Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento.

Presentación del tema: "Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento."— Transcripción de la presentación:

1 Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento

2 Principios

3 Principios de la Ley de Protección de Datos Personales para el Distrito Federal Tratamiento Licitud Consentimient o Calidad Confidencialidad Seguridad DisponibilidadTemporalidad Información

4 Consentimiento El consentimiento puede ser expreso o tácito. Por regla general, es válido el consentimiento tácito. El consentimiento es expreso para datos personales patrimoniales o financieros. El consentimiento es expreso y por escrito para datos personales sensibles. Es la manifestación de la voluntad del titular que de manera libre, informada y específica autoriza el tratamiento de su información.

5  Se encuentre previsto en una Ley.  DP en fuentes de acceso público.  DP se hayan disociado.  Cumplimiento de obligaciones derivadas de una relación jurídica entre el titular y el responsable.  Exista una situación de emergencia que pueda dañar a un individuo.  Sean indispensables para la atención, gestión o tratamiento médico o la prestación de asistencia sanitaria, siempre y cuando el titular no esté en condiciones de otorgar su consentimiento.  Se dicte una resolución de una autoridad competente. Excepciones del consentimiento

6 Consentimiento en el Distrito Federal Manifestación de voluntad libre, inequívoca, específica e informada, mediante la cual el interesado consiente el tratamiento de sus datos personales.

7 7 Comparativo del principio del consentimiento Ley Federal de Protección de Datos Personales Manifestación expresa o tácita de la voluntad del titular que de manera libre, informada y específica. Ley de Protección de Datos Personales para el Distrito Federal Manifestación de voluntad libre, inequívoca, específica e informada.

8 Información sobre el tratamiento Dar a conocer la existencia misma del tratamiento y sus características esenciales en términos claros y sencillos que le resulten fácilmente comprensibles, a través del aviso de privacidad.

9 Información en el Distrito Federal Cuando los entes públicos recaben datos personales deberán informar previamente a los interesados de forma expresa, precisa e inequívoca lo siguiente:  De la existencia de un sistema de datos personales, del tratamiento de datos personales, de la finalidad de la obtención de éstos y de los destinatarios de la información.  Del carácter obligatorio o facultativo de responder a las preguntas que les sean planteadas.  De las consecuencias de la obtención de los datos personales, de la negativa a suministrarlos o de la inexactitud de los mismos.  De la posibilidad para que estos datos sean difundidos, en cuyo caso deberá constar el consentimiento expreso del interesado, salvo cuando se trate de datos personales que por disposición de una Ley sean considerados públicos.  De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.  Del nombre del responsable del sistema de datos personales y en su caso de los destinatarios.

10 10 Comparativo del principio de información Ley Federal de Protección de Datos Personales 1.La identidad y domicilio del responsable que trata los datos personales. 2.Los datos personales que serán sometidos a tratamiento. 3.El señalamiento expreso de los datos personales sensibles que se tratarán. 4.Las finalidades del tratamiento. 5.Los mecanismos para que el titular pueda manifestar su negativa para el tratamiento de sus datos personales para aquellas finalidades que no son necesarias, ni hayan dado origen a la relación jurídica con el responsable; 6.Las transferencias de datos personales que, en su caso, se efectúen; el tercero receptor de los datos personales, y las finalidades de las mismas; 7.La cláusula que indique si el titular acepta o no la transferencia, cuando así se requiera; 8.Los medios y el procedimiento para ejercer los derechos ARCO; 9.Los mecanismos y procedimientos para que, en su caso, el titular pueda revocar su consentimiento al tratamiento de sus datos personales; 10.X. Las opciones y medios que el responsable ofrece al titular para limitar el uso o divulgación de los datos personales; 11.La información sobre el uso de mecanismos en medios remotos o locales de comunicación electrónica, óptica u otra tecnología, que permitan recabar datos personales de manera automática y simultánea al tiempo que el titular hace contacto con los mismos, en su caso, y 12.Los procedimientos y medios a través de los cuales el responsable comunicará a los titulares los cambios al aviso de privacidad. Ley de Protección de Datos Personales para el Distrito Federal 1.De la existencia de un sistema de datos personales, del tratamiento de datos personales, de la finalidad de la obtención de éstos y de los destinatarios de la información. 2.Del carácter obligatorio o facultativo de responder a las preguntas que les sean planteadas. 3.De las consecuencias de la obtención de los datos personales, de la negativa a suministrarlos o de la inexactitud de los mismos. 4.De la posibilidad para que estos datos sean difundidos, en cuyo caso deberá constar el consentimiento expreso del interesado, salvo cuando se trate de datos personales que por disposición de una Ley sean considerados públicos. 5. De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. 6.Del nombre del responsable del sistema de datos personales y en su caso de los destinatarios.

11 Lealtad en el tratamiento Para la obtención y tratamiento de datos personales no debe valerse del engaño o fraude, de forma tal que la persona no pueda conocer con propiedad los términos y condiciones vinculados a ese tratamiento.

12 Comparativo del principio de lealtad Ley Federal de Protección de Datos Personales Ley de Protección de Datos Personales para el Distrito Federal

13 Datos estrictamente necesarios  El tratamiento de datos de carácter personal debe circunscribirse a aquéllos que resulten adecuados, relevantes y no excesivos con relación a las finalidades que justificaron su obtención.  El responsable está obligado tratar la mínima cantidad de información personal necesaria para conseguir la finalidad perseguida, es decir, realizar esfuerzos razonables para limitar los datos personales tratados al mínimo necesario (principio de minimización).

14 Datos estrictamente necesarios en el Distrito Federal Los datos personales recabados deben ser ciertos, adecuados, pertinentes y no excesivos en relación al ámbito y finalidad para los que se hubieren obtenido.

15 15 Comparativo del principio de proporcionalidad Ley Federal de Protección de Datos Personales El tratamiento de datos de carácter personal debe circunscribirse a aquéllos que resulten adecuados, relevantes y no excesivos con relación a las finalidades que justificaron su obtención. Principio de minimización. Ley de Protección de Datos Personales para el Distrito Federal Los datos personales recabados deben ser ciertos, adecuados, pertinentes y no excesivos en relación al ámbito y finalidad para los que se hubieren obtenido.

16 Licitud en el tratamiento Todo responsable debe llevar a cabo el tratamiento de datos personales de forma lícita, esto es, respetando la legislación aplicable, buena fe y los derechos y libertades de las personas.

17 Licitud en el Distrito Federal La posesión y tratamiento de sistemas de datos personales obedecerá exclusivamente a las atribuciones legales o reglamentarias de cada ente público y deberán obtenerse a través de medios previstos en dichas disposiciones.

18 18 Comparativo del principio de licitud Ley Federal de Protección de Datos Personales Todo responsable debe llevar a cabo el tratamiento de datos personales de forma lícita, esto es, respetando la legislación aplicable, buena fe y los derechos y libertades de las personas. Ley de Protección de Datos Personales para el Distrito Federal La posesión y tratamiento de sistemas de datos personales obedecerá exclusivamente a las atribuciones legales o reglamentarias de cada ente público y deberán obtenerse a través de medios previstos en dichas disposiciones.

19 Fines determinados en el uso de datos personales Primarias Secundarias Dan origen y son necesarias por la relación jurídica Finalidades distintas a las que dieron origen a la relación jurídica o bien aquellas que sean permitidas de forma explícita por una ley o reglamento o el responsable haya obtenido el consentimiento. El titular puede negarse u oponerse al tratamiento de sus datos para estas finalidades, sin afectar la relación jurídica con el responsable. Cualquier otra finalidad, solo con previo consentimiento del titular El tratamiento de datos personales debe ser sólo el necesario para cumplir con la finalidad determinada y legítima que se señaló en el aviso de privacidad de manera clara y objetiva.

20 Finalidad en el Distrito Federal Los sistemas de datos personales no pueden tener finalidades contrarias a las leyes o a la moral pública y en ningún caso pueden ser utilizados para finalidades distintas o incompatibles con aquella que motivaron su obtención. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.

21 21 Comparativo del principio de finalidad Ley Federal de Protección de Datos Personales El tratamiento de datos personales debe acotarse a las finalidades que motivaron su cumplimiento. Ley de Protección de Datos Personales para el Distrito Federal No pueden tener finalidades contrarias a las leyes o a la moral pública y en ningún caso pueden ser utilizados para finalidades distintas o incompatibles con aquella que motivaron su obtención.

22 Actualización de datos personales  Adoptar, siempre que ello sea posible, medidas razonables para que la información personal esté puesta al día a efecto de responder a esa veracidad en tanto persiste el tratamiento.  Suprimir los datos personales una vez cumplida la finalidad que motivó su tratamiento.

23 Actualización de datos personales en el Distrito Federal  Los datos recabados deberán ser los que respondan con veracidad a la situación actual del interesado.  Los datos personales deben ser destruidos cuando hayan dejado de ser necesarios o pertinentes a los fines para los que hubiesen sido recolectados.

24 24 Comparativo del principio de calidad Ley Federal de Protección de Datos Personales  Adoptar, siempre que ello sea posible, medidas razonables para que la información personal esté puesta al día a efecto de responder a esa veracidad en tanto persiste el tratamiento.  Suprimir los datos personales una vez cumplida la finalidad que motivó su tratamiento. Ley de Protección de Datos Personales para el Distrito Federal  Los datos recabados deberán ser los que respondan con veracidad a la situación actual del interesado.  Los datos personales deben ser destruidos cuando hayan dejado de ser necesarios o pertinentes a los fines para los que hubiesen sido recolectados.

25 Velar por el cumplimiento de los principios Establecer mecanismos necesarios para evidenciar dicho cumplimiento, tanto ante los titulares como ante la autoridad de supervisión Responsabilidad Adoptar las medidas necesarias para cumplir con los principios y obligaciones en materia de protección de datos personales Rendir cuentas al titular en caso de incumplimiento Rendir cuentas al titular en caso de incumplimiento

26 Comparativo del principio de responsabilidad Ley Federal de Protección de Datos Personales Ley de Protección de Datos Personales para el Distrito Federal

27 Seguridad de los datos personales Para garantizar la integridad, confidencialidad y disponibilidad de los datos personales, la LFPDPPP prevé lo siguiente:  Todo responsable debe establecer y mantener medidas de seguridad de carácter administrativo, técnico y físico que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso, o tratamiento no autorizado.  Para la implementación de dichas medidas se debe tomar en cuenta factores como riesgo existente y posibles consecuencias para los titulares, la sensibilidad de los datos personales y el desarrollo tecnológico.

28 Acciones de seguridad concretas:  Elaborar un inventario de datos personales.  Determinar las funciones y obligaciones de las personas que traten datos personales.  Contar con un análisis de riesgos de datos personales que consiste en identificar peligros y estimar los riesgos a los datos personales.  Establecer las medidas de seguridad aplicables a los datos personales e identificar aquellas implementadas de manera efectiva.  Realizar el análisis de brecha que consiste en la diferencia de las medidas de seguridad existentes y aquellas faltantes que resultan necesarias para la protección de datos personales.  Elaborar un plan de trabajo para la implementación de las medidas de seguridad faltantes, derivadas del análisis de brecha.  Llevar a cabo revisiones o auditorías.  Capacitar al personal que efectúe el tratamiento  Realizar un registro de los medios de almacenamiento de los datos personales. Seguridad de los datos personales

29 Consiste en garantizar que únicamente el responsable del sistema de datos personales o en su caso los usuarios autorizados puedan llevar a cabo el tratamiento de los datos personales, mediante los procedimientos que para tal efecto se establezcan. Seguridad de los datos personales en el Distrito Federal

30 30 Comparativo del principio de seguridad (modelo de determinación de las medidas y controles) Ley Federal de Protección de Datos Personales 1.El riesgo inherente por tipo de dato personal. 2.La sensibilidad de los datos personales tratados. 3.El desarrollo tecnológico. 4.Las posibles consecuencias de una vulneración para los titulares. De manera adicional, el responsable procurará tomar en cuenta los siguientes elementos: 1.El número de titulares. 2.Las vulnerabilidades previas ocurridas en los sistemas de tratamiento. 3.El riesgo por el valor potencial cuantitativo o cualitativo que pudieran tener los datos personales tratados para una tercera persona no autorizada para su posesión. 4.Demás factores que puedan incidir en el nivel de riesgo o que resulten de otras leyes o regulación aplicable al responsable. Ley de Protección de Datos Personales para el Distrito Federal 1.Básico.- Se entenderá como tal, el relativo a las medidas generales de seguridad cuya aplicación es obligatoria para todos los sistemas de datos personales. 2.Medio.- Se refiere a la adopción de medidas de seguridad cuya aplicación corresponde a aquellos sistemas de datos relativos a la comisión de infracciones administrativas, delitos, hacienda pública, servicios financieros, datos patrimoniales, así como a los sistemas que contengan datos de carácter personal suficientes que permitan obtener una evaluación de la personalidad del individuo. 3.Alto.- Corresponde a las medidas de seguridad aplicables a sistemas de datos concernientes a la ideología, religión, creencias, afiliación política, origen racial o étnico, salud, biométricos, genéticos o vida sexual, así como los que contengan datos recabados para fines policiales, de seguridad, prevención, investigación y persecución de delitos.

31 Vulneraciones de seguridad Las vulneraciones de seguridad ocurridas en cualquier fase del tratamiento que afecten de forma significativa los derechos patrimoniales o morales de los titulares, serán informadas de forma inmediata por el responsable al titular, a fin de que este último pueda tomar las medidas correspondientes a la defensa de sus derechos.

32 Comparativo de notificación de vulneraciones de seguridad Ley Federal de Protección de Datos Personales Ley de Protección de Datos Personales para el Distrito Federal

33 Se erige como la obligación del responsable y de quienes intervienen en cualquier fase del tratamiento de datos personales de guardar y respetar la confidencialidad de los mismos, obligación que subsistirá aún después de finalizar sus relaciones con el titular, o siendo el caso, con el responsable. confidencialidad Deber de confidencialidad

34 Consiste en garantizar que exclusivamente la persona interesada puede acceder a los datos personales o, en caso, el responsable o el usuario del sistema de datos personales para su tratamiento, así como el deber de secrecía del responsable del sistema de datos personales, así como de los usuarios. Deber de confidencialidad en el Distrito Federal

35 35 Comparativo del deber de confidencialidad Ley Federal de Protección de Datos Personales Obligación del responsable y de quienes intervienen en cualquier fase del tratamiento de datos personales de guardar y respetar la confidencialidad de los mismos.confidencialidad Ley de Protección de Datos Personales para el Distrito Federal Garantizar que exclusivamente la persona interesada puede acceder a los datos personales o, en caso, el responsable o el usuario del sistema de datos personales para su tratamiento, así como el deber de secrecía del responsable del sistema de datos personales, así como de los usuarios.

36 Cómputo en la nube Modelo de provisión externa de servicios de cómputo bajo demanda, que implica el suministro de infraestructura, plataforma o software, mediante procedimientos de virtualización, en recursos compartidos. El reglamento en su art. 52 establece las reglas mínimas para que el responsable se pueda adherir a servicios de cómputo en la nube. El responsable no podrá adherirse a servicios que no garanticen la debida protección de los datos personales.

37 Comparativo de previsiones sobre cómputo en la nube Ley Federal de Protección de Datos Personales Ley de Protección de Datos Personales para el Distrito Federal

38 Acceder a los datos personales. Solicitar el aviso de privacidad. Requerir información relacionada con las condiciones generales del tratamiento. Datos personales inexactos. Datos personales incorrectos. Supresión de los datos personales, previo bloqueo, cuando están siendo tratados en contravención a la LFPDPPP, su Reglamento y demás disposiciones aplicables. Solicitar el cese en el tratamiento de los datos personales por razones legítimas y de manera justificada, o bien, para fines específicos. Derechos ARCO Acceso Oposición Cancelación Rectificación

39 Acceder a los datos personales. Solicitar información sobre el origen de los datos y cesiones realizadas. Datos personales inexactos, incorrectos, inadecuados o excesivos. El tratamiento de los datos personales no se ajuste a lo dispuesto en la ley. El ejercicio del derecho de oposición resulta procedente. Cuando se recaban los datos personales sin el consentimiento del titular. Derechos ARCO en el Distrito Federal Acceso Oposición Cancelación Rectificación

40 40 Comparativo del derecho de acceso Ley Federal de Protección de Datos Personales  Acceder a los datos personales.  Solicitar el aviso de privacidad.  Requerir información relacionada con las condiciones generales del tratamiento. Ley de Protección de Datos Personales para el Distrito Federal  Acceder a los datos personales.  Solicitar información sobre el origen de los datos y cesiones realizadas.

41 41 Comparativo del derecho de rectificación Ley Federal de Protección de Datos Personales  Datos inexactos.  Datos incompletos. Ley de Protección de Datos Personales para el Distrito Federal Datos incorrectos, inexactos, inadecuados o excesivos.

42 42 Comparativo del derecho de cancelación Ley Federal de Protección de Datos Personales Supresión de los datos personales, previo bloqueo, cuando están siendo tratados en contravención a la LFPDPPP, su Reglamento y demás disposiciones aplicables. Ley de Protección de Datos Personales para el Distrito Federal  El tratamiento de los datos personales no se ajuste a lo dispuesto en la ley.  El ejercicio del derecho de oposición resulta procedente.

43 43 Comparativo del derecho de oposición Ley Federal de Protección de Datos Personales  Por razones legítimas y de manera justificada.  Para fines específicos. Ley de Protección de Datos Personales para el Distrito Federal Cuando se recaban los datos personales sin el consentimiento del titular.

44  Informar al titular de tal situación.  Derecho de acceso sobre los datos personales utilizados.  Derecho de rectificación sobre aquellos datos que no sean correctos.  Posibilidad de solicitar la reconsideración. Tratamiento automatizado de datos personales

45 Ley Federal de Protección de Datos Personales Ley de Protección de Datos Personales para el Distrito Federal