El derecho a la protección de datos personales

1. El derecho a la protección de datos personales Lina Ornelas Directora General de Clasificación y Datos Personales (IFAI) II Semana Estatal de Transparencia 2009 ITAIP

2. ¿Qué son los datos personales? Toda información concerniente o relativa a una persona física identificada o identificable.

3. Ejemplos | Nivel de protección • Identificación | Básico • Nombre, edad, domicilio, sexo, RFC, CURP... • Patrimoniales | Medio • Cuentas bancarias, saldos, propiedades... • Salud | Alto • Estados de salud físicos y mentales... • Biométricos | Alto • Huellas dactilares, iris, voz, firma autógrafa... • Otros | Alto • Ideología, afiliación política, religión, origen étnico, preferencia sexual...

4. Derecho a la Privacidad o a la Protección de datos personales • En derecho comparado se ha configurado un auténtico derecho fundamental a la protección de datos personales, distinto al de la vida privada o a la intimidad. • Este derecho tiene sus propios mecanismos de protección. • En México, este derecho ya es constitucional.

5. Plan de la exposición • Una visión comparada • Principios y Derechos de la Protección de datos personales • Similitudes y diferencias entre la PDP y la Seguridad de la información • La situación en México • Conclusiones y perspectivas

6. IUna visión comparada

7. Los orígenes • Los principales instrumentos internacionales de derechos humanos reconocen al derecho a la vida privada. • Sin embargo, los avances en las TI y sus implicaciones para la vida de las personas dieron origen a un derecho distinto, relacionado con la protección de los datos personales (PDP).

8. ¿Cómo surge este nuevo derecho? • Del derecho a la intimidad (noción tradicional “a ser dejado solo”), y • Por el uso vertiginoso de las TI.

9. ¿En qué consiste el derecho a la autodeterminación informativa? • Es el derecho que tiene toda persona a conocer y decidir, quién, cómo y de qué manera recaba y utiliza sus datos personales.

10. Principales instrumentos en Europa • Convenio 108 del Consejo de Europa sobre protección de datos personales (1985) • Directiva 95/46/CE sobre protección de personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos (1995) • Carta de Derechos Fundamentales de la Unión Europea (2000)

11. Principales instrumentos a escala internacional • Directrices relativas a la protección de la privacidad y flujos transfronterizos de datos personales (1980) OCDE • Resolución 45/95 de la Asamblea General (1990) ONU • Directrices para la armonización de la protección de datos personales de Iberoamérica (2007) RIPD

12. En el Continente Americano • Canadá tiene leyes de protección de datos personales a nivel federal y provincial. • Estados Unidos tiene regulaciones sectoriales “Privacy Act” (Safe Harbour) pero no reconoce el derecho a la PDP como tal. • En América Latina sólo Argentina, Uruguay y Chile tienen legislación específica en la materia. • México tiene una regulación trunca, sólo para sector público.

13. IIPrincipios y Derechos de la Protección de datos personales

14. Información al titular • Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco de la existencia de un sistema de datos personales (SDP) o del tratamiento de datos de carácter personal, de la finalidad de recabarlos y de los destinatarios de la información.

15. Calidad de los datos • Los datos recogidos deben ser adecuados, pertinentes y no excesivos atendiendo a la finalidad. • No podrán usarse para finalidades distintas de la que motivó que fueran recogidos. • Serán exactos y actualizados. • Serán cancelados cuando dejen de ser necesarios. • No podrán ser recabados por medios fraudulentos, desleales o lícitos.

16. Consentimiento del titular • El tratamiento de datos de carácter personal requiere del consentimiento inequívoco del afectado y éste puede ser revocado. • Consentimiento previo (opt-in) o posterior (opt-out).

17. Comunicación de los datos • Los datos personales sólo pueden comunicados a un tercero para fines directamente relacionados con las funciones del cedente y del cesionario, previo consentimiento del interesado. • Existen algunas excepciones a este principio.

18. Derechos (ARCO) • Acceso • Rectificación • Cancelación • Oposición

19. Deberes • Deber de secreto • Obligación de quienes intervienen en el tratamiento de datos personales a guardar secreto profesional. • Deber de seguridad • Adopción de medidas adecuadas y pertinentes a fin de garantizar el nivel de protección requerido.

20. Tutela de derechos • En la ley de la materia se establecen procedimientos para ejercitar los derechos (ARCO) ante la Autoridad Independiente. • Una violación deriva en una sanción administrativa, quedando a salvo el derecho de acudir a la vía correspondiente para efectos de responsabilidad civil, o patrimonial del Estado.

21. IIISimilitudes y diferencias entre la PDP y la SI

22. Similitudes y diferencias • No toda la información es dato personal. • La información es un activo valioso para la organización. • Existen estándares internacionales sobre Seguridad de la información. • Los datos personales son todos información. • Los datos personales lo son además para su titular. • Las leyes de cada país regulan a modo la Protección de datos personales.

23. Similitudes y diferencias • Una fuga de información afecta a la organización. • La Seguridad de la información tiene entre sus objetivos asegurar la Privacidad y la Protección de datos personales. • Una fuga de datos personales afecta además al titular. • La Protección de datos personales incorpora varios de los objetivos de la Seguridad de la información.

24. Disciplinas hermanadas que se complementan Protección de datos personales: Filosofía + Ética + Derecho + Seguridad administrativa + Seguridad técnica + Seguridad física Seguridad de la información: Liderazgo y Dirección + Gestión de riesgos + Clasificación de información + Gestión de capital humano + Gestión de incidentes + Continuidad de las operaciones + Gestión de hardware, software & redes + Desarrollo de software + Encripción de datos + Diseño arquitectónico + Ingeniería electromecánica + Vigilancia + Criminología + Derecho + Protección de propiedad intelectual + Privacidad + Protección de datos personales

25. IVLa protección de datos personales en México

26. A nivel constitucional • Artículo 6 • Reconoce el derecho a la protección de datos en el ámbito público. • Artículo 16 • Introduce el derecho a la protección de datos personales como un derecho autónomo e independiente. • Artículo 73 • Dota de facultades expresas al Congreso Federal para expedir una ley de protección de datos en posesión de los particulares.

27. La LFTAIPG • La Ley Federal de Acceso a la Información Pública Gubernamental reconoce por primera vez en México la protección de los datos personales. • Se limita a datos personales en el sector público, a nivel federal. • Es, al mismo tiempo, una ley de acceso a la información y una ley de protección de datos personales (limitada en su ámbito de aplicación).

28. Principales disposiciones de la LFTAIPG • Definición ejemplificativa de datos personales. • Reconoce algunos principios: • Calidad, finalidad y consentimiento (con excepciones) • Reconocen derechos de los interesados al acceso y rectificación de sus datos personales. • Establecen obligaciones de los sujetos que traten datos personales (confidencialidad y seguridad). • Se prevé la existencia de un registro de datos personales (el “Sistema Persona”). • Se crea una autoridad independiente (el IFAI). • Establece procedimientos específicos para el acceso y rectificación de datos personales.

29. Las excepciones al acceso • El acceso a los datos personales esta restringido a sus titulares y por ello éstos no son susceptibles de divulgación. • Versiones públicas. • Constituye una excepción al principio de publicidad. • Su interpretación ha generado algunos de los debates más importantes en la materia y es aún motivo de controversia. • La Ley mexicana no prevé “pruebas de interés público”.

30. A nivel estatal • La mayoría de las legislaciones estatales contienen un capítulo de protección de datos personales y ya existen leyes especiales en Guanajuato, el D.F., Colima y Jalisco. • Sin embargo, en general, la materia está regulada en forma deficiente.

31. VConclusiones y perspectivas

32. Exigencias y necesidades de la Protección de datos personales • Asunto multidisciplinario; • Énfasis en las medidas de seguridad; y • Capacitación y autoestudio.

33. Estatus de la aprobación de la Ley de protección de datos • El pasado mes de mayo se aprobó por la Comisión de Gobernación de la Cámara de Diputados la Ley Federal de Protección de Datos en posesión de los particulares, pero no pasó al Pleno de la Cámara, por lo que está pendiente su aprobación. • En dicha propuesta, el IFAI es la autoridad a nivel nacional.

34. ¿Qué aspectos debe contemplar la ley? Principios y derechos (arco) Autoridad independiente Mecanismos de protección

35. ¿Qué ley de protección de datos? • Ley federal vs. ley estatal: • Federal para ficheros privados con autoridad nacional. • Concurrente respecto de ficheros públicos. • Una ley equilibrada y suficiente. • Una ley necesaria e inaplazable.