“Derecho a la Protección de datos personales”

Presentación del tema: "“Derecho a la Protección de datos personales”"— Transcripción de la presentación:

1 “Derecho a la Protección de datos personales”

2 Antecedentes En México, el reconocimiento al derecho de protección de datos personales tuvo un proceso paulatino. Desde el año 2000 se promovieron diversos proyectos legislativos sin que ninguno de ellos fructificara. 

3 En el año del 2007, el Congreso de la Unión aprueba una reforma al artículo 6º constitucional en el que se establece la protección a los datos personales y la información relativa a la vida privada, así como el derecho de acceder y corregir sus datos que obren en archivos públicos. 

4 Pero es hasta el año 2008, con la aprobación de las reformas a los artículos 16 y 73 que se introduce al más alto nivel de nuestra Constitución, el derecho de toda persona a la protección de su información. Fue en el 2009, cuando la mayoría de las legislaturas locales aprobaron la reforma constitucional propuesta por el Congreso Federal.

5 El artículo 16 constitucional reconoce y da contenido al derecho a la protección de datos personales. En la reforma se plasman los derechos con los que cuentan los titulares de los datos como lo son aquellos de acceso, rectificación, cancelación y oposición (denominados por su acrónimo como derechos ARCO).

6 Importante El 26 de Enero del 2017, fué publicada en el Diario Oficial de la Federación la “Ley General de Protección de datos personales en posesión de los sujetos obligados”, la cual entró en vigor el día 27 de enero del presente año.

7 Marco Normativo Constitución Política de los Estados Unidos Mexicanos
Art. 6 I. Toda la información en posesión de cualquier autoridad, entidad, órgano y organismo de los Poderes Ejecutivo, Legislativo y Judicial, órganos autónomos, partidos políticos, fideicomisos y fondos públicos, así como de cualquier persona física, moral o sindicato que reciba y ejerza recursos públicos o realice actos de autoridad en el ámbito federal, estatal y municipal, es pública… II. La información que se refiere a la vida privada y los datos personales será protegida en los términos y con las excepciones que fijen las leyes.  Art. 16 Toda persona tiene derecho a la protección de sus datos personales, al Acceso, Rectificación y Cancelación de los mismos, así como a manifestar su Oposición, en los términos que fije la Ley, la cual establecerá los supuestos de excepción a los principios que rijan el tratamiento de datos, por razones de seguridad nacional, disposiciones de orden público, seguridad y salud públicas o para proteger los derechos de terceros.  Constitución Política del Estado Libre y Soberano de Nuevo León Art. 15 Nadie puede ser molestado … Toda persona tiene derecho a la protección de sus datos personales, al acceso, rectificación y cancelación de los mismos, así como a manifestar su oposición, en los términos que fije la ley, la cual establecerá los supuestos de excepción a los principios que rijan el tratamiento de datos, por razones de seguridad nacional, disposiciones de orden público, seguridad y salud públicas o para proteger los derechos de terceros.

8 Marco Normativo Estatal y Federal
Ley de Transparencia y Acceso a la Información del Estado de Nuevo León Ley Federal de Transparencia y Acceso a la Información Pública Ley Federal de Protección de Datos Personales en Posesión de los Particulares Título Segundo, comprende la protección de datos personales en posesión de los Sujetos Obligados. Capítulo IV Protección de Datos personales Toda persona tiene derecho a la protección de su vida privad y de sus datos personales e información relacionada con los mismos, la cual será custodiada, protegida, manejada y en su caso rectificada en los términos de la LTAINL. Protección de datos personales en posesión de las autoridades federales. Protección de datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado, a efecto de garantizar la privacidad y el derecho a la autodeterminación informativo de las personas.

9 Nuevo Paradigma…”Autodeterminación Informativa”
Antes Hoy El dato personal es de quien lo capta. El dato personal no tiene valor. El dato personal es un bien libre. No hay restricción en su uso. El titular no tiene derecho. El dato personal es propiedad del titular. El dato personal es un derecho fundamental. El dato personal es un bien protegido. El uso esta sujeto a finalidad y consentimiento. Derechos ARCO

10 Dato Personal Dato Personal Numérica Fotográfica Alfabética Acústica
Toda aquella información concerniente a una persona física identificada ó identificable Numérica Alfabética Gráfica Fotográfica Acústica

11 Para advertir que una persona física puede ser identificable, bastará con que los datos puedan generar un vínculo que determine su identidad, o bien, que por la naturaleza de éstos se incremente la probabilidad de establecer un mayor número de datos concernientes a dicha persona.

12 Identificación Responsable y encargado
Responsable de base de datos: Los sujetos obligados a que se refiere el artículo 1 de la Ley en mención que deciden sobre el tratamiento de datos personales. Encargado de las bases de datos: Persona física o jurídica, pública o privada, ajena a la organización del responsable, que sola o conjuntamente con otras trate datos personales a nombre y por cuenta del responsable.

13 Comunica-ción por transmisión
Tratamiento de datos Toda operación o conjunto de operaciones, efectuadas automatizada o físicamente, aplicadas a datos personales. obtención Registro Organización Conservación Elaboración Extracción Consultas Utilización Comunica-ción por transmisión Difusión Modificación Bloqueo y cancelación Interconexiones O cualquier otra forma que facilite el acceso a los datos, cotejo o interconexión, así como su bloqueo, supresión o destrucción.

14 Protección Datos Personales
Es un derecho fundamental de las personas físicas, que busca proteger su intimidad y su privacidad frente a las vulneraciones de tales derechos que puedan proceder de la obtención y almacenamiento de sus datos personales por los sujetos obligados.

15 Objeto de la Ley General de Datos personales en posesión de los sujetos obligados
Establecer las bases, principios y procedimientos para garantizar el derecho que tiene toda persona a la protección de sus datos personales, en posesión de los sujetos obligados.

16 Sujetos obligados Cualquier autoridad, entidad, órgano y organismo de los Poderes Ejecutivo, Legislativo y Judicial, órganos autónomos, partidos políticos, fideicomisos y fondos públicos. Los sindicatos y cualquier otra persona física o moral que reciba y ejerza recursos públicos o realice actos de autoridad se regirán por la Ley Federal de Protección de Datos Personales en posesión de los particulares.

17 I. Obligación El sujeto obligado tiene la obligación:
Tener procedimientos para recibir y responder las solicitudes de los derechos ARCO al tratamiento de los datos personales. Capacitar a los Servidores Públicos. Establecer políticas en la forma de proteger la información de carácter confidencial.

18 Principios y deberes que rigen el derecho a la protección del dato personal

19 Protección de Datos Personales
Consentimiento Información (Antes Información Previa) Finalidad Licitud Lealtad Calidad (Antes calidad de la información) Proporcionalidad Responsabilidad

20 Protección de Datos Personales
B R S Confidencialidad(Deber) Seguridad (Deber)

21 Formato de consentimiento
Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la cual el interesado consienta el tratamiento de datos personales que le concierne. Debe ser: Libre: sin que medie error, mala fe, violencia o dolo que afecte la voluntad. Específico: finalidades concretas, lícitas, explícitas y legítimas que justifiquen el tratamiento, e Informado: El titular debe tener conocimiento del aviso de privacidad previo al tratamiento. Formato de consentimiento

22 El consentimiento podrá ser de forma expresa o tácita.
Tratándose de datos personales considerados sensibles, el consentimiento deberá ser expreso y por escrito del titular, a través de su firma autógrafa, firma electrónica o cualquier otro mecanismo de autentificación.

23 EXCEPCIONES AL PRINCIPIO DEL CONSENTIMIENTO
Cuando lo prevea una ley, Cuando las transferencias se realicen entre responsables y se utilicen para ejercicio de facultades propias, compatibles o análogas con la finalidad que motivo el tratamiento. Por mandato de una autoridad. Cuando exista una situación de emergencia que pueda dañar a un individuo en su persona o bienes, Cuando se encuentren en fuentes de acceso público, Cuando se disocien previamente, o Cuando el titular de los datos sea una persona reportada como desaparecida en los términos de la materia.

24 Excepciones al principio del consentimiento
Lo anterior implica que todo tratamiento de datos distinto de aquél para el cual fueron recabados, salvo los casos exceptuados, requerirá de un nuevo otorgamiento del consentimiento por parte del afectado.

25 Transmisión de datos Los sujetos obligados no podrán difundir o transmitirlos datos personales contenidos en los sistemas de datos desarrollados en el ejercicio de sus funciones, salvo que haya mediado el consentimiento expreso de los interesados a que haga referencia la información. Al efecto, el sujeto obligado contará con los formatos necesarios para recabar dicho consentimiento, pudiendo utilizar medios electrónicos. Transmisión: toda comunicación o cesión de datos personales a una persona distinta del interesado. No se considerará como tal la efectuada por el responsable al encargado de los datos personales.

26 Excepciones al consentimiento para la transmisión de los datos entres sujetos obligados
Cuándo lo prevea una Ley. Cuando se trate de datos obtenidos de fuentes de acceso públicas. Cuando la transmisión se realice al MP en el ejercicio de sus atribuciones de investigación y persecución de los delitos, así como a los órganos jurisdiccionales en el ejercicio de sus funciones. Se trate de datos obtenidos por los sujetos obligados en el ámbito de su competencia y sean utilizados para el mismo objeto; y Tengan por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.

27 Información El responsable deberá informar de la existencia y características principales del tratamiento al que serán sometidos sus datos personales, a fin de que pueda tomar decisiones informadas al respecto. Aviso de Privacidad

28 Aviso de privacidad Puede ser Integral y simplificado.
Aviso de privacidad simplificado debe contener: Denominación del responsable, Finalidades del tratamiento, Si se realizan transferencias, se debe informar: autoridades a las que se transfieren los datos personales y las finalidades de estas transferencias. Los mecanismos para que puedan manifestar su negativa al tratamiento de datos. El sitio donde se puede consultar el aviso integral.

29 Aviso de privacidad integral
Domicilio del responsable, Datos personales sometidos a tratamiento identificando los datos sensibles, Fundamento legal del tratamiento de los datos, Finalidades del tratamiento, Procedimientos para ejercer los derechos ARCO, Domicilio de la unidad de transparencia, Medios a través de los cuales el responsable comunicará a los titulares los cambios al aviso de privacidad.

30 Licitud Es un derecho que tiene el titular de los datos y una obligación correlativa de los sujetos obligados, como responsable de los sistemas que almacenan información relativa al titular de los datos. Es la obtención y tratamiento con apego a las diversas disposiciones legales aplicables al mismo. No contravenga las disposiciones legales.

31 Principio de finalidad
Las finalidades deberán ser concretas, lícitas, explícitas y legítimas, relacionadas con las atribuciones que la ley le confiere.

32 Excepción al principio de finalidad
El responsable podrá tratar datos personales para finalidades distintas a aquéllas establecidas en el aviso de privacidad, siempre y cuando cuente con atribuciones conferidas en la ley y medie el consentimiento del titular, salvo que sea una persona reportada como desaparecida, en los términos previstos en la presente Ley y demás disposiciones que resulten aplicables en la materia.

33 Lealtad Es un derecho que tiene el titular de los datos y una obligación correlativa de los sujetos obligados, como responsable de los sistemas que almacenan información relativa al titular de los datos. No se deben obtener y tratar datos personales, a través de medios engañosos o fraudulentos, privilegiando la protección de los intereses del titular y la expectativa razonable de privacidad.

34 Principio de Calidad Se refiere a la adopción de las medidas necesarias para mantener exactos, completos, correctos y actualizados los datos personales en su posesión, a fin de que no se altere la veracidad de éstos. SE PRESUME QUE SE CUMPLE CON LA CALIDAD EN LOS DATOS CUANDO ÉSTOS SON PROPORCIONADOS DIRECTAMENTE POR EL TITULAR Y AHSTA QUE ÉSTE NO MANIFIESTA Y ACREDITE LO CONTRARIO. Mantén la información Actualizada

35 Los plazos de conservación de los datos personales no deberán de exceder aquéllos que sean necesarios para el cumplimiento de las finalidades que justificaron su tratamiento, y deberán atender a las disposiciones aplicables en la materia de que se trate y considerar los aspectos administrativos, contables, fiscales, jurídicos e históricos de los datos personales.

36 Proporcionalidad Principio que establece que sólo podrán ser objeto de tratamiento los datos personales que resulten necesarios, adecuados y relevantes en relación con las finalidades para las que se hayan obtenido.

37 Principio de Responsabilidad
El principio de responsabilidad se concreta en la obligación del responsable de velar y responder por el tratamiento de los datos personales que estén bajo su custodia o posesión o que sean tratados por un encargado al que los haya remitido.

38 Deberes DEBERES

39 Confidencialidad Es la responsabilidad de quienes intervienen como responsables, encargados y usuarios en cualquier fase del tratamiento de los Datos Personales de guardar secreto. Dicha responsabilidad subsiste aún después de cancelados o anulados los datos y sistemas utilizados, prolongándose aún después de finalizada la relación entre el titular de los datos y el responsable del sistema.

40 Seguridad Consiste en el deber que tienen las autoridades de adoptar las medidas de índole técnica, administrativas y organizativas necesarias para garantizar la seguridad de los Datos Personales y evitar su alteración, pérdida, tratamiento o acceso no autorizado. Por lo cual, se debe de garantizar la integridad, confiabilidad, confidencialidad y disponibilidad de los datos personales. El cumplimiento de este deber también es en beneficio del Sujeto Obligado, ya que al adoptar las medidas de seguridad evitará perjuicios derivados de una seguridad deficiente. Establecer políticas yinternas para la gestión y tratamiento. Elaborar un inventario de datos, Realizar análisis de riesgode los datos personales, considerando amenazas y vulnerabilidades, realizar análisis de brecha, elaborar un plan de trabajo para la implementación de las medidas de seguridad.

41 ¿Quiénes deben de adoptar las medidas de seguridad?
El responsable y, en su caso, el encargado del tratamiento. Los responsables no adoptarán medidas de seguridad menores a aquellas que mantengan para el manejo de su información. Se tomará en cuenta: El riesgo existente, Posibles consecuencias para los titulares, La sensibilidad de los datos, y El desarrollo tecnológico.

42 Adicionalmente También se deberá de tomar en cuenta para la implementación de medidas de seguridad de forma adicional: El número de titulares, Las vulnerabilidades previas ocurridas en los sistemas de tratamiento, y El riesgo por el valor potencial que puedan tener los datos personales.

43 Acceso, Rectificación, Cancelación y Oposición.
DERECHOS ARCO Acceso, Rectificación, Cancelación y Oposición.

44 En materia de Protección de Datos
Derecho de Acceso. Derecho de Rectificación. Derecho de Cancelación. Derecho de Oposición. D E R C H O S

45 Quién puede acceder a mi información
Los derechos de acceso, rectificación, cancelación y oposición tienen carácter personalísimo, es decir, sólo pueden ejercerse por el titular de los mismos o por su representante. Por lo tanto, solamente el Titular de la información puede preguntar sobre la existencia y finalidad de los Sistemas de Datos Personales en poder de los sujetos obligados.

46 Derecho de Acceso El interesado tendrá derecho a recabar de la persona responsable, cuando así lo solicite, información relativa a los concretos datos de carácter personal objeto de tratamiento, así como al origen de dichos datos, a las finalidades de los correspondientes tratamientos y a los destinatarios o las categorías de destinatarios a quienes se comuniquen o pretendan comunicar dichos datos.

47 Derecho de Rectificación
El interesado tendrá derecho a solicitar a la persona responsable la rectificación de los datos de carácter personal que pudieran resultar incompletos, inexactos o excesivos.

48 La actualización de los datos puede hacerse bien de oficio o bien mediante el ejercicio del derecho de rectificación o cancelación, a través del cual el interesado puede solicitar al responsable de la base de datos la rectificación o cancelación de los datos que sean inexactos o incompletos. El responsable debe velar por la veracidad de la información y procurar que la información incluida en la base de datos esté permanentemente actualizada.

49 Derecho de Cancelación
El interesado tendrá derecho a solicitar al responsable la cancelación de los datos de carácter personal que pudieran resultar incompletos, inexactos, innecesarios o Excesivos. En la solicitud de cancelación, el interesado debe indicar el dato o datos que desea que sean cancelados de la base de datos.

50 Derecho de Cancelación
El interesado tendrá derecho a solicitar al responsable la cancelación de los datos de carácter personal que pudieran resultar incompletos, inexactos, innecesarios o Excesivos. En la solicitud de cancelación, el interesado debe indicar el dato o datos que desea que sean cancelados de la base de datos.

51 Cuando sea preciso conservar los datos de los que se ha solicitado la cancelación, por resultar necesario que los mismos estén a disposición de las Administraciones Públicas, Jueces y Tribunales, la cancelación se efectuará a través del bloqueo, quedando los datos bloqueados únicamente a disposición de las instancias citadas. El bloqueo tendrá una duración equivalente al plazo de prescripción de las responsabilidades que motivan su permanencia, debiéndose proceder a la total supresión de los datos una vez cumplido dicho plazo.

52 BLOQUEO DE DATOS PERSONALES

53 El ejercicio del Derecho de Cancelación abre un periodo denominado bloqueo, para poder posteriormente proceder a la cancelación de la información de carácter confidencial. Bloqueo: Periodo de tiempo durante el cual la información de carácter confidencial será objeto de tratamiento solamente por las autoridades responsables y trascurrido este, se procederá a su supresión o no de la información solicitada a cancelar.

54 La ley no contempla el término que debe durar el bloqueo de la información confidencial, ya que dependerá del estudio y análisis que realice el responsable de la información, para determinar si dicha información confidencial cumplió con su finalidad y no se requiere su tratamiento posterior, en dado caso de ser así, se procederá a la cancelación y supresión de la información de carácter confidencial.

55 Derecho de Oposición El titular podrá oponerse al tratamiento de sus datos de carácter personal o exigir el cese en el mismo. Cuando: Siendo lícito el tratamiento, le cause un daño o perjuicio al titular, y Sus datos sean objeto de un tratamiento automatizado, el cual le produzca efectos jurídicos no deseados o afecte sus intereses, derechos o libertades.

56 Cuando no procede el ejercicio de los Derechos ARCO
Cuando el titular no esté debidamente acreditado para ello; Cuando los datos personales no se encuentren en posesión del responsable; Cuando exista un impedimento legal; Cuando se lesionen derechos de un tercero; Cuando exista una resolución que restrinja el acceso a los datos personales. Cuando la cancelación u oposición haya sido previamente realizada. Cuando el responsable no sea competente.

57 Recurso de revisión Procede:
Cuando se clasifiquen confidenciales datos que no lo son, Se declare inexistencia de datos personales, Se declare incompetencia por parte del responsable, Se entregue datos incompletos, Se entreguen datos que no sean los solicitados, Se niegue los derechos ARCO, No se responda la solicitud, Se inconforme con los costos de reproducción o envío, No se de tramite a una solicitud.

58 Plazo para resolver recurso de revisión
Es de 40 días y se podrá ampliar hasta por veinte días por una sola vez. Los responsables deberán informar a la Comisión el cumplimiento de sus resoluciones. Si la Comisión no resuelve, se entenderá confirmada la respuesta del responsable. El titular podrá impugnar la resolución del recurso de revisión ante el INAI, mediante el recurso de inconformidad.

59 Novedades Acciones preventivas: Códigos o esquemas de mejores prácticas y se podrá realizar por sectores específicos y se podrá buscar la validación por parte de la Comisión. Evaluación de impacto: El responsable deberá realizarla cuando desee poner en operación algún sistema o política pública, plataforma informática, aplicación informática, etc…que conlleve un tratamiento masivo de información confidencial, y presentarla ante la Comisión y se realizarán recomendaciones. Se podrá nombrar a un oficial de protección de datos, cuando los responsables en el ejercicio de sus funciones sustantivas lleven tratamientos relevantes o intensivos en materia de datos.

60 Novedades Facultad de verificación Acciones preventivas
Realización de auditorías previas Establecimiento de medidas cautelares Acciones preventivas Esquemas de mejores prácticas Evaluaciones de impacto en materia de protección de datos Regulación del régimen de transferencias Transferencias nacionales Transferencias internacionales La facultad de verificación puede ser de oficio o por denuncia del titular o por cualquier persona. El derecho a presentar una denuncia precluye en el termino de un año El incumplimiento de los sujetos obligados será difundido en los portales.

61 Homogeneidad en la denominación de los medios de impugnación
Estandarización en la denominación y definición de los sujetos en materia de datos personales. Titular. Responsable. Encargado. Homogeneidad en la denominación de los medios de impugnación Recurso de revisión Recurso de inconformidad Catálogo de responsabilidades administrativas en materia de protección de datos personales Responsable: Sujetos obligados Encargado: persona física o jurídica, pública o privada, ajena a la organización del responsable, que sola o conjuntamente con otras trate datos personales nombre y por cuenta del responsable.

62 Novedades Portabilidad de los datos personales
Derecho del titular de obtener del responsable una copia de los datos objeto de tratamiento en formato electrónico estructurado y comúnmente utilizado que le permita seguir utilizándolos.

63 Medidas de apremio Para asegurar el cumplimiento de las determinaciones de la Comisión. La amonestación pública, Multa equivalente a la cantidad de ciento cincuenta hasta mil quinientas veces el valor diario de la unidad de medida y actualización. La Unidad de Medida y Actualización (UMA) es la referencia económica en pesos para determinar la cuantía del pago de las obligaciones y supuestos previstos en las leyes federales, de las entidades federativas y del Distrito Federal, así como en las disposiciones jurídicas que emanen de todas las anteriores

64 Algunas causales de sanciones
Actuar con negligencia, dolo o mala e durante la sustanciación de los derechos ARCO, Incumplir plazos de atención para responder solicitudes, Usar, sustraer, divulgar, ocultar, alterar, mutilar, destruir de manera indebida datos personales que se encuentren bajo su custodia, No contar con el aviso de privacidad, o bien, omitir alguno de los requisitos. Incumplir el deber de confidencialidad, Obstruir actos de verificación de la autoridad, Crear bases de datos en contravención a la ley.

65 Lic. Luisa Fernanda Lasso de la Vega luisa.lassodelavega@ctainl.org.mx
Ave. Constitución Pte Edificio Maldonado Centro, Monterrey, N.L. Tel