Data Protection

Investigaciones y Verificaciones del INAI. ¿Estarías preparado?

Parece mentira, pero aunque nuestra Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPD) fue publicada allá por el mes de julio de 2010, algunas personas siguen creyendo que el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) no realiza funciones de investigación por la presunta comisión de infracciones en materia de datos personales.

No me refiero a la capacidad del INAI para imponer multas y ordenar su cobro a través del Servicio de Administración Tributaria (que existe y se ejerce), sino a la existencia de las funciones de investigación y verificación que preceden a cualquier posible multa por violación a las disposiciones de la LFPD.

Creer que el INAI no investiga ni verifica presuntas violaciones a la LFPD coloca a cualquier responsable (y encargado) en una posición vulnerable, que lo puede llevar a menospreciar el valor y la necesidad de las múltiples acciones de cumplimiento que se deben adoptar para cumplir con esta normativa.

Nuestra práctica en la materia permite abordar esta cuestión de forma práctica, con ejemplos elegidos de distintos procedimientos de investigación y verificación en los cuales he asesorado a distintas empresas.

5 días habiles

En términos generales, ese es el plazo que el INAI concede a los sujetos investigados para cumplir con sus requerimientos de información y documentación, cuando aquel da inicio a una investigación o profundiza en el conocimiento de los hechos durante una verificación.

¿Les parece poco tiempo?

Mi posición personal al respecto es que, ante cualquier requerimiento de información y documentación del INAI, cualquier responsable o encargado de datos personales, en estado de cumplimiento, puede contestar un requerimiento del INAI dentro de un plazo de 3 días hábiles (o menos, inclusive).

En términos coloquiales, soy de la idea de que quien tiene la casa ordenada puede recibir visitas en cualquier momento.

El (dichoso) Aviso de Privacidad

No lo duden, si el INAI decide investigar a un responsable (de oficio o a petición de parte), preguntará por este famoso documento:

Imagen1

Imagen1BIS

Al respecto, debemos ser concientes que el INAI no sólo busca conocer sobre la existencia del Aviso de Privacidad relacionado con su investigación, sino que además recabará información sobre la forma y el momento en que ponemos a disposición ese documento.

Como en cualquiera de los ejemplos que veremos, de la respuesta que brindemos a este sencillo requerimiento podrán desprenderse diversas consecuencias para el investigado.

Datos recabados, finalidades y consentimiento

Dentro de una investigación iniciada a petición de parte, el INAI también tendrá interés en saber:

  1. Qué tipo y qué número de datos personales hemos recabado de la persona denunciante, o de otros titulares de datos personales,
  2. Cuáles son las finalidades para las cuales hemos recabado esos datos,
  3. La forma en que hemos obtenido el consentimiento del denunciante para poder llevar a cabo el tratamiento de sus datos.

Imagen2

Imagen8

Como pueden apreciar, nuestras respuestas deben ser congruentes, dado que esta información tiene relación directa con el aviso de privacidad que el INAI ya nos habrá solicitado aportar; así por ejemplo, resultaría contradictorio indicar que hemos recabado 15 tipos de datos personales del denunciante mientras en el aviso de privacidad entregado indicamos que sólo recabamos 5 o 10 tipos de datos personales, o tratar los datos personales para finalidades de publicidad o prospección comercial y no enumerar esa finalidad en el mencionado aviso.

Conocimiento y organización de nuestras bases de datos

Los siguientes son ejemplos puntuales de dos investigaciones, pero demuestran que al INAI interesa conocer las particularidades de los tratamientos de datos personales que investiga; identificar si contamos con información suficiente alrededor de los hechos investigados (en lo particular) y sobre el tratamiento de datos personales en nuestra propia organización (en lo general):

Imagen7

Imagen3

Imagen4

Contar con la capacidad para responder a este tipo de preguntas presupone que como responsables de datos personales:

  1. Contamos con un inventario de nuestras bases de datos,
  2. Conocemos el contenido y organización de dichas bases de datos,
  3. Conocemos las finalidades del tratamiento de los datos personales,
  4. Podemos identificar las áreas y el personal de nuestra organización con acceso a las bases de datos.
  5. Conocemos los sistemas de información que se utilizan para tratar los datos personales.

Nuestro personal, nuestra responbilidad

La tentación de culpar al empleado de turno por una posible infracción de la LFPD es enorme y no ha desaparecido de nuestro medio; incluso algunos apelan al “sentido común” de los colaboradores como “vacuna” contra posibles violaciones a la ley de protección de datos personales.

No obstante lo anterior, nunca debemos olvidar que la capacitación del personal en materia de protección de datos personales forma parte del conjunto de las medidas de seguridad administrativas que debemos adoptar para proteger los datos personales (artículo 2, fracción V del Reglamento de la LFPD) y que, de hecho, contar con un programa de capacitación forma parte de las medidas contempladas como medios para cumplir con el Principio de Responsabilidad (artículo 48, fracción II del Reglamento de la LFPD).

Por esta razón, no debe extrañar que en determinadas investigaciones el INAI requiera información sobre las funciones de nuestro personal, su capacidad de acceso a datos personales y la existencia de capacitación en la materia:

Imagen5

Imagen5BIS
Imagen6
Imagen6BIS

Puesta a disposición del aviso de privacidad

No basta contar con estos avisos en un escritorio a la entrada de nuestras oficinas o que existan publicados en el último link de nuestra página web; debemos asegurar que cualquier medio a través del cual recabamos u obtenemos datos personales pone a disposición el aviso de privacidad correspondiente, en cualquiera de los modos que la normativa prevé (de forma directa o de forma personal).

Estos son ejemplos que ilustran la importancia de la forma y el momento de poner a disposición nuestros avisos de privacidad, y la relevancia que estos hechos pueden tener para el INAI durante una investigación o verificación de hechos:

Imagen10

Imagen10BIS

Responsable o Departamento de Datos Personales

Llegados a este punto, y dado que los principios y obligaciones previstos por la LFPD son múltiples y variados, pongamos sobre la mesa un último ejemplo, para demostrar que en el marco de una investigación o verificación el INAI podrá requerir información relacionada con cualesquiera de las obligaciones previstas por la normativa. Aquí, la designación a que se refiere el artículo 30 de la LFPD:

Imagen11

Dicho todo lo anterior, y con ejemplos reales de por medio, sólo preguntaría a cada uno de ustedes: Si el día de mañana el INAI iniciara una investigación porque mi organización ha sido denunciada, ¿estaríamos listos para contestar de manera integral, dentro del plazo concedido?

¡Hasta la próxima!

Imagen de geralt, via pixabay.

Anuncios

Mejorar los aspectos de privacidad y protección de datos, en un NAFTA renegociado. Entrevista en Bloomberg BNA.

Aunque el Tratado de Libre Comercio de América del Norte (TLCAN o NAFTA) no entró en vigor sino hasta el 1 de enero de 1994, lo cierto es que su contenido y alcance es el producto de años de negociaciones, que en su mayoría se produjeron durante los primeros años de la década de los 90.

En este contexto, ¿es de extrañar que el entorno digital y la protección de datos personales, como resultado del intercambio de bienes y servicios, no fuese contemplada en este tratado? Desde luego que no… eren, en verdad, otros tiempos.

En 2017, no es posible concebir que las negociaciones sobre un tratado de libre comercio sean ajenas al entorno digital que prevalece en nuestra sociedad, y que el intercambio de información para el desenvolvimiento del libre comercio se lleve a cabo sin un estándar de protección mínimo, para las datos personales que deben intercambiarse.

En este escenario, Emily Pickrell (Bloomberg® BNA) nos preguntó a Joel Gómez Treviño y un servidor, sobre nuestra posición entorno a la privacidad como parte de las negociaciones de un NAFTA renovado, y aprovechó la ocasión para preguntar sobre nuestra posición en relación con el Derecho al Olvido, Google® y la forma en que México ha abordado esta cuestión a partir de la aplicación de nuestra Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Pueden acceder al texto de la entrevista, en este enlace.

Imágenes de banderas, cortesía de Pixabay; la composición es nuestra.

(¡Por fin!) Nueva Ley de Datos Personales para México

En este día, 26 de enero de 2017, ha sido publicado el Decreto de expedición de la tan esperada “Ley General de Protección de Datos Personales en Posesión de los Sujetos Obligados” (LGPD).

A reserva de analizar en otra oportunidad los aspecto más relevantes, las innovaciones que esta nueva ley supone, me gustaría responder de inmediato: ¿Y por qué dices tú que era tan esperada esta ley ?

 

La primera razón que me viene a la mente para responder a esa pregunta, es el sentido de igualdad de obligaciones que debe primar en materia de protección de datos. Al respecto, debemos recordar que México no incluyó como sujetos de obligaciones, en materia de protección de datos personales, a los que la LGPD ahora denomina SUJETOS OBLIGADOS.

Para no incluir a este grupo de SUJETOS OBLIGADOS en el mundo de obligaciones relacionadas con la protección de datos personales, muchos sabemos que incluso se recurrió a un ingenioso (y largo) nombre para la ley que fue publicada el  5 de julio de 2010: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (“LFPD“).

Esta decisión trajo consigo un generalizado estado de malestar en el mundo de “los particulares”, quienes tras un breve análisis, preguntaban abiertamente: ¿Y por qué “el gobierno” no hace lo mismo?, ¿por qué no tienen que cumplir con esta ley? Ellos tienen mucha información, de millones y millones de personas, ¿el Gobierno no debe cumplir con todos los principios para proteger los datos?

Pero dejando atrás esta realidad y malestar, en parte porque es inevitable cumplir con la LFPD y “los particulares” ya son investigados y sancionados por su incumplimiento, concuerdo con la comisionada presidente del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), cuando señala que la LGPD es una ley “sin precedentes en México, que dotará al sector público de certeza jurídica y equilibrio regulatorio para la protección de ese derecho fundamental.”

Y esa es parte de la segunda razón por la que damos la bienvenida con entusiasmo a la LGPD, pues pienso en un previsible efecto expansivo de concientización y conocimiento que derivará de la aplicación y cumplimiento de la LGPD, tanto a nivel federal, estatal y municipal. Los estudios, acciones, planes, proyectos, programas e iniciativas que derivarán de su entrada en vigor, no pueden sino contribuir al desarrollo de la necesaria “cultura de la protección de datos”, que ya promueve desde hace tiempo el INAI.

Pero dicho lo anterior, y para centrar la atención en el efecto que considero debemos resaltar, digamos de una vez por todas que, AHORA SÍ, “el Gobierno” estará obligado a garantizar el derecho que tiene toda persona a la protección de sus datos personales.

Pero, como “el Gobierno” pueden ser muchas cosas, recurramos a la LGPD para aclarar a qué nos referimos; y comencemos por el concepto estrella.

Conforme al artículo 1 de la LGPD, “son sujetos obligados por esta Ley, en el ámbito federal, estatal y municipal, cualquier autoridad, entidad, órgano y organismo de los Poderes Ejecutivo, Legislativo y Judicial, órganos autónomos, partidos políticos, fideicomisos y fondos públicos.”

También se indica en este primer artículo, con el objeto de evitar debates innecesarios, que “los sindicatos y cualquier otra persona física o moral que reciba y ejerza recursos públicos o realice actos de autoridad en el ámbito federal, estatal y municipal serán responsables de los datos personales, de conformidad con la normatividad aplicable para la protección de datos personales en posesión de los particulares.”

Y, de verdad, para no dejar duda, se cierra el artículo 1 con este sencillo párrafo: “En todos los demás supuestos diferentes a los mencionados en el párrafo anterior, las personas físicas y morales se sujetarán a lo previsto en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Con lo anterior, debemos tener el circulo por cerrado: todos los posibles sujetos que pueden o deben tratar datos personales, cuentan ya con una normativa que en sus respectivos ámbitos, les regula y establece las obligaciones y principios que deben regir el tratamiento de esta información.

Por supuesto, habrá diferencias entre el régimen privado y el público, pero también podemos adelantar algunas coincidencia conceptuales, tales como: el aviso de privacidad, las bases de datos, el bloqueo (de datos personales), el consentimiento, los datos personales y los datos personales sensibles, los derechos ARCO, el encargado, la remisión, la transferencia, el tratamiento y, desde luego, el titular de los datos personales. Como es obvio, en la LGPD se describe al responsable como “los sujetos obligados a que se refiere el artículo 1 de la presente Ley que deciden sobre el tratamiento de datos personales.

Las diferencias específicas en la LFPD y la LGPD, que deberemos resumir en otras oportunidades, son varias, pero en este momento me gustaría anunciar como diferencia notable que los sujetos obligados que lleven a cabo “tratamientos intensivos o relevantes” de datos personales, deberán efectuar Evaluaciones de Impacto en la Protección de Datos Personales, conocidas también como PIAs (Privacy Impact Assessments).

Por otro lado, y aunque algunos colegas usan el concepto para los particulares, a pesar de que la LFPD ni lo menciona, en la LGPD ya encontramos, de forma expresa, el concepto de “Documento de Seguridad“, definido como el “instrumento que describe y da cuenta de manera general sobre las medidas de seguridad técnicas, físicas y administrativas adoptadas por el responsable para garantizar la confidencialidad, integridad y disponibilidad de los datos personales que posee“.

Y tal y como ya hiciera el Reglamento General de Protección de Datos de la Unión Europea, nuestra nueva LGPD introduce el concepto de la “portabilidad de los datos”, como un medio para que los titulares puedan obtener del responsable una copia de sus datos “en un formato electrónico estructurado y comúnmente utilizado“.

Ya a partir de estos tres conceptos, y sus implicaciones prácticas y de cumplimiento, podemos adelantar que los sujetos obligados de la LGPD tienen en el horizonte grandes ventanas de oportunidad en el momento en que decidan emprender acciones y proyectos de cumplimiento que, lo sé personalmente, redundaran en beneficios tanta para las propias entidades como para los titulares de los datos personales.

Finalmente y por ahora, señalemos que la LGPD entrará al día siguiente de su publicación en el Diario Oficial de la Federación. Además, tengamos presente que el artículo segundo transitorio de su Decreto de expedición, establece un plazo corto (y aplaudible) de seis meses para que Congreso de la Unión y las Legislaturas de las Entidades Federativas realicen las adecuaciones legislativas necesarias para ajustar las leyes federales y locales a las disposiciones previstas en la LGPD.

En el mismo numeral, se prevé que “en caso de que el Congreso de la Unión o las Legislaturas de las Entidades Federativas omitan total o parcialmente realizar las adecuaciones legislativas a que haya lugar, en el plazo establecido [de seis meses], resultará aplicable de manera directa la presente Ley, con la posibilidad de seguir aplicando de manera supletoria las leyes preexistentes en todo aquello que no se oponga a la misma, hasta en tanto no se cumpla la condición impuesta en el presente artículo.

Dicho todo lo anterior, y confesando que tengo tiempo esperando este momento, termino diciendo: ¡BIENVENIDA LA LGPD!

Hasta el próximo post…