Protección de datos personales entre particulares

El pasado 05 de julio del presente año, la Secretaría de Gobernación publicó en el Diario Oficial de la Federación un decreto mediante el cual se dio a conocer la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, misma que tiene por objeto regular el tratamiento y control de la información personal proporcionada por los particulares a entidades de carácter privado, a fin de garantizar la privacidad y evitar que sea utilizada de manera ilegal.

Aviso de privacidad

De acuerdo con la ley en comento, el aviso de privacidad es el documento físico, electrónico o en cualquier otro formato generado por la entidad privada puesto a disposición del particular para su revisión y autorización previo a la entrega de los datos personales, mediante dicha aviso se deben fijar las condiciones bajo las cuales será recabada dicha información, la finalidad para la cual se solicita, así como los medios que el particular tiene para acceder, rectificar, cancelar u oponerse a la utilización y manejo de la información proporcionada.

Derecho de acceso, rectificación, cancelación y oposición

A partir de la creación de esta nueva ley, el ciudadano tendrá el derecho de solicitar a las instituciones privadas información que contenga datos personales propios, por lo que éstas deberán contar con los procedimientos necesarios para la recepción de las solicitudes.

De conformidad con el capítulo IV de dicha Ley, las entidades privadas quedarán obligadas a responder a los particulares sobre cada solicitud en un plazo máximo de veinte días hábiles contados desde la fecha de recepción, y en caso de resultar procedente, las instituciones deberán dar cumplimento a las peticiones dentro de los siguientes quince días hábiles a la fecha en que se comunicó la respuesta.

Asimismo el capítulo VII de la ley en comento, establece que en caso de que los particulares no reciban respuesta por parte de la entidad responsable, éstos podrán presentar una solicitud de protección de datos ante el Instituto Federal de Acceso a la Información y Protección de Datos, misma que podrá ser presentada a partir de la fecha en que haya vencido el plazo de respuesta de la entidad privada.

Instituto Federal de Acceso a la Información y Protección de Datos (IFAI)

El IFAI es el organismo encargado de difundir el conocimiento del derecho a la protección de datos personales en la sociedad mexicana, así como promover su ejercicio y vigilar su debida observancia y aplicación de conformidad con la nueva ley, asimismo será el encargado de velar y regular el cumplimiento de las obligaciones a que se encuentran sujetas las instituciones privadas y de aplicar las sanciones previstas en la misma.

Una vez el IFAI haya recibido la solicitud de protección de datos mencionada anteriormente, correrá traslado de la misma al responsable, para que en un plazo de quince días, emita respuesta, ofrezca las pruebas que estime pertinentes y manifieste por escrito lo que a su derecho convenga.

El IFAI admitirá las pruebas que estime pertinentes y procederá a su desahogo, concluido el cual notificará al responsable el derecho que le asiste para que, de considerarlo necesario, presente sus alegatos dentro de los cinco días siguientes a su notificación.

El IFAI resolverá sobre la solicitud de protección de datos formulada, una vez analizadas las pruebas y demás elementos de convicción que estime pertinentes, como pueden serlo aquéllos que deriven de las audiencias que se celebren con las partes.

Sanciones

La disposición establece como violatorio que no se cumplan con la solicitud del ciudadano de cancelación u oposición al tratamiento de sus datos personales, así como actuar con negligencia o dolo en la tramitación. También sanciona a quien recabe o transfiera datos personales sin el consentimiento expreso del titular, como pudiera ser a través del engaño y el fraude, asimismo prohíbe la creación de bases de datos en contravención a dicha ley.

Dentro de las sanciones que establece, se encuentran aquellas que van desde el simple apercibimiento hasta la imposición de multas que de cien a trescientos veinte mil días de salario mínimo vigente en el Distrito Federal, es decir más de dieciocho millones de pesos, así como en caso de reincidencia, se impondrá un castigo adicional similar al anterior, además de que podrán incrementarse hasta por dos veces los montos establecidos cuando se trate de datos sensibles, sin perjuicio de la responsabilidad penal o civil que resulte.

Datos sensibles

La ley en comento hace referencia al manejo de “datos sensibles”, los cuales se encuentran mayormente protegidos y les son aplicables sanciones más elevadas, éstos son definidos como aquellos datos que afectan la esfera más intima del particular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste, es decir, aquellos que puedan revelar aspectos como origen racial o étnico, estado de salud, información genética, creencias religiosas, entre otras.

En el apartado de datos personales sensibles, el responsable deberá obtener el consentimiento expreso de la entidad privada que requiera su tratamiento, a través de su firma autógrafa, firma electrónica, o cualquier mecanismo de autenticación que al efecto se establezca.

Asimismo no podrán crearse bases de datos que contengan datos personales sensibles, sin que se justifique la creación de las mismas para finalidades legítimas, concretas y acordes con las actividades o fines que persigue la entidad privada.

De este modo, las empresas e instituciones privadas tendrán la obligación de comunicar a los particulares, la información que se recaba de ellos y con qué fines, a través del aviso de privacidad.

Vigencia

El presente Decreto entró en vigor a partir del pasado seis de julio del presente año. El Ejecutivo Federal expedirá el Reglamento respectivo dentro del año siguiente a su entrada en vigor.

Sin embargo, para efecto de ejercer ante las instituciones privadas los derechos de acceso, rectificación, cancelación u oposición contemplados en el capítulo IV de la ley, así como para dar inicio al procedimiento de protección de derechos ante el IFAI, éstos se podrán realizar una vez transcurra el plazo de dieciocho meses después de la entrada en vigor del decreto.

Atentamente

Kim Quezada
Departamento Legal