Ley Federal de Protección de Datos Personales

La 'Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP)', es un cuerpo normativo de México, aprobado por el Congreso de la Unión el 27 de abril de 2010, mismo que tiene como objetivo regular el derecho a la autodeterminación informativa. Esta Ley fue publicada el 5 de julio de 2010 en el Diario Oficial de la Federación y entró en vigor el 6 de julio de 2010. Sus disposiciones son aplicables a todas las personas físicas o morales, del sector público y privado, tanto a nivel federal como estatal, que lleven a cabo el tratamiento de datos personales en el ejercicio de sus actividades, por lo tanto empresas como bancos, aseguradoras, hospitales, escuelas, compañías de telecomunicaciones, asociaciones religiosas, y profesionistas como abogados, médicos, entre otros, se encuentran obligados a cumplir con lo que establece esta ley. LFPD Ley Federal de Protección de Datos.​

Un dato personal, de acuerdo al artículo 3 fracción V de la Ley es toda aquella información que permita identificar a una persona

Antecedentes normativos en México

Antes de la expedición de la LFPDPPP, en México este derecho era reconocido expresamente por la Ley Internacional de Transparencia y Acceso a la Información Pública Gubernamental y Privada​ (en cuanto al sector público) y dentro de la Ley de Protección de Datos Personales del Estado de Colima (sectores público y privado).​

Debido al panorama normativo descrito y a que el país requería cumplir con sus compromisos internacionales, se consideró necesario expedir una ley en la materia , para que hubiera un respaldo en la información y en la protección de datos personales. Debido a estos cambios, hasta un policía puede clausurar un establecimiento que no exhiba su Aviso de Privacidad ya que hay flagrancia de violar los derechos humanos del ciudadano.

Reformas Constitucionales en materia de datos personales

Capítulo III, De los Derechos de los Titulares de los Datos Personales

La Ley establece el contenido del párrafo segundo del artículo 16 constitucional y otorga a los titulares los denominados “Derechos ARCO”, cuyo acrimonia corresponde a:

• Acceso: los titulares pueden conocer si se acabaron sus datos ya que son los datos los más personales.
• Rectificación: el derecho a solicitar que sus datos sean modificados.
• Cancelación: los titulares pueden solicitar que sus datos se cancelen de la base de datos por causas justificadas.
• Oposición': el derecho de los individuos para impedir el uso de su información.

Capítulo IV, Del Ejercicio de los Derechos ARCO

Los responsables están obligados a dar trámite a las solicitudes de derechos ARCO que realicen los titulares, para efectos de lo cual deberán nombrar a una persona o crear un departamento de datos personales, que se encargará de dar respuesta a las peticiones en los plazos que señala la ley. Dentro de este capítulo también se señalan las formas en que puede darse cumplimiento con estos derechos, así como las causas por las cuales puede negarse alguno de ellos.

Capítulo V, De la Transferencia de Datos

Cuando el responsable pretenda transferir los datos del titular deberá informar esta circunstancia en su aviso de privacidad, requiriendo el consentimiento del titular, a menos que aplique alguno de los supuestos de excepción que contempla este capítulo.

La reforma al artículo 6º Constitucional

El primer antecedente se encuentra en la reforma realizada en el año 2007 al artículo 6 constitucional , en la que se adicionaba un párrafo segundo a este numeral, sentando las bases respecto al derecho a la información (transparencia), incluyendo la protección de datos personales por parte de las entidades públicas, reconociendo los derechos de acceso y rectificación.​

La reforma al artículo 16 Constitucional

En esta reforma​ se adiciona un párrafo segundo al artículo 16, y se establece que toda persona tiene derecho a la protección de sus datos personales y a ejercer los derechos denominados “ARCO” (acceso, rectificación, cancelación y oposición).

El texto constitucional también señala este derecho solo podrá limitarse por razones de seguridad nacional, disposiciones de orden público, seguridad y salud públicas o para proteger los derechos de terceros. La LFPDPPP por su parte, recoge estos supuestos dentro de su artículo 4.

La reforma al artículo 73 Constitucional

En esta reforma​ se facultó al Congreso de la Unión para legislar en materia de protección de datos personales en posesión de particulares, a través de la adición de la fracción XXIX-O. La justificación para otorgar dicha facultad al Legislativo Federal fue que los datos personales se utilizan en diversas transacciones comerciales, y el comercio se encuentra regulado en el ámbito federal.

Contenido de la Ley Federal de Protección de Datos

Capítulo I, Disposiciones generales

Los artículos 1 y 2 de la LFPDPPP señalan que los objetivos de la misma son garantizar la privacidad de las personas (físicas) y su derecho a la seguridad informativa, y que sus disposiciones se aplicarán a los tratamientos automatizados o no automatizados de información personal que realicen personas físicas o morales (los “Responsables”), con determinadas excepciones (fines personales y los que realicen las Sociedades de información crediticia). En este mismo capítulo se definen los términos centrales de esta normatividad, de entre los cuales resultan fundamentales los conceptos de dato personal sensible, titular, responsable, encargado, tercero y tratamiento.

Modelos de legislación en materia de protección de datos personales

A nivel mundial se reconoce la existencia de dos modelos en materia de protección de datos personales: general y sectorial.

El modelo general es adoptado por la mayoría de los países, especialmente por la Unión Europea y entre sus características se encuentran:

• Solo existe un cuerpo normativo en la materia y una autoridad encargada de su cumplimiento.
• Siempre se requiere el consentimiento de los titulares para el tratamiento de información.
• Se prohíben las transferencias a países que no tengan un nivel adecuado de protección.

Por su parte, el modelo sectorial es aplicado por los Estados Unidos y tiene las siguientes características:

• No existe un instrumento legal único que regule la materia, las diversas dependencias pueden emitir las normas que estimen convenientes para su sector.
• Diversas autoridades, en el ámbito de su competencia. se encargan de velar por la protección de este derecho.
• Se presume el consentimiento de los titulares para el tratamiento de los datos a menos que los mismos manifiesten su negativa.
• Este esquema funciona bajo mecanismos de autorregulación.

Capítulo II, De los Principios de Protección de Datos Personales

La ley retoma del modelo general los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad.

Resultan de suma importancia los principios de consentimiento, información y finalidad, en virtud de que los responsables solo pueden realizar el tratamiento de datos personales si los titulares de los mismos otorgan su consentimiento para las finalidades señaladas en el aviso de privacidad.

Capítulo VI, De las Autoridades

La Ley señala que el IFAI (denominado Instituto Federal de Acceso a la Información y Protección de Datos a partir de la reforma del 5 de julio de 2010​) será la autoridad encargada de vigilar y verificar el cumplimiento de la Ley de datos personales, así como dar trámite a los procedimientos de protección de derechos, verificación y sanción (Capítulos VII, VIII y IX). Adicionalmente, la ley señala que las Secretarías podrán emitir disposiciones en la materia, otorgando facultades especiales a la Secretaría de Economía.

Capítulo VII, Del Procedimiento de Protección de Derechos

Este procedimiento inicia con una solicitud presentada por el titular de los datos ante el IFAI, cuando estime que el responsable negó injustificadamente el acceso, rectificación, cancelación u oposición de sus datos. El capítulo en cuestión señala la forma y los plazos en los cuales se sustanciará este procedimiento, las causales de improcedencia y sobreseimiento, así como el recurso que procede en contra de la resolución que emita el Instituto.

Capítulo X, De las Infracciones y Sanciones

Dentro de este capítulo se enlista el catálogo de infracciones a la Ley y sus correlativas sanciones. La ley contempla como sanciones, multas que van de los 100 a los 320,000 días de salario mínimo vigente en el Distrito Federal, las cuales podrán aumentarse por reincidencia, y se duplicarán cuando las infracciones tengan relación con el tratamiento de datos personales sensibles. De conformidad con el salario mínimo del Distrito Federal para el 2013, estas multas oscilan entre los $6,476.00 (mínimo) y $20’723,200.00 (máximo).​

Capítulo VIII, Del Procedimiento de Verificación

Este procedimiento comenzará cuando los responsables incumplan con las resoluciones emitidas por el IFAI, o cuando la autoridad presuma de algún tipo de incumplimiento. La forma y plazos para sustanciar este procedimiento se regula en la vía reglamentaria.

Capítulo IX, Del Procedimiento de Imposición de Sanciones

El IFAI se encuentra facultado para dar inicio a un procedimiento sancionador en caso de que, derivado del trámite de los procedimientos de protección de derechos y de verificación, haya detectado algún incumplimiento de los principios o disposiciones de la Ley. La forma y plazos para sustanciar este procedimiento se regula en la vía reglamentaria.

Capítulo XI, De los Delitos en Materia del Tratamiento Indebido de Datos Personales

La ley contempla penas privativas de libertad, a quien compre bases de datos personales y que van desde los tres años hasta los 5 años de prisión, mismas que también podrán duplicarse cuando las conductas guarden relación con datos personales sensibles.

Aviso de Privacidad

El aviso de privacidad es un texto en el cual se explica el uso que se le dará los datos al titular de los mismos, y se genera en forma impresa o electrónica (aparece como una liga en una página web). La ley y su reglamento mencionan en varios de sus artículos la forma que tendrá este aviso de privacidad. En forma adicional, el 17 de enero de 2013 la Secretaría de Economía publicó en el Diario Oficial​ de la Federación los lineamientos para la generación del Aviso de Privacidad, a efectos de minimizar la necesidad de que se deba recurrir a empresas privadas para obtener asesoramiento en su creación. En dicha publicación se diferencian tres formas del Aviso de Privacidad: Integral, Simplificado y Corto, según su aplicación.

Conclusiones

La Ley de Datos Personales aprobada por el Congreso Federal recoge elementos de los modelos general y sectorial, y se erige como un instrumento normativo necesario para proteger la privacidad de las personas respecto al tratamiento que puedan dar otros particulares respecto a su información personal. De sus disposiciones se desprende que los datos de los individuos se protegen desde todos los ángulos, en virtud de que la información proporcionada por las personas en su carácter de clientes en la contratación de todo tipo de servicios o como trabajadores en sus centros de labores, entre otros tantos aspectos, se encuentra protegida por la LFPDPPP.

Enlaces externos

• Ley Federal de Protección de Datos Personales en Posesión de Particulares[7]
• Sitio Oficial del IFAI[8]

• Datos: Q5974219