La Protección de Datos de México en el Sector Privado

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, también conocida como la Ley, es una ley de protección de datos que fue aprobada en México en 2010. La Ley se promulgó de acuerdo con la tendencia internacional de garantizar los derechos de protección de datos de los ciudadanos, tal y como se desprende de leyes como el Reglamento General de Protección de Datos de la UE o GDPR y el Consumer Data Right de Australia o CDR. Para ello, la Ley establece diversas obligaciones que deben cumplir los responsables del tratamiento a la hora de recoger, tratar o divulgar los datos personales de los interesados, así como los derechos que la ley reconoce a dichos interesados.

¿Cuál es el ámbito de aplicación de la Ley?

En cuanto al ámbito de aplicación personal de la ley, “todas las personas físicas y jurídicas del sector privado que intervengan en el tratamiento de datos personales se rigen por la Ley”. En cuanto al ámbito territorial de la ley, la Ley se aplica a todos los datos personales que:

• Se lleven a cabo dentro de un establecimiento de un responsable de datos en México.
• Se lleva a cabo por un procesador de datos, independientemente de la ubicación física, en nombre de un controlador de datos establecido en México.
• Se lleve a cabo cuando el responsable del tratamiento no esté establecido en México, pero esté sujeto a la legislación mexicana en virtud de un acuerdo contractual o de otras leyes internacionales.
• Se lleve a cabo por un responsable del tratamiento que no esté establecido en México, pero que utilice medios físicamente ubicados en México, a menos que dichos medios se utilicen estrictamente para fines de tránsito.

¿Cuáles son los requisitos que la Ley impone a los responsables y encargados del tratamiento?

Conforme a la Ley, los responsables y encargados del tratamiento son responsables de cumplir una serie de obligaciones relativas a la protección de los datos personales de los ciudadanos mexicanos. Estas obligaciones incluyen:

• Responsables del tratamiento- Según la Ley, los responsables del tratamiento deben adoptar y mantener medidas de seguridad administrativas, técnicas y físicas con el fin de proteger los datos personales contra la pérdida, el daño, la destrucción y la alteración, así como contra el acceso, el uso o el tratamiento no autorizados. Los responsables del tratamiento también son responsables de garantizar que las medidas de seguridad que adopten en relación con los datos personales sean al menos equivalentes a las medidas que dichos responsables utilizan para proteger sus propios datos personales. Al adoptar estas medidas de seguridad, los responsables del tratamiento también deben tener en cuenta los posibles riesgos que puedan surgir, así como la naturaleza de los datos que recogen, los avances tecnológicos aplicables y las posibles consecuencias que los interesados puedan experimentar como resultado de una violación de los datos.
• Encargados del tratamiento- De acuerdo con la Ley, los encargados del tratamiento están obligados a tratar los datos personales de acuerdo con las instrucciones que les sean dadas por los responsables del tratamiento, a abstenerse de tratar datos personales con fines distintos a los señalados por los responsables del tratamiento, a desarrollar y aplicar medidas de seguridad para salvaguardar los datos personales, a mantener la confidencialidad de todos los datos personales que sean objeto de tratamiento, suprimir los datos personales a petición de un responsable del tratamiento, o cuando se haya puesto fin a una relación con un responsable del tratamiento, y abstenerse de transferir datos personales a terceros a menos que el responsable del tratamiento aplicable haya determinado lo contrario, la comunicación se realice sobre la base de un subcontrato, o se deba a otro requisito de una autoridad competente.

Además de estas responsabilidades, los responsables del tratamiento también están obligados a designar a una persona o departamento específico con el fin de supervisar la protección de los datos de los interesados, también conocido como delegado de protección de datos. Por otra parte, los responsables del tratamiento son responsables de notificar a los interesados la violación de sus datos en caso de que se produzca. Estas notificaciones de violación de datos deben detallar la naturaleza del incidente que ha tenido lugar, los datos personales que se han visto comprometidos, cualquier recomendación relativa a las medidas o acciones que los interesados afectados pueden tomar para proteger sus intereses, las medidas correctoras que ha tomado el responsable del tratamiento, y los medios por los que los interesados afectados pueden encontrar más información relativa al incidente en cuestión.

¿Cuáles son los derechos de los responsables del tratamiento en virtud de la Ley?

En comparación con muchas otras leyes de protección de datos de todo el mundo, la Ley no ofrece tantos derechos a los interesados. Para ilustrar esto, muchas leyes internacionales de privacidad de datos que se han aprobado recientemente otorgan a los interesados el derecho a la portabilidad de los datos, así como el derecho a no ser objeto de decisiones automáticas. Aunque la Ley no ofrece estos derechos, los interesados tienen los siguientes derechos en lo que respecta a la recogida, tratamiento y divulgación de sus datos personales:

• Derecho a ser informado– Los responsables del tratamiento de datos deben proporcionar a los interesados una notificación de privacidad por escrito antes de recabar sus datos personales. Esta notificación escrita debe detallar la identidad y dirección del responsable del tratamiento de datos aplicable, los fines del tratamiento de datos, así como las opciones y medios ofrecidos por un responsable del tratamiento de datos determinado en relación con la capacidad de un interesado para limitar la divulgación de sus datos personales, los medios por los que los interesados pueden ejercer su derecho de acceso, rectificación, cancelación y oposición, los medios por los que los interesados pueden ejercer su derecho a revocar su consentimiento para el tratamiento de datos, cualquier transferencia de datos personales que un responsable del tratamiento pretenda realizar, y el procedimiento y los medios por los que un responsable del tratamiento notificará a los interesados cualquier cambio en su aviso de privacidad.
• Derecho de acceso: los interesados tienen derecho a solicitar a los responsables del tratamiento el acceso a sus datos personales.
• Derecho de rectificación: los interesados tienen derecho a solicitar que se rectifiquen sus datos personales si se comprueba que son inexactos o no están actualizados.
• Derecho de supresión: los interesados tienen derecho a solicitar al responsable del tratamiento que suprima sus datos personales una vez cumplidos los fines para los que fueron tratados.
• Derecho de oposición o exclusión voluntaria: los interesados tienen derecho a oponerse al tratamiento de sus datos personales, siempre que lo soliciten por motivos legítimos.

En cuanto a las sanciones que pueden imponerse a los responsables del tratamiento que incumplan la Ley, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) es el encargado de velar por su cumplimiento. De acuerdo con la Ley, los responsables del tratamiento que incumplan la norma pueden ser sancionados con penas de prisión, multa de hasta 32 millones de pesos (499.738 euros) y el doble de la sanción para los responsables que continúen incumpliendo la Ley.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México es la ley de protección de datos más importante del país en lo que se refiere a la protección de datos en el sector privado. En conjunto con la Ley General de Protección de Datos Personales en Posesión de los Sujetos Obligados o Ley del Sector Público, los titulares de datos en México pueden estar seguros de que sus datos personales y su privacidad están protegidos en todo momento, tanto en el sector privado como en el público. De este modo, México se une a los numerosos países de todo el mundo que han aprobado una legislación actualizada en materia de privacidad en la última década.