Los datos personales en el beneficiario controlador

De inicio sobre el tema de la obtención de los datos personales por mandato de ley no se requeriría un aviso de privacidad; pero, tenemos dos aspectos importantes a evaluar, el primero, el cónyuge de quien sea beneficiario controlador es ajeno al sujeto obligado de manera directa, y en segundo plano, debemos considerar que a pesar de que exista habilitación por norma expresa, es importante siempre concientizar que información es la solicitada, cuál será su tratamiento y su finalidad; así, en un pensamiento de certidumbre y transparencia debemos dejar en claro para el titular de la información lo anterior mediante el contenido del aviso de privacidad.

Continuando con el párrafo anterior, si bien es cierto no se requiere del consentimiento del beneficiario controlador o de su pareja (titulares de los datos personales) para  solicitar los requeridos por el Código Fiscal de la Federación (CFF) y la Resolución Miscelánea Fiscal (RMF), de inicio no debemos olvidar que al responsable se le constriña a conservarla y reservarla como confidencial, sólo podrá proporcionarla a la autoridad bajo requerimiento expreso y fundado. 

Ahora, en un enfoque de cumplimiento íntegro (compliance) y holístico, es recomendable llevar a cabo la obtención del consentimiento expreso del titular de esa información, con la finalidad de dotar de claridad y mayor certidumbre como terceros interesados en la entidad. Por lo que el aviso de privacidad sugerido deberá contener al menos lo siguiente, según el artículo 16 de la Ley Federal para la Protección de Datos Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP):

• Identidad y domicilio del responsable que trata los datos personales;

• Datos personales que serán sometidos a tratamiento;

• Finalidades del tratamiento;

• Mecanismos para que el titular pueda manifestar su negativa para el tratamiento de datos personales para aquellas finalidades que no son necesarias;

• Transferencias de datos personales que, en su caso, se efectúen y bajo que procedimiento únicamente se podrá llevar a cabo;

• Medios para ejercer los derechos ARCO (acceso, rectificación, cancelación u oposición al tratamiento de sus datos personales); y

• Mecanismos para revocar consentimiento.

Uno de los puntos que debe resaltarse del “Aviso de Privacidad” es la finalidad del tratamiento de sus datos personales, que en estricto sentido, se recaban con el fin de dar cumplimiento a la obligación contenida en el Artículo 32-B Ter del CFF. El artículo 12 de la LFPDPPP establece que el tratamiento de datos personales deberá limitarse al cumplimiento de las finalidades previstas en el aviso de privacidad. 

En ese sentido, la información recabada para cumplir con la obligación del CFF deberá ser destinada única y exclusivamente para este punto. Por ejemplo, los sujetos obligados por la LFPIORPRI por realizar actividades vulnerables, no podrán usar la información obtenida en cumplimiento del expediente del beneficiario controlador para cumplir obligaciones relacionadas con esta normativa, como lo es el beneficiario final o real.

También en el “Aviso de Privacidad” se deberán anunciar la modificación del Aviso de Privacidad y paralelamente, de ser el caso, solicitar de nuevo el consentimiento del titular de los datos para el nuevo tratamiento. Además, de acuerdo con el artículo 36 de la LFPDPPP, cuando el responsable pretenda transferir los datos personales a terceros nacionales o extranjeros, deberá comunicarlo en el aviso de privacidad y las finalidades a las que el titular sujetó su tratamiento.

En ese sentido, el SAT es un tercero, es cierto autoridad, pero al final es un tercero, y, como tal, se debe informar en el “Aviso de Privacidad” la posibilidad de las transferencias a éste organismo para que fines se hace, que al caso es el cumplimiento de las obligaciones fiscales relacionadas con el beneficiario controlador, así de simple. Debido a que la transferencia está contemplada en el CFF, no será necesario el consentimiento del beneficiario controlador según señala el artículo 37 de la LFPDPPP. Reiterando, aunque se exima la obtención del consentimiento del beneficiario controlador, en lo personal debe otorgarse el “Aviso de Privacidad” para los fines mencionados. 

En conclusión, al momento de recabar la información necesaria para crear los expedientes del o de los beneficiaros controladores nos encontramos con información personal, por tanto, es necesario hacerle llegar el “Aviso de Privacidad”, tanto del o los beneficiarios controladores como de sus parejas, en caso de tener, para esto será necesario utilizar un “Aviso de Privacidad” en todo el sentido de la ley. Debemos reconocer que el mero cumplimiento de los beneficiarios controladores no es suficiente para omitirlo y que igualmente se sugiere documentar los procedimientos que se llevan a cabo para cumplir la obligación.