lunes, 19 de noviembre de 2018
Módulo 12. Consecuencias por el uso indebido de datos personales
|
Sujeto
|
Delitos
|
Encargado
de
sancionar
|
|
Ley Federal de Acceso a la Información
Pública Gubernamental
|
Usar,
sustraer, destruir, ocultar, inutilizar, divulgar o alterar, total o
parcialmente y de manera indebida información que se encuentre bajo su custodia,
a la cual tengan acceso o conocimiento con motivo de su empleo, cargo o
comisión.
Entregar
información considerada como reservada o confidencial conforme a lo dispuesto
por esta Ley
|
Ley
Federal de Responsabilidades Administrativas de los Servidores Públicos
El
titular puede exigir una sanción penal o civil
|
|
Ley Federal de Protección de Datos
Personales en Posesión
de Particulares
|
No cumplir con la solicitud del titular para el acceso,
rectificación, cancelación u
oposición al tratamiento de sus datos personales, sin
razón fundada, en los términos previstos en esta Ley;
II. Actuar con negligencia o dolo en la tramitación y
respuesta de solicitudes de acceso, rectificación, cancelación u oposición de
datos personales;
III. Declarar dolosamente la inexistencia de datos personales,
cuando exista total o parcialmente en las bases de datos del responsable;
IV. Dar tratamiento a los datos personales en
contravención a los principios establecidos en la presente Ley;
V. Omitir en el aviso de privacidad, alguno o todos los
elementos estipulados por Ley.
VI. Mantener datos personales inexactos cuando resulte
imputable al responsable, o no efectuar las rectificaciones o cancelaciones
de los mismos que legalmente procedan cuando resulten afectados los derechos
de los titulares;
VII. No cumplir con las solicitudes formuladas por el
titular del dato;
VIII. Incumplir el deber de confidencialidad;
IX. Cambiar sustancialmente la finalidad originaria del
tratamiento de los datos, sin observar lo dispuesto para tal efecto en el
artículo 12 de la LFPDPPP;
X. Transferir datos a terceros sin comunicar a éstos el
aviso de privacidad que contiene las limitaciones a que el titular sujetó la
divulgación de los mismos;
XI. Vulnerar la seguridad de bases de datos, locales,
programas o equipos, cuando resulte imputable al responsable;
XII. Llevar a cabo la transferencia o cesión de los
datos personales, fuera de los casos en que esté permitida por la Ley;
XIII. Recabar o transferir datos personales sin el
consentimiento expreso del titular, en los casos en que éste sea exigible;
XIV. Obstruir los actos de verificación de la
autoridad;
XV. Recabar datos en forma engañosa y fraudulenta;
XVI. Continuar con el uso ilegítimo de los datos
personales cuando se ha solicitado el cese del mismo por el Instituto o los
titulares;
XVII. Tratar los datos personales de manera que se afecte
o impida el ejercicio de los derechos de acceso, rectificación, cancelación y
oposición establecidos en el artículo 16
XVIII. Crear bases de datos en contravención a lo
dispuesto por la LFPDPPP;
XIX. Cualquier incumplimiento del responsable a las
obligaciones mencionadas previamente.
|
INAI
El titular puede exigir una sanción penal o
civil extra
|
Módulo. 4 Medidas de seguridad en los datos personales
Es fundamental tener en cuenta dos figuras: el titular y el responsable. El titular suministra los datos o información personal o sensible. Define el perfil de los datos personales para hablar en su "lenguaje". El responsable recibe y maneja los datos del titular. El simple almacenamiento o recepción lo acredita como tal.
Propuesta con todas las recomendaciones para realizar un programa que maneja datos personales de terceros.
1. Identificar actividades y/o procedimientos en los que se utilizan dichos datos personales.
2. Establecer cómo se obtienen los datos personales y conocer en qué momento de la operación se requiere esa información.
3. Delinear el flujo de los datos que suministra el titular. Establecer los fines para los que se utiliza la información.
4. Al transferir los datos se debe conocer a quiénes se entregan y el porqué de la misma.
5. Implementar un mecanismo para recibir y hacer seguimiento a las solicitudes de los clientes sobre sus datos personales. Conocer cómo se obtienen los datos personales.
6. Crear un aviso de privacidad. En México se expidió "La guía práctica para generar el aviso de privacidad", por parte del Instituto Federal de Acceso a la Información y Protección de Datos.
7. Definir un procedimiento para obtener la autorización del titular antes de recibir sus datos, de tal forma que se le explique para qué serán utilizados.
8. Utilizar medidas tecnológicas para proteger los datos personales y sensibles de acceso no autorizado o modificaciones no consentidas por el titular.
9. Diseñar un manual interno de procedimientos y políticas para cumplir con la ley sobre protección de datos, y encargar a alguien de su seguimiento.
Las principales medidas de seguridad a considerar en la protección de datos personales.
En la sociedad de la información y el conocimiento, el manejo e intercambio de datos se ha convertido en una práctica habitual para las empresas de servicios. El uso de las tecnologías de la información y comunicación están presentes en casi todos los procesos, lo cual ha optimizado sus recursos. Sin embargo, también han propiciado una serie de desafíos en torno a la seguridad de la información, la protección de los datos personales y el cumplimiento de la regulación en la materia.
Los datos personales, en posesión de las empresas, abarcan dos vertientes: por un lado, la responsabilidad de guardar confidencialidad de los datos personales a su cargo, así como solicitar el consentimiento de los titulares, en caso de envío o cesión de información; por otro lado, el derecho que tienen los titulares de datos personales, para ejercitar sus derechos de acceso, rectificación, cancelación u oposición de datos personales (derechos ARCO).
- Medidas de seguridad administrativas.
Son el conjunto de acciones y mecanismos para establecer la gestión, soporte y revisión de la seguridad de la información a nivel organizacional, la identificación y clasificación de la información, así como la concienciación, formación y capacitación del personal, en materia de protección de datos personales.
- Medidas de seguridad físicas.
Se refiere a las acciones y mecanismos, ya sea que empleen o no la tecnología, destinados para:
-Prevenir el acceso no autorizado, el daño o interferencia a las instalaciones físicas, áreas críticas de la organización, equipo e información;
-Proteger los equipos móviles, portátiles o de fácil remoción, situados dentro o fuera de las instalaciones;
-Proveer a los equipos que contienen o almacenan datos personales de un mantenimiento que asegure su disponibilidad, integridad y confidencialidad, y
-Garantizar la eliminación de datos de forma segura.
- Medidas de seguridad técnicas.
Son las actividades, controles o mecanismos con resultado medible, que se valen de la tecnología para asegurar que:
-El acceso a las bases de datos lógicas o a la información en formato lógico sea por usuarios identificados y autorizados;
-El acceso referido en el inciso anterior sea únicamente para que el usuario lleve a cabo las actividades que requiere con motivo de sus funciones;
-Se incluyan acciones para la adquisición¸ operación, desarrollo y mantenimiento de sistemas seguros, y
-Se lleve a cabo la gestión de comunicaciones y operaciones de los recursos informáticos que se utilicen en el tratamiento de datos personales.
Se pueden determinar las medidas de seguridad aplicables a los datos personales que se tratan considerando los siguientes factores:
-El riesgo inherente por tipo de dato personal;
-La sensibilidad de los datos personales tratados;
-El desarrollo tecnológico, y
-Las posibles consecuencias de una vulneración para los titulares.
Además, se debe tomar en cuenta los siguientes elementos:
-El número de titulares;
-Las vulnerabilidades previas ocurridas en los sistemas de tratamiento;
-El riesgo por el valor potencial cuantitativo o cualitativo que pudieran tener los datos personales tratados para una tercera persona no autorizada para su posesión, y
-Demás factores que puedan incidir en el nivel de riesgo o que resulten de otras leyes o regulación aplicable al responsable
Módulo 1: Introducción y antecedentes del Derecho a la Protección de Datos Personales
Introducción y antecedentes del Derecho a la Protección de Datos Personales
DATOS
PERSONALES: Toda aquella información relativa al
individuo que lo idéntica o lo hace identificable. Entre otras cosas, le dan
identidad, lo describen, precisan su origen, edad, lugar de residencia,
trayectoria académica, laboral o profesional.
Es decir, son los datos son información de carácter personal de una persona
física, en los que son necesario para interactuar con otros o con una o más
organizaciones de individuos sin que sea confundido con el resto de la
colectividad y para que pueda cumplir con lo que disponen las leyes.
TIPOS DE DATOS PERSONALES
Existen
específicamente dos tipos de datos principalmente como:
NO SENSIBLES
|
SENSIBLES
|
|
Características
|
Datos de
identificación
Datos
Primordiales
Datos de
movimientos migratorios
|
Datos ideológicos
Datos de Salud
Vida Sexual
Origen
|
VALOR ECONÓMICO DE LOS DATOS PERSONALES
Es importante, reconocer que la comprensión del valor económico de los datos personales dentro de los marcos legales y regulatorios existentes es una tarea compleja, por lo que el presente análisis se enfoca en las metodologías propuestas por la OCDE, basadas en valoraciones de mercado como una herramienta eficaz para determinar de los precios de los datos de carácter personal.
No obstante lo anterior, las valoraciones de mercado, basadas en la oferta y demanda, sólo determinan los precios de mercado; sin considerar las externalidades, ya sean beneficios o costos, que no pueden ser capturados en el precio de mercado. Las externalidades, ya sean positivas o negativas, derivadas del uso de datos personales, pueden ser significativas y deben considerarse en la formulación de políticas públicas, sobre la base que el valor de los datos de carácter personal está íntimamente ligada a su potencial impacto económico y social.
VALOR SOCIAL DE LOS DATOS PERSONALES
El valor de los datos no es sólo económico sino también
social, científico, político y cultural. Resulta trascendental no dejar de mencionar, así sea
someramente, que la protección de datos es considerada como un elemento
consustancial de la democracia.
EL DERECHO A LA PRIVACIDAD, INTIMIDAD Y DERECHO A LA PROTECCIÓN DE DATOS
PERSONALES
El Consejo de
Europa 17 y la Organización de las Naciones Unidas emitieron resoluciones cuyo
primordial objetivo fue, de una parte, destacar los beneficios del progreso
científico y tecnológico para el desarrollo de la sociedad y, de otra parte,
poner de presente los riesgos que para los derechos humanos genera el uso
indebido de las tecnologías. En este sentido, en la Resolución 3384 de 1975 de
la ONU se acordó, entre otras, que los Estados “adoptarán medidas tendientes a
extender a todos los estratos de la población los beneficios de la ciencia y la
tecnología y a protegerlos, tanto en lo social como en lo material, de las
posibles consecuencias negativas del uso indebido del progreso científico y
tecnológico 19 , incluso su utilización indebida para infringir los derechos
del individuo o del grupo, en particular en relación con el respeto de la vida
privada y la protección de la persona humana y su integridad física e
intelectual”
ORIGEN Y EVOLUCIÓN DEL DERECHO A LA PROTECCIÓN DE DATOS PERSONALES.
A principios de los setenta también
se expidieron las primeras leyes sobre protección de datos y progresivamente se
ha venido registrando una eclosión de normas locales, generales y sectoriales,
en muchos países del mundo. Dentro de
las primeras leyes normalmente la doctrina cita, entre otras las siguientes: Ley
de Land de Hesse (1970), Ley Federal sobre protección de datos (República
Federal Alemana, 27 de enero de 1977), Ley sobre “Informática, Ficheros y
Libertades” (Francia, 6 de enero de 1978), Ley de protección de datos de
Dinamarca (1978), Ley reguladora del uso de los datos personales procesados
automáticamente (Gran Ducado de Luxemburgo, 1979).
Directiva 95/46/CE del Parlamento
Europeo y del Consejo, relativa a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la libre circulación de
estos datos.
Convenio 108 del Consejo de Europa
para la Protección de las Personas con respecto al tratamiento automatizado de
datos de carácter personal, Directrices sobre la Protección de la Privacidad y
el Flujo Transfronterizo de Datos Personales de la OCDE, Marco de Privacidad de
APEC, Resolución de Madrid, Directrices para la Armonización de la Protección
de Datos en la Comunidad Iberoamericana (REDIPD)
DERECHO A LA PROTECCIÓN DE DATOS PERSONALES EN LOS INSTRUMENTOS
INTERNACIONALES
El derecho al
debido tratamiento de los datos personales parte del supuesto que la
recolección y uso de los datos no es algo que sólo le interesa al titular del
dato. Reconoce que los datos son necesarios para realizar muchas actividades
lícitas, legítimas y de interés general o particular, según el caso. Por eso no
es un derecho para oponerse al tratamiento, sino para exigir un correcto
tratamiento de la información sobre las personas. No se opone al uso
informático sino al abuso informático.
Reiteramos que la materialización y éxito del derecho al debido
tratamiento de los datos personales depende del uso responsable, legal y ético
de las TIC y de la información. Todo lo demás es importante pero insuficiente
si quien usa la información no procede de dicha manera porque para el titular o
las autoridades de protección de datos es imposible conocer y probar todo lo
que los responsables, Encargados o Usuarios hacen con los datos. Este derecho
no está en contra del poder informático sino del abuso del poder informe.
MODELOS DE REGULACIÓN DE PROTECCIÓN DE DATOS PERSONALES
Internacionalmente
se han identificado al menos cinco modelos de sistemas de “regulación” para
proteger los datos personales y otros derechos conexos. Cada país define el
camino a tomar para abordar este tema.
Normalmente los países tienen modelos
mixtos en donde utilizan, entre otros, instrumentos de regulación y de
autorregulación. De hecho, esa fue una de las primeras sugerencias de la OECD
en 1980 cuando recomendaba lo siguiente: “los países miembros deberían
establecer procedimientos o instituciones jurídicas, administrativas u otras
para la protección de la intimidad y de las libertades individuales respecto a
los datos personales. Los modelos más conocidos sobre protección de datos son
el europeo y el norteamericano.
Suscribirse a:
Entradas (Atom)