Rc et Ratio 11

La demanda de una mejor rendición de cuentas y el combate efectivo a la corrupción, así como el derecho a la información, no han sido graciosas concesiones de los gobernantes en turno. Por un lado, representan un derecho humano de los ciudadanos, y, por otro, configuran el componente esencial para que la sociedad, si fuera el caso, pueda afirmar que los poderes legalmente constituidos han logrado su plena legitimidad.

Los criterios para la designación de los contralores municipales, además de las condiciones operativas y presupuestales que ello implica, tienen su punto de arranque en las leyes vigentes en cada una de las entidades que forman parte de la federación. ¿Qué cambios debería haber en la legislación, a fin de optimizar el desempeño de esta importante figura jurídico - administrativa?

En materia de egresos, ¿bajo qué premisas nuestras autoridades gastan los recursos destinados a la seguridad pública? ¿Es lo mismo seguridad pública que seguridad nacional? De ninguna manera. La claridad en el manejo de estos conceptos, importantes a la luz de los acontecimientos que vivimos hoy, está íntimamente ligada a una total apertura de las estructuras del Estado nacional.

Nuestra inconclusa transición democrática, ha desgastado o hecho obsoletas algunas correas de transmisión del sistema político mexicano, consecuencia de ello es la descomposición de la clase política y el rezago de la economía, que para su desarrollo requiere de un ambiente más amplio de libertades, transparencia y un efectivo combate a la corrupción.

El ensayo sobre Don Benito Juárez no podría ser más oportuno, dado que desde los tiempos de la Reforma ya se apuntaban los problemas que podría acarrearnos el enfrentamiento de las posiciones políticas extremas, la pérdida paulatina de los valores republicanos y la desarticulación ideológica de las élites en el poder.

Esto y más, apreciado lector, podrá encontrar entre las páginas de este número 1 de la nueva revista Rc et Ratio, antes Recta Ratio.

Victorino Barrios DávalosContralor del Poder Legislativo

INTRODUCCIÓN

Conferencia MagistralIsabel Davara Fernández de Marcos

Rc et Ratio12

Rc et Ratio 13

La regulación de los Datos Personales en México, realidad y perspectivas

Isabel Davara Fernández de Marcos*

Esta Conferencia Magistral que se llama “La regulación de los Datos Personales en México, realidad y perspectivas”, quiero enfocarla a lo que es la protección de datos como concepto fundamental y dar

una panorámica general.

En mi opinión, el estado de la cuestión legislativa de iniciativas es caótico. No es por ninguna cuestión extraña. Soy una apasionada del tema, eso está claro, pero hay una reflexión primera: ¿pueden pensar ustedes en alguna actividad hoy en día, que no implica el tratamiento de datos personales?

Hoy en día lo único que tiene valor añadido, si quieren en la actividad comercial, pero yo diría que mucho más ampliamente, es el tratamiento de información personal.

Todos hacemos las cosas de la misma manera, todos fabricamos el producto de la misma manera o muy parecido. Allí no encontramos ningún valor añadido sustancial. ¿Cuál es el valor añadido? ¿Cuánto conoces a tu cliente? ¿Cuánto conoces a tu destinatario final?

Lo que pasa con una legislación de protección de datos es que por sí sola permea en el resto de las actividades. No va a haber ninguna actividad, ninguna materia jurídica que no vaya a ver tocada la protección de datos personales.

Rc et Ratio14

Ciertamente la expresión “protección de datos personales” genera confusión, porque el dato no necesita protección, sin embargo, cuando un dato se suma a otro y al asociarlos permite la identificación de una persona, empieza a necesitar protección.

Si se mira con atención la definición de datos personales: “Toda la información concerniente a una persona física identificada o identificable”, y aquí entra toda información, por ejemplo si yo tomo un lápiz que se une a mi persona, el lápiz puede ser una exageración, pero aunque sigo manteniéndolo en mi mano, el lápiz ahora tiene mis huellas con lo cual ahora tiene más información de mi persona.

El lápiz tiene mis huellas, como lo estoy utilizando se convierte en información personal porque ustedes pueden ver los datos de este lápiz, pueden ver que estoy en el Palacio de la Legislatura del Estado de México. Este dato asociado a mi persona, esta mesa asociada a mi persona, donde estoy utilizándola para este papel. Toda esa información concerniente a una persona física, así lo dice la Ley de Acceso a la Información Federal y la Ley del Estado de México, da Transparencia.

Hay varias dudas en la doctrina, hay quien da un paso más allá y dice que la protección de datos personales también tiene que darse en las personas morales.

Vamos a quedarnos con las personas físicas, a cada uno de nosotros, identificada o identificable, es decir, no hace falta que sepan quién soy yo en este momento, sino que puedan llegar a saber quién tiene este lápiz.

¿Por qué es tan importante? Siempre ha habido tratamiento de información personal, lo que pasa es que con la evolución de las nuevas tecnologías en el tratamiento de información personal, se constituyen perfiles de la persona que ella misma desconoce.

Les voy a poner un ejemplo. Seguro que muchos de ustedes tienen tarjetas de membresías de centros comerciales. ¿Ustedes tienen alguna idea de

Rc et Ratio 15

cuántos datos personales de ustedes tiene el centro comercial? Además, ilícitamente por dos cosas: primero porque muchos lo hacen de manera ilícita, en segundo porque no hay una ley en México, por lo tanto pueden hacer lo que se les de la gana y tercero, muchas veces por la diligencia de todos ustedes, porque muchas veces no cuidamos nuestra información personal y la damos sin más a cambio de no sé, le regalan un balón a la salida del colegio del niño, por ejemplo.

Ustedes creen que se lo regalan porque le ha caído bien, pero a cambio le piden los datos personales de ustedes, de la abuela y del niño, ustedes los están dando y están consintiendo. Ahí hay negligencia por parte del titular de los datos al proporcionarlos sin más, también, porque no son concientes del valor de nuestros datos personales.

Es decir, nos molesta mucho que nos llamen a la casa ofreciéndonos cosas, pero muchas veces nosotros hemos dado esa información, porque nos regalan un labial que luego no utilizamos o porque simplemente queremos darlos y no nos preocupa. Muchas veces hay un tratamiento ilícito (en términos muy laxos), porque al no haber una legislación en México es difícil mirar dónde se da esa ilicitud.

No sé si ustedes recuerdan hace dos o tres años el caso Choice Point, cuando se fueron todos los datos del censo electoral de todos los mexicanos a Estados Unidos, desde ahí les bombardeaban con publicidad. No pudo pasar gran cosa porque no había una ley que castigara esa impunidad.

Evidentemente toda la información que se asocia con una persona física, obviamente me refiero a lo que dice la Ley, es un dato personal, lo que pasa es que después como todo derecho, éste no es absoluto y así pasa en el derecho a datos personales.

¿Cómo surge este derecho? Hay quien dice que hay dos tendencias: una europea y una estadounidense. Yo les tengo que decir, que no es cierto, sólo existe una tendencia europea, porque la tendencia estadounidense es una excepción para Estados Unidos, no aplica a nadie más. La tendencia

Rc et Ratio16

europea la han asimilado países como Japón, Australia, Canadá, esa es la diferencia, Estados Unidos tiene su tendencia para ellos.

Retomando el ejemplo del centro comercial, en España, un centro comercial que conozco, llega a tener más de 150 caractéres de dato personal de cada uno de sus afiliados y además lícita y legalmente.

Les propongo hacer el ejercicio de decirme 150 datos de carácter personal de ustedes mismos. Creo que si les doy un poco de tiempo llegamos entre todos a 70, 80, ayudándonos entre todos, entonces ¿quién los conoce mejor, el centro comercial o ustedes?

De ahí parte el derecho a la protección de datos personales. Parte de un principio que se llama autodeterminación informativa, que los que nos dedicamos a esto le cambiamos la “v” por la “c” nos vamos por la determinación informática, para decir que el tratamiento, la función de estas tecnologías, ayudan a construir perfiles.

Antes no se podía tener tanta información porque no tenías la tecnología necesaria para procesar datos. Claro, no tiene sólo datos que sólo hayas dado tú, sino de las compras que has hecho, de las veces que has puesto gasolina con la tarjeta, de cuánto has viajado y todo es lícito, construyen un perfil tuyo al punto que te llegan a conocer mucho más que tu mismo.

Tienen una técnica que se llama Scoring que cada día, varias veces al día, van puntuando tu capacidad de riesgo. Es cuesta de enero y no has puesto gasolina más que una vez con la tarjeta y metes tres. Antes ibas cuatro veces al cine y comprabas los boletos por Internet y ahora no vas desde hace tres meses. Todo eso lo van puntuando y saben mucho mejor que tú si vas a llegar a fin de mes y además no se equivocan.

Esto no es ilícito y probablemente no tiene por qué ser malo, se puede enfocar desde muchos puntos de vista, como de tres cachuchas, como titular de los datos, como pseudo experta en esto, o como asesor de empresas que manejan datos, a ver qué puedes o no puedes hacer. No

Rc et Ratio 17

podemos parar el comercio por no poder tratar información personal.

El principio de autodeterminación informativa es muy claro, el titular de los datos, ustedes, yo, es el único que tiene derecho a decidir quién, cómo, dónde y cuándo se tratan los datos personales. La identidad que se forma con los datos de carácter personal, en 10 años, sino es que ya, va a ser mucho más importante que su identidad, por qué, porque si de manera física están en el tronco familiar, la controlan ustedes o las relaciones de trabajo más o menos la controlan, pero la identidad electrónica conformada por sus datos personales ¿cómo creen ustedes que la van a controlar? Claro, puede tener muchos peligros si la controla un tercero. Es decir, te dan a conocer mucho más por Internet que por tu entorno familiar, que lo que puedes contar.

La iniciativa de protección de datos se estructura en tres vértices: principios, derechos y procedimientos. No tiene ningún chiste, porque es como cualquier otro derecho fundamental, porque el derecho a acceder a tus datos personales es un derecho fundamental en el entorno comparado.

Todavía en México en el artículo 6° Constitucional no da cabida a esa garantía, pero se necesita alguna otra reforma, específicamente la del 16 para que se le de autonomía.

Les voy a poner otro ejemplo, con otro derecho que conozcamos más. Imagínense el derecho a la libertad de expresión que se puede definir o establecer como un principio, tengo derecho a expresarme libremente. Este principio se queda vacío de contenido, si no puedo ejercerlo mediante un derecho. Y este derecho se vuelve vacío de contenido si vulnerándome el ejercicio del derecho no puedo acudir a un procedimiento que me permita defender mi derecho.

Con la protección de datos personales pasa exactamente lo mismo. Tenemos algunos principios que son unas declaraciones programáticas en los que se basa la normativa. Estos son: calidad, información en la recogida de datos, consentimiento, datos especialmente protegidos, datos

Rc et Ratio18

de salud, seguridad, deber de secreto, comunicación/cesión, prestación de servicios/acceso por terceros.

El principio de consentimiento es el eje central, la columna vertebral de la protección de los datos personales. Les he dicho que el titular de los datos es el único que tiene derecho a decidir quién, cómo, dónde y cuándo da sus datos, es el principio de consentimiento.

¿Por qué es tan caótica la protección de datos? Porque parece que se nos adelanta a la legislación. Esta es legislación con muchos intereses económicos encontrados. Es una visión errónea, porque si se consigue una ley estable, equilibrada, clara, va a ser mucho mejor el tratamiento y más eficaz.

El consentimiento puede ser tácito, expreso o presunto. Y dentro del expreso puede ser verbal o escrito. El expreso lo vamos a dejar, porque es como un tecnicismo jurídico que nos gusta mucho, pero es muy complicado.

El tácito es cuando se infiere de algo o se denota.

Pasamos al principio de legalidad de los datos. Sólo puedo dar los datos adecuados para fines exclusivos en relación a las finalidades para usarlos. Es decir, si te hago una entrevista de trabajo a lo mejor no es necesario que sepa dónde pasas las vacaciones, porque la finalidad no lo exige y si sí lo exige, explícame por qué.

Después el tema de la información recogida, en un juego de palabras porque pudo haberme dado su consentimiento, pero sin conocimiento.

Estos principios más o menos están recogidos en la Ley de Acceso a la Información Pública Federal y en la Ley del ITAIPEM también.

Después de estos principios vienen los derechos de las personas. Básicamente son acceso, modificación y supresión, oposición, otros como consulta e indemnización.

Rc et Ratio 19

Miles de planes de desarrollo exigen como estrategia el desarrollo de una ley federal de protección de datos. No es gratuito, les voy a decir por qué: lo que pasa internacionalmente, como les decía al principio, pueden ustedes imaginar cualquier comercio, cualquier transacción comercial que implica datos personales. Lo que está pasando es que todos los países que han ido armando sus legislaciones como Argentina, Canadá, Japón, Australia, Austria, China, Hungría, etcétera, todos esos países no van a dejar comerciar con sus datos si el país de referencia no tiene una legislación que proteja los datos personales.

Lo que realmente tenemos que promover son dos reformas que hay en los tribunales constitucionales, la del 16 que habla de responsabilidad y la del 73. La del 16 para que se de plena cabida a la protección de dato personal y sobre todo una reforma al 73, que es crucial, por ejemplo hay una iniciativa de protección de datos del DF.

Si no constituimos la regulación de protección de datos como una materia federal en el sector privado, si no constituimos esto como una regulación federal, se van a generar mercados negros de información personal, es decir, el estado que tenga una regulación más laxa o que no la tenga, va a salir del comercio, porque además el comercio hoy en día no es como antes.

*Titular del Despacho Davara Abogados y especialista española en Datos Personales y Derecho Informático.