-------------------Taller de Documento de Seguridad abril de 2017 Medidas de seguridad

Taller de Sistemas de Datos Personales abril de 2017 ¿Qué son los Datos Personales? La información numérica, alfabética, gráfica, acústica o de cualquier otro tipo concerniente a una persona física, identificada o identificable. Tal y como son, de manera enunciativa y no limitativa: el origen étnico o racial, características físicas, morales o emocionales, la vida afectiva y familiar, el domicilio y teléfono particular, correo electrónico no oficial, patrimonio, ideología y opiniones políticas, creencias, convicciones religiosas y filosóficas, estado de Salud, preferencia sexual, la huella digital, el ADN y el número de seguridad social, y análogos. (artículo 2 LPDPDF).

Principios establecidos en el artículo 5 de la LPDPDF Licitud: Consiste en que la posesión y tratamiento de sistemas de datos personales obedecerá exclusivamente a las atribuciones legales o reglamentarias de cada ente público y deberán obtenerse a través de medios previstos en dichas disposiciones. Los sistemas de datos personales no pueden tener finalidades contrarias a las leyes o a la moral pública y en ningún caso pueden ser utilizados para finalidades distintas o incompatibles con aquella que motivaron su obtención. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.

Principio de Licitud LPDPDF Garantizar que los entes públicos traten en sus sistemas de datos personales aquellos que sean necesarios para el cumplimiento de las atribuciones legales o reglamentarias que les correspondan. No pueden crearse sistemas de datos con finalidades que resulten contrarias a la Ley o a la moral pública. Los datos no podrán utilizarse con fines distintos o incompatibles con aquellos para los cuales fueron obtenidos. El procesamiento de los datos con fines históricos, estadísticos o científicos, no se considera incompatible de manera que resulta lícito, lo que significa que no es necesario obtener el consentimiento del interesado puesto que dicho tratamiento con esta finalidad, está previsto en la ley.

Principio de Consentimiento LPDPDF Consentimiento: Se refiere a la manifestación de voluntad libre, inequívoca, específica e informada, mediante la cual el interesado consiente el tratamiento de sus datos personales. El titular tendrá que autorizar el tratamiento de sus datos, a menos que, concurra alguna de las excepciones previstas en la Ley. Entre las excepciones encontramos la que se refiere al desarrollo de las funciones de los entes públicos (Artículo 16), es decir, que el tratamiento se encuentre previsto en las atribuciones legales o reglamentarias del ente público.

Características del Consentimiento Libre: No sometido a coacción alguna en tanto que el interesado debe tener la posibilidad de otorgarlo y oponerse al mismo, siempre que una Ley no disponga lo contrario. Inequívoco: De manera que no haya lugar a dudas. El interesado consentirá el tratamiento de sus datos de carácter personal sin que de su manifestación se pueda interpretar que no quiso otorgar dicho consentimiento o que no conocía la finalidad o finalidades. Específico: Para una finalidad determinada. Es decir, el interesado tendrá que recibir la información sobre la finalidad o finalidades con la que se van a tratar sus datos de carácter personal para poder consentir o no dicho tratamiento. Informado: Con base en la información que se proporciona al interesado sobre el tratamiento de sus datos personales. Por tanto, la información será la que conste en la cláusula o leyenda informativa que, en su caso se proporcione al interesado en el momento de recabar u obtener sus datos de carácter personal.

Principio de Calidad LPDPDF Calidad de los Datos: Los datos personales recabados deben ser ciertos, adecuados, pertinentes y no excesivos en relación al ámbito y finalidad para los que se hubieren obtenido. Los datos recabados deberán ser los que respondan con veracidad a la situación actual del interesado. Los datos deben ser los necesarios para la finalidad con la que se obtienen y además responder con veracidad a la situación actual del interesado, procediendo a su rectificación cuando fuera necesario.

Principio de Calidad LPDPDF Ciertos: Deben estar actualizados en todo momento de manera que respondan a la situación actual de su titular. Deben ser veraces. El titular está obligado a proporcionar datos que sean veraces y el responsable a tratar los datos actualizados. Adecuados: En relación con la finalidad o finalidades del tratamiento que haya sido establecido. Los datos resultan adecuados para la finalidad para la que se tratan. Pertinentes: La pertinencia del dato debe concordar con la finalidad del tratamiento, puesto que los datos resultarán pertinentes en atención a la finalidad con que sean tratados. El responsable tiene que analizar los datos que va a tratar en atención a la finalidad o finalidades indicadas, solicitando sólo aquellos datos que resulten ser pertinentes.

Principio de Calidad LPDPDF No excesivos: Los datos deben estar acordes con la finalidad o finalidades para las que se solicitan a efectos de determinar si son excesivos o no. Por tanto, sólo se tratarán los datos que resulten necesarios para la finalidad o finalidades para la que se solicitan, buscando siempre obtener los mínimos datos necesarios (minimización) para evitar un tratamiento que resulte inadecuado. La adecuación y pertinencia del dato hay que ponerla en relación con la finalidad con la que se va a tratar. Es decir, atendiendo a la finalidad del procedimiento se podrá determinar si los datos son adecuados, pertinentes y no excesivos. Además, los datos tienen que estar en todo momento actualizados, de manera que “respondan con veracidad a la situación actual del interesado”. De no ser así, los datos podrán ser rectificados, sea de oficio o a instancia del interesado cuando éste ejercite su derecho de rectificación.

Principio de Confidencialidad Confidencialidad: Consiste en garantizar que exclusivamente la persona interesada puede acceder a los datos personales o, en caso, el responsable o el usuario del sistema de datos personales para su tratamiento, así como el deber de secrecía del responsable del sistema de datos personales, así como de los usuarios. Supone que sólo el interesado, el responsable o el usuario puedan acceder a los datos. La Ley impone al responsable del sistema de datos personales y al usuario un deber específico de secrecía. El artículo prevé expresamente que el deber de confidencialidad se haga constar en aquellos instrumentos jurídicos que regulen el tratamiento de datos, bien sea por el responsable del sistema de datos personales o por los usuarios. Incluso tienen que establecerse las penas convencionales si la obligación de secrecía fuera incumplida por quien trate los datos de carácter personal.

Principio de Confidencialidad. Los datos personales son irrenunciables, intransferibles e indelegables, por lo que no podrán transmitirse salvo disposición legal o cuando medie el consentimiento del titular y dicha obligación subsistirá aún después de finalizada la relación entre el ente público con el titular de los datos personales, así como después de finalizada la relación laboral entre el ente público y el responsable del sistema de datos personales o los usuarios. El responsable del sistema de datos personales o los usuarios podrán ser relevados del deber de confidencialidad por resolución judicial y cuando medien razones fundadas relativas a la seguridad pública, la seguridad nacional o la salud pública. El deber de confidencialidad o secrecía no es absoluto y cederá en caso de que un juez así lo ordene mediante resolución judicial o existan razones de seguridad pública, seguridad nacional o salud pública que obliguen a revelar datos personales que sean objeto del tratamiento.

Principio de Confidencialidad. El deber de confidencialidad es un principio que tiene por objeto proteger los datos, si bien resulta claro que la secrecía no puede ser utilizada como argumento para impedir el acceso a los datos por quienes lo requieren siempre y cuando se cumpla con las garantías previstas en la Ley. No se trata de que cualquiera pueda acceder a los datos, sino de permitir el acceso a los datos objeto de tratamiento por las autoridades competentes, en los casos en los que la causa esté justificada, ya sea por una resolución judicial o por una situación prevista en la ley.

Principio de Seguridad Consiste en garantizar que únicamente el responsable del sistema de datos personales o en su caso los usuarios autorizados puedan llevar a cabo el tratamiento de los datos personales, mediante los procedimientos que para tal efecto se establezcan. La seguridad de los datos se concreta a través del documento de seguridad, el cual es el instrumento a través del que el responsable de seguridad cumple y hace cumplir las medidas de seguridad previstas en la Ley y aquellas otras que permiten proteger los datos personales. Tratamiento entendido como posesión, obtención y cualquier operación registro, organización, conservación, elaboración, utilización, cesión, difusión, interconexión o cualquier otra forma que permita obtener información de los mismos y facilite al interesado el acceso, rectificación, cancelación u oposición de sus datos (art. 2). Se considerará que los datos son inadecuados, cuando estos no guarden una estrecha relación con el ámbito de aplicación y finalidad por la cual fueron recabados, o bien, si dejaron de ser necesarios con respecto a dicha finalidad; así mismo se considerarán como excesivos, si los datos obtenidos son más de los estrictamente necesarios en relación a dicha finalidad.

Principio de Disponibilidad Los datos deberán almacenarse de tal forma que permitan el ejercicio de los derechos ARCO. El tratamiento de los datos tendrá que estructurarse de manera que en todo momento sea posible atender el ejercicio de los derechos de los interesados. Al posibilitar el ejercicio de los derechos por los interesados, se puede garantizar efectivamente el cumplimiento de otros principios de la protección de datos, proteger al interesado, al mismo tiempo que quien los trata cumple con las obligaciones establecidas por la Ley y los Lineamientos. Seguridad implica que se deben tomar las medidas necesarias para garantizar la integridad, confiabilidad y confidencialidad para evitar alteraciones, pérdidas o accesos y transmisiones no autorizados. Se pueden almacenar íntegros para fines históricos

Principio de Disponibilidad La Ley tiene que ser interpretada conforme a otras normas que puedan resultar aplicables a los archivos. Resulta relevante la Ley de Archivos del D.F. así como la Ley de Transparencia y Acceso a la Información Pública del D.F., de manera que la Ley de Protección de Datos Personales tiene que ser interpretada en el marco de esta realidad jurídica, sin obviar los límites a los que se encuentra sujeta y tomando en cuenta la necesidad de encontrar un equilibrio. Seguridad implica que se deben tomar las medidas necesarias para garantizar la integridad, confiabilidad y confidencialidad para evitar alteraciones, pérdidas o accesos y transmisiones no autorizados. Se pueden almacenar íntegros para fines históricos

Principio de Temporalidad Los datos personales deben ser destruidos cuando hayan dejado de ser necesarios o pertinentes a los fines para los que hubiesen sido recolectados. Regla general: Cuando los datos hayan dejado de ser necesarios o pertinentes para la finalidad con la que hubieran sido recabados, serán destruidos. La pertinencia del dato, tiene que ser analizada en relación con la finalidad con la que se tratan los datos. Cuando la finalidad se ha cumplido o no se tratan con dicha finalidad, entonces los datos dejan de ser necesarios o pertinentes, lo que implica que tenga que considerarse la opción de ser cancelados o la obligación de cumplir con otros principios que resulten aplicables, tales como el consentimiento. Seguridad implica que se deben tomar las medidas necesarias para garantizar la integridad, confiabilidad y confidencialidad para evitar alteraciones, pérdidas o accesos y transmisiones no autorizados. Se pueden almacenar íntegros para fines históricos

Principio de Temporalidad Excepciones al Principio de Temporalidad: Cuando el tratamiento posterior de los datos tenga fines estadísticos o científicos, siempre que éstos hayan sido sometidos previamente a un procedimiento de disociación. Cuando el tratamiento tenga fines históricos, en cuyo caso podrán conservarse de manera íntegra. Este tratamiento específico tendrá que cumplir, además con aquellas normas que resulten aplicables y en particular con la Ley de Archivos del D.F. Los datos personales objeto de tratamiento se encuentran incorporados en archivos, los que, a su vez, tienen que cumplir con la normativa aplicable en la materia, que establecerá plazos de conservación y disposición final de los documentos conforme a lo que se disponga en el catálogo de disposición documental. Seguridad implica que se deben tomar las medidas necesarias para garantizar la integridad, confiabilidad y confidencialidad para evitar alteraciones, pérdidas o accesos y transmisiones no autorizados. Se pueden almacenar íntegros para fines históricos

Taller de Sistemas de Datos Personales abril de 2017 ¿Qué es un Sistema de Datos Personales? Todo conjunto organizado de archivos, registros, bases o bancos de datos personales de los entes públicos, que permita el acceso a datos con arreglo a criterios determinados cualquiera que sea la forma o modalidad de su creación, almacenamiento, organización y acceso (LPDPDF)

Sistemas de datos personales Sistema de Datos Personales Sistemas de datos personales

Taller de Sistemas de Datos Personales abril de 2017 Tipos de Sistemas de Datos Personales Los sistemas de datos personales que estén en posesión de los entes públicos se dividen en: Físicos: Para su tratamiento están contenidos en registros, manuales, impresos, sonoros, magnéticos, visuales u holográficos. Estructurados conforme a criterios específicos que permitan acceder sin esfuerzos desproporcionados a los Datos Personales. Automatizados: Estos permiten acceder a la información relativa a una persona física utilizando una herramienta tecnológica. Esta es la definición que se propone en los Lineamientos.

Taller de Sistemas de Datos Personales abril de 2017 Organigrama de Jerarquía sobre el tratamiento de los Sistemas de Datos Personales Titular del Ente Público Enlace ante el INFODF Responsable del sistema Responsable de Seguridad Física Encargado Responsable de Seguridad Informática Responsable de Seguridad Física Usuarios Destinatarios

Taller de Sistemas de Datos Personales abril de 2017 Personas involucradas con los DP Enlace: Servidor público que fungirá como vínculo entre el Ente Público y el Instituto para atender los asuntos relativos a la Ley de la materia. Responsable del Sistema: El servidor público de la unidad administrativa a la que se encuentre adscrito el sistema de datos personales, designado por el titular del ente público, que decide sobre el tratamiento de datos personales así como el contenido y finalidad de los sistemas de datos personales. Responsable de Seguridad: Persona a la que el responsable del sistema asigna formalmente la función de coordinar y controlar las medidas de seguridad aplicables. Se puede separar del área tecnológica. Encargado: Servidor público que en ejercicio de sus atribuciones realiza tratamiento de datos personales de forma cotidiana. Usuario: Persona física o moral externa autorizada para prestarle servicios sobre el tratamiento de datos personales. En cuanto a los Lineamientos, que aun están en proceso de ser aprobados, destacan las siguientes …

Taller de Sistemas de Datos Personales abril de 2017 Personas involucradas con los DP Destinatario: Cualquier Organismo o Institución pública que reciba datos personales de los entes obligados; Tratamiento de Datos Personales: Cualquier operación o conjunto de operaciones que se relacionen con la obtención, registro, organización, conservación, elaboración, utilización, cesión, difusión e interconexión de los datos personales, aplicadas a los sistemas de datos personales, pudiendo efectuarse mediante procedimientos automatizados o físicos (artículo 2 LPDPDF). En cuanto a los Lineamientos, que aun están en proceso de ser aprobados, destacan las siguientes …

Muchas gracias I N F O D F DIRECCIÓN DE DATOS PERSONALES ANDRÉS ESPINOSA CASTELLANOS andres.espinosa@infodf.org.mx Ext. 189 DAVID GUZMÁN CORROVIÑAS david.guzman@infodf.org.mx Ext. 243