Ley Federal de Protección de Datos Personales en Posesión de los 

ParticularesMayo de 2011

Carlos Chalico LI, CISA, CISSP, CISM, CGEIT, CRISCSocio de Asesoría en TIMéxico y Centroamérica

Ernst & Young

• ¿Qué es privacidad?

• Reglas en el Mundo

• En México

• Recorrido por la LFPDPPP*

• ¿Qué hacer?

• Conclusiones

Agenda

* Ley Federal de Protección de Datos Personales en Posesión de los Particulares

• En términos generalesprivacidad es la habilidad de controlar cómo un individuo es identificado, contactado y localizado.

• Por décadas, los principiossobre privacidad hanevolucionado presentandoalgunos temas en común a pesar de relacionarse con estructuras legales y sociales diferentesalrededor del mundo.

• “La Privacidad agrupa los derechos y obligaciones de los individuos y lasorganizaciones con respectoa la colección, uso, revelación y retención de información para identificarpersonas (personally identifiable information / PII)”

– Fuente: AICPA

¿Qué es Privacidad?

• El adagio:– “Puedes tener buena

seguridad sin tener buenaprivacidad, pero no puedestener buena privacidad sin tener buena seguridad.”

• ¿Qué significa?:

– La seguridad es un componente necesariode la privacidad

– Privacidad se refiere a:• Proteger datos personales

• Gobernar su tratamiento– Correcta y legalmente

– De acuerdo a lo mostradoen los avisos de privacidad

– Dentro de los límites del consentimiento del individuo (siempre queesto aplique)

Proteger los datos

¿Qué es Privacidad?

Privacidad

Gobernar su tratamiento

LEYENDAS

Ley Nacional de privacidad o protección de datos vigente

Otras leyes significativas vigentes

Leyes de Privacidad o Protección de Datos emergentes

Fuente: Ernst & Young

Reglas en el Mundo

Por venir:

• Reglamento de la LFPDPPP y criterios de la autoridad• Ejecución de acciones de verificación de cumplimiento de la LFPDPPP

IFAI2003Art.16 Const.

Leyes locales

2009LFPDPPPe IFAI (PD)

2010

En México

Ley Federal de Protección de Datos Personales en Posesión de Particulares

Aprobado por diputados:15 de abril, 2010

Aprobado por senadores: 27 de abril, 2010

Publicado en DOF:  5 de julio, 2010

Vigente a partir de: 6 de julio, 2010

En México

► El objeto de la LFPDPPP:

► “… la protección de los datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado, a efecto de garantizar la privacidad y el derecho a la autodeterminacióninformativa de las personas”

► ¿Quién debe acatar esta Ley? 

► Los particulares (individuos, empresas, instituciones) que posean datospersonales

► ¿Quiénes son los Actores?

► El Titular

► El Responsable

► El Encargado

► Los otros (terceros, cuartos)

► ¿Qué son datos personales?

► Cualquier información concerniente a una persona física identificada o identificable  (personales, patrimoniales, personales sensibles).

.

LFPDPPP

Tratamiento de aquellos datos personales que afecten a la esfera más íntimade su titular, o cuya utilización indebida pueda dar origen a discriminación oconlleve riesgo grave para éste, pudiendo ser:

► datos financieros o patrimoniales*

► origen racial o étnico

► estado de salud presente o futuro

► información genética

► creencias religiosas, filosóficas y morales

► afiliación sindical

* Los datos financieros o patrimoniales no son considerados por la LFPDPPP como sensibles pero sí requieren consideraciones de cuidadodiferentes o más robustas que las que se precisan para los datos personales.

Datos de mayor cuidado

Tratamiento de Datos Personales

Consentimiento: Todo tratamiento de datos personales estará sujeto al consentimiento de su titular (datos personales ‐ tácito, datos patrimoniales ‐ expreso, datos personales sensibles ‐ expreso y por escrito)

Aviso de Privacidad: mediante el cual se informe los datos que se recaban y el fin  

Confidencialidad: cualquier involucrado en el tratamiento de datos personales deberá guardar su confidencialidad

Persona o Departamento de Privacidad: se deberá designar para dar trámite a las solicitudes de protección de derechos de los titulares y atender posibles ejercicios de verificación de cumplimiento.

Tratamiento: Obtención,Uso (acceso, manejo, aprovechamiento, transferencia o disposición), Divulgación, Almacenamiento

Nuevas Obligaciones

► Pincipios: licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad

► Los datos personales deben ser pertinentes, correctos y actualizados para los fines para los cuales fueron recabados

► Cuando los datos hayan dejado de ser necesarios para el fin previsto  por el aviso de privacidad y las disposiciones legales aplicables, deberán ser cancelados

► Habrán de tomarse las medidas necesarias y suficientes para garantizar que el aviso de privacidad dado a conocer al titular, sea respetado en todo momento por el poseedor de los datos o por terceros  (cuartos…)

► Se deberán establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado.

Nuevas Obligaciones

El titular podrá solicitar al responsable en cualquier momento el: 

Acceso

Rectificación

Cancelación

Oposición A los datos personales objeto de tratamiento y/o al tratamiento mismo. 

Derechos ARCO

► Los riesgos asociados a una falla de protección de datos personales puedencausar daños financieros y legales, pero irremediablemente afectarán la marca y reputación.

► Considerar la notificación de vulnerabilidades.

– Robo de identidad (usuarios, clientes, proveedores, socios, empleados)

– Daño a marca y reputación

– Litigios

– Sanciones y penas corporales

– Pérdidas financieras

– Pérdida de valor de mercado

– Pérdida de confianza del consumidor o socio de negocio

– Convertirse en el “ejemplo” de lo que puede salirmal

Consecuencias

Sanciones: 100 hasta 320,000 DSMVDF, con doble imposición para los casos de reincidencia. 

* Desde $5,000 hasta $73’000,000 *

Penas: de 3 meses a 5 años de prisión.

Estas penas y sanciones se duplicarán en aquellos casos de infracciones relativas a datos personales sensibles.

Sanciones y Penas

Para que los responsables que traten datos designen a la persona o departamento de datos personales

1 año(Julio de 2011)

Para que los responsables que traten datos personales expidan los avisos de privacidad a los titulares

1 año(Julio de 2011)

Para que el Ejecutivo emita el Reglamento a la Ley

1 año(Julio de 2011)

Para que los titulares puedan ejercer sus derechos ARCO

18 meses(Enero de 2012)

Calendario de Aplicación

¿Qué Hacer?

Conocer…

Conocer…

Implantación y Mantenimiento

Definición y Diseño Avisos de

privacidad

ControlesTecnológicos

Normatividad

Departamento de datos personales

Adecuación de procesos de negocio

Preparación del Entorno Monitoreo

Convenios y contratos

Gobierno de Datos

Adecuación de procesos de TI

Avisos de privacidad

Departamenteode datospersonales

Convenios y contratos

ControlesTecnológicos

Normatividad

Adecuación de procesos de negocio

Gobierno de Datos

Adecuación de procesos de TI

Fuente: Ernst & Young, Derechos Reservados

Etapas

Nuestro Enfoque - Diagnóstico

Licitud

TratamientoLegítimo en

Procesos

Consentimiento

Información

Calidad

Lealtad

Finalidad

Proporcionalidad

Responsabilidad

AspectosLegales

Obtención

Uso

Divulgación

Almacenamiento

Contratos

Avisos de privacidad

DatosP

rinci

pios

Fuente: Ernst & Young, Derechos Reservados

Preparando el Entorno

Procesos de Negocio►Area de Recursos Humanos►Area de Ventas►Area de Compras►Area de Atención a Clientes►Area de Finanzas►Area de Mercadotecnia►Area Legal►Area de Operaciones

Procesos de TI►Proceso de adquisición, desarrollo y mantenimiento desistemas►Proceso de respados►Proceso de configuración desistemas y bases de dados►Proceso de control de acceso►Matriz de perfiles y privilegios►Seguridad física

Seguridad de datos

Técnicas

Adm

inistratiivas

Físicas

Medidas de Seguridad

Obtención Uso Divulgación Almacenamiento

Fuente: Ernst & Young, Derechos Reservados

Recuerde

Puntos Clave

►Cumplimiento razonado

►Consentimiento – Avisos de Privacidad

►Alcance – Todos los procesos que tratan datos personales

►Manejo de Incidentes – Notificaciones de vulneración

►Empatía con iniciativas de Gobierno, Riesgo y Cumplimiento

►Relaciones con terceros

►Manejo de dispositivos móviles

►Privacidad por diseño

►Redes Sociales

►Reporte a terceros

►Manejo integral de riesgos.

Conclusiones►Como ciudadanos, debemos comprender con claridad los derechos a los que tenemos acceso a través de la LFPDPPP

►En la medida en la que comprendamos esos derechos, comprenderemos la responsabilidad que tenemos al tratar datos personales de otros individuos

►La LFPDPPP es una regulación de mínimos

►Es importante comenzar a trabajar de inmediato, a fin de estar en posibilidades de atender oportunamente los compromisos requeridos por esta legislación

►Re‐visitar los procesos en los que se tratan datos personales, resulta una tarea clave en este ejercicio y apoya la efectividad de otra tarea importante que es la concientización

►No actuar hoy puede traer consecuencias relevantes.

Ley Federal de Protección de Datos Personales en Posesión de los 

ParticularesCarlos Chalico, LI, CISA, CISSP, CISM, CGEIT, CRISC

Socio de Asesoría en TI

México y Centroamérica

Ernst & Young

Tel: +52‐55‐11016414

Tel (2): +52‐55‐52831326

carlos.chalico@mx.ey.com

http://www.linkedin.com/in/carloschalico

Twitter: @carloschalico