determinar las funciones y obligaciones de las personas que traten datos personales;
III. Contar con un análisis de riesgos de datos personales que consiste en identificar peligros y estimar los riesgos a los datos personales;
IV. Establecer las medidas de seguridad aplicables a los datos personales e identificar aquéllas implementadas de manera efectiva;
V. Realizar el análisis de brecha que consiste en la diferencia de las medidas de seguridad existentes y aquéllas faltantes que resultan necesarias para la protección de los datos personales;
VI. Elaborar un plan de trabajo para la implementación de las medidas de seguridad faltantes, derivadas del análisis de brecha;
VII. Llevar a cabo revisiones o auditorías;
VIII. Capacitar al personal que efectúe el tratamiento, y
IX. Realizar un registro de los medios de almacenamiento de los datos personales.
ACCIONES PARA LA SEGURIDAD
99
ACCIONES CÍCLICAS
100
I. Se modifiquen las medidas o procesos de seguridad para su mejora continua, derivado de las revisiones a la política de seguridad del responsable.
II. Se produzcan modificaciones sustanciales en el tratamiento que deriven en un cambio del nivel de riesgo.
IV. Exista una afectación a los datos personales distinta a las anteriores.
Si hay datos sensibles, una vez
al año
ACTUALIZACIÓN DE LAS MEDIDAS
101
I. La pérdida o destrucción no
autorizada.
II. El robo, extravío o copia no
autorizada.
III. El uso, acceso o
tratamiento no autorizado.
IV. El daño, la alteración o modificación
no autorizada.
VULNERACIONES DE SEGURIDAD
102
I. La naturaleza
del incidente.
II. Los datos personales
comprometidos.
III. Las recomendaciones al titular acerca de las
medidas que éste pueda adoptar para proteger
sus intereses.
IV. Las acciones correctivas
realizadas de forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
INFORMACIÓN AL TITULAR
103
Medidas si concurre una
vulneración de datos
Acciones correctivas
Acciones preventivasAcciones de
mejora
MEDIDAS CORRECTIVAS Y PREVENTIVAS
104
Obligación de guardar sigilo o silencio sobre los datos personales que se traten.
Del responsable.
De quienes intervengan en cualquier fase del tratamiento de los datos personales.
Incluso una vez finalizada la relación laboral o contractual con el responsable del tratamiento.
CONFIDENCIALIDAD
105
DERECHOS ARCO
¿QUÉ ES LA PROTECCIÓN DE DATOS?
106
AccesoRectificació
n
Cancelación
Oposición
DERECHOS ARCO
107
“Los titulares tienen derecho a acceder a sus datos personales que obren en poder del responsable, así como conocer el Aviso de Privacidad al que está sujeto el tratamiento” (art. 23 de la LFPDPPP).
ACCESO
108
“El titular de los datos tendrá derecho a rectificarlos cuando sean inexactos o incompletos” (art. 24 de la LFPDPPP).
RECTIFICACIÓN
109
“El titular tendrá en todo momento el derecho a cancelar sus datos personales.La cancelación de datos personales dará lugar a un periodo de bloqueo tras el cual se procederá a la supresión del dato. El responsable podrá conservarlos exclusivamente para efectos de las responsabilidades nacidas del tratamiento. El periodo de bloqueo será equivalente al plazo de prescripción de las acciones derivadas de la relación jurídica que funda el tratamiento en los términos de la Ley aplicable en la materia” (art. 25 de la LFPDPPP).
CANCELACIÓN
110
“El titular tendrá derecho en todo momento y por causa legítima a oponerse al tratamiento de sus datos. De resultar procedente, el responsable no podrá tratar los datos relativos al titular” (art. 27 de la LFPDPPP).
OPOSICIÓN
111
Ejercicio personal (titular o
representante legal)
El ejercicio de un derecho no
es requisito previo ni
impedimento para el ejercicio de otro derecho
Sencillez Gratuidad
CARACTERÍSTICAS DEL EJERCICIO
112
El responsable del tratamiento:
Atiende al ejercicio de los derechos.
Resguardará los datos personales de tal manera que permitan el ejercicio de los derechos sin dilación.
ATENCIÓN POR EL RESPONSABLE
113
El nombre del titular y domicilio u otro medio para comunicarle la respuesta a su solicitud.
Cualquier otro elemento o documento que facilite la localización de los datos personales.
Contenido mínimo
SOLICITUDES DE EJERCICIO
114
Medi
os de comunicación
Habilitar medios remotos o locales de comunicación electrónica u otros que considere pertinentes.
Formularios, siste
mas y
otros
métodos
Establecer formularios, sistemas y otros métodos simplificados, mismos que deben ser informados en el aviso de privacidad.
Se
rvicios de
atención al pú
blico
Utilizar los servicios de atención al público o de reclamaciones que tiene en operación, siempre y cuando los plazos de respuesta no sean mayores a los señalados por la Ley. En tal caso, la identidad del titular se considerará acreditada por los medios establecidos por el responsable para la identificación de los titulares en la prestación de sus servicios o contratación de sus productos, siempre que a través de dichos medios se garantice la identidad del titular.
CAPACITACIÓN CONTADORES PÚBLICOS
GUÍAS PARA EL EJERCIO DEL IFAI
Fuente: Guía práctica para la atención de las solicitudes de ejercicio de los Derechos ARCO, disponible en http://inicio.ifai.org.mx/Publicaciones/02GuiaAtencionSolicitudesARCO.pdf, y la Guía práctica para ejercer el derecho a la Protección de Datos Personales, disponible en http://inicio.ifai.org.mx/Publicaciones/01GuiaPracticaEjercerelDerecho.pdf
115
CONSEJOS PRÁCTICOS PARA MINIMIZAR RIESGOS Y
GARANTIZAR EL CUMPLIMIENTO
¿QUÉ ES LA PROTECCIÓN DE DATOS?
116
Cumplir con la política o reglas de privacidad corporativas
Seguir los procedimientos establecidos o que se establezcan
Notificar internamente incumplimientos o potenciales incumplimientos
CONSEJOS PRÁCTICOS
117
Identificar/valorar riesgos
Adoptar medidas
Verificar el cumplimient
o
Educar y concientizar
CONSEJOS PRÁCTICOS
118
Aplicación práctica
apoyada en consultoría/
auditoría
Políticas internas
que complementen/ sean base del
instrumento de
autorregulación
Parámetros de
autorregulación
vinculante
CONSEJOS PRÁCTICOS
119
CONSEJOS PRÁCTICOS
¿Por qué es importante adoptar/cumplir con políticas internas de protección de datos personales y
privacidad?
120
Adoptar medidas que incluyan las siguientes áreas de actuación en materia de protección de datos personales:
CONSEJOS PRÁCTICOS
Trazabilidad de los datos personales y
su tratamientoPrincipios
Deberes
Autorregulación vinculante
Solicitudes de los interesados (consultas, quejas o resolución de
disputas)
Derechos ARCO
121
CUMPLIMIENTO EN LA EMPRESA
Gobierno de la protección de datos Formación y concientización Gestión de archivos Seguridad de los datos
personalesRequerimientos en protección de datos
— Políticas y procedimientos— Estructuras de gobierno— Medidas— Auditorías— Registro de riesgos— Retornos— Análisis de impacto de privacidad (Privacy impact assessment, PIA)
— Inducción— Formación basada en roles— Actualizaciones— Archivos— Formación online (e-learning)— Acceso a TI— Concientización de dónde encontrar contenidos sobre datos personales y fácil acceso a los mismos
— Roles y responsabilidades— Políticas y procedimientos— Formación y concientización— Activos de información— Indexación y mapeo de archivos— Obtención de datos— Mantenimiento de archivos— Plazos de retención— Supresión de datos
— Propietario/responsabilidad— Seguridad física-anuales— Seguridad de redes— Dispositivos móviles— Trabajo en casa— Monitoreo de empleados— Contratos con terceros— Incidencias
— Propietario/procedimientos— Bitácora (log)— Monitoreo— Redacción— Excepciones— Revelaciones— Protocolos para comunicación— Acuerdos de gestión de comunicación de datos
Ejemplos de prueba— Políticas y procedimientos— Intranet— Organigrama— Descripciones de puestos de trabajo— Términos de referencia— Minutas de reuniones— Informes internos— Informes externos— Informes de auditoría— Registros de riesgos— PIAs
— Presentaciones para formación— Módulo de formación online (e-learning)— Archivos centrales de formación— Archivos de actualizaciones de formación— Requerimientos de perfiles de TI
— Políticas y procedimientos— Formularios de obtención de datos— Avisos de tratamiento— Detalle de sistemas de gestión de archivos— Roles y estructura de gestión de archivos— Archivos de formación— Registro de activos de información— Plazos de retención— Registros de destrucción y/o certificados— Contratos con terceros para el almacenamiento y/o destrucción
— Políticas y procedimientos— Registros de contraseñas— Licencias de seguridad de TI— Bitácora de incidencias— Cláusulas estandarizadas sobre seguridad— Análisis de riesgo de trabajo en casa— Registro de dispositivos móviles
— Políticas y procedimientos— Bitácora de sistema de actividad— Protocolos para comunicación— Informes de actividad (métricas)— Ejemplos de respuestas a requerimientos
Fuente: Information Commissioner´s Office, Auditing data protection, a guide to ICO data protection audits, v. 2.0, Mayo de 2012.
122
CONCLUSIONES
¿QUÉ ES LA PROTECCIÓN DE DATOS?
123
Es una cuestión que implica al responsable y a quienes tratan datos personales en cualquier fase (empleados, encargado del tratamiento, etc.).
CONCLUSIONES
¡MUCHAS GRACIAS!
top related