Tenemos un despacho que cuenta con los datos personales de los clientes atendidos desde hace 10 años. Hemos escuchado en la radio la publicidad del Instituto Federal de Acceso a la Información Pública y Protección de Datos (IFAI), mas nos cuesta trabajo elaborar un aviso de privacidad y hacerlo llegar a sus destinatarios, pues ello nos exigiría ponernos a actualizar los registros desde el 2003, cerciorarnos de que el domicilio sigue siendo el mismo y hacer un envío a todas esas personas. ¿Qué podemos hacer?
Se puede servir de las medidas compensatorias sin solicitud de autorización al IFAI, mismas que fueron creadas para cumplir con la obligación de los responsables de datos personales de protegerlos cuando se requieran esfuerzos desproporcionados, en consideración al número de titulares o a la antigüedad de los datos.
En esos supuestos, el responsable podrá instrumentar medidas compensatorias de comunicación masiva de acuerdo con los Criterios Generales para la instrumentación de medidas compensatorias sin la autorización expresa del IFAI, publicados en el DOF el 18 de abril de 2012 (art. 32, Reglamento de la LFPDPPP).
Para ello, conforme a esos Criterios, se requiere que: previo a su implementación, el responsable cumpla con el principio de calidad previsto en los artículos 11 de la Ley y 36 del Reglamento, para lo cual cancelará los datos que hayan dejado de ser necesarios para el cumplimiento de las finalidades que originaron su tratamiento; se trate de casos en que el responsable haya obtenido los datos antes del 5 de julio de 2011 (ya sea personal o directamente de sus titulares), o bien de forma indirecta; exista la imposibilidad de dar a conocer a cada titular el aviso porque el responsable no cuente con datos de contacto de los titulares; la puesta a disposición del aviso a cada titular exija esfuerzos desproporcionados, al considerar que el responsable no mantiene contacto con los mismos y el hecho de darlo a conocer a cada uno implique un costo excesivo y que ello comprometa su estabilidad financiera, la realización de actividades propias de su negocio o la viabilidad de su presupuesto programado, o bien, que dicha actividad sea disruptiva de aquéllas que el responsable lleva a cabo cotidianamente.
Cuando los datos personales se hayan obtenido con posterioridad al 5 de julio de 2011, así como en cualquier otro caso que no actualice los supuestos y condiciones establecidas en los tres últimos puntos anteriores (numerales sexto y séptimo de los Criterios), y el responsable requiera la instrumentación de medidas compensatorias, será necesario solicitar la autorización expresa del IFAI para su aplicación.
