LEY FEDERAL DE PROTECCION DE DATOS PERSONALES EN POSESION DE LOS PARTICULARES

1. LEY FEDERAL DE PROTECCION DE DATOS PERSONALES EN POSESION DE LOS PARTICULARES DISPOSICIONES GENERALES: AMBITO APLICACIÓN: De Orden Público y de Observancia General en toda la República OBJETO DE LA LEY: La Protección de los datos personales en posesión de los particulares FINALIDAD DE LA PROTECCION: Regular el tratamiento • legítimo • controlado • informado para garantizar: • la privacidad, y • el derecho a la autodeterminación informativa de las personas

2. SUJETOS REGULADOS: SECTOR PRIVADO: OBLIGADOS. Los particulares sean personas físicas o morales de carácter privado que lleven a cabo el tratamiento de datos personales. a) Responsable: Es el la persona física o moral que debe proteger los datos de los titulares a quienes corresponden los datos personales. b) Encargado: Es la persona física que sola o conjuntamente con otras, trata datos personales, por cuenta del responsable, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo. SECTOR PRIVADO

3. SECTOR PÚBLICO: AUTORIDADES: Instituto Federal de Acceso a la Información y Protección de Datos. Tiene por objeto: Difundir el conocimiento del derecho a la protección de datos personales Promover su ejercicio Vigilar la debida observancia de las Disposiciones de esta ley. El cumplimiento de las obligaciones por parte de los sujetos regulados por la ley.

4. CONCEPTO Y CLASIFICACION DE DATOS PERSONALES: DATOS PERSONALES: Cualquier información concerniente a una persona física identificada o identificable. DATOS PERSONALES SENSIBLES: Datos personales que afecten a la esfera más íntima de su titular, o cuya ubicación indebida pueda dar origen a discriminación, o conlleve un riesgo grave para éste. Se consideran sensibles aquellos datos que puedan revelar aspectos como: • origen racial • origen étnico • estado de salud presente y futuro • información genética • creencias religiosas, filosófica y morales • afiliación sindical • opiniones políticas • preferencias sexuales

5. TITULAR: La persona física a quien corresponden los datos personales LIMITE EN CUANTO A OBSERVANCIA Y EJERCICIO DE ESTOS PRINCIPIOS Y DERECHOS: La protección de la seguridad nacional El orden público La seguridad pública La salud pública, y Los derechos de terceros TERCERO: La persona física o moral, nacional o extranjera, distinta del titular o del responsable de los datos.

6. PRINCIPIOS LEGALES DE PROTECCION DE DATOS PERSONALES: • LICITUD: Recabarse y tratarse de manera lícita, sin engaños ni fraudes. • 2. CONSENTIMIENTO: • EXPRESO. La voluntad se manifiesta verbalmente, por escrito, por medios Electrónicos, ópticos o de cualquier otra tecnología o por signos inequívocos • TACITO. Cuando habiéndose puesto a su disposición el Aviso de Privacidad, no manifiesta su oposición. • El consentimiento puede ser revocado en cualquier momento, sin que se le atribuyan efectos retroactivos.

7. EXCEPCION: para datos sensibles se requiere el consentimiento expreso y por escrito del titular a través de su firma autógrafa, firma electrónica o cualquier mecanismo de autenticación que al efecto se establezca. NO SERA NECESARIO EL CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES CUANDO: - La de personas físicas que presten sus servicios a otra física o moral, con actividades empresariales y/o prestación de servicios, consistente únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como otros datos laborales: domicilio físico, dirección electrónica, teléfono, número e fax, siempre que esa información sea tratada para fines e representación del empleador o contratista.

8. 3. INFORMACION: Dar a conocer al titular la información relativa a la existencia y características principales del tratamiento a que serán sometidos sus datos personales, a través del Aviso de Privacidad. 4. CALIDAD: Los datos sean exactos, completos, pertinentes, correctos y actualizados para el cumplimiento de la finalidad para la que se obtengan. 5. FINALIDAD: Limitarse al cumplimiento de las finalidades previstas en el aviso de privacidad. 6. LEALTAD: Utilizar los datos para el fin previsto en el aviso de privacidad, privilegiando la protección de los intereses del titular y la expectativa razonable de privacidad. 7. PROPORCIONALIDAD: Solo podrán ser objeto de tratamiento los datos personales que resulten necesarios, adecuados y relevantes en relación con las finalidades para las que se hayan obtenido. Se sugiere un criterio de minimización de datos de acuerdo con la finalidad del tratamiento que tenga lugar.

9. RESPONSABILIDAD: Adoptar medidas para garantizar el debido tratamiento, privilegiando los intereses del titular y la expectativa razonable de privacidad. Ente las medidas que podrá adoptar el responsable se encuentran por lo menos las siguientes: Elaborar un inventario de datos personales y de los sistemas de tratamiento. Determinar las funciones y obligaciones de las personas que traten datos personales Contar con un análisis de riesgos de daos personales que consisten en identificar peligros y estimar los riesgos a los datos personales.

10. Establecer las medidas de seguridad aplicables a los datos personales e identificar aquellas implementadas de manera efectiva. • Realizar el análisis de brecha que consiste en la diferencia de las medidas de seguridad existentes y aquellas faltantes que resultan necesaria para la protección de los datos personales. • Elaborar un plan de trabajo para la implementación de las medidas de seguridad faltantes, derivadas del análisis de brecha. • Llevar a cabo revisiones o auditorias • Capacitar al personal que efectúe el tratamiento, y • Realizar un registro de los medios de almacenamiento de los datos personales. • El responsable deberá contar con una relación de las medidas de seguridad derivadas de las fracciones anteriores.

11. AVISO DE PRIVACIDAD CONCEPTO: Documento físico, electrónico o en cualquier otro formato generado por el responsable que es puesto a disposición del titular, previo al tratamiento de sus datos personales. CONTENIDO: • Identidad y domicilio del responsable que los recaba • Finalidades del tratamiento de datos • Las opciones y medios que el responsable ofrezca a los titulares para limitar el uso o divulgación de los datos. • Los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición, de conformidad con lo dispuesto en la Ley. • En su caso, las transferencias de datos que se efectúen, y

12. 6. El procedimiento y medio por el cual el responsable comunicará a los titulares de cambios al aviso de privacidad, de conformidad con lo previsto en la Ley. DIVULGACION, PUBLICACION Y DIFUSION: Debe ponerse a disposición de los titulares a través de formatos impresos, digitales, visuales, sonoros o cualquier otra tecnología. RECEPCION DE DATOS DIRECTA: Cuando los datos hayan sido obtenidos personalmente del titular, el aviso de privacidad deberá ser facilitado en el momento en que se recaba el dato de forma clara y fehaciente, a través de los formatos por los que se recaban, salvo que se hubiera facilitado el aviso con anterioridad.

13. RECEPCION DE DATOS INDIRECTA: Cuando los datos sean obtenidos directamente del titular por medio electrónico, óptico, sonoro, visual o a través de cualquier otra tecnología, el responsable deberá proporcionar al titular de manera inmediata, al menos la información de: La identidad y el domicilio del responsable que los recaba Las finalidades del tratamiento de datos. Además de proveer los mecanismos para que el titular conozca el texto completo del aviso de privacidad.

14. MEDIDAS PARA TRATAR LOS DATOS PERSONALES: De seguridad, administración, técnicas y físicas, contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado. COMPARACION DE LAS MEDIDAS PARA TRATAR LOS DATOS PERSONALES: Las medidas no serán menores a aquellas que mantengan para el manejo de su información. Tomarán en cuenta: El riesgo existente Las posibles consecuencias para los titulares La sensibilidad de los datos El desarrollo tecnológico

15. CONFIDENCIALIDAD EN EL TRATAMIENTO DE DATOS PERSONALES. El responsable y los terceros que intervengan en cualquier fase del tratamiento de datos personales deberán guardar confidencialidad respecto de esto, obligación que subsistirá aun después de finalizar sus relaciones con el titular o en su caso, con el responsable.

16. DE LOS DERECHOS DE LOS TITULARES DE DATOS PERSONALES: Derechos de Acceso, rectificación, cancelación y oposición. • ACCEDER a sus datos personales, que obren en poder del responsable; conocer el aviso de privacidad al que está sujeto el tratamiento. • RECTIFICAR cuando sean inexactos o incompletos. • CANCELAR sus datos personales: • Período de Bloqueo, será el tiempo equivalente al plazo de prescripción de las acciones derivadas de la relación jurídica que funda el tratamiento de la ley aplicable. • Supresión del dato. Una vez cancelado el dato se dará aviso a su titular.

17. IMPROCEDENCIA DE LA CANCELACION DE DATOS: • Se refiera a las partes de un contrato privado, social o administrativo y sea necesario para su desarrollo y cumplimiento. • Deban ser tratados por disposición legal • Obstaculicen actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, la investigación y persecución de delitos o la actualización de sanciones administrativas. • Sean necesarios para realizar proteger los intereses jurídicamente tutelados del titular. • Sean necesarios para realizar una acción en función del interés público. • Sean necesarios para cumplir con una obligación legalmente adquirida por el titular • Sean objeto de tratamiento para la prevención o para el diagnóstico médico o la gestión de servicios de salud, siempre que dicho tratamiento se realice por un profesional de la salud sujeto a un deber de secreto. DATOS

18. 4. OPOSICION al tratamiento de sus datos, en todo momento y por causa legítima. De resultar procedente, el responsable no podrá tratar los datos relativos al titular. DATOS

19. DEL EJERCICIO DE LOS DERECHOS DE ACCESO, RECTIFICACION, CANCELACION Y OPOSICION. (ARCO) QUIÉNES. El titular o su representante legal Para los menores de edad o personas que se encuentren en estado de interdicción o incapacidad establecida por ley, se estará a las reglas de representación dispuestas en el Código Civil Federal. CUÁNDO: En cualquier momento podrán solicitar al responsable el acceso, rectificación, cancelación u oposición, respecto de los datos personales que le conciernen. ANTE QUIÉN: Ante el Responsable de proteger los datos personales de titular. EN DÓNDE: En el domicilio señalado por el responsable en el aviso de privacidad.

20. CÓMO: a través de la Solicitud de Acceso, rectificación, cancelación u oposición, por escrito que deberá contener: Nombre del titular y domicilio u otro medio para comunicarle la respuesta a su solicitud, Los documentos que acrediten la identidad o en su caso la representación legal del titular. La descripción clara y precisa de los datos personales respecto de los que se busca ejercer alguno de los derechos ARCO, Cualquier elemento o documento que facilite la localización de los datos personales. Para rectificar los datos, el titular deberá indicar además de lo anterior, las modificaciones a realizarse y aportar la documentación que sustente su petición.

21. El responsable podrá establecer formularios, sistemas y otros métodos simplificados para facilitar dicho ejercicio, lo cual deberá informarse en el aviso de privacidad. Con la persona o departamento designado por el responsable quien dará trámite a las solicitudes de los titulares para el ejercicio de los derechos ARCO, o en los medios remotos o locales de comunicación electrónica u otros que considere pertinentes CUANDO EL RESPONSABLE PRESTA SERVICIOS DE ATENCION AL PÚBLICO: Cuando el responsable disponga de servicios de cualquier índole para la atención de su público o el ejercicio de reclamaciones con el servicio prestado, podrá atender las solicitudes para el ejercicio de los derechos arco a través de dichos servicios, siempre y cuando los plazos establecidos en la ley.

22. En tal caso la identidad del titular se considerará acreditada por los medios establecidos por el responsable para la identificación de los titulares en la prestación de sus servicios o contratación de sus productos, siempre que a través de dichos medios se garantice la identidad del titular. Con la persona o departamento designado por el responsable quien dará trámite a las solicitudes de los titulares para el ejercicio de los derechos ARCO, o en los medios remotos o locales de comunicación electrónica u otros que considere pertinentes

23. PROCEDIMIENTO ANTE EL INSTITUTO PREVISTO EN LA LEY: • 1. Registro de Solicitudes. • El responsable deberá dar trámite a toda solicitud para el ejercicio de los derechos ARCO. • b) El plazo para que se atienda la solicitud empezará a computarse a partir del día en que la misma haya sido recibida por el responsable, en cuyo caso éste anotará en el acuse de recibo que entregue al titular la correspondiente fecha de recepción. • El plazo se interrumpirá en caso de que el responsable requiera información al titular. • 2. En caso de que la información proporcionada en la solicitud sea insuficiente o errónea para atenderla o no se acompañen los documentos necesarios:

24. El responsable podrá requerir al titular, por una vez y dentro de los cinco días siguientes a la recepción de la solicitud, que aporte los elementos o documentos necesarios para dar trámite a la misma El titular contará con diez días para atender el requerimiento, contados a partir del día siguiente en que lo haya recibido. De no dar respuesta en dicho plazo, se tendrá por no presentada la solicitud correspondiente. En caso de que el titular atienda el requerimiento de información, el plazo para que el responsable dé respuesta a la solicitud empezará a correr al día siguiente de que el titular haya atendido el requerimiento.

25. En caso de que el responsable no requiera al titular documentación adicional para la acreditación de su identidad o de la personalidad de su representante, se entenderá acreditada la misma con la documentación aportada por el titular desde la presentación de su solicitud. Cuando proceda, el responsable podrá determinar la ampliación del plazo de respuesta debiendo motivar dicha ampliación en los supuestos establecidos en la ley dentro del término de veinte días original. Respuesta. El responsable deberá dar respuesta a las solicitudes de derechos ARCO que reciba, con independencia de que figuren o no datos personales del titular en sus bases de datos. La respuesta al titular deberá referirse exclusivamente a los datos personales que específicamente se hayan indicado en la solicitud correspondiente, y deberá presentarse en un formato legible y comprensible de fácil acceso. En caso de uso e códigos, siglas o claves se deberán proporcionar los significados correspondientes.

26. PLAZO DE RESPUESTA: • Dentro de un plazo máximo de veinte días contados desde la fecha en que se recibió la solicitud, el responsable comunicará al titular la determinación adoptada, a efecto de que, si resulta procedente se haga efectiva la misma dentro de los quince días siguientes a la fecha en que se comunica la respuesta.

27. MEDIO DE CUMPLIMIENTO: • Acceso a datos en documentos. Cuando se trate del Acceso a la Información se tendrá por cumplido cuando se pongan a disposición del titular los datos personales o bien, mediante la expedición de copias simples, documentos electrónicos o cualquier otro medio que determine el responsable del aviso de privacidad. • Acceso a los Datos en sitio. Cuando el acceso a los datos personales sea en sitio, el responsable deberá determinar el período durante el cual el titular podrá presentarse a consultarlos, mismo que no podrá ser menor a quince días. Transcurrido ese plazo, sin que el titular haya acudido a tener acceso a sus datos personales, será necesaria la presentación de una nueva solicitud.

28. PROCEDENCIA DE LA NEGACION DERECHOS ARCO: El responsable podrá negar el ejercicio de cualquiera de los derechos ARCO cuando: El solicitante no sea el titular de los datos personales o su representante legal no esté debidamente acreditado para ello. En su base de datos, no se encuentren los datos personales del solicitante. Se lesionen los derechos de un tercero. Exista un impedimento legal, o la resolución de una autoridad competente, que restrinja el acceso a los datos personales, o no permita la rectificación, cancelación u oposición de los mismos, La rectificación, cancelación u oposición haya sido previamente realizada.

29. En todos los casos anotados, el responsable deberá informar el motivo de su decisión y comunicarla al titular, o en su caso, al representante legal, en los plazos establecidos para tal efecto, por el mismo medio por el que se llevó a cabo la solicitud, acompañando, en su caso, las pruebas que resulten pertinentes, además de informarle el derecho que le asiste para solicitar el inicio del procedimiento de protección de derechos ante el Instituto

30. COSTO DEL TRAMITE SOBRE ACCESO DERECHOS ARCO: • La entrega de los datos será gratuita, debiendo cubrir el titular únicamente los gastos justificados de envío o con el costo de reproducción en copias u otros formatos. • Si la misma persona reitera su solicitud en un periodo menor de doce meses, los costos no serán mayores a res días de Salario Mínimo General Vigente en el D. F., ($62.33 –año 2012), a menos que existan modificaciones sustanciales al aviso de privacidad que motiven nuevas consultas. • El responsable no podrá establecer como única vía para la presentación de las solicitudes del ejercicio de los derechos ARCO algún servicio o medio con costo. • EL TITULAR PODRA PRESENTAR UNA SOLICITUD DE PROTECCION DE DATOS POR LA RESPUESTA RECIBIDA O FALTA DE RESPUESTA DEL RESPONSABLE.