Recomendaciones en materia de protección de datos personales

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (en lo sucesivo la “Ley”), contiene varias obligaciones y derechos en materia de protección de datos personales, y su objeto es, regular y garantizar la privacidad y el derecho a la autodeterminación informativa de las personas. Muchas empresas, ya sean personas físicas o morales, no le han tomado la importancia que amerita y otras ni siquiera saben que se encuentran obligadas a cumplir.

Debemos tener la certeza en su observancia plena para que en caso de ser revisada por el Instituto Federal de Acceso a la Información y Protección de Datos (IFAI), quien es el encargado, no se encuentren irregularidades y así evitar sanciones, las cuales van desde una llamada de atención (amonestación o apercibimiento) hasta multas de 320,000 días de salario mínimo vigente en el Distrito Federal, con una adicional hasta por el mismo monto en caso de que persistan reiteradamente las infracciones y, tratándose de datos personales sensibles (tales como origen racial o étnico, estado de salud, información genética, creencias religiosas, etcétera).

Además, se pueden cometer delitos en este tema, cuyas penas van de tres meses hasta cinco años de prisión, y de ser sobre datos personales sensibles, se duplicarán. Cabe señalar que el cumplimiento de las obligaciones en materia de protección de datos personales, no se limita a la elaboración de un aviso de privacidad, sino a un conjunto de acciones y omisiones que deberemos observar, por lo que se mencionan a continuación algunas recomendaciones que deberemos tomar en cuenta para la protección de nuestra empresa o negocio:

¿Qué es el aviso de privacidad?

Es el documento físico, electrónico o en cualquier otro formato elaborado para ponerlo a disposición del titular de los datos personales, previo al tratamiento de dichos datos. Hay tres tipos de aviso de privacidad:

·        Integral: contiene toda la información que debemos poner a disposición del titular, relativo al tratamiento de sus datos personales.

·        Simplificado: cuando obtengamos los datos personales directa o indirectamente del titular, pero no presencialmente, podremos poner a disposición este aviso. Por ejemplo, si obtenemos los datos mediante correo electrónico.

·        Corto: cuando el espacio utilizado para la obtención de los datos personales sea limitado, podremos poner a disposición del titular este aviso. Por ejemplo, si obtenemos los datos mediante un formulario.

Los lineamientos emitidos por la Secretaría de Economía en materia de protección de datos personales establecen los requisitos que deben contener estos tres tipos de aviso.

Identificar si somos sujetos obligados.

Para saber si nos aplica la Ley debemos cumplir dos condiciones: a) que llevemos a cabo el tratamiento de datos personales y b) que seamos sujetos obligados.

Primera condición: Si llevamos a cabo la obtención, uso, divulgación, acceso, manejo, aprovechamiento, transferencia, disposición o almacenamiento de datos personales por cualquier medio, cumplimos con esta primera condición. Cabe señalar que la Ley entiende por datos personales cualquier información concerniente a una persona física identificada o identificable, a quien la Ley le llama el “titular” de los derechos personales. Ejemplo: si recabamos de un cliente su nombre, teléfono y domicilio, cumplimos con el primer supuesto. Sin embargo, el Reglamento de la propia Ley señala que no será aplicable tratándose de información relativa a:

·        Personas físicas que presten sus servicios para alguna persona moral o persona física con actividades empresariales y/o de prestación de servicios (sólo tratándose de información relativa a nombre y apellidos, cargo desempeñado y datos laborales como el domicilio, dirección electrónica, teléfono y número de fax).

·        Personas físicas en su calidad de comerciantes y profesionistas.

·        Personas morales.

Segunda condición: Si somos personas del sector privado, por regla general somos obligados, con excepción de las siguientes personas:

·        Las sociedades de información crediticia en los supuestos de la Ley para Regular las Sociedades de Información Crediticia y demás disposiciones aplicables.

·        Las personas que lleven a cabo la recolección y almacenamiento de datos personales para uso exclusivamente personal y sin fines de divulgación o utilización comercial. Cuando el tratamiento tiene como propósito cumplir con una obligación derivada de una relación jurídica, como la prestación de un servicio o contrato, no se considera para uso exclusivamente personal.

Es importante saber que los datos personales pueden ser obtenidos a través de medios físicos, tales como un documento, un disco, un formulario, etcétera, por medio de comunicaciones electrónicas o digitales, sea un correo electrónico, el uso de cookies, sitios de internet, por citar algunos. También es importante saber que los datos personales podrán estar expresados en forma numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, siempre y cuando sea concerniente a una persona física identificada o identificable.

Obtener el consentimiento del titular de los datos personales.

Si nuestro caso cumple con las dos condiciones anteriores, somos sujetos obligados, la Ley nos identificará como “responsables”. Antes de obtener los datos personales de alguien es importante obtener primero su consentimiento libre (sin error, mala fe, violencia o dolo), específico, es decir, respecto de una o varias finalidades por las que se llevará a cabo el tratamiento de sus datos, e informado. Es importante distinguir las formas en las que podemos obtener el consentimiento del titular de los datos, dependiendo del tipo de estos a tratar:

·        El consentimiento es expreso cuando la voluntad se manifiesta verbalmente, por escrito, por medios electrónicos, ópticos o por cualquier tecnología siempre y cuando sean signos inequívocos.

·        El consentimiento es tácito cuando el titular no manifiesta la oposición al aviso de privacidad.

Por regla general, con que se dé el consentimiento tácito estaremos cumpliendo con esta primera recomendación. Sin embargo, tratándose de datos financieros o patrimoniales, el consentimiento deberá ser expreso y respecto de personales sensibles deberá ser expreso y por escrito, este último puede ser otorgado a través de firma autógrafa, electrónica u otros medios de autenticación reconocidos en las leyes, como, por ejemplo, el uso de la huella dactilar. Cabe señalar que, respecto a su obtención, la carga de la prueba siempre será sobre el responsable. Uno de los elementos del consentimiento es que deberá ser informado. Esto se logra poniendo el aviso de privacidad a disposición de la persona cuyos datos vayamos a tratar. Lo anterior lo podremos hacer de las siguientes formas:

·        Cuando dicha persona está físicamente presente en el momento en que nos proporciona sus datos, el aviso de privacidad deberá ser facilitado en el momento en que se recaban los datos, salvo que se hubiera facilitado el aviso con anterioridad.

·        Cuando los datos personales sean obtenidos directamente de la persona por cualquier medio electrónico, óptico, sonoro, visual o a través de cualquier otra tecnología, deberemos proporcionarle inmediatamente el aviso de privacidad. Ejemplo: cuando nos mandan los datos a través de correo electrónico.

·        Cuando los datos no son obtenidos directamente de la persona, como por ejemplo a través de un tercero, deberemos poner a disposición el aviso de privacidad al primer contacto con dicha persona. En caso de que no se requiera contacto con la persona, deberemos hacer de su conocimiento el aviso de privacidad previo al aprovechamiento de sus datos personales.

La difusión de los avisos de privacidad podrá ser a través de formatos físicos, electrónicos, ópticos, sonoros, visuales, medios verbales o cualquier otra tecnología que permita su eficaz comunicación. Ahora bien, la Ley señala casos de excepción en los cuales no es necesario el consentimiento del titular, por ejemplo, cuando el tratamiento esté previsto en un ordenamiento legal, cuando los datos figuren en fuentes de acceso público, cuando el tratamiento sea dictado por resolución de autoridad competente, entre otros. Sin embargo, el hecho de que no sea necesario el consentimiento en los anteriores casos no implica que no debamos cumplir con el resto de las obligaciones que tenemos para el tratamiento de los datos personales.

¿Qué debe contener el aviso de privacidad?

Recomendamos que el aviso de privacidad integral contenga al menos la siguiente información:

1.    Nombre completo o razón social de nuestra empresa (no se recomienda poner el nombre de la marca, ya que la Ley no lo prevé).

2.    Nuestro domicilio para oír y recibir notificaciones, el cual debe señalar la calle, número, colonia, ciudad, municipio o delegación, código postal y entidad federativa.

3.    Las finalidades del tratamiento de datos. Deberán ser determinadas, sin lugar a confusión y de manera objetiva especificar para qué objeto serán tratados los datos personales (no utilizar frases ambiguas como “entre otras finalidades”, “otros fines análogos” o “por ejemplo”).

4.    Señalar las finalidades relativas al tratamiento con objetivos de mercadotecnia, publicidad o prospección comercial, si es el caso.

5.    Distinguir entre las finalidades necesarias para la relación jurídica entre nuestra empresa y el titular de los datos, de aquellas que no lo son, (por ejemplo, las finalidades publicitarias) y en este último supuesto, señalar el mecanismo que tengamos implementado para que el titular pueda negarse al tratamiento de sus datos.

6.    Señalar claramente la información que recabemos de los titulares e identificar cuando se trate de datos sensibles.

7.    Las opciones y medios para que los titulares puedan limitar el uso o divulgación de sus datos personales.

8.    Los mecanismos para que el titular pueda ejercer los derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO), así como los procedimientos establecidos para el ejercicio de dichos derechos.

9.    Los datos de identificación y contacto de la persona o personas que den trámite a las solicitudes para el ejercicio de los derechos ARCO.

10. El procedimiento y el medio por el cual comunicaremos cualquier cambio al aviso de privacidad.

11. Redactar una cláusula que indique si el titular acepta o no la transferencia de sus datos, así como señalar a las personas receptoras y las finalidades que justifiquen la transferencia de sus datos personales.

12. En su caso, la información sobre el uso de mecanismos de comunicación tecnológica, que permitan recabar datos personales de manera automática y simultánea al tiempo que el titular hace contacto con los mismos.

13. Los medios para atender las solicitudes de revocación del consentimiento que los titulares hayan otorgado para el tratamiento de sus datos, así como el procedimiento establecido para tal efecto.

14. Los mecanismos y procedimientos señalados en los anteriores puntos deben cumplir con los requisitos que prevén los lineamientos emitidos por la Secretaría de Economía, publicados en el Diario Oficial de la Federación el día 17 de enero de 2013.

Además de lo anterior debemos tomar en cuenta que el aviso de privacidad debe estar redactado en idioma español, debe ser simple y claro, no usar frases inexactas o ambiguas, no hacer uso de formatos que induzcan la elección de una opción determinada y no remitir a textos o documentos que no estén disponibles para el titular.

Tratar los datos personales conforme a los fines señalados en el aviso de privacidad.

Es común que las empresas utilicen un mismo aviso de privacidad para sus clientes, proveedores, colaboradores, por referir algunos; no obstante, esto no es recomendable debido a que los fines y los datos a tratar pueden cambiar entre uno u otro caso. Los avisos de privacidad deben ser redactados conforme a cada caso en concreto, salvo que en todos los casos se traten circunstancias idénticas. Es muy importante que no utilicemos los datos personales para fines distintos a los que señalamos en nuestro aviso de privacidad. Si llegamos a necesitar los datos personales para otros fines adicionales o si hacemos algún cambio al aviso de privacidad, debemos notificarlo al titular previo al aprovechamiento de sus datos a través del medio que hayamos señalado en el propio aviso de privacidad.

No obstante lo anterior, debemos poner a disposición uno nuevo cuando haya un cambio de identidad de nuestra empresa (por ejemplo, si se fusiona con otra empresa), cuando necesitemos recabar datos personales sensibles, patrimoniales o financieros adicionales a aquellos informados en el aviso de privacidad original, cuando cambien o se adicionen nuevas finalidades para el tratamiento de los datos que requieran del consentimiento del titular y cuando se modifiquen las condiciones de las transferencias en su caso.

Proteger los datos personales que obren en nuestra base de datos.

Sea que en nuestra base de datos se encuentre en soportes físicos como papeles, libros, archiveros, etcétera; o que se encuentre en electrónicos como hardware, software, redes o aplicaciones, es importante que tengamos bien protegidos los datos personales que hayamos obtenido. De conformidad con el reglamento de la Ley, hay tres tipos de medidas de seguridad que debemos tomar en cuenta para la protección de datos personales:

·        Medidas de seguridad administrativas, consistentes en gestionar y revisar la seguridad de la información a nivel organizacional, identificando y clasificando la información, así como capacitando al personal de la empresa en materia de derechos personales.

·        Medidas de seguridad físicas, tales como prevenir el acceso no autorizado, el daño o interferencia a las instalaciones físicas o áreas críticas de la organización, del equipo y de la información; la protección de los equipos tecnológicos portátiles; dar mantenimiento a los equipos que contienen las bases de datos y garantizar la eliminación de datos de forma segura.

·        Medidas de seguridad técnicas, consistentes en los mecanismos tecnológicos para asegurar que el acceso a la información sea por usuarios identificados y autorizados y que sea únicamente para llevar a cabo las actividades compatibles con las funciones del usuario; así como la adquisición y mantenimiento de sistemas seguros, protegidos, encriptados, entre otros.

Para la aplicación de las anteriores medidas de seguridad debemos considerar elaborar un inventario de datos personales y el tratamiento que se les dará, identificando las funciones y obligaciones de las personas que traten datos personales, y establecer las medidas de seguridad convenientes e identificar aquellas que ya hayamos implementado de manera efectiva, para esto debemos tomar en cuenta los siguientes factores:

·        El riesgo que conlleva cada tipo de dato personal.

·        La sensibilidad de los datos personales tratados, así como el riesgo por el valor potencial de los datos personales.

·        El desarrollo tecnológico existente.

·        Las posibles consecuencias de una vulneración de seguridad.

·        El número de titulares cuyos datos tengamos en tratamiento.

·        Las vulnerabilidades previas ocurridas.

·        No adoptar medidas de seguridad menores a aquellas que tengamos para el manejo de nuestra propia información.

Asimismo, deberemos actualizarlas, cuando derivado de las revisiones, resulte conveniente su modificación o haya un cambio al nivel de riesgo, o se vulneren los sistemas de tratamiento de datos. Tratándose de datos personales sensibles, debemos revisar, y si es necesario, actualizar las medidas de seguridad correspondientes al menos una vez al año. Ahora bien, en caso de que suceda una vulneración en los sistemas, deberemos informarle al titular de los datos afectados, al menos la naturaleza del incidente ocurrido, los datos personales comprometidos, las recomendaciones acerca de las medidas que sean convenientes adoptar por parte del titular, las acciones correctivas realizadas y los medios a través de los cuales el afectado pueda obtener más información al respecto.

¿Qué son los derechos ARCO?

Se trata de los derechos que tiene el titular de los datos personales sujetos a tratamiento:

·        Acceso: derecho a acceder a sus datos personales, así como conocer el Aviso de Privacidad al que está sujeto el tratamiento.

·        Rectificación: derecho a rectificar los datos cuando sean inexactos o incompletos.

·        Cancelación: derecho a cancelar sus datos personales.

·        Oposición: derecho a oponerse al tratamiento de sus datos.

Eliminar los datos personales que ya no utilicemos.

Es muy importante que eliminemos los datos personales que dejemos de utilizar, ya sea porque hayan dejado de ser necesarios para el cumplimiento de las finalidades previstas por el aviso de privacidad, o porque el titular haya revocado su consentimiento para el tratamiento de sus datos personales. A menor cantidad de datos que tengamos, menor será el riesgo y las responsabilidades a las que nos enfrentemos.

Para determinar el tiempo en que debemos conservar los datos personales hay que tomar en cuenta los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información que pretendamos cancelar, por ejemplo, si los datos son necesarios para dar cumplimiento a obligaciones fiscales, deberemos conservarlos hasta en tanto logremos el cumplimiento de estas. Una vez cumplidas las finalidades del tratamiento, deberemos proceder a la cancelación de los datos. Para tal efecto la Ley señala los plazos y los mecanismos que debemos seguir. En términos generales, el procedimiento que debemos seguir para la total cancelación de los datos personales es el siguiente:

·        Periodo de bloqueo de datos: identificar y conservar (sin utilizar) los datos personales a cancelar, con el único propósito de determinar posibles responsabilidades en relación con su tratamiento, hasta el plazo de prescripción legal o contractual de éstas.

·        Supresión de datos: al finalizar el periodo de bloqueo se debe proceder a la cancelación de los datos personales, bajo las medidas de seguridad que hayamos establecido para tal efecto.

·        Informar al titular: cuando hayamos cancelado sus datos.

En conclusión, si empezamos por cambiar la estructura, seguridad y organización de nuestra empresa, teniendo presentes en todo momento las anteriores recomendaciones y las disposiciones legales en materia de protección de datos personales, podremos minimizar riesgos y evitar futuras contingencias. Es importante asesorarnos con los funcionarios del IFAI y con asesores expertos en el tema para poder cumplir con nuestras obligaciones de manera adecuada y suficiente para evitar sanciones económicas.