EXPERIENCIA DE EL SALVADOR NOVEDADES LEGISLATIVAS Y DE APLICACIÓN SOBRE LA NORMATIVA DE PROTECCIÓN DE DATOS EXPERIENCIA DE EL SALVADOR A pesar que El Salvador no cuenta aún con una Ley marco de Protección de Datos Personales aprobada, ni tampoco con una autoridad de control a semejanza de las existentes en la Unión Europea o Argentina, si se pueden destacar importantes avances en la materia que enrumban al país con una regulación y una entidad rectora que le permitan, en un futuro no muy lejano, garantizar un nivel de protección adecuado. A continuación se hace una reseña de las leyes y evolución de la protección de datos en El Salvador. Fernando Argüello Téllez

Derecho a la Autodeterminación Informativa – HABEAS DATA Nuestra Constitución no establece de forma expresa el Habeas Data, pero la Sala de lo Constitucional vía Amparo, lo reconoce como Derecho a la Autodeterminación Informativa Amparo 118-2002: Boris Solórzano vs DICOM Derecho Autodeterminación Informativa, como derecho autónomo entendido como manifestación del derecho a la intimidad del Art. 2 inc 2° Cn. Mediante Jurisprudencia dictada en el Amparo 118-2002. Boris Solórzano vs DICOM por el supuesto procesamiento arbitrario e ilegal de datos crediticios de las personas hasta convertirse en un referente obligatorio en dicha área. Sin embargo, en los últimos años los datos que maneja incluyen información relativa a otras facetas más íntimas y elementales de la vida, tales como la salud y la educación. Esto representa un peligro si no se regula y se detiene la venta y uso no autorizado y arbitrario de esos datos.

Derecho a la Autodeterminación Informativa – HABEAS DATA Conceptualización Simulando el recurso del Habeas Corpus que protege la libertad, el Habeas Data protege la información nominativa, es decir, aquella que identifica al individuo. Definición Derecho Autónomo Fundamental que permite a toda persona conocer, actualizar y rectificar las informaciones que sobre ella hayan sido consignadas en bancos de datos y en archivos de entidades públicas o privadas. A pesar de no estar desarrollado como tal, es un Recurso Procesal diseñado para controlar la información personal contenida en bancos de datos, cuyo derecho implica la corrección, la cancelación, y la posibilidad de restringir y limitar la circulación de los mismos. Adoptado este concepto por diversos países latinoamericanos. Definición Corte Constitucional colombiana. Esto en defensa de los derechos fundamentales como la intimidad, la honra y buen nombre (Sentencia T-094/95). MARCIA MUÑOZ DE ALBA

Legislaciones Internacionales que reconocen el Habeas Data Argentina -Art. 43 Cn. Brasil -Art.5 Cn. Colombia -Art. 15 Cn. Ecuador -Art. 30 Cn. Argentina Toda persona podrá interponer esta acción —se refiere al amparo—, para tomar conocimiento de los datos a ella referidos y de su finalidad (…) Brasil Se concederá habeas data: a) para asegurar el conocimiento de informaciones relativas a la persona del impetrante, que consten en registros (…); b) para rectificar datos. Colombia Todas las personas tienen derecho (…) a reconocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Cn. Ecuador Toda persona tiene derecho a acceder a los documentos, bancos de datos e informes que sobre sí misma o sobre sus bienes consten en entidades públicas o privadas, así como conocer el uso que se haga de ellos y su finalidad.

Protección de Datos en la Legislación Salvadoreña A continuación se hace una reseña de las leyes y evolución de la protección de datos.

Reglamento General De La Ley Penitenciaria (14/nov./2000) Privacidad de datos del interno Datos personales especialmente protegidos Rectificación o complementación de datos personales Garantía de confidencialidad de los datos e informaciones

Ley de Simplificación Aduanera (13/ene./1999 reformada 30/ago./01) Art. 8-B. Se establece la obligación de secreto y reserva respecto a los datos personales o normativos de quienes firmen y sean certificados digitalmente, que archiven o almacenen las entidades certificadoras en bases de datos que para todos los efectos legales serán consideradas de acceso privado (…) Con el objeto de asegurar la confidencialidad de la información y el respeto y la protección de la privacidad de las personas, salvo que la Fiscalía General de la República o un Tribunal competente requiera el conocimiento de dichos antecedentes por motivos fundados. En ningún caso, dichos datos personales podrán ser cruzados, perfilados o utilizados para otros fines que los regulados por esta Ley, salvo que el titular de los datos consienta expresamente y por escrito en su uso para una finalidad distinta de aquella con la cual fueron recolectados, procesados y registrados o almacenados.

Ley de Protección Al Consumidor (31/ago./2005) Prohibición compartir información personal y crediticia del consumidor permitir al consumidor el acceso a la información de sus datos. Prohibición funcionarios y empleados de la Defensoría revelar cualquier información CUADRO 1 Art. 18. Queda prohibido a todo proveedor Compartir información personal y crediticia del consumidor. CUADRO DOS Art. 21.- Las entidades especializadas en la prestación de servicios de información estarán obligadas a permitir al consumidor el acceso a la información de sus datos CUADRO TRES Art. 96.- Se prohíbe a los funcionarios y empleados de la Defensoría revelar cualquier información que hayan obtenido en el desempeño de su cargo

Ley de Acceso A La Información Pública (2/dic/2010) Art. 6. DEFINICIONES. Datos personales Datos personales sensibles Información confidencial a. Datos personales: la información privada concerniente a una persona, identificada o identificable, relativa a su nacionalidad, domicilio, patrimonio, dirección electrónica, número telefónico u otra análoga. b. Datos personales sensibles: los que corresponden a una persona en lo referente al credo, religión, origen étnico, filiación o ideologías políticas, afiliación sindical, preferencias sexuales, salud física y mental, situación moral y familiar y otras informaciones íntimas de similar naturaleza o que pudieran afectar el derecho al honor, a la intimidad personal y familiar y a la propia imagen. f. Información confidencial: es aquella información privada en poder del Estado cuyo acceso público se prohíbe por mandato constitucional o legal en razón de un interés personal jurídicamente protegido.

Ley de Acceso A La Información Pública Art. 24.- Es información confidencial: a la intimidad personal y familiar, al honor y a la propia imagen. La entregada con tal carácter por los particulares a los entes obligados. Los datos personales que requieran el consentimiento de los individuos para su difusión Art. 24.- Es información confidencial: a. La referente al derecho a la intimidad personal y familiar, al honor y a la propia imagen, así como archivos médicos cuya divulgación constituiría una invasión a la privacidad de la persona. b. La entregada con tal carácter por los particulares a los entes obligados, siempre que por la naturaleza de la información tengan el derecho a restringir su divulgación. c. Los datos personales que requieran el consentimiento de los individuos para su difusión. d. Los secretos profesional, comercial, industrial, fiscal, bancario, fiduciario u otro considerado como tal por una disposición legal. Los padres, madres y tutores tendrán derecho de acceso irrestricto a la información confidencial de los menores bajo su autoridad parental.

LEY DE ACCESO A LA INFORMACIÓN PÚBLICA Consentimiento de la divulgación LEY DE ACCESO A LA INFORMACIÓN PÚBLICA Los secretos profesional, comercial, industrial, fiscal, bancario, fiduciario u otro considerado como tal por una disposición legal. Consentimiento de Divulgación Art. 25 Los padres, madres y tutores tendrán derecho de acceso irrestricto a la información confidencial de los menores bajo su autoridad parental. Consentimiento de la Divulgación. Art. 25.-Los entes obligados no proporcionarán información confidencial sin que medie el consentimiento expreso y libre del titular de la misma.

Ley de Acceso A La Información Pública Acceso a información restringida por autoridades públicas Art.26 Solución de discrepancias Art 29 Responsabilidad Art. 28 Custodia de la información Restringida Art 27 Custodia de la Información Restringida Art. 27.- El titular de cada dependencia o entidad deberá adoptar las medidas necesarias para asegurar la custodia y conservación de los documentos que contengan información reservada o confidencial. Responsabilidad Art. 28.- Los funcionarios que divulguen información reservada o confidencial responderán conforme a las sanciones que ésta u otras leyes establezcan; de la misma forma, responderán las personas que a sabiendas del carácter reservado o confidencial divulgaren dicha información. Solución de Discrepancias Art. 29.-En caso de discrepancia sobre la clasificación de la información entre el particular y un ente obligado o entre entes obligados, resolverá el Instituto. Versiones Públicas Art. 30.-En caso que el ente obligado deba publicar documentos que contengan en su versión original información reservada o confidencial, deberá preparar una versión en que elimine los elementos clasificados con marcas que impidan su lectura, haciendo constar en nota una razón que exprese la supresión efectuada. Versiones Publicas Art. 30

Ley de Acceso A La Información Pública Derecho a la protección de datos personales Art. 31 Prohibición de difusión Art 33 Difusión sin consentimiento Art. 34 Lista de registros o sistemas de datos personales Art.35 Derecho a la Protección de Datos Personales Art. 31.- Toda persona, directamente o a través de su representante, tendrá derecho a saber si se están procesando sus datos personales; a conseguir una reproducción inteligible de ella sin demora; a obtener las rectificaciones o supresiones que correspondan cuando los registros sean injustificados o inexactos y a conocer los destinatarios cuando esta información sea transmitida, permitiéndole conocer las razones que motivaron su petición, en los términos de esta ley. El acceso a los datos personales es exclusivo de su titular o su representante. Prohibición de Difusión Art. 33.- Los entes obligados no podrán difundir, distribuir o comercializar los datos personales contenidos en los sistemas de información administrados en el ejercicio de sus funciones, salvo que haya mediado el consentimiento expreso y libre, por escrito o por un medio equivalente, de los individuos a que haga referencia la información. Difusión sin Consentimiento Art. 34.- Los entes obligados deberán proporcionar o divulgar datos personales, sin el consentimiento del titular, en los siguientes casos: a. Cuando fuere necesario por razones estadísticas, científicas o de interés general, siempre que no se identifique a la persona a quien se refieran. b. Cuando se transmitan entre entes obligados, siempre y cuando los datos se destinen al ejercicio de sus facultades. c. Cuando se trate de la investigación de delitos e infracciones administrativas, en cuyo caso se seguirán los procedimientos previstos en las leyes pertinentes. d. Cuando exista orden judicial. e. Cuando contraten o recurran a terceros para la prestación de un servicio que demande el tratamiento de datos personales. Los terceros no podrán utilizar los datos personales con propósitos distintos a aquellos para los cuales se les hubieren proporcionado y tendrán las responsabilidades legales que genere su actuación. Lista de Registros o Sistemas de Datos Personales Art. 35.-Los entes obligados que posean, por cualquier título, registros o sistemas de datos personales, deberán hacerlo del conocimiento del Instituto, que mantendrá una lista actualizada de los mismos y de la información general sobre sus protocolos de seguridad. Los entes obligados que decidan destruir un sistema de datos personales deberán notificar al Instituto, para efectos de suprimirlo de la lista.

Ley de Acceso A La Información Pública Infracciones y sanciones Art 76 y 77. Se clasifican en: muy graves, graves y leves. Art. 76.- Las infracciones a la presente ley se clasifican en muy graves, graves y leves. Son infracciones muy graves: a. Sustraer, destruir, ocultar, inutilizar o alterar, total o parcialmente, información que se encuentre bajo su custodia o a la que tengan acceso o conocimiento con motivo de su empleo, cargo o comisión. b. Entregar o difundir información reservada o confidencial. c. No proporcionar la información cuya entrega haya sido ordenada por el Instituto. d. El incumplimiento por parte del funcionario competente de nombrar a los Oficiales de Información. e. Negarse a entregar la información solicitada, sin la debida justificación. f. Tener la información bajo su custodia de manera desactualizada, desordenada, en violación ostensible a las medidas archivísticas establecidas en esta ley y por el Instituto. Son infracciones graves: a. Actuar con negligencia en la sustanciación de las solicitudes de acceso a la información o en la difusión de la información a que están obligados conforme a esta ley. b. Denegar información no clasificada como reservada o que no sea confidencial. c. No proporcionar la información cuya entrega haya sido ordenada por un Oficial de Información. d. Proporcionar parcialmente o de manera ininteligible la información cuya entrega haya sido ordenada por el Instituto. e. Invocar como reservada información que no cumple con las características señaladas en esta ley. La responsabilidad solo existirá cuando haya una resolución previa respecto del criterio de clasificación de esa información. Son infracciones leves: a. Pedir justificación para la entrega de información. b. Elevar los costos de reproducción de la información sin justificación alguna. c. No proporcionar la información en el plazo fijado por esta ley. Sanciones Art. 77.-Por la comisión de las infracciones señaladas en el artículo anterior, se impondrán al funcionario público con facultad para tomar decisiones dentro de las atribuciones de su cargo las siguientes sanciones: a. Por la comisión de infracciones muy graves, se impondrá al infractor una multa de veinte a cuarenta salarios mínimos mensuales para el sector comercio y servicios. La comisión de dos o más infracciones muy graves en el plazo de trescientos sesenta y cinco días, dará lugar, en función de los criterios de graduación del artículo siguiente, a la suspensión de funciones por el término de treinta días calendario ordenada por la autoridad superior correspondiente, salvo si la conducta es causal de destitución de acuerdo con el régimen del servicio aplicable. b. Por la comisión de infracciones graves, se impondrá al infractor una multa de diez a dieciocho salarios mínimos mensuales para el sector comercio y servicios. c. Por la comisión de infracciones leves, se impondrá al infractor una multa cuyo importe será de uno hasta ocho salarios mínimos mensuales para el sector comercio y servicios. Todas las sanciones impuestas serán publicadas en los medios electrónicos del Instituto e incorporadas como anexos del informe anual. G

REGLAMENTO DE LA LEY DE ACCESO A LA INFORMACIÓN PÚBLICA (1/sep/2011) Período de Confidencialidad. Art. 39.- La Información Confidencial no estará sujeta a plazos de vencimiento. Artículo 39.- Período de Confidencialidad La Información Confidencial no estará sujeta a plazos de vencimiento y tendrá ese carácter de manera indefinida, salvo que medie el consentimiento expreso del titular de la información o mandamiento escrito emitido por autoridad competente.

REGLAMENTO DE LA LEY DE ACCESO A LA INFORMACIÓN PÚBLICA Consentimiento para revelar Información Confidencial Art.40.- Deberá ser en un escrito separado Artículo 40.- Consentimiento para revelar Información Confidencial Para que las Unidades de Acceso a la Información puedan permitir el acceso a Información Confidencial, requieren obtener el consentimiento expreso de los particulares titulares de la información por escrito. Dicho consentimiento no podrá obtenerse bajo ningún vicio de la voluntad, ya sea error, fuerza o dolo. Consentimiento en caso de emergencia Art. 41.- Sin perjuicio de lo establecido en el artículo anterior, se entenderá que no se requiere el consentimiento expreso del titular de la información, cuando su vida o su salud se encuentre en peligro, por lo cual, la autoridad de que se trate evaluará la situación de emergencia y motivará la entrega de la información. Lo estipulado en el presente artículo es aplicable a los casos en los cuales el titular de la Información Confidencial se encuentre imposibilitado para entregar un consentimiento expreso y siempre y cuando la entrega de la Información Confidencial mejore la situación de peligro que se trate. Información Confidencial específica que se autoriza a revelar La aceptación expresa a revelar la Información Confidencial Nombre completo, número de identificación y firma o huella del titular de la información

REGLAMENTO DE LA LEY DE ACCESO A LA INFORMACIÓN PÚBLICA Solicitud de Acceso a la Información Confidencial Art 42. La dependencia o entidad podrá requerir al particular titular de la información su autorización para entregarla, quien tendrá cinco días hábiles para responder a partir de la notificación correspondiente Artículo 42.- Solicitud de Acceso a la Información Confidencial Cuando una dependencia o entidad reciba una solicitud de acceso a un expediente o documentos que contengan Información Confidencial y la Unidad de Acceso a la Información Pública lo considere pertinente, podrá requerir al particular titular de la información su autorización para entregarla, quien tendrá cinco días hábiles para responder a partir de la notificación correspondiente. El silencio del particular, titular de la Información Confidencial, será considerado como una negativa. La Unidad de Acceso a la Información Pública deberá dar acceso a las versiones públicas de los expedientes o documentos a que se refiere el inciso que antecede, en las que se omitan los documentos, las partes o secciones de éstos que contengan Información Confidencial, aun en los casos en que no se haya requerido al particular titular de la información para que otorgue su consentimiento, o bien se obtenga una negativa expresa o tácita del mismo

REGLAMENTO DE LA LEY DE ACCESO A LA INFORMACIÓN PÚBLICA Acceso a la Información Confidencial por parte del titular de la misma Art. 43. El titular de la Información Confidencial tendrá derecho al acceso irrestricto de su Información Confidencial y ningún Ente Obligado podrá negársela bajo ningún argumento Artículo 43.- Acceso a la Información Confidencial por parte del titular de la misma El titular de la Información Confidencial tendrá derecho al acceso irrestricto de su Información Confidencial y ningún Ente Obligado podrá negársela bajo ningún argumento. En virtud de lo establecido en el Art. 24 de la Ley, los padres, madres y tutores tendrán derecho de acceso irrestricto a la Información de los menores bajo su autoridad parental o bajo su tutela.

Otras Leyes que contemplan Protección de Datos Ley Penal Juvenil (27/abr/1994) Ley Orgánica del Registro Nacional de las Personas Naturales (21/dic/1995) Reglamento de la Ley Orgánica de la Policía Nacional Civil (25/sep/2002) Penal juvenil. Establece respeto a la intimidad a menores que se les impute la comisión de un delito, RNPN. Atribuciones: Mantener en forma permanente toda la información de las personas creando sistemas adecuados para el procesamiento y conservación; dar certeza oficial de los hechos relacionados con el estado civil o familiar de las personas. Reglamento Ley Orgánica PNC. Registro de Datos para de las personas por detenidas por atribuírseles delitos y faltas, a efectos de extender constancias.

¿Ley de Protección de Datos Personales? Aspectos a contener bancos de datos públicos como los privados Derecho a la autodeterminación informativa y a la intimidad procedimiento de habeas data Sanciones a los responsables de violaciones a la Ley El Ordenamiento Jurídico salvadoreño no establece una acción exclusiva para la protección de datos personales. Si hiciéramos una evaluación, lo necesario a contener sería: bancos de datos públicos como los privados destinados a brindar informes; incluye diversos medios técnicos de tratamiento de datos, derecho a la autodeterminación informativa y a la intimidad acceso al conocimiento de datos personales y los referidos a sus bienes y al destino de tal información que se encuentren asentados en archivos, registros, bancos de datos u otros medios técnicos, electrónicos y ópticos, de carácter público o privado, de soporte, procesamiento y provisión de la información. Habeas Data pueda incoarse ante la Defensoría del Consumidor para el Habeas Data Informativo. Las demás acciones de Habeas Data se podrán llevar frente al Juez de lo Civil, teniendo el afectado derecho a pedir indemnización de daños y perjuicios, inclusive por daños morales.

ANTEPROYECTO DE LEY DE PROTECCION DE DATOS PERSONALES Objeto Exclusiones Existen DOS ANTEPROYECTOS DE LEY, uno a iniciativa del ARENA y otra a iniciativa del CD, ambas contienen elementos en síntesis son OBJETO asegurar protección integral y garantizar veracidad datos personales, en bancos de datos, medios técnicos de tratamiento, públicos, o privados, fin de garantizar derecho al honor e intimidad, asegurando acceso info sobre las mismas. EXCLUSIONES a) datos y fuentes info periodística; b) relativos a encuestas con fines estadísticos; c) relativos a antecedentes penales o contravencionales, objeto de tratamiento por autoridades; d) bancos privados para uso exclusivamente personal del propietario del mismo.  

Principios Generales Relativos a la Protección de Datos LICITUD EN LA FORMACION DE LOS ARCHIVOS CALIDAD DE LOS DATOS PERSONALES CONSENTIMIENTO INFORMACION AL MOMENTO DE LA OBTENCION DATOS SENSIBLES SEGURIDAD DE LOS DATOS PERSONALES CONFIDENCIALIDAD DE LOS DATOS PERSONALES CESION DE DATOS PERSONALES TRANSFERENCIA INTERNACIONAL DE DATOS PERSONALES licitud en la formación de los archivos inscritos con formalidades, en registro correspondiente que lleve la defensoría del consumidor calidad de los datos personales ciertos, adecuados, pertinentes y no excesivos en relación al ámbito y finalidad para los que se hubieren obtenido. no medios desleales, fraudulentos consentimiento ilícito cuando titular no hubiere prestado consentimiento libre, expreso e informado para ello información al momento de la obtención recaben datos, informar previamente a titular en forma sencilla, expresa y clara sobre la finalidad; la existencia del banco de datos, y derecho acceso, rectificación y supresión datos sensibles revelen el origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical, política e información referente a salud vida sexual. seguridad de los datos personales responsable adoptar medidas técnicas, y organizativas para evitar adulteración, pérdida, consulta o tratamiento no autorizado confidencialidad de los datos personales obligados al secreto profesional y absoluta reserva y confidencialidad cesión de datos personales para el cumplimiento actividad del cedente y del cesionario, previo consentimiento escrito estableciendo finalidad, transferencia internacional de datos personales prohibida con países sin regulaciones adecuadas excepto: colaboración judicial internacional; intercambio de datos de carácter médico, investigación epidemiológica, etc.  

BANCOS DE DATOS PUBLICOS PRIVADOS CON FINES PUBLICITARIOS PRESTACION DE SERVICIOS INFORMATIZADOS PRESTACIÓN DE SERVICIOS DE INFORMACIÓN CREDITICIA Banco o Banco de datos: conjunto organizado de datos personales objeto de tratamiento o procesamiento, electrónico o no, cualquiera que fuere la modalidad de formación, almacenamiento, organización, destino o acceso sujetos a registro . públicos pertenecientes a organismos públicos (…) objeto de registro permanente en fuerzas armadas, fuerzas de seguridad, organismos policiales o de inteligencia; privados personas naturales o jurídicas que formen bancos de datos que no sean de uso exclusivamente personal y privado, deberán inscribirse en el Registro que al efecto lleve la Defensoría del Consumidor. (…) con fines publicitarios recopilación de domicilios, reparto de documentos, publicidad o venta directa y otras actividades análogas, se podrán tratar datos con fines promocionales, comerciales o publicitarios; hábitos de consumo, cuando figuren en documentos accesibles al público prestación de servicios informatizados por cuenta de terceros presten servicios de tratamiento de datos personales, no podrán utilizarse con fin distinto contrato de servicios, ni cederlos prestación de servicios de información crediticia de carácter patrimonial relativos a solvencia económica y crédito y obligaciones, obtenidos de fuentes accesibles al público o procedentes de informaciones facilitadas por acreedores.  

Infracciones Infracciones menos graves a) Utilizar datos personales para finalidades distintas o incompatibles con aquellas que motivaron su obtención; b) No llevar a cabo comprobaciones periódicas acerca de la exactitud y pertinencia de los datos personales; ni actualizar los datos personales cuando resultare necesario de dichas comprobaciones periódicas; c) No completar, no suprimir o no sustituir, en su caso, los datos personales cuando el responsable del banco de datos tenga conocimiento de la inexactitud (…) Infracciones graves Dar tratamiento a datos personales que sean falsos, inadecuados, impertinentes o excesivos (…) b) Utilizar medios desleales, fraudulentos (…) para la recolección y tratamiento de datos personales; c) Formar u obtener bancos de datos personales que no se encuentren debidamente inscritos,; e) Poseer datos personales de naturaleza distinta a los declarados en el Registro del Departamento de Protección de Datos Personales Infracciones muy graves a) No cumplir, en el plazo señalado, lo ordenado por el Departamento de Protección de Datos Personales de la Defensoría del Consumidor o por el Tribunal competente; No adoptar las medidas técnicas, organizativas o de cualquier otra índole que sean necesarias para garantizar la seguridad y confidencialidad de los datos personales Transferir datos personales con países que no tengan regulaciones adecuadas Así mismo se contemplan las referidas Sanciones, el procedimiento sancionador a seguir y la autoridad competente para conocer del mismo La Defensoría del Consumidor por medio del Departamento de Protección de Datos Personales y un Tribunal Sancionador, en ambos proyectos de ley.

Fernando Argüello Téllez ¡GRACIAS! Fernando Argüello Téllez