¿Qué son los datos personales?

Las leyes los definen como cualquier información concerniente a una persona física identificada o identificable.

Se considera que una persona es identificable cuando su identidad pueda determinarse directa o indirectamente a través de cualquier información como puede ser su nombre, número de identificación, datos de localización o uno o varios elementos de la identidad física, fisiológica, genética, psíquica, patrimonial, económica, cultural o social de la persona.

Los datos personales pueden estar expresados de forma alfabética (letras), numérica (números), alfanumérica (letras y números), gráfica (imágenes), acústica (sonido), etc.; como, por ejemplo: nombres y apellidos, edad, CURP o RFC, rostro y voz, entre otros.

Categorías de datos personales. De manera enunciativa, más no limitativa:

• Datos de identificación (nombre, CURP, RFC, nacionalidad, sexo, género, fecha de nacimiento, edad, firma, etc.)
• Datos de contacto (domicilio particular, número telefónico fijo o móvil personal, cuenta de correo electrónico personal, etc.)
• Datos laborales (experiencia laboral, puesto y domicilio, número telefónico y cuenta de correo electrónico del trabajo, entre otros)
• Datos académicos (educación, escolaridad o formación académica y número de cédula profesional)
• Datos patrimoniales (número de cuenta bancaria, CLABE interbancaria, historial crediticio, etc.)
• Datos sobre salud física y mental (enfermedades o padecimientos y resultados de pruebas de laboratorio)
• Datos biométricos (rostro, huella digital o dactilar, iris, retina, geometría de la mano y del árbol de las venas del dedo, etc.)
• Datos sensibles (origen étnico o racial, creencia religiosa, opiniones políticas, preferencia sexual, etc.)
• Datos de naturaleza pública (nombre y domicilio, número telefónico y cuenta de correo electrónico oficial o institucional de personas servidoras públicas)

¿Qué es el derecho a la protección de los datos personales?

Es un derecho humano y fundamental de rango constitucional que tienen todas las personas para disponer y controlar sus datos de carácter personal, pudiendo decidir cuáles proporcionan a otras personas, así como conocer quién posee esos datos y para qué, y oponerse a esa posesión o tratamiento; el cual es un derecho autónomo e independiente del derecho de acceso a la información.

¿Quiénes son las personas titulares de los datos personales?

Son las personas físicas a quienes corresponden los datos personales, a ellas pertenecen.

¿Quiénes son los responsables?

En el sector público son los «sujetos obligados» de las leyes de transparencia y acceso a la información (cualquier autoridad, dependencia, entidad, organismo u órgano de los poderes Ejecutivo, Legislativo y Judicial, así como los organismos u órganos autónomos, los fideicomisos y fondos públicos y los partidos políticos), excepto los sindicatos y las personas físicas y morales que reciban y ejerzan recursos públicos o que realicen o ejerzan actos de autoridad, quienes son responsables de conformidad con la normatividad aplicable a los particulares; mientras que en el sector privado son los llamados «sujetos regulados» (personas físicas y morales de carácter privado), excepto las sociedades de información crediticia en determinados supuestos y las personas físicas que lleven a cabo la recolección y almacenamiento de datos personales para uso exclusivamente personal y sin fines de divulgación o utilización comercial.

Los responsables deciden sobre el tratamiento de los datos personales en el ejercicio de sus atribuciones, facultades, competencias y funciones.

Su poder de decisión implica establecer, por ejemplo:

• El tipo de datos personales que requieren.
• Los medios a utilizar en el tratamiento de los datos personales.
• Las transferencias y remisiones de datos personales que, en su caso, efectúen.
• La forma o mecanismos para obtener, almacenar y suprimir los datos personales.

¿Qué es un tratamiento de datos personales?

Es un conjunto de operaciones realizadas con los datos personales para la consecución de ciertos fines que persigue el responsable; concretamente, consiste en ejecutar distintas operaciones durante el ciclo de vida de los datos personales, desde el momento de su obtención, pasando por su explotación o aprovechamiento, hasta su supresión o eliminación.

A manera de referencia enunciativa, no limitativa, un tratamiento se distingue por efectuar cualquier operación o conjunto de operaciones mediante procedimientos manuales o automatizados aplicados a los datos personales, relacionadas a partir de la obtención, uso, registro, organización, conservación, elaboración, utilización, comunicación, difusión, almacenamiento, posesión, acceso, manejo, aprovechamiento, divulgación, transferencia, remisión o disposición de datos personales.

¿Qué son los principios rectores de la protección de datos personales?

Son un pilar fundamental que garantizan a la persona titular de los datos personales ese poder de decisión y control sobre la información que le concierne y que se traducen en obligaciones de hacer o no hacer a cargo del responsable, en cualquier tratamiento que efectúe; los cuales son:

• Calidad: Los datos personales deben ser ciertos, exactos, completos, pertinentes, correctos y actualizados, en relación con la finalidad para la que fueron recabados.
• Consentimiento: Toda manifestación previa, de voluntad libre, específica, informada e inequívoca por la que la persona titular acepta, mediante declaración o acción afirmativa, el tratamiento de sus datos personales.
• Finalidad: El responsable está obligado a determinar las finalidades concretas, lícitas, explícitas y legítimas que motivan cada tratamiento de datos personales que efectúe, las cuales deberán ser acordes con las atribuciones, facultades y funciones que la normatividad aplicable le confiere y también deberán estar previstas en el aviso de privacidad que ponga a disposición de la persona titular de los datos personales.
• Información: El responsable deberá informar a la persona titular de los datos personales sobre la existencia y las características principales del tratamiento al que serán sometidos sus datos personales, a través del aviso de privacidad, a fin de que pueda tomar decisiones informadas al respecto.
• Lealtad: El tratamiento de los datos personales se realizará sin que medie dolo, engaño o medios fraudulentos, En todo momento el responsable debe privilegiar la protección de los intereses de la persona titular de los mismos y la expectativa razonable de privacidad, así como no vulnerar su confianza.
• Licitud: Todo tratamiento de datos personales efectuado por el responsable debe sujetarse a las atribuciones, facultades y funciones que la normativa aplicable le ha conferido. De conformidad con este principio, los datos personales deberán tratarse con apego y cumplimiento a lo dispuesto por la legislación mexicana y el derecho internacional.
• Proporcionalidad: El responsable tratará sólo aquellos datos personales que resulten necesarios, adecuados y relevantes en relación con las finalidades para las cuales se obtuvieron y que se encuentren previstas en el aviso de privacidad. El responsable tendrá que realizar esfuerzos razonables para que los datos personales tratados sean los mínimos necesarios y limitar el periodo de tratamiento al mínimo indispensable.
• Responsabilidad: El responsable está obligado a implementar los mecanismos que considere convenientes para acreditar el cumplimiento de los principios rectores, deberes y obligaciones establecidas en la Ley, así como rendir cuentas sobre el tratamiento de datos personales en su posesión a la persona titular de los mismos y a las autoridades competentes.

¿Qué son los deberes que rigen la protección de datos personales?

Además de los principios rectores, se reconocen dos deberes que también establecen obligaciones concretas a quienes traten datos personales; los cuales son:

• Confidencialidad: El responsable deberá establecer controles o mecanismos que permitan que todas las personas que intervengan en cualquier fase del tratamiento de los datos personales guarden confidencialidad respecto de éstos, obligación que subsistirá aún después de que dichas personas finalicen su relación con el responsable. En cualquier caso, se deberá garantizar la secrecía y la no difusión de los datos personales sometidos a tratamiento.

Es importante considerar que este deber no debe confundirse con el secreto profesional al que están sometidas determinadas personas en función de la profesión que ejercen, ya que el deber de confidencialidad es genérico y alcanza a cualquier persona que intervenga en el tratamiento de los datos personales.

• Seguridad: El responsable deberá establecer y mantener las medidas de seguridad de carácter administrativo, físico y técnico para la protección de los datos personales, que permitan protegerlos contra daño, pérdida, alteración, destrucción o su uso, acceso o tratamiento no autorizado, así como garantizar su confidencialidad, integridad y disponibilidad.