El derecho a la protección de datos personales se encuentra previsto en el artìculo 16 constitucional desde el 1o de junio de 2009. Para reglamentarlo, el 5 de julio de 2010 se publicó en el DOF la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) con la finalidad de regular el tratamiento legítimo, controlado e informado de los datos de personas físicas que garanticen su privacidad; de igual manera prevé el derecho a la autodeterminación informativa y al ejercicio de los siguientes derechos conocidos como derechos ARCO:
- Acceso
- Rectificaciòn
- Cancelación
- Oposición
Cada titular de los datos personales podrá por sí mismo o mediante su representante legal, solicitar al responsable (quien tenga a su cargo el tratamiento de sus datos personales), en cualquier momento, el ejercicio de alguno de los derechos ARCO (art. 28, LFPDPPP).
Es menester aclarar que el empleo de cada uno de las referidas prerrogativas es independiente entre sí, por lo que se podrá elegir cualquiera sin necesidad de agotar previamente otra. Además su ejercicio es gratuito.
El responsable del tratamiento de los datos estará obligado a designar a una persona o departamento de datos personales, que se encargue de dar trámite a las solicitudes hechas por los titulares (art. 30, LFPDPPP). Esta designación deberá ser comunicada mediante el aviso de privacidad, así como los medios habilitados para hacer efectivo el ejercicio y cumplimiento de los derechos ARCO (art. 16, fracc. IV, LFPDPPP).
La solicitud se presentará a través de los medios señalados por el responsable en el aviso de privacidad y contendrá lo siguiente (art. 29, LFPDPPP):
- nombre del titular y domicilio u otro medio para comunicarle la respuesta
- los documentos que acrediten la identidad o, en su caso, la representación legal
- la descripción clara y precisa de los datos personales respecto de los que se busca el ejercicio de alguno de los derechos ARCO
- cualquier otro elemento o documento que facilite la localización de los datos personales
Una vez que se hubiese exhibido la petición, el responsable comunicará al titular, en un plazo máximo de 20 días contados a partir de su recepción, la determinación adoptada. De resultar procedente, se tendrá que hacer efectiva en los próximos 15 días posteriores a la comunicación señalada. Los plazos descritos serán ampliados por una sola vez por un periodo igual, siempre que exista una causa que así lo justifique (art. 32, LFPDPPP).
Acceso
Permite solicitar a un responsable determinado la búsqueda dentro de sus bases de información de datos personales de quien ejercita el derecho.
De acuerdo con la guía práctica para la atención de las solicitudes de Ejercicio de los Derechos ARCO elaborada por el IFAI, se señala que el responsable garantizará este derecho al titular de tres modos:
- que el titular pueda estar al tanto de la efectiva existencia del tratamiento a que son sometidos sus datos personales
- el acceso a sus datos que estén en posesión del responsable
- el conocimiento de los detalles esenciales del tratamiento (responsable, finalidades, personas que intervengan)
En este supuesto, la obligación se tendrá por cumplida cuando se pongan a disposición del titular su información personal, o bien mediante la expedición de copias simples, documentos electrónicos u otro medio que hubiese sido especificado en el aviso de privacidad (art. 33, LFPDPPP).
Sin importar el medio utilizado por el responsable para dar cumplimiento, deberá tomar en cuenta que cualquier información entregada al titular será en un formato legible y comprensible.
Rectificación
Aplica cuando los datos sean incorrectos, imprecisos, incompletos o estén desactualizados. Para este efecto, en la solicitud el titular indicará las modificaciones a realizarse y aportará la documentación que sustente la petición (art. 31, LFPDPPP).
Cancelación
Se utiliza para pedir la cancelación de los datos personales existentes en una determinada base de datos con la finalidad de cesar el tratamiento de los mismos, ya sea porque este no cumpla con las lineamientos señalados por la LFPDPPP o si este ya no es necesario en razón de la terminación de las actividades relacionadas entre el titular y el responsable.
De proceder, el primer paso será realizar el bloqueo de los datos, y, posteriormente, su supresión total o parcial de la información en los registros, archivos, bases de datos o en cualquier medio utilizado para almacenarlos.
El propósito del bloqueo será el de resguardar los datos por un tiempo razonable en el que podrían surgir responsabilidades que para poder ser verificadas, requieran de los datos personales del titular. Durante este periodo, los datos no podrán ser tratados para otra finalidad.
Al respecto, el responsable llevará a cabo las siguientes acciones conforme al artículo 107 del Reglamento de la LFPDPPP (RLFPDPPP):
- establecer el periodo de bloqueo, notificándolo en la respuesta que haga a la solicitud del titular
- realizar operativamente el bloqueo de los datos y acompañarlo de las medidas de seguridad que permitan su conservación y eviten su explotación
- suprimir los datos de modo que, una vez transcurrido el plazo, la información eliminada no pueda ser recuperada de ninguna manera
Oposición
Este derecho otorga al titular la facultad de solicitar a quien esté realizando el tratamiento de sus datos personales que se abstenga de hacerlo en determinadas situaciones, es decir, puede escoger en qué circunstancias no quiere que se utilice su información personal.
En esta hipótesis, el solicitante explicará las razones por las cuales se opone al tratamiento, siempre que sobrevenga alguna de las siguientes causales (art. 109, RLFPDPPP):
- exista causa legítima y su situación específica así lo advirtiera, lo cual debe justificar que aun siendo lícito el tratamiento, el mismo debe cesar para evitar un perjuicio al titular
- requiera manifestar su oposición para el tratamiento de su información personal a fin de que este no se lleve para fines específicos
Negación de derechos
El responsable podrá rechazar cualquier derecho ARCO, siempre que se actualice alguno de los siguientes supuestos, si (art. 34, LFPDPPP):
- el solicitante no es el titular, o si el representante legal no está debidamente acreditado
- en su base de datos no se localizan los datos personales del solicitante
- se lesionan los derechos de un tercero
- existe un impedimento legal o la resolución de una autoridad competente, que restrinja el ejercicio de cualquier derecho ARCO
- la rectificación, cancelación u oposición hubiese sido previamente realizada
De presentarse una negativa, el responsable informará al titular el motivo de su decisión (la cual deberá ser justificada) aunado al derecho que le asiste de iniciar el procedimiento de protección de derechos ante el Instituto Federal de Acceso a la Información y Protección de Datos (IFAI) –arts. 34 y 35, LFPDPPP–. Ambas cuestiones serán comunicadas al titular por el mismo medio por el cual hubiese realizado la solicitud (art. 100, RLFPDPPP).
Procedimiento de protección
Este instrumento legal está previsto con la finalidad de proteger los derechos ARCO de los titulares de datos personales. Será iniciado a instancia del titular o de su representante legal y se ejercerá ante el IFAI dentro de los 15 días siguientes después de comunicada la respuesta del responsable.
Inicio
Se podrá presentar por medio de escrito libre o con los formatos proporcionados por el IFAI y procederá, además del supuesto de la negativa, cuando el responsable: (arts. 45, LFPDPPP y 115, RLFPDPPP):
- no entregue los datos personales solicitados, o lo haga en un formato incomprensible
- se niegue a efectuar las modificaciones o correcciones, o a cancelar los datos personales
- persista en el tratamiento a pesar de haber procedido la solicitud de oposición, o se rehuse a atenderla
- por cualquier otra causa que a causa juicio de IFAI sea oportuno
También será procedente si el titular no está conforme con la información entregada, o esta resulte incomprensible o incompleta.
El procedimiento inicia con una petición, y sin importar el medio que se seleccione para su presentación, contendrá (art. 46, LFPDPPP):
- el nombre del titular o de su representante legal, así como del responsable ante el cual se presentó la solicitud de los derechos ARCO
- domicilio para oír y recibir notificaciones
- la fecha en que se le notificó la respuesta del responsable (salvo que el IFAI aplique la suplencia en la deficiencia de la queja conforma al artículo 50 de la LFPDPPP)
- los actos que motivan su petición de protección (expresará con claridad el contenido de la reclamación y los preceptos de la ley en comento que considere vulnerados)
- los demás elementos que considere pertinentes hacer del conocimiento del IFAI
Adicionalmente, se anexará (art. 116, RLFPDPPP): - la copia de la solicitud presentada al responsable, y de existir, la respuesta otorgada
- si impugna la falta de respuesta, acompañará una copia del acuse de recibo
- documento que acredite la identidad del titular o de su representante legal
- las pruebas que el titular crea idóneas para sostener su acción
Cabe resaltar que el Instituto tendrá la facultad de suplir la queja deficiente en los casos que así lo requiera, siempre que no se altere el contenido original de la solicitud, ni se modifiquen los hechos o peticiones expresados en la misma (art. 50, LFPDPPP).
Admisión
Una vez que el IFAI hubiese recibido el documento con los requisitos descritos, acordará la admisión de la solicitud de derechos en un plazo no mayor a 10 días a partir de su recepción.
Acordada la admisión, dará traslado al responsable dentro de los 10 días siguientes, y le otorgará un plazo de 15 días para que emita una respuesta, presente las pruebas que considere necesarias y manifieste por escrito lo que a su derecho convenga (art. 117, RLFPDPPP).
Pruebas
Se podrán ofrecer cualquiera de los siguientes medios de prueba (art. 119, RLFPDPPP):
- documentales públicas y privadas
- inspección, siempre que se realice por la autoridad competente
- presuncional, en su doble aspecto, legal y humana
- pericial
- testimonial
- fotografías, páginas electrónicas, escritos y demás elementos generados por la ciencia y tecnología
Conciliación
A la par de la admisión de la solicitud, el IFAI buscará la conciliación entre las partes, de acuerdo con este procedimiento (arts. 54, LFPDPPP y 120, RLFPDPPP):
- dentro del acuerdo de admisión notificado a las partes, les requerirá su voluntad de conciliar en un plazo no mayor a 10 días
- aceptada la posibilidad de conciliar por las partes, señalará el lugar o medio, día y hora para la celebración de la audiencia de conciliación para avenir los intereses entre el titular y el responsable. Esta se llevará a cabo dentro de los 20 días siguientes
- en el desarrollo de la audiencia se procurará avenir los intereses entre las partes, quienes podrán presentar los elementos de convicción requeridos para lograr la conciliación. Terminada la audiencia se levantará el acta respectiva
- de lograr satisfacer los intereses del titular y el responsable, se elaborará un acuerdo por escrito que podrá señalar un plazo para su cumplimiento. Tendrá efectos vinculantes
- si no existe avenencia de las partes, el IFAI retomará el procedimiento
Audiencia de pruebas
La audiencia se celebrará en el lugar o medio, fecha y hora determinados por el Instituto; en esta se desahogarán las pruebas que hubiesen sido admitidas y que por su naturaleza así lo requieran. Al final de la audiencia se levantará el acta correspondiente (arts. 45, LFPDPPP y 121, RLFPDPPP).
Concluido el desahogo de las pruebas, se dictará un acuerdo que así lo señale, y se pondrán las actuaciones a disposición de las partes para que en un plazo de cinco días formulen los alegatos, si así lo desean (art. 122, RLFPDPPP).
Resolución
Transcurrido el lapso otorgado para los alegatos, se cerrará la instrucción, y a partir de ahí el IFAI contará con un plazo máximo de 50 días (podrá ser ampliado por un periodo igual y por una sola vez, siempre que exista causa justificada) para dictar la resolución del procedimiento (arts. 47, LFPDPPP y 122, RLFPDPPP).
Las resoluciones que dicte el IFAI podrán (art. 51, LFPDPPP):
- sobreseer o desechar la solicitud de protección cuando esta resulte improcedente
- confirmar, revocar o modificar la respuesta del responsable
En el supuesto de que la resolución resultase favorable al titular de los datos, se requerirá al responsable para que en un plazo de 10 días posteriores a la notificación, o de acuerdo con el fijado por el propio fallo (si existiese causa justificada), haga efectivo el ejercicio de los derechos ARCO objeto de protección. Este cumplimiento deberá ser informado al IFAI por escrito dentro de los 10 días siguientes (art. 48, LFPDPPP).
Contra la resolución emitida en este procedimiento procederá el juicio de nulidad ante el Tribunal Federal de Justicia Fiscal y Administrativa (art. 56, LFPDPPP).
Una vez que hubiese sido desahogado el procedimiento en comento, y si el IFAI con base en este, tiene conocimiento del incumplimiento de alguna disposición de la LFPDPPP, como podría ser el no cumplir con la solicitud del titular para el ejercicio de alguno de los derechos ARCO o atenderla indebidamente con dolo o negligencia, iniciará con el instrumento previsto para la imposición de la sanción correspondiente.
Para el primer supuesto, la sanción consiste en un apercibimiento, pero para el segundo, la multa oscila entre los $6,729.00 y los $10’766,400.00.
Conclusiones
El derecho a la protección de datos y a la autodeterminación informativa (uso y destino) es un derecho humano resguardado por la Constitución, pues constituye parte de la identidad de cualquier persona.
En ese entendido, no basta con la salvaguarda constitucional ni con las herramientas puestas a disposición por parte del IFAI como órgano gubernamental encargado de la protección de datos personales, sino que es menester la participación en lo individual de cada ciudadano.
Así, cada gobernado es responsable de vigilar la salvaguarda de sus datos personales, incluyendo el tratamiento de estos se haga bajo los principios de licitud, consentimiento, información, calidad, finalidad y responsabilidad, y de ser necesario, del ejercicio de los procedimientos previstos para la reivindicación cuando el tratamiento sea inadecuado.
