ASF | 1 Auditoría núm. 115 Protección de datos personales Cuenta Pública

ASF | 2 Contenido I.Contexto II.Política pública III.Objetivo de la auditoría IV.Universal conceptual V.Resultados de la revisión VI.Dictamen VII.Acciones promovidas VIII. Valor de la fiscalización IX.Consecuencias sociales

ASF | 3 I.Contexto

ASF | 4 I. Contexto Los datos personales se refieren a: toda información relativa a una persona identificada o identifi- cable, como su origen, residen- cia, edad, trayectoria laboral y profesional, entre otros. 1/ 1/ Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).

ASF | 5 Árbol del problema de la MIR del Pp E004: MIR:Matriz de Indicadores para Resultados. Pp:Programa Presupuestario E004 Protección de Datos Personales. APF: Administración Pública Federal. falta de garantías para la pro- tección de los datos persona- les en poder de la APF y del sector privado. I.Contexto Problemática

ASF | 6 insuficiente difusión y promo- ción del derecho a la pro- tección e indiferencia de los ti- tulares ante el manejo de los datos personales. I.Contexto Problemática Árbol del problema de la MIR del Pp E004, causas: MIR:Matriz de Indicadores para Resultados. Pp:Programa Presupuestario E004 Protección de Datos Personales.

ASF | 7 los datos personales se trans- miten sin el consentimiento del titular y se tratan con fines dis- tintos para los que fueron re- cabados. I.Contexto Problemática Árbol del problema de la MIR del Pp E004, efecto: MIR:Matriz de Indicadores para Resultados. Pp:Programa Presupuestario E004 Protección de Datos Personales.

ASF | 8 II.Política pública

ASF | 9 nadie será objeto de injeren- cias arbitrarias en su vida, fa- milia y domicilio. Toda persona tiene derecho a la protección de la ley contra tales ataques. ONU, 1948: ONU: Organización de las Naciones Unidas. II. Política pública

ASF | 10 II. Política pública CPEUM 2009, artículo 16: CPEUM: Constitución Política de los Estados Unidos Mexicanos. toda persona tiene derecho a la protección de datos perso- nales. Mandato

ASF | 11 LFPDPPP, Reconoce a la persona como responsable para decidir sobre el trato de sus datos e indica las obligaciones de quienes los manejan. LFPDPPP: Ley Federal de Protección de Datos Personales en Posesión de Particulares. II. Política pública Mandato

ASF | 12 II.Política pública MIR 2014 del Pp E004, objetivo de nivel de Propósito: MIR:Matriz de Indicadores para Resultados del Pp E004. contribuir a garantizar el derecho a proteger los datos personales mediante la difusión y promoción de su ejercicio, así como con la sustanciación de procedimientos.

ASF | 13 II. Política pública INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. Referentes INAI: Difusión: publicitación en es- pacios informativos y capacita- ción a entes públicos y priva- dos, sobre el derecho a la pro- tección de datos.

ASF | 14 II. Política pública INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. Referentes INAI: Promoción: solicitud de las per- sonas para que el INAI proteja sus datos conforme a la ley, quien debe pronunciarse me- diante resolución y sanción.

ASF | 15 II. Política pública INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. 2/ Ley: Ley Federal de Protección de Datos Personales en Posesión de Particulares y Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental. Referentes INAI: Sustanciación: verificaciones e investigaciones para resolver y sancionar por violaciones a la Ley 2/.

ASF | 16 PEF: Presupuesto de Egresos de la Federación. INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales.. Pp: Programa presupuestario. II.Política pública PEF 2014 En 2014, se autorizaron Mdp al INAI para operar el Pp E004, monto superior en 20.9 Mdp respecto de FUENTE: elaborado por la ASF con información del PEF.

ASF | 17 III.Objetivo de la auditoría

ASF | 18 III. Objetivo de la auditoría Fiscalizar que la difusión y promoción del derecho a la protección de datos personales y la sustanciación de los procedimientos promovidos, contribuyó a garantizar el ejercicio del derecho a la protección de los datos personales de la sociedad.

ASF | 19 IV.Universal conceptual

ASF | 20 1.Difusión 2.Promoción 3.Sustanciación 4.Garantizar el ejercicio del de- recho a la protección de da- tos personales 5.Aplicación de recursos IV. Universal conceptual

ASF | 21 V. Resultados

ASF | 22 V. Resultados En 2014, el INAI hizo 3 campa- ñas de difusión en radio, televi- sión, medios impresos y redes sociales a nivel nacional, pero careció de planeación y metas. LFPRH, artículo 27, párrafo segundo: incluir indicadores de desempeño con sus correspondientes metas anuales. LFPDPPP, artículo 38: difundir el conocimiento del derecho a la protección de datos personales en la sociedad mexicana. LFPDPPP: Ley Federal de Protección de Datos Personales en Posesión de los Particulares. INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales R4 1.Difusión 1.1 Publicitación

ASF | 23 En 2014, el INAI realizó 763 impactos en los medios de co- municación, 69.4% de lo pro- gramado. LFPRH: Ley Federal de Presupuesto y Responsabilidad Hacendaria. INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. MIR: Matriz de Indicadores para Resultados. Pp 004: Programa presupuestario Protección de datos personales. 3/ Se refiere Información que emite el instituto y que es publicada en los medios de comunicación. LFPRH, artículo 45: cumplir con oportunidad y eficiencia las metas y ob- jetivos previstos en sus respectivos programas. MIR, 2014 del Pp 004: realizar 1,100 impactos 3/. V. Resultados R4 1.Difusión 1.1 Publicitación

ASF | 24 V. Resultados El instituto capacitó a 4,149 per- sonas del sector privado (suje- tos regulados) y a 22,460 servi- dores públicos, pero careció de metas. LFPRH, artículo 45: cumplir con oportunidad y eficiencia las metas y objetivos previstos en sus respectivos programas. RIIFAIPD, artículo 31, fracción I: capacitar a servidores públicos y al sector privado en materia de la LFTAIPG y de la LFPDPPP. LFPRH: Ley Federal de Presupuesto y Responsabilidad Hacendaria. Impactos: RIIFAIPD: Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos.os. LFPDPPP: Ley Federal de Protección de Datos Personales en Posesión de los Particulares. LFTAIPG: Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental. R5 1.Difusión 1.2 Capacitación

ASF | 25 V. Resultados En 2014, el INAI desconoció las necesidades de capacitación de protección de datos, tampoco contó con planes ni programas en la materia. RIIFAIPD, artículo 22, fracción VIII: realizar el desarrollo de los planes y programas de capacitación a servidores públicos y al sector privado. RIIFAIPD: Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos. INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. 1.Difusión 1.2 Capacitación R5

ASF | 26 V. Resultados En 2014, el instituto cumplió con atender 140 solicitudes de protección de derechos recibi- das, 41 se resolvieron en ese a- ño y 91 no procedieron. LFPDPPP, artículo 39: atender y resolver las solicitudes de procedimien- tos de protección de derechos e imponer las sanciones correspondien- tes. ESTATUS DE SOLICITUDES DE PROTECCIÓN DE DERECHOS, 2014 LFPDPPP: Ley Federal de Protección de Datos Personales en Posesión de los Particulares 2. Promoción 2.1 Resoluciones R9

ASF | 27 V. Resultados En 2014, el INAI cumplió con iniciar los 15 procedimientos de violaciones de la ley requeri- dos, 8 se resolvieron con impo- sición de 8,493.4 mdp en san- ciones. LFPDPPP: Ley Federal de Protección de Datos Personales en Posesión de los Particulares. INAI: Instituto Nacional de Transparencia, Accesos a la Información y Protección de Datos Personales. mdp: miles de pesos. PROCEDIMIENTOS DE IMPOSICIÓN DE SANCIONES, LFPDPPP, artículo 39: imponer las sanciones según corresponda. 2. Promoción 2.2 Sanciones R10

ASF | 28 V. Resultados El INAI realizó 19 verificaciones de cumplimiento de la LFPDPPP, 70.4% de la meta, pero careció de una planeación que le permi- tiera alcanzar lo programado. LFPRH, artículo 45: cumplir con oportunidad y eficiencia las metas y objetivos previstos en sus respectivos programas. MIR, 2014 del Pp E004: realizar 22 verificaciones. MIR: Matriz de Indicadores para Resultados. LFPDPPP: Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Pp E004: Programa presupuestario Protección de datos personales. INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. 3. Sustanciación 3.1 Verificaciones R6

ASF | 29 V. Resultados En 2014, el instituto realizó 480 investigaciones, lo que repre- sentó el 113.2% de lo progra- mado. MIR, 2014 del Pp E004: realizar 424 investigaciones por posibles violaciones a la ley. MIR: Matriz de Indicadores para Resultados. Pp E004: Programa presupuestario E Sustanciación 3.2 Investigaciones R7 Programadas Realizadas

ASF | 30 V. Resultados En 2014, el INAI careció de manuales de procedimientos que regularan sus acciones de verificación e investigación. RIIFAIPD, artículo 24, fracción III: dirigir la elaboración de proyectos de lineamientos en materia de protección de datos personales. RIIFAIPD: Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos. INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. 3. Sustanciación R6 y R7

ASF | 31 V. Resultados El INAI difundió, promovió y sus- tanció el derecho a la protección de datos, pero eso fue insuficiente para contribuir a garantizar su e- jercicio, por lo que persiste el ries- go del mal uso de los datos. LFPDPPP, artículo 38: el Instituto tendrá por objeto difundir el conocimiento del derecho a la protección de datos, promover su ejercicio y vigilar la debida observancia de la Ley. LFPDPPP: Ley Federal de Protección de Datos Personales en Posesión de los Particulares. INAI: Instituto Nacional de Transparencia, Accesos a la Información y Protección de Datos Personales. 4/ Estudio de opinión cara a cara en vivienda a nivel nacional, Diciembre 2014, INAI. R6 y R7 4. Garantizar el ejercicio del derecho a la protección de datos personales INCUMPLIMIENTOS DEL INAI, 2014 Sin metas de difusión ni de capacitación. Sin planes de capacitación. Incumplimiento de metas: Impactos 69.4% Verificaciones 70.4% Sin manuales de procedimientos para verificaciones e investigaciones. Resultados de estudio 4/ : 6 de cada 10 ciudadanos desconocieron su derecho a proteger sus datos.

ASF | 32 V. Resultados LFPRH, artículo 57: los ejecutores de gasto deberán sujetarse a los montos autorizados en el Presupuesto para sus respectivos ramos y programas, salvo que se realicen adecuaciones presupuestarias. LFPRH: Ley Federal de Presupuesto y Responsabilidad Hacendaria. INAI: Instituto Nacional de Transparencia, Accesos a la Información y Protección de Datos Personales. R6 y R7 FUENTE: elaborado por la ASF con información del PEF. En 2014, se autorizaron Mdp al INAI para operar el Pp E004, pero ejerció 66.6 Mdp, ya que Mdp se transfirieron a otros programas. 5. Aplicación de recursos

ASF | 33 VI. Dictamen

ASF | 34 VI. Dictamen INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. En 2014, el INAI, mediante la operación del Pp E004, realizó acciones de difusión, promoción y sustanciación del derecho a proteger los datos personales de la sociedad mexicana, pero fueron insuficientes para avanzar en la atención de contribuir a garantizar su ejercicio, ya que 6 de cada 10 ciudadanos lo desconocieron; además, careció de un pro- grama de capacitación para difundir a la población los derechos y obli- gaciones en la materia, por lo que persistió el riesgo del uso indebido de los datos.

ASF | 35 VII. Acciones promovidas

ASF | 36 Que el INAI desarrolle mecanis- mos que le permitan reforzar las acciones de difusión del derecho a la protección de datos y de sustanciación de los procedimientos para comprobar su cumplimiento, a fin de avan- zar en contribuir en garantizar el ejercicio del derecho a la pro- tección de datos personales. VII. Acciones promovidas Que el INAI analice las causas por las que careció de planes y programas de capacitación en materia de protección de datos personales, de indicadores y metas para medir las acciones de difusión en medios de co- municación y de capacitación, así como del incumplimiento de metas de verificación. Acción promovida Efecto esperado INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales.

ASF | 37 VIII. Valor de la fiscalización

ASF | 38 VIII. Valor de la fiscalización INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. Con la fiscalización superior, el INAI estará en posibilidad de contar con mecanismos que le permitan reforzar las acciones de difusión y sustanciación, para avanzar en contribuir a garantizar el ejercicio del derecho a la protección de datos personales y mitigar el riesgo del uso indebido de los datos.

ASF | 39 VIII. Consecuencias sociales

ASF | 40 VIII. Consecuencias sociales INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. En 2014, el INAI difundió el derecho a la protección de datos por medio de tres campañas que se realizaron en radio, televisión y medios impre- sos, se capacitaron a 26,609 personas de los sectores público y privado para darles a conocer las disposiciones en materia del ejercicio del derecho a la protección de datos personales que establece la legisla- ción, y se promovieron las 140 solicitudes de protección de derechos; sin embargo, en el estudio de opinión realizado por el instituto arrojó que 6 de cada 10 ciudadanos desconocieran ese derecho, por lo cual persiste el riesgo del uso indebido de los datos personales.

ASF | 41