A pesar de que la protección de datos personales se incluye en el texto Constitucional (art. 16), además de que este tema se regula en la legislación federal (Ley Federal para la Protección de Datos Personales en Posesión de los Particulares, LFPDPPP), los ciudadanos siguen sin comprender su alcance.
Esta salvaguarda implica que toda persona tiene derecho a la protección de su información personal siempre que esté en poder de algún particular, obligando a que dicho tratamiento sea legítimo, controlado e informado, garantizando su privacidad y el derecho a la autodeterminación informativa (art. 1o, LFPDPPP).
Dentro de este tema, tanto las personas como las empresas siguen sin cumplir o desconocen lo que es la protección de datos personales y el aviso de privacidad, poniéndose en riesgo frente a las frecuentes revisiones efectuadas por el Instituto Federal de Acceso a la Información y Protección de Datos (IFAI) y sus consecutivas multas.
Por ello, conviene revisar los aspectos generales de esta ley:
Involucrados
El titular es la persona física a quien refieren los datos personales, aun cuando estos estén en posesión de un tercero. Por su parte, el responsable será el individuo o persona moral de carácter privado que decide sobre el tratamiento.
Aplicación
El cumplimiento de la LFPDPPP es obligatorio para todas las personas físicas o morales de naturaleza particular, que en el desarrollo de sus actividades traten datos personales (art. 2o).
Sin embargo, esta ley no será aplicable siempre que se trate de información relativa a personas (art. 5o, Reglamento de la LFPDPPP):
- morales (aun cuando un criterio del Poder Judicial Federal les otorga ciertos privilegios, como se reseñó en la nota “Privacidad también aplica a persona morales”
- físicas, actuando como comerciantes y profesionistas que en su calidad de físicas, presten sus servicios para alguna empresa o sujeto con actividades empresariales, consistente únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como algunos de los datos laborales, siempre que sea tratada para fines de representación del empleado o contratista
Dato personal
Cualquier información concerniente a una persona física identificada o identificable (si su identidad puede determinarse mediante un dato personal), por ejemplo: nombre, apellidos, dirección, número telefónico, entre otros (art. 3o, LFPDPPP).
Dato personal sensible
Será aquel que afecte la esfera más íntima de su titular, o cuya utilización indebida origine la discriminación o conlleve un grave riesgo para él, por citar ejemplos: el origen racial o étnico, estado de salud, información genética, creencias religiosas o filosóficas, etc.
Tratamiento y consentimiento
El tratamiento implica la obtención, uso, divulgación o almacenamiento de información personal por cualquier medio, mientras que el consentimiento es la manifestación de la voluntad del titular mediante la cual se realiza el tratamiento.
Con esas definiciones es menester resaltar que estas figuras son dos cosas distintas. Al respecto, la LFPDPPP prescribe que todo tratamiento está sujeto al consentimiento de su titular, que se podrá otorgar por dos formas (art. 8o):
- tácito, cuando se ponga a disposición del titular el aviso de privacidad y este no hubiese manifestado oposición alguna
- expreso, si se declara verbalmente, por escrito, por medios electrónicos u otra tecnología, o por signos inequívocos
Ergo, antes de solicitar información personal es menester presentar el mencionado aviso y así cubrir el requisito del consentimiento tácito.
No obstante, si esos datos son sensibles, se deberá obtener el consentimiento expreso y por escrito, con la firma autógrafa, electrónica u otro mecanismo de autentificación (art. 9o, LFPDPPP).
Aviso de privacidad
Es el documento físico, electrónico o de cualquier otro formato creado por el responsable, que es puesto a disposición del titular para informarle qué datos le son recabados y con qué fines (arts. 3o y 15, LFPDPPP).
En su elaboración se incluirá, como mínimo (art. 16, LFDPPP):
- la identidad y domicilio del responsable
- cuál es la finalidad del tratamiento
- las opciones y medios que el responsable ofrezca para limitar el uso o divulgación
- los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición (ARCO)
- de existir, las transferencias de datos
- el procedimiento y medio por el cual el responsable comunicará a los titulares de cambios al aviso
