Las disposiciones jurídicas que versan sobre los datos personales son:
- La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP)
- Reglamento de dicha ley
- Criterios Generales para la Instrumentación de Medidas Compensatorias sin la Autorización Expresa del Instituto Federal de Acceso a la Información y Protección de Datos (IFAI), publicados en el DOF el 18 de abril de 2012
Y ahora se suman los Lineamientos del aviso de privacidad y los Parámetros para el correcto desarrollo de los esquemas de autorregulación vinculante a que se refiere el artículo 44 de la LFPDPPP, ambos publicados en el DOF del 17 de enero de 2013.
¿Cuál es el fundamento de los últimos dos ordenamientos?
Respecto a los Lineamientos, la Secretaría de Economía (SE) en su carácter de autoridad reguladora está facultada para emitirlos a fin de determinar el contenido y alcance del aviso de privacidad, en coadyuvancia con el IFAI, quien vigila y vela por la observancia de los principios que rigen a este derecho, a los que se refiere la Ley indicada y su Reglamento, y establece una serie de reglas mínimas, necesarias y uniformes en torno a la elaboración, contenido, uso, modalidades y difusión del aviso de privacidad.
Tocante a los esquemas, la LFPDPPP (art. 43, fracc. V) prescribe que la SE en coadyuvancia con el IFAI fijaría los parámetros necesarios para el correcto desarrollo de los esquemas de autorregulación vinculante previstos el artículo 44 de esa Ley.
Así, se procede a explicarlos con el siguiente cuestionario.
Lineamientos
¿Cuál es su objeto?
Establecer el contenido y alcance de los avisos de privacidad, en términos de lo dispuesto por la LFPDPPP y su Reglamento.
¿Dónde aplican?
En toda la República Mexicana para las personas físicas o morales de carácter privado que traten datos personales en términos de las disposiciones antes referidas.
¿Qué es el principio de información?
En términos de los artículos 15 de la LFPDPPP y 23 de su Reglamento, consiste en la obligación del responsable de informar a los titulares sobre la existencia y características principales del tratamiento al que serán sometidos sus datos personales, para que pueda ejercer sus derechos a la autodeterminación informativa, privacidad y protección de los mismos.
Este principio se materializa en la puesta a disposición del aviso de privacidad en alguna de estas tres modalidades (Sexto Lineamiento):
- integral: cuando contenga la totalidad de los elementos informativos a que se refieren los artículos 8, 15, 16, 33 y 36 de la Ley, y 14, 30, 41, 68, 90 y 102 de su Reglamento, y el Vigésimo de los Lineamientos que son: identidad y domicilio del responsable que trata los datos personales; datos personales sometidos a tratamiento; señalamiento expreso de los datos personales sensibles que se tratarán; las finalidades del tratamiento; los mecanismos para que el titular pueda manifestar su negativa para el tratamiento de sus datos para aquellas finalidades que no son necesarias, ni hayan dado origen a la relación jurídica con el responsable; las transferencias que, en su caso, se efectúen; el tercero receptor de los datos personales, y las finalidades de las mismas; la cláusula que indique si el titular acepta o no la transferencia, cuando así se requiera; los medios y el procedimiento para ejercer los derechos ARCO; los mecanismos y procedimientos para que, en su caso, el titular pueda revocar su consentimiento al tratamiento de sus datos personales; las opciones y medios que el responsable ofrece al titular para limitar su uso o divulgación; la información sobre el uso de mecanismos en medios remotos o locales de comunicación electrónica, óptica u otra tecnología, que permitan recabar datos automática y simultáneamente al tiempo que el titular hace contacto con los mismos, en su caso, y los procedimientos y medios a través de los cuales el responsable comunicará a los titulares los cambios al aviso de privacidad
- simplificado: si el aviso de privacidad contiene los elementos informativos descritos en los artículos 17, fracción II de la LFPDPPP y 27 de su Reglamento, y el Trigésimo cuarto de los Lineamientos, esto es, que tendrá al menos: la identidad y domicilio del responsable; las finalidades del tratamiento, y los mecanismos que el responsable ofrece para que el titular conozca el aviso de privacidad integral, pues la divulgación inmediata de la información antes señalada no exime al responsable de la obligación de proveer los mecanismos para que el titular conozca el contenido de esa clase de aviso
- corto: cuando sea redactado en los términos del artículo 28 del RLFPDPPP y el Trigésimo octavo de los Lineamientos, esto es, que contendrá al menos: identidad y domicilio del responsable; finalidades del tratamiento, y mecanismos que el responsable ofrece para que el titular conozca el aviso de privacidad integral. Como sucede con el simplificado, la divulgación inmediata de la información señalada no exime al responsable de proveer los mecanismos para que el titular conozca el contenido del aviso integral
Todo responsable cumplirá con este principio y pondrá a disposición de los titulares el aviso de privacidad en términos de lo dispuesto por la LFPDPPP, su Reglamento y los Lineamientos, con independencia de que el consentimiento no se requiera en términos del artículo 10 de la referida Ley (Noveno Lineamiento).
¿Qué es el aviso de privacidad?
Acorde con el artículo 3o, fracción I de la indicada Ley es un documento físico, electrónico o en cualquier otro formato generado por el responsable que es puesto a disposición del titular, previo al tratamiento de sus datos personales, a fin de cumplir con el principio de información (Séptimo Lineamiento).
¿Cuál es el objetivo del aviso de privacidad?
Delimitar los alcances y condiciones generales del tratamiento e informar a los titulares del mismo, a fin de que estén en posibilidad de tomar decisiones acertadas sobre el uso de sus datos manteniendo el control y disposición sobre ellos. Asimismo, provoca que el responsable actúe con transparencia y así fortalezca el nivel de confianza de los titulares (Octavo Lineamiento).
¿Cuáles son las características del aviso?
Debe ser sencillo, con información necesaria, expresado en español, con lenguaje claro y comprensible, con una estructura y diseño que facilite su entendimiento.
Para ello es menester (Décimo Lineamiento):
- no usar frases inexactas, ambiguas o vagas
- tomar en cuenta los perfiles de los titulares para su redacción
- no incluir textos o formatos que induzcan al titular a elegir entre opciones
- no marcar previamente las casillas para que el titular otorgue el consentimiento, de utilizarse éstas
- no remitir a textos o documentos que no estén disponibles para el titular
¿Cómo se difunde o reproduce el aviso?
Mediante: formato físico, electrónico, óptico, sonoro, visual o a través de cualquier otra tecnología que permita su eficaz comunicación.
En todos los casos, en cualquiera de sus modalidades se ubicará en un lugar visible y que facilite su consulta (DécimoPrimer Lineamiento).
¿En qué momento se pone a disposición el aviso?
| Supuesto | Proceder del responsable |
| Datos obtenidos de manera directa o personal del titular | Pondrá a disposición del titular el aviso previo a la obtención de los mismos |
| Datos obtenidos de manera indirecta y se proceda a una transferencia consentida o de una en la que no se requiera el consentimiento según el artículo 37 de la LFPDPPP, o bien de una fuente de acceso público | Pondrá a disposición el aviso al primer contacto con el titular. De no requerirse ese contacto, el responsable hará de su conocimiento el aviso previo al aprovechamiento de los datos personales para la finalidad respectiva |
| Si el responsable pretende tratar los datos para una finalidad distinta a la consentida por el titular | Pondrá a disposición del titular un nuevo aviso con las características del reciente tratamiento, previo al aprovechamiento de los datos personales para la finalidad respectiva |
¿Cuáles son las modalidades para poner a disposición de los titulares el aviso?
| Forma de obtención de datos | Proceder del responsable |
| Personalmente del titular | Pondrá a disposición del titular el aviso de privacidad integral |
| De manera directa o indirecta del titular | Podrá poner a disposición del titular el aviso de privacidad integral o el simplificado |
| En un espacio mínimo y limitado, de forma tal que los datos personales recabados o el espacio para la difusión o reproducción del aviso de privacidad también lo sean | Podrá utilizar la modalidad de aviso de privacidad corto |
¿Qué sucede con datos usados con fines históricos,
estadísticos y científicos?
De usarse con tales fines, el responsable no está obligado a notificar cambio alguno en el aviso de privacidad, cuando haya obtenido de manera indirecta de su titular los datos personales (Décimo Tercer Lineamiento).
¿Quiénes no tienen el derecho a recibir el aviso de
privacidad?
En términos de lo dispuesto por el artículo 5o del RLFPDPPP, los responsables no están obligados a dar el aviso de privacidad para la información relacionada con personas:
- morales
- físicas en su calidad de comerciantes y profesionistas
- físicas que presten sus servicios para alguna persona moral o persona física con actividades empresariales y/o prestación de servicios, consistente únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como algunos de los siguientes datos laborales: domicilio físico, dirección electrónica, teléfono y número de fax, siempre que esta información sea tratada para fines de representación del empleador o contratista
¿Quién debe probar la existencia del aviso?
La carga de la prueba recae en el responsable (Decimo Séptimo Lineamiento).
¿Qué sucede con el uso de tecnologías en los avisos?
Conforme al artículo 14, último párrafo del RLFPDPPP, cuando el responsable utilice mecanismos en medios remotos o locales de comunicación electrónica, óptica u otra tecnología, que le permitan recabar datos personales de manera automática y simultánea al tiempo que el titular hace contacto con los mismos, en ese momento informará al titular a través de una comunicación o advertencia colocada en un lugar visible, sobre el uso de esas tecnologías y sobre el hecho de que por medio de ellas se obtienen datos personales, así como la forma en que se podrán deshabilitar, salvo que esas tecnologías sean necesarias por motivos técnicos.
Asimismo, el responsable incluirá en el aviso de privacidad la información indicada en el artículo 14 del RLFPDPPP y aquélla que deba ser informada en los términos de los Lineamientos, entre ella, los datos personales que se recaban y las finalidades del tratamiento.
¿Cómo se dan los cambios al aviso de privacidad?
De acuerdo con el artículo 16, fracción VI de la Ley en comento, el aviso señalará el medio y procedimiento implementado por el responsable para dar a conocer al titular los cambios o actualizaciones efectuados al mismo (Trigésimo Segundo Lineamiento).
¿Cuándo se requiere un nuevo aviso?
El responsable estará obligado a poner a disposición de los titulares un nuevo aviso de privacidad cuando el responsable: cambie su identidad; requiera recabar datos personales sensibles, patrimoniales o financieros adicionales a aquéllos informados en el aviso de privacidad original, si los mismos no se obtienen de manera personal o directa del titular y se requiera el consentimiento; modifique las finalidades que dieron origen o son necesarias para la relación jurídica entre el responsable y el titular o se incorporen nuevas que requieran del consentimiento del titular, o varíe las condiciones de las transferencias o se vayan a realizar transferencias no previstas inicialmente, y el consentimiento del titular sea necesario.
Esquemas de autorregulación
¿Qué son?
Son acuerdos efectuados entre personas físicas o morales, o entre ellas y organizaciones civiles o gubernamentales, nacionales o extranjeras en materia de protección de datos personales que complementan lo dispuesto por la LFPDPPP.
Estos esquemas contendrán mecanismos para medir su eficacia en la protección de los datos, así como las consecuencias y medidas correctivas eficaces en caso de incumplimiento.
Podrán traducirse en códigos deontológicos o de buena práctica profesional, sellos de confianza u otros mecanismos; contendrán reglas o estándares específicos que armonicen los tratamientos de datos efectuados por los adheridos; facilitarán el ejercicio de los derechos de los titulares y se notificarán de manera simultánea a las autoridades sectoriales correspondientes y al IFAI. Serán vinculantes para quienes se adhieran a los mismos; no obstante, dicha adopción será voluntaria, pero una vez adoptados su incumplimiento será sancionado (arts. 44, LFPDPPP, 79 y 80, RLFPDPPP y Séptimo Parámetro).
¿Cuáles son sus objetivos?
Generales
Complementar lo dispuesto por la Ley, el Reglamento y cualquier otra disposición aplicable en la materia, así como demostrar ante el IFAI y los titulares el cumplimiento de las obligaciones previstas en dicha normativa. Contendrán reglas o estándares que armonicen los tratamientos de los datos personales efectuados por los adheridos (los responsables o encargados que, de manera voluntaria, se obligan a observar un esquema de autorregulación vinculante) y faciliten el ejercicio de derechos por parte de los titulares (Quinto Parámetro).
Específicos
Son (art. 80, RLFPDPPP y Sexto Parámetro):- coadyuvar al cumplimiento del principio de responsabilidad
- establecer procesos y prácticas cualitativos en el ámbito de la protección de datos personales que complementen a la LFPDPPP
- fomentar que los responsables establezcan políticas, procesos y buenas prácticas para el cumplimiento de los principios de protección de datos personales, garantizando la privacidad y confidencialidad de la información personal poseída
- promover que los responsables voluntariamente cuenten con constancias o certificaciones sobre el cumplimiento de la LFPDPPP y mostrar a los titulares su compromiso con la protección de datos personales
- identificar a los responsables que cuenten con políticas de privacidad alineadas con lo dispuesto por la Ley, así como de competencia laboral para el debido cumplimiento de sus obligaciones
- facilitar la coordinación entre los distintos esquemas de autorregulación reconocidos internacionalmente
- permitir las transferencias con responsables que cuenten con tales esquemas
- promover el compromiso de los responsables con la rendición de cuentas y adopción de políticas internas consistentes con criterios externos, así como para auspiciar mecanismos para implementar políticas de privacidad (incluyendo herramientas, transparencia, supervisión interna continua, evaluaciones de riesgo, verificaciones externas y sistemas de remediación)
- encauzar mecanismos de solución alternativa de controversias entre responsables, titulares y terceras personas, como son los de conciliación y mediación
¿Sobre qué versan los Parámetros?
Prescriben reglas, criterios y procedimientos para el correcto desarrollo e implementación de los esquemas de autorregulación vinculante en materia de protección de datos personales.
¿Dónde aplican?
Son de adopción voluntaria, además de observancia obligatoria en toda la República Mexicana para la validación y reconocimiento del IFAI de los esquemas que desarrollen o promuevan personas físicas o morales (Segundo Parámetro).
¿Los esquemas citados son Normas Oficiales Mexicanas?
No, ni tampoco son Normas Mexicanas, no obstante, la SE en coadyuvancia con el IFAI podrá participar en la elaboración y promoción de ellas en los términos de la Ley Federal sobre Metrología y Normalización y su Reglamento para así regularlos adecuadamente (Noveno Parámetro).
¿Qué clases de esquemas existen?
Pueden ser, entre otros, de conformidad con el artículo 44 de la LFPDPP y 80 de su Reglamento (Décimo parámetro):
- códigos:
- deontológicos
- de buenas prácticas profesionales
- políticas de privacidad
- reglas de privacidad corporativas
- sellos de confianza y certificaciones
¿Cuáles son los contenidos de los esquemas?
Los Parámetros los clasifican como mínimos (Décimo primero a Décimo octavo) y complementarios (Décimo noveno y Vigésimo) como se observa en seguida.
Mínimos
| Característica | En qué consiste |
| Complementariedad | Complementarán los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, y los deberes de confidencialidad y seguridad que rigen el tratamiento de los datos personales, además de lo dispuesto en la citada Ley, su Reglamento, los Parámetros y demás normatividad aplicable, y preverán los mecanismos que garanticen su cumplimiento. De darse la certificación en materia de protección de datos personales, ésta podrá realizarse respecto a principios, deberes u obligaciones específicos señalados en tales ordenamientos, así como en estándares y mejores prácticas |
| Armonización | Contendrán reglas o estándares específicos que permitan armonizar los tratamientos llevados a cabo por quienes se adhieren o adoptan los mismos, de acuerdo con los ordenamientos citados |
| Normatividad aplicable | Mencionarán las disposiciones legales, reglamentarias o administrativas que rijan el sector respectivo |
| Requisitos | Determinarán, según corresponda:
|
| Administración | Requerirán un administrador, cargo que podrá recaer en una persona u órgano colegiado, interno o externo, que garantice su imparcialidad y evite conflicto de intereses |
| Supervisión y vigilancia | Fijarán procedimientos para llevar a cabo revisiones periódicas, internas y externas, en intervalos de al menos dos años que permitan llevar un seguimiento continuo del nivel de cumplimiento de las disposiciones del esquema por parte de los adheridos, y del funcionamiento de los procedimientos establecidos en aquél |
| Consecuencias y medidas correctivas | Indicarán las sanciones aplicables a los adheridos que incumplan, las cuales podrán consistir en amonestaciones, sanciones económicas, suspensión temporal o definitiva de adhesión a un esquema de autorregulación vinculante, entre otras |
Contenidos complementarios
Asimismo, podrán incluir cualquier otro compromiso adicional que asuman los adheridos para un mejor cumplimiento, como puede ser (Décimo noveno Parámetro):
- mecanismos alternativos de solución de controversias (éstos son detallados particularmente en el Vigésimo Parámetro)
- medidas de seguridad adicionales a las establecidas en la LFPDPPP y su Reglamento
- cláusulas para:
- obtener el consentimiento, ya sea para el tratamiento, o la transferencia de los datos personales
- informar a los titulares del tratamiento de sus datos personales cuando éstos no sean obtenidos de manera personal o directa
- avisos de privacidad estándar aplicables a un sector o industria, y cuya única diferencia sea el tipo de tratamientos exclusivos a los que los responsables someten los datos personales de los titulares
¿Qué es acreditación?
El acto por el cual una entidad de acreditación manifiesta la competencia técnica, la confiabilidad y la conformidad de los certificadores con la normatividad aplicable para realizar auditorías en materia de protección de datos personales y emitir los certificados correspondientes. La entidad emite la constancia de acreditación: Es el documento en donde se indica que la acreditación ha sido otorgada a un certificador en específico. En ella se encuentran sus alcances.
Las acreditaciones pueden ser revocadas por un procedimiento que sustancia el acreditador, el cual puede concluir con la cancelación total de la acreditación que tiene un certificador.
¿Qué es una certificación?
El acto mediante por el que los certificadores determinan la conformidad de tratamientos, políticas, programas y procedimientos relacionados con la protección de datos personales respecto de la legislación aplicable. También pueden ser sujetas de certificación los principios, deberes u obligaciones específicos previstos por la LFPDPPP, su Reglamento, los Parámetros y demás normatividad en la materia. Da lugar al certificado que es el documento en donde se indica que la certificación ha sido otorgada a un responsable o encargado en específico. En él se encuentran descritos sus alcances.
¿Qué es una entidad de acreditación?
Es la persona moral autorizada por el IFAI para llevar a cabo la acreditación de personas físicas o morales que busquen convertirse en certificadores. Para operar como entidad de acreditación, se deberá contar con la autorización previa del Instituto (Trigésimo Tercer Parámetro). Sus obligaciones están asentadas en el Trigésimo Sexto Parámetro.
¿Cómo se obtiene la autorización para ser una entidad acreditadora?
Quien esté interesado en obtener la autorización del Instituto como entidad de acreditación presentará ante él una solicitud por escrito y cumplirá con los requisitos especificados en el Vigésimo Sexto Parámetro.
¿Quiénes son los certificadores?
Las personas físicas o morales acreditadas por una entidad competente que tienen por objeto emitir certificados que determinen la conformidad de tratamientos, políticas, programas y procedimientos relacionados con la protección de datos personales, implementados por los responsables y encargados, en relación con toda la normativa aplicable a la materia, así como a estándares y mejores prácticas (Vigésimo Primer y Quincuagésimo Séptimo Parámetros).
¿Qué tipos de certificación existen?
Totales
Prevén y complementan los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, y los deberes de confidencialidad y seguridad que rigen el tratamiento de los datos personales, además de los ordenamientos aplicables en la materia.Parciales
Certifican principios, deberes u obligaciones específicos previstos en la LFPDPPP, su Reglamento, los Parámetros y demás disposiciones aplicables en la materia, así como estándares y mejores prácticas. Tratándose de este tipo de certificación, el IFAI identificará plenamente su alcance específico para que sea posible reconocer de manera clara que el certificado únicamente determina la conformidad en cuanto a cierto principio, deber u obligación en particular.
¿Cómo se integra el sistema de certificación?
Por el IFAI, las entidades acreditadoras, los certificadores acreditados y los responsables y encargados certificados (Vigésimo Tercer Parámetro).
¿Qué se requiere para ser certificador?
Presentar ante la entidad de acreditación una solicitud por escrito que incluya en términos generales (Sexagésimo Parámetro):
- nombre, denominación o razón social del solicitante y de su representante legal, en su caso
- domicilio y señalamiento del personal autorizado, en su caso, para oír y recibir notificaciones, y domicilios utilizados para las actividades relacionadas con la certificación
- descripción de:
- los servicios que prestará y de los procedimientos relacionados con la certificación que llevará a cabo
- la estructura para operar y documentación que acredite la adecuada capacidad jurídica, administrativa, financiera, técnica, material y humana, en relación con los servicios que pretende prestar, así como los procedimientos del sistema de gestión, que garanticen el desempeño de sus funciones como certificador
- la estructura operativa del certificador
- elementos que le permitan acreditar que cuenta con las
medidas y mecanismos para mantener la imparcialidad en sus actividades. Para estos efectos, existirá un comité de certificación que vigilará dicha imparcialidad y también existirá una comisión de auditoria - descripción del sistema de gestión bajo el que operará
¿Cuáles son los deberes de los certificadores?
Tienen muchas obligaciones, las cuales están asentadas de forma general en el Sexagésimo Primer Parámetro, entre ellas están las de: resolver las solicitudes de certificación de responsables y encargados, emitiendo, de ser el supuesto, los certificados correspondientes, mismos que se notificarán al IFAI dentro de los cinco días siguientes a su emisión; presentar un reporte de actividades (Sexagésimo Cuarto Parámetro); mantener cierta información a disposición pública (Sexagésimo Quinto Parámetro).
De igual manera, tienen prohibiciones, como la de ofrecer servicios que afecten su imparcialidad (Sexagésimo Tercer Parámetro).
¿Cómo es el certificado?
Incluye lo enlistado en el Parámetro Sexagésimo Octavo y comprende:
- logotipo e identificación del certificador
- identificación única del responsable o encargado certificado
- oficinas y, en sus caso, páginas de Internet que se encuentran amparadas por el certificado
- número de certificación única del responsable o encargado certificado
- fecha efectiva de otorgamiento del certificado y su vigencia
- descripción de su alcance
- declaración de conformidad con la normatividad aplicable
El certificador establecerá procedimientos y planes para llevar a cabo auditorías periódicas de mantenimiento y vigilancia, incluyendo visitas en intervalos anuales para asegurar el cumplimiento continuo por parte de los responsables y encargados.
Su vigencia es de dos años y posterior a este tiempo debe renovarse. El certificado puede ampliarse, suspenderse, interrumpirse temporalmente, revocarse o reducirse o pedirse su terminación (Septuagésimo Primero a Quinto Parámetros).
¿Desde cuando está vigente esta regulación?
Los Lineamientos especifican que entrarán en vigor el 17 de abril de 2013 (art. único transitorio). No obstante, se recuerda a los suscriptores que la obligación de contar con el aviso es exigible desde el 5 de julio de 2011.
Respecto a los Parámetros, su vigencia inició desde el 18 de enero de 2013, pero el IFAI comenzará a trámitar las solicitudes de: inscripción de esquemas en el Registro de Esquemas de Autorregulación Vinculante y autorización para entidades de acreditación a partir del 18 de octubre de 2013 (arts. primero y tercero transitorio).
Conclusión
Los Lineamientos que se explicaron pueden considerarse repetitivos sobre puntos que ya habían abordado los demás ordenamientos, pero es un intento de facilitar a los responsables el cumplimiento acertado de esta obligación. Los parámetros en cambio, sí son novedosos, en tanto que revelan cómo funcionan y distinguen las obligaciones y la serie de procedimientos a cumplir de optar por la adopción de los esquemas anteriormente explicados en este apartado.
