LFPDPPP: la ley de protección de datos de México

A quién se aplica

A las personas físicas o morales de carácter privado que tratan datos personales (art. 2). Quedan fuera las sociedades de información crediticia, en los supuestos de su ley, y quien trata datos para uso exclusivamente personal, sin fines de divulgación o utilización comercial (art. 1).

Los sujetos obligados del sector público tienen su propia ley general, la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, expedida en el mismo decreto.

El titular es la persona a quien corresponden los datos. El responsable es el particular que los trata.

Los principios

El responsable debe observar los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad (art. 5).

1. art. 6Licitud y lealtadNada de medios engañosos o fraudulentos; se respeta la expectativa razonable de privacidad.
2. art. 10CalidadDatos exactos, completos, correctos y actualizados; cuando dejan de ser necesarios, se suprimen al acabar su plazo de conservación, previo bloqueo si procede.
3. art. 11FinalidadSolo para los fines del aviso de privacidad; para otro fin, hace falta un nuevo consentimiento.
4. art. 12ProporcionalidadSolo los datos necesarios, adecuados y relevantes.
5. art. 13ResponsabilidadVela por que se cumplan los principios y se respete el aviso de privacidad, también por terceros con los que tenga relación jurídica.
6. art. 14InformaciónEl aviso de privacidad informa de las características principales del tratamiento.

El consentimiento

Todo tratamiento está sujeto al consentimiento del titular, salvo las excepciones de la ley (art. 7).

• Por regla general vale el consentimiento tácito, salvo que una norma exija que sea expreso (art. 7).
• Los datos financieros o patrimoniales requieren consentimiento expreso, salvo las excepciones de los arts. 9 y 36.
• Los datos sensibles requieren consentimiento expreso y por escrito, con firma autógrafa, firma electrónica u otro mecanismo de autenticación (art. 8).
• El consentimiento se puede revocar en cualquier momento, sin efectos retroactivos (art. 7).

No hace falta consentimiento en los casos del art. 9. Entre ellos, si lo dispone una norma o si los datos están en fuentes de acceso público. También si se necesitan para ejercer un derecho o cumplir obligaciones de una relación jurídica entre el titular y el responsable.

Datos sensibles

Son los que afectan a la esfera más íntima del titular, o cuyo mal uso puede discriminarlo o ponerlo en riesgo grave. Por ejemplo, el origen racial o étnico, la salud, la información genética, las creencias, las opiniones políticas o la preferencia sexual (art. 2).

No se pueden crear bases de datos sensibles sin una finalidad legítima, concreta y acorde con la actividad del responsable (art. 8).

Obligaciones del responsable

• Poner a disposición del titular un aviso de privacidad (arts. 14 a 17).
• Mantener medidas de seguridad administrativas, técnicas y físicas, no menores que las que usa para su propia información (art. 18).
• Informar de inmediato al titular de las vulneraciones de seguridad que afecten de forma significativa a sus derechos patrimoniales o morales (art. 19).
• Establecer controles para que quienes tratan los datos guarden confidencialidad, incluso después de terminar la relación (art. 20).
• Designar una persona o un departamento de datos personales que tramite las solicitudes de los titulares (art. 29).
• Eliminar los datos sobre incumplimientos contractuales a los 72 meses de producirse el incumplimiento (art. 10).

Transferencias

Quien transfiere datos a un tercero distinto del encargado debe comunicarle el aviso de privacidad y sus finalidades, y el tercero asume las mismas obligaciones (art. 35). Algunas transferencias no necesitan consentimiento (art. 36). Por ejemplo, las previstas en una ley o tratado o las necesarias por un contrato en interés del titular. También las que se hacen dentro del mismo grupo de empresas, si opera con los mismos procesos y políticas internas.

Lo que arriesga quien incumple está en multas por protección de datos en México.