3.

1 Principios de la Protección de Conforme a la Guía práctica para la atención de personales, salvo las excepciones previstas
Datos Personales las solicitudes de Ejercicio de los Derechos en el artículo 10 de la Ley. Cuando se
ARCO del Instituto Nacional de Transparencia,
1
recaben datos personales sensibles el
Los principios y los deberes en materia de Acceso a la Información y Protección de Datos consentimiento del titular deberá ser
protección de datos personales legitiman el Personales (en adelante, INAI), las fases del expreso y por escrito. En el caso de datos
tratamiento de los datos personales y deben tratamiento durante las que el responsable del personales de carácter patrimonial o
asegurarse a lo largo de su ciclo de vida, en tratamiento tiene que cumplir con estos financiero, el consentimiento del titular
todas y cada una de las fases del tratamiento de principios y deberes son las siguientes: deberá ser expreso únicamente. Fuera de
los datos personales, es decir, desde que se “Fase 1. Al momento de recabar los datos estos dos casos, como regla general es
obtienen o recaban, ya sea del propio interesado personales, el responsable está obligado a: válido el consentimiento tácito (principio
o no, hasta que finalmente son destruidos, de consentimiento) siempre y cuando se
eliminados o borrados. 1. Dar un uso a los datos personales ponga a disposición de los individuos
Estos principios y deberes son los siguientes: respetando la ley, desde el momento de su titulares de los datos, el aviso de privacidad,
1. Principios: obtención (principio de licitud). en el que se indique lo que se hará con su
a. Licitud 2. No utilizar medios engañosos o fraudulentos información.
b. Consentimiento para obtener los datos personales (principio 5. Evitar la creación de bases de datos de
c. Información de lealtad). carácter sensible, salvo que se justifique
d. Calidad 3. Poner a disposición el aviso de privacidad, plenamente la necesidad del tratamiento
e. Finalidad de tal manera que el titular pueda conocer para la consecución de finalidades legítimas
f. Lealtad de qué forma serán tratados sus datos y concretas relacionadas con las actividades
g. Proporcionalidad personales y cómo podrá ejercer sus estatutarias o comerciales que persigue el
h. Responsabilidad derechos ARCO (principio de información). responsable.
2. Deberes: 4. Obtener el consentimiento o autorización 6. Recabar sólo aquellos datos personales que
a. Confidencialidad del titular para el tratamiento de sus datos sean necesarios para las finalidades para las
b. Seguridad que se obtienen.
1
Disponible en
http://inicio.inai.org.mx/Publicaciones/02GuiaAtencio
nSolicitudesARCO.pdf
Fase 2. Durante el manejo o utilización de 5. Mantener los datos personales 11. Rendir cuentas al titular en caso de
los datos personales, el responsable está actualizados y correctos (principio de algún incumplimiento con relación a la
obligado a: calidad). protección de sus datos personales
6. Limitar el periodo de conservación de la (principio de responsabilidad).
1. Utilizar los datos personales respetando información personal tratada al mínimo 12. Comunicar los datos personales a
la Ley (principio de licitud). necesario (principio de calidad). terceros nacionales o extranjeros
2. Respetar la expectativa razonable de 7. Mantener la confidencialidad de los únicamente con la autorización del
datos personales tratados (deber de titular, salvo las excepciones previstas
privacidad del titular, es decir, la
confidencialidad). en la Ley, y hacer del conocimiento de
confianza que depositó este último en el
8. Implementar medidas de seguridad de los receptores de los datos personales
responsable, respecto de los datos
carácter administrativo, físico y técnico el aviso de privacidad y las finalidades a
personales que serán tratados que garanticen la confidencialidad e las que el titular sujetó el tratamiento
conforme a lo que acordaron y en los integridad de los datos personales de su información personal.
términos establecidos por la Ley (deber de seguridad).
9. Informar al titular, sin demora alguna, Fase 3. Una vez agotadas las finalidades que
(principio de lealtad).
sobre las vulneraciones de seguridad justificaron el tratamiento de los datos
3. Limitar el tratamiento de la información ocurridas en cualquier fase del personales, el responsable debe:
personal al cumplimiento de las tratamiento que afecten de forma
finalidades previamente consentidas significativa los derechos patrimoniales 1. Suprimir los datos personales cuando
por el titular (principio de finalidad). o morales de éste, en cuanto se hayan concluido las finalidades que
4. Usar los datos personales que resulten confirme la vulneración sucedida (deber dieron origen al tratamiento, previo
estrictamente necesarios para cumplir de seguridad). bloqueo (principio de calidad).”
con las finalidades para las cuales 10. Adoptar las medidas necesarias para
fueron recabados (principio de cumplir con las obligaciones Un ejemplo concreto de cómo se han
proporcionalidad). establecidas en la Ley (principio de incorporado estos principios a la normativa
responsabilidad). nacional sería el caso de México, de manera que
a continuación se centra la atención en la
misma, sin perjuicio de las correspondientes o Guía El ABC del Aviso de Iberoamericana de la Red Iberoamericana
referencias a otros países iberoamericanos o, en Privacidad . 3
de Protección de Datos7.
general, a Iberoamérica.
o Guía para instrumentar medidas • Dictamen con proyecto de Decreto por el
En este sentido, hay varios instrumentos tanto compensatorias4. que se expide la Ley Federal de Protección
nacionales como internacionales relevantes a de Datos Personales en Posesión de los
los que se puede, y en su caso debe, atender • Guía para la implementación del Principio Particulares (citado como Dictamen con
para estudiar los principios y deberes en materia de Responsabilidad Demostrada proyecto de Decreto por el que se expide la
de protección de datos personales. (Accountability) de la Delegatura LFPDPPP)8.
Entre los principales documentos e colombiana para la protección de datos • Estándares Internacionales sobre
instrumentos, tanto nacionales como personales5. Protección de Datos Personales y Privacidad
internacionales, a los que se hace referencia, se • Informe sobre Privacidad y Protección de (Resolución de Madrid)9.
encuentran: Datos Personales, Comité Jurídico • Informe sobre la norma ISO/IEC Nº 27.018,
Interamericano (CJI) de la Organización de del 1 de agosto de 2014, perteneciente a la
• Guías del Instituto Nacional de los Estados Americanos (OEA), de 26 de familia de la Serie 27.000 relativas a la
Transparencia, Acceso a la Información y marzo de 20156. seguridad de la información, Unidad
Protección de Datos Personales (INAI): • Directrices para la armonización de la
o Guía para cumplir con los principios protección de datos en la Comunidad
y deberes de la Ley Federal de
Protección de Datos Personales en
7
Disponible en
3
Disponible en http://www.redipd.es/actividades/seminarios_2007/c
Posesión de los Particulares (en http://abcavisosprivacidad.ifai.org.mx/#seccion1_02P ommon/directrices_armonizacion_iberoamerica_sem
adelante, Guía del INAI para cumplir 4
Disponible en inario_2007.pdf
http://inicio.inai.org.mx/DocumentosdeInteres/Guia_ 8
Disponible en
con los principios y deberes de la
para_instrumentar_medidas_compensatorias.pdf http://www3.diputados.gob.mx/camara/content/dow
LFPDPPP)2.. 5
Disponible en nload/231031/621446/file/Version_final_ley_proteccio
http://www.sic.gov.co/drupal/recursos_user/docume n_datos_personales.pdf
ntos/noticias/Guia_Accountability.pdf 9
Disponibles en
2
Disponible en: 6
Disponible en https://secure.edps.europa.eu/EDPSWEB/webdav/site
http://inicio.inai.org.mx/DocumentosdeInteres/Guia_ http://www.oas.org/es/sla/ddi/docs/CJI-doc_474- /mySite/shared/Documents/Cooperation/Conference
obligaciones_lfpdppp_julio2014.pdf 15_rev2.pdf _int/09-11-05_Madrid_Int_standards_ES.pdf
 Reguladora y de Control de Datos
Personales de Uruguay . 10
Por tanto, se recomienda una lectura analítica
del presente documento, consultando y leyendo,
en su caso, los documentos citados en la
bibliografía de este módulo así como otras
lecturas que puedan ser de interés.
3.2 Principio de la licitud
3.2.1 Concepto
La licitud, como principio de la protección de
datos, significa que el tratamiento de los datos
personales tenga que hacerse, siempre, de
forma lícita y legítima o leal, con apego a la
normativa aplicable y conforme lo acordado
entre el responsable del tratamiento y el titular
de los datos personales, bajo los términos
establecidos, de manera que se cumpla con la
expectativa razonable de privacidad11.
10
Disponible en
http://datospersonales.gub.uy/wps/wcm/connect/urc
dp/1b7dd9bb-0544-4a42-a272-
7b7928976001/Informe+ISO+%281%29.pdf?MOD=AJP
ERES&CONVERT_TO=url&CACHEID=1b7dd9bb-0544-
4a42-a272-7b7928976001
11
En este sentido, la “justicia” del tratamiento sería
una cuestión adicional, ya que como indica el CJI de la
En relación con este principio, las Directrices
para la armonización de la protección de datos
en la Comunidad Iberoamericana, indican que:
“los datos sólo podrán ser recabados y
tratados de buena fe, con estricto respeto
por la Ley y los derechos de las personas y de
conformidad a lo previsto en las presentes
directrices.” 12
Se trata de un principio que tiene que darse en
todo tratamiento de datos personales, ya que de
no ser así dicho tratamiento sería ilícito. En caso
OEA en relación con este concepto “ofrezcan opciones
apropiadas a las personas con respecto a la forma y el
momento en que vayan a proporcionar datos
personales a controladores de datos en los casos en
que no sea razonable prever que puedan recopilarse en
vista de la relación de las personas con el recopilador o
procesador de datos y del aviso o los avisos que hayan
recibido en el momento en que se recopilaron sus
datos. Las opciones que se ofrezcan a las personas no
deberían interferir en las actividades y en la obligación
de los controladores de datos de promover la seguridad
externa e interna y el cumplimiento de la normativa ni
impedir que empleen prácticas comúnmente aceptadas
para la recopilación y utilización de datos personales.
Al aplicar estos principios, los Estados Miembros
podrían establecer un requisito de “justicia” separado
del tema del engaño.”. Informe ya citado, pág. 7.
12
Ya citadas. Pág. 14.
de que se estén tratando ya los datos
personales, el tratamiento que no cumpla con
dicho principio resulta ser ilícito, de forma que
los datos personales tendrán que cancelarse.
3.2.2 Importancia y utilidad
El Informe del Comité Jurídico Interamericano
(CJI) de la OEA sobre Privacidad y Protección de
Datos se refiere a este principio al enunciar y
explicar el principio relativo a los propósitos
legítimos y justos13. En concreto, indica que
dicho principio “abarca dos elementos: 1) los
“fines legítimos” para los cuales se recopilan
inicialmente los datos personales y 2) los
“medios justos y legales” con los cuales se
efectúa la recopilación inicial.”
Con carácter general es necesario mencionar
que este principio de licitud está también
interrelacionado con otros principios como los
de finalidad e información, ya que será necesario
proporcionar información que permita al titular
de los datos personales conocer claramente
para qué serán tratados sus datos personales,
debiendo obviamente ser una finalidad lícita.
13
Ya citado. Págs. 5 a 7.
 Es así que en cuanto al primer elemento, el
relativo a que los fines sean legítimos, el
referido informe del CJI de la OEA indica que este
requisito o condición de legalidad para el
tratamiento de los datos personales “es una
norma fundamental, profundamente arraigada
en valores democráticos básicos y en el estado
de derecho. En principio, la recopilación de
datos personales debe ser limitada y realizarse
con el conocimiento o el consentimiento de la
persona.”
También que “[e]l requisito de legalidad
abarca el concepto de legitimidad y excluye la
recopilación arbitraria y caprichosa de datos
personales. Implica transparencia y una
estructura jurídica a la cual pueda tener acceso
la persona cuyos datos estén recopilándose.”
Y llama la atención sobre aquellos casos en los
que el tratamiento de los datos personales no
esté previsto en una norma legal o regulación
que la prevea, sino que dependa, por ejemplo,
del tratamiento que el responsable vaya a
realizar para, por ejemplo, prestar un servicio al
titular de los datos, en cuyo caso “deben indicar
claramente los fines para los cuales se recopilan
los datos, a fin de que la persona pueda
entender cómo se recopilarán, usarán o
divulgarán los datos.” Al respecto, y a modo de
ejemplo, el citado informe hace referencia al
caso en el que “se requiere esta información
para garantizar que el reembolso se envíe a la
dirección correcta del reclamante.”
En cuanto al segundo componente, el relativo
a que los medios para el tratamiento de los
datos personales sean justos y legales, el
informe del CJI de la OEA indica, con carácter
general, que “[l]os datos personales se recopilan
por medios justos y legales cuando
recopilación es compatible tanto con los
requisitos jurídicos pertinentes como con las
expectativas razonables de las personas basadas
en su relación con el controlador de datos o con
otra entidad que recopile los datos y en el aviso
o los avisos dados a las personas en el momento
en que se recopilen sus datos.” 14
Y lo anterior significa o implica, en la práctica,
que quede prohibida “la obtención de datos
personales por medio de fraude, engaño o con
pretextos falsos”. El informe también cita, a
continuación, un ejemplo, en el que el
mencionado principio “[s]e infringiría, por
ejemplo, si una organización se hiciera pasar por
otra en llamadas de tele marketing, avisos
14
Informe ya citado. Pág. 7.
publicitarios impresos o mensajes por correo
electrónico a fin de engañar a los consumidores
e inducirles a dar el número de su tarjeta de
crédito, información sobre cuentas bancarias u
otros tipos de información personal delicada.”15
A este principio se refieren también los
Internacionales sobre Protección de Datos
Personales y Privacidad, ya mencionados, en su
artículo 6, bajo el título principio de lealtad y
legalidad, en los siguientes términos:
la
“1. Los tratamientos de datos de carácter
personal se deberán realizar de manera leal,
respetando la legislación nacional aplicable y
los derechos y libertades de las personas, de
conformidad con lo previsto en el presente
Documento y con los fines y principios de la
Declaración Universal de Derechos Humanos
y del Pacto Internacional de Derechos Civiles
y Políticos.
2. En particular, se considerarán desleales
aquellos tratamientos de datos de carácter
personal que den lugar a una discriminación
injusta o arbitraria contra los interesados.”
15
Véase la nota a pie de página anterior.
 Atendiendo a ejemplos concretos de cómo se
formula o articular este principio en la
normatividad, cabe mencionar el caso de
México, donde es relevante la explicación dada,
por su claridad y transcendencia, la versión final
manera que el tratamiento de los datos
personales por el responsable debe asegurar
que “los datos personales serán tratados
conforme lo acordado y bajo los términos
establecidos” .17
El principio de licitud requiere que el
responsable del tratamiento tenga que adoptar
medidas para asegurar que el tratamiento de los
datos personales se hace:

del Dictamen con proyecto de Decreto por el que
se expide la LFPDPPP . El citado Dictamen
16
indica sobre este principio que:
“implica que el tratamiento de los datos
personales debe llevarse a cabo de forma leal
y lícita; es decir, con pleno cumplimiento de
la legalidad y respeto de la buena fe y los
derechos del individuo, cuya información es
sometida a tratamiento.”
Esto supone, tal y como sigue explicando el
Dictamen, que en la práctica esté prohibido
“cualquier tratamiento que implique recabar o
conservar los datos mediante la utilización de
engaño o fraude, de forma que el individuo no
pueda conocer con propiedad los términos y
condiciones vinculados a ese tratamiento.”
Es decir, el principio de licitud queda
reforzado también al hacer referencia a la
“expectativa razonable de privacidad”, de
16
Ya citada. Pág. 29.
Se trata también de uno de los principios que 1. Con pleno cumplimiento de la
legitiman el tratamiento de datos personales, y legalidad;
que de no cumplirse el mismo, dicho 2. Respeto de la buena fe, y
tratamiento resultaría ilícito, pudiendo ser 3. Respeto de los derechos del individuo,
además objeto de sanción económica, en la cuya información es sometida a
forma de multa al responsable, en su caso. tratamiento.
Este principio tiene que darse en todas las
fases del tratamiento de los datos personales, Y lo anterior se concreta en que el tratamiento
procediéndose a cancelar los datos personales si de los datos personales se haga sin engaño o
alguno de los mismos incumpliese con el mismo fraude o de manera que el individuo no pueda
tanto cuando se recaban u obtienen del conocer con propiedad los términos y
interesado como posteriormente, cuando son condiciones vinculados a ese tratamiento, por lo
objeto de tratamiento o uso. que este principio está también vinculado al de
información o transparencia en el tratamiento
de datos personales, además de estar
estrechamente interrelacionado con el principio
17
En el Dictamen ya citado se explica que: “la de lealtad.
iniciativa del diputado Gustavo Parra añade un
A dicho principio se ha referido también
concepto innovador que refuerza el espíritu que
subyace en el principio de licitud denominado como específicamente en México el INAI, que en su
“la expectativa razonable de privacidad”, el cual se Guía del INAI para cumplir con los principios y
traduce en la confianza que deposita el titular en el
responsable en el sentido de que los datos personales deberes de la LFPDPPP indica lo siguiente:
serán tratados conforme lo acordado y bajo los
términos establecidos.” Pág. 29.
 “Los datos personales tienen que ser posible resumir esquemáticamente este
tratados por el responsable de manera lícita principio de la siguiente manera :
19

y leal, lo que supone que tiene que actuar

con apego a las leyes en general y en lo
particular a la normatividad sobre protección
de datos personales. En ese sentido, el
responsable sólo podrá hacer con los datos
personales aquello que esté legalmente
permitido.
De acuerdo con el principio de lealtad, la
obtención de los datos personales no podrá
hacerse a través de medios engañosos, ni
fraudulentos, lo que implica que:

• No se recaben datos personales con

dolo, mala fe o negligencia;
• No se vulnere la confianza del titular
con relación a que sus datos personales
serán tratados conforme a lo acordado;
y
• Se informen todas las finalidades del
tratamiento en el aviso de privacidad.”18

Por último, si se atiende a la redacción dada

en México en la LFPDPPP y su Reglamento, es
18
Véase la Guía ya citada, pág. 15.
19
Recio Gayo, Miguel; Esquemas de la Ley de
Protección de Datos Personales y su Reglamento,
Tirant lo Blanch, México, 2013. Pág. 29.
 Aspecto Art(s). Previsión normativa
Expectativa razonable de 7, párrafo “Se presume que existe la expectativa razonable de privacidad, entendida como la confianza que deposita
privacidad tercero, de cualquier persona en otra, respecto de que los datos personales proporcionados entre ellos serán tratados
la LFPDPPP conforme a lo que acordaron las partes en los términos establecidos por [la] Ley”.
Prohibición de obtener datos 7, párrafo “La obtención de datos personales no debe hacerse a través de medios engañosos o fraudulentos”
personales por medios segundo, de
engañosos o fraudulentos la LFPDPPP
44 del “Existe una actuación fraudulenta o engañosa cuando:
Reglamento I. Exista dolo, mala fe o negligencia en la información proporcionada al titular sobre el tratamiento;
II. Se vulnere la expectativa razonable de privacidad del titular, o
III. Las finalidades no son las informadas en el aviso de privacidad.”
3.3 Principio de consentimiento
3.3.1 Concepto
Por consentimiento, según la definición dada en
la fracción IV, del artículo 3 de la LFPDPPP, se
entiende la “[m]anifestación de la voluntad del
titular de los datos mediante la cual se efectúa el
tratamiento de los mismos.”
Sobre el consentimiento, el informe del CJI de
la OEA indica que “[p]or lo general, la persona
debe ser capaz de dar su consentimiento
libremente respecto de la recopilación de datos
personales de la forma y con los fines previstos.
Por lo tanto, el consentimiento de la persona
debe basarse en suficiente información y debe
ser claro, es decir, no debe dar lugar a ninguna
duda o ambigüedad con respecto a la intención
de la persona.”20
Al respecto, las Directrices para
armonización de la protección de datos en la
Comunidad Iberoamericana indican que:
“3.1. Los datos sólo podrán ser recabados o
tratados en caso de que se hubiera
obtenido el consentimiento del interesado.
20
Pág. 8 del informe.
3.2. No obstante la Ley podrá establecer
supuestos en los que no será necesario el
consentimiento del interesado para el
tratamiento de sus datos personales,
atendiendo a las circunstancias
concurran en cada supuesto y, en todo
caso, siempre que dicha excepción no
perjudique los derechos fundamentales del
interesado. En particular, la Ley podrá
permitir el tratamiento de los datos sin
contar con el consentimiento
interesado cuando el mismo se realice en el
marco de una relación jurídica o por una
Administración en el ejercicio de las
potestades que le hayan sido atribuidas.”
Y también que en el caso de los datos
sensibles:
“3.3. Los datos que revelen la ideología,
la afiliación sindical, religión o creencias del
afectado sólo podrán ser tratados con su
consentimiento, a menos que aquél los
hubiera hecho manifiestamente públicos.
3.4. Los datos relacionados con la salud, el
origen racial y la vida sexual del afectado
21
Pág. 15.
únicamente podrán ser recogidos y
tratados en los supuestos mencionados en
el párrafo anterior o cuando una Ley así lo
disponga.
que
3.5 En todo caso las presentes directrices
no obstaculizarán el adecuado tratamiento
médico del interesado ni la atención de una
urgencia vital del mismo.”
del El Dictamen con proyecto de Decreto por el
que se expide la LFPDPPP explica el principio del
consentimiento indicando que “[d]ado que el
derecho a la protección de datos consiste en el
21
poder de decisión y control que goza el individuo
sobre el tratamiento de sus datos de carácter
personal, la mayor parte de los instrumentos
nacionales o internacionales reguladores de esta
materia sitúan al consentimiento del titular de
los datos, como manifestación de este poder
decisorio como causa principal legitimadora del
tratamiento de los datos personales.”22
Y añade también que “[e]ste consentimiento
debe caracterizarse por ser previo, libre,
inequívoco, informado y por último, puede ser
revocado por el individuo en cualquier
22
Págs. 20 y 30 del Dictamen.
momento, no pudiendo exigirse para esa parte del principio general de legitimación, “Correcto: solicitar el consentimiento para
revocación más requisitos que los que fueron indicando, en el apartado 1 del artículo 12, que: el envío de publicidad de los servicios
necesarios para la previa prestación del deportivos que ofrece la organización.
consentimiento.” “1. Como regla general, los datos de carácter Incorrecto: solicitar el consentimiento para
personal sólo podrán ser tratados cuando el uso de los datos personales en general,
3.3.2 Importancia y utilidad concurra alguno de los siguientes supuestos: para cualquier finalidad que se le ocurra al
a. Previa obtención del consentimiento responsable en el futuro.”24
En la práctica, como indica la Guía del INAI hay libre, inequívoco e informado del
que considerar que “[c]omo regla general, el interesado.” Es así que, cuando es necesario obtenerlo
responsable deberá contar con el para el tratamiento de los datos personales, el
consentimiento del titular para el tratamiento de Es decir, el consentimiento no siempre es consentimiento tiene que ser válido ya de que no
sus datos personales. La solicitud del necesario para el tratamiento de los datos haber sido obtenido o de haberse obtenido de
consentimiento deberá ir siempre ligada a las personales ya que puede haber finalidades que forma no adecuada, por ejemplo, obtener un
finalidades concretas del tratamiento que se no requieran el mismo para poder tratar los consentimiento que no sea expreso y por escrito
informen en el aviso de privacidad, es decir, el datos, como por ejemplo cuando el responsable cuando así se requiera, implica que el
consentimiento se deberá solicitar para tratar tiene que cumplir una relación contractual con tratamiento de los datos personales sea ilícito, lo
los datos personales para finalidades el titular de los datos personales o tratarlos en que podría dar lugar a la imposición de una
específicas, no en lo general.” 23
virtud de una obligación legal. sanción por dicha razón. Y dicho tratamiento
El consentimiento es también, junto con los Además, el consentimiento tiene que ser ilícito vulnera el derecho a la protección de
demás, uno de los principios que legitima el válido, lo que implica que tenga que cumplir con datos personales de su titular.
tratamiento de los datos personales cuando el unas ciertas características, como se ha indicado Por último, como indica el informe del CJI de
mismo es necesario. ya, además de solicitarlo y obtenerlo en relación la OEA25 “[e]l método para obtener el
Al respecto, los Estándares Internacionales con finalidades específicas. Al respecto, la Guía consentimiento debe ser apropiado para la edad
sobre Protección de Datos Personales y del INAI, ya mencionada, indica que es: y la capacidad de la persona afectada (si se
Privacidad incluyen el consentimiento como

23
Guía del INAI para cumplir con los principios y 24
Pág. 18.
deberes de la LFPDPPP. Pág. 18. 25
Ya citado. Pág. 8.
conocen) y para las circunstancias particulares Sobre los tipos del consentimiento, el de datos sensibles, y en aquellos en los que
del caso.” Dictamen con proyecto de Decreto por el que se se ha modificado por el responsable de la
expide la LFPDPPP indica que : 27
base de datos de manera sustancial y
3.3.3 Tipos de consentimiento antagónica, la finalidad originaria para la
“El consentimiento tácito resultará de cual fueron recabados, con excepción del
Atendiendo a la normatividad mexicana sobre hechos o actos que lo presupongan o que tratamiento que efectúa el sector de
protección de datos personales y, en particular a autoricen a presumirlo, excepto en los prospección comercial.”
cómo lo resume la Guía del INAI, ya citada, los casos en que por ley o por convenio la
tipos o formas del consentimiento, cuando éste voluntad deba manifestarse expresamente. Por lo que se refiere a cómo obtener cada uno
es necesario para el tratamiento de los datos Este tipo de consentimiento es conocido de estos tipos o formas del consentimiento,
personales, son las siguientes : 26
también como el opt-out y resulta nodal siguiendo con el resumen hecho en la Guía del
para el sano flujo de datos en el comercio y INAI, sería así en cada caso:
Tipo o forma del Datos personales crecimiento económico, ya que si se
consentimiento requiriera acreditar de manera fehaciente Tipo o forma del Obtención del
Cualquier tipo de dato que la persona ha consentido el consentimiento consentimiento
Tácito
personal, con excepción tratamiento, tendría que hacerse por Se obtiene si el titular no
Tácito
de los datos escrito estampando su firma o a través de se niega a que sus datos
patrimoniales, personales sean
financieros y sensibles. otro medio de autenticación, lo cual podría
tratados, después de
Expreso Datos financieros y entorpecer el dinamismo de las
haber conocido el aviso
patrimoniales. transacciones comerciales. de privacidad. Es decir,
Por su parte, el consentimiento será no es necesario que
Expreso y por Datos personales quede registrado que el
escrito sensibles expreso cuando se manifieste por escrito,
titular autorizó el
medios electrónicos, ópticos o por tratamiento de su
cualquier otra tecnología, o por signos información personal,
inequívocos. Este tipo de consentimiento sino que es suficiente
con que no se niegue al
solo se requiere en el caso del tratamiento
tratamiento.
26
Págs. 18 y 19 de la Guía para cumplir con los Expreso El titular de los datos
principios y deberes de la LFPDPPP. 27
Pág. 30.
 personales deberá financieros tendrá que solicitar el 3.3.4 Excepciones al principio de
señalar expresamente
consentimiento expreso, y de datos personales consentimiento
que consiente el
tratamiento de sus datos sensibles, el expreso y por escrito”, salvo que
personales. concurra alguna excepción legalmente prevista El consentimiento, con carácter general, será
a la obtención de dicho consentimiento. necesario, salvo que concurra alguna excepción
Expreso y por Se deberá otorgar por
También, hay que atender a los medios para prevista en la ley. En este sentido, puede haber
escrito escrito, mediante firma
autógrafa, huella obtener el consentimiento, en particular cuando excepciones al consentimiento tanto por lo que
dactilar, firma éste es expreso o, en su caso, expreso y por se refiere tanto al momento de obtener o
electrónica del titular o escrito, de manera que como resume la Guía del recabar los datos personales como al de
cualquier otro
INAI “se puede obtener a través del aviso de transferir o comunicarlos, nacional o
mecanismo autorizado
que permita identificarlo privacidad o de cualquier otro documento físico internacionalmente, a un nuevo responsable del
plenamente. o electrónico que determine el responsable. En tratamiento.
ese sentido, NO es necesario que el Es así que, si por ejemplo atendemos a la
Y como sigue indicando la Guía del INAI , hay 28
consentimiento se obtenga por medio del aviso normatividad mexicana sobre protección de
que considerar también que “si una ley o de privacidad. Por ejemplo, el consentimiento datos personales, en concreto a la LFPDPPP,
reglamento, en lo particular, exige el expreso y por escrito se podría obtener a través ésta contempla las siguientes excepciones al
consentimiento expreso o expreso y por escrito de un formato o contrato, y el expreso por medio consentimiento:
para el tratamiento, el responsable deberá de una grabación telefónica o de una casilla en
solicitarlo de esa forma, aunque no se trate de formato electrónico. No obstante, hay que 1) Para el tratamiento (obtención) de los
datos financieros, patrimoniales o sensibles. Por recordar que, en todos los casos, de manera datos personales:
otra parte, si el responsable lo considera previa se debe dar a conocer el aviso de “Artículo 10.- No será necesario el
necesario o conveniente, o lo acuerda con el privacidad. consentimiento para el tratamiento de los
titular, podrá solicitar el consentimiento expreso Es importante tener en cuenta, que el medio datos personales cuando:
o expreso y por escrito en cualquier caso. Lo que el responsable ponga a disposición del I. Esté previsto en una Ley;
importante es que el responsable tenga claro titular para obtener su consentimiento debe ser II. Los datos figuren en fuentes de
que cuando se trate de datos patrimoniales y sencillo y gratuito.” 29
acceso público;

28
Págs. 19 y 20. 29
Pág. 23.
III. Los datos personales se sometan a
un procedimiento previo de
disociación;
IV. Tenga el propósito de cumplir
obligaciones derivadas de una relación
jurídica entre el titular y el responsable;
V. Exista una situación de emergencia
que potencialmente pueda dañar a un
individuo en su persona o en sus bienes;
VI. Sean indispensables para la atención
médica, la prevención, diagnóstico, la
prestación de asistencia sanitaria,
tratamientos médicos o la gestión de
servicios sanitarios, mientras el titular
no esté en condiciones de otorgar el
consentimiento, en los términos que
establece la Ley General de Salud y
demás disposiciones jurídicas aplicables
y que dicho tratamiento de datos se
realice por una persona sujeta al secreto
profesional u obligación equivalente, o
VII. Se dicte resolución de autoridad
competente.”
2) Para su transferencia (entre dos
responsables, el que los transfiere y
el que recibe dicha transferencia),
nacional o internacional, de los
datos personales:
“Artículo 37.- Las transferencias
nacionales o internacionales de datos
podrán llevarse a cabo sin
consentimiento del titular cuando se dé
alguno de los siguientes supuestos:
I. Cuando la transferencia esté prevista
en una Ley o Tratado en los que México
sea parte;
II. Cuando la transferencia sea necesaria
para la prevención o el diagnóstico
médico, la prestación de asistencia
sanitaria, tratamiento médico o la
gestión de servicios sanitarios;
III. Cuando la transferencia
efectuada a sociedades controladoras,
subsidiarias o afiliadas bajo el control
común del responsable, o a una
sociedad matriz o a cualquier sociedad
del mismo grupo del responsable que
opere bajo los mismos procesos y
políticas internas;
IV. Cuando la transferencia sea
necesaria por virtud de un contrato
celebrado o por celebrar en interés del
titular, por el responsable y un tercero;
el
V. Cuando la transferencia sea necesaria
o legalmente exigida para la
salvaguarda de un interés público, o
para la procuración o administración de
justicia;
VI. Cuando la transferencia sea precisa
para el reconocimiento, ejercicio o
defensa de un derecho en un proceso
judicial, y
VII. Cuando la transferencia sea precisa
para el mantenimiento o cumplimiento
sea de una relación jurídica entre el
responsable y el titular.”
3.3.5 Revocación del consentimiento Sobre la revocación del consentimiento, los ejemplo para fines mercadotécnicos,
Estándares Internacionales sobre Protección de publicitarios o de estudios comerciales, entre
Como indica el informe del CJI de la OEA “[u]na Datos Personales y Privacidad indican, en el otros. Con la segunda modalidad, la
persona tiene derecho a retirar el apartado 2 del artículo 12, que “persona revocación parcial del consentimiento, se
consentimiento según la índole del responsable deberá habilitar procedimientos mantienen a salvo otros fines del
consentimiento dado y los fines para los cuales sencillos, ágiles y eficaces que permitan a los tratamientos que el responsable, de
se recopile la información. En general, el retiro interesados revocar su consentimiento en conformidad con su aviso de privacidad,
del consentimiento no afecta la validez de lo que cualquier momento, y que no impliquen puede llevar a cabo y con los que el titular
ya se haya hecho sobre la base del demoras o costes indebidos, ni ingreso alguno está de acuerdo.
consentimiento.” 30
para la persona responsable.” Por lo anterior, será necesario que el titular
Es decir, el consentimiento que ha sido dado En la práctica, el titular de los datos al momento de hacerle llegar su solicitud de
por el titular de los datos personales para su personales podrá revocar su consentimiento en revocación de consentimiento al
tratamiento puede ser revocado, siempre y cualquier momento, de manera que el responsable, indique en ésta si la revocación
cuando no exista una obligación legal para el responsable del tratamiento debería establecer que pretende realizar es total o parcial; en
responsable de tratarlos. un procedimiento para gestionar dicha caso de ser del segundo tipo, se deberá
Al respecto, como explica el Dictamen con revocación. indicar cuál o cuáles tratamientos son
proyecto de Decreto por el que se expide la Por último, como indica el INI en su Guía aquéllos con los que el titular no está
LFPDPPP, el consentimiento “puede ser práctica para la atención de las solicitudes de conforme.”32
revocado por el individuo en cualquier Ejercicio de los Derechos ARCO:
momento, no pudiendo exigirse para esa “Se deberá tener en cuenta que existen
revocación más requisitos que los que fueron dos modalidades en las que la revocación del
necesarios para la previa prestación del consentimiento puede darse; la primera,
consentimiento.” 31
puede ser sobre la totalidad de las
finalidades consentidas, esto es, que el
responsable deje de tratar por completo los
datos del titular; la segunda, puede ocurrir
30
Pág. 9 del citado informe. sobre tratamientos determinados, como por
31
Pág. 30 del Dictamen. 32
Pág. 12.
3.4 Principio de información recopilen. Además, se debe informar a las 4.2. Cuando los datos no hayan sido
personas sobre las prácticas y políticas de las obtenidos del interesado deberá
3.4.1 Concepto entidades o personas que recopilen los datos informarse al mismo de los extremos
personales, a fin de que puedan tomar una previstos en el párrafo anterior en un plazo
El principio de información es otro de los decisión fundamentada con respecto al prudencial de tiempo y, en todo caso, con
fundamentales, ya que a través del mismo el suministro de tales datos. Sin claridad, el anterioridad a que los datos sean
responsable del tratamiento informa al titular de consentimiento de la persona con respecto a la comunicados a un tercero.” 34

los datos personales, entre otros aspectos, sobre recopilación de los datos no puede ser válido.” 33

qué datos personales obtiene y para qué los va a
tratar. Este principio está vinculado con otros
principios relevantes, tales como los de
finalidad, calidad y consentimiento.
Además, la información que el responsable
proporcione al titular de los datos personales es
fundamental para que éste pueda ejercer sus
derechos de acceso, rectificación, cancelación u
oposición (derechos ARCO), ya que podrá saber
quién trata sus datos personales para dirigirse al
mismo.
La información que se proporcione a titular de
los datos sobre el tratamiento o los tratamientos
de sus datos personales es también una cuestión
de transparencia por el responsable del
tratamiento y al respecto el informe del CJI de la
OEA explica que “los fines para los cuales se
recopilan datos personales deben especificarse
claramente en el momento en el cual se
Por su parte, las Directrices para
armonización de la protección de datos en la
Comunidad Iberoamericana, indican que:
“4.1 El interesado del que se recaben
los datos deberá ser informado al tiempo
de su recogida de la identidad del
responsable del tratamiento, los fines para
los que los datos vayan ser tratados y el
modo en que podrá hacer efectivos los
derechos a los que se refieren los apartados
5 y 6 de estas directrices, así como de
cualquier otra información necesaria para
garantizar un tratamiento lícito de los
datos. Esta obligación solamente quedará
exceptuada si el interesado hubiera sido ya
informado con anterioridad de
circunstancias.
33
Pág. 8 del citado informe.
la 3.4.2 Importancia y utilidad
Como expone el Dictamen con proyecto de
Decreto por el que se expide la LFPDPPP, el
principio de información se traduce
“necesariamente en el derecho, y correlativo
deber para la entidad o persona responsable, de
poder conocer efectivamente la existencia
misma del tratamiento y las características
esenciales del mismo, en términos que le
resulten fácilmente comprensibles.”35
Es decir, como indica a continuación, este
principio “permite a la persona conocer los
tratamientos de sus datos personales que están
siendo llevados a cabo y, lo que resulta esencial,
ejercer los derechos comúnmente reconocidos
estas en relación con esos tratamientos. Desde el
34
Pág. 15.
35
Págs. 34 y 35.
punto de vista de su extensión, el principio de
información ha de aplicarse a todos los
tratamientos que se lleven a cabo, con
independencia de si los datos proceden del
titular de los datos o de otras fuentes, así como a
la información útil relativa a cada uno de ellos. El
principio de información se materializa a través
de un aviso de privacidad, el cual debe darse a
conocer al momento de la recolección de los
datos personales.”
La Guía del INAI se refiere también a este
principio indicando que “los responsables se
encuentran obligados a informar a los titulares
de los datos personales, las características
principales del tratamiento al que será sometida
su información personal, lo que se materializa a
través del aviso de privacidad. En ese sentido,
todo responsable que trate datos personales, sin
importar la actividad que realice o si se trata de
una persona física o moral, requiere elaborar y
poner a disposición los avisos de privacidad que
correspondan a los tratamientos que lleven a
cabo.
Es importante tomar en cuenta que con
independencia de que se requiera o no el
consentimiento del titular para el tratamiento de
sus datos personales, el responsable está
obligado a poner a su disposición el aviso de implementar medidas para cumplir con el
privacidad.” 36
principio de información.
En el caso de México, es importante destacar
que el INAI ha elaborado varias herramientas y 3.4.3 Aviso de privacidad
ha puesto a disposición de los sujetos obligados
varios instrumentos en relación con este El aviso de privacidad (en México), al que en
principio, que les servirá para poder adoptar e otros lugares se denomina también como
implementar medidas en la práctica. Dichas cláusula de protección de datos (por ejemplo, en
herramientas y documentos, que se encuentran España), como veremos a continuación, sirve al
disponibles en el sitio web del Instituto , son:
37
responsable del tratamiento para facilitar al
titular de los datos personales la información
1. El Generador de Avisos de Privacidad relativa al tratamiento de los mismos.
(GAP);
2. La guía El ABC del Aviso de Privacidad38;
3. El formato de auto-evaluación de avisos 3.4.3.1 Concepto de Aviso de privacidad
de privacidad para responsables; En México, el aviso de privacidad es definido, en
4. Modelo de aviso de privacidad corto la fracción I, del artículo 3 de la LFPDPPP, como
para video vigilancia; y
el “[d]ocumento físico, electrónico o en
5. Modelo de aviso de privacidad
cualquier otro formato generado por el
simplificado en video.
responsable que es puesto a disposición del
titular, previo al tratamiento de sus datos
Y a los mismos se hará referencia, en su caso,
personales, de conformidad con el artículo 15 de
en los siguientes apartados como ejemplos
la presente Ley.”
prácticos y concretos a la hora de adoptar e
A su vez, el artículo 15 de la LFPDPPP se refiere
a la obligación que tiene el responsable del
36
Pág. 32. tratamiento “de informar a los titulares de los
37
Véase el vínculo electrónico http://www.inai.org.mx
38
Disponible en datos, la información que se recaba de ellos y
http://abcavisosprivacidad.ifai.org.mx/PDF/El%20ABC con qué fines, a través del aviso de privacidad.”
%20del%20Aviso%20de%20Privacidad.pdf
 En este sentido, la guía del INAI titulada El ABC 3.4.3.2 Lineamientos del Aviso de • Las modalidades del aviso de privacidad;
del Aviso de Privacidad explica que el aviso de
39 privacidad • Su contenido, ya sea el aviso de
privacidad “[e]s un documento físico, En el caso de México, además de la LFPDPPP y su privacidad integral, simplificado o corto, y
electrónico o en cualquier otro formato (por Reglamento hay que tomar en cuenta los • Buenas prácticas a considerar en relación
ejemplo sonoro), a través del cual el Lineamientos del Aviso de privacidad 40
que con el aviso de privacidad en materia de:
responsable informa al titular sobre la “tienen por objeto establecer el contenido y o Identidad y domicilio del
existencia y características principales del alcance de los avisos de privacidad, en términos responsable;
tratamiento al que serán sometidos sus datos de lo dispuesto por dicha Ley y su Reglamento”, o Listado de datos personales;
personales. A través del aviso de privacidad se tal y como se indica en el primer Lineamiento . 41
o Información sobre transferencias;
cumple el principio de información que Los Lineamientos del Aviso de privacidad o Tratamiento de datos personales
establece la Ley Federal de Protección de Datos fueron emitidos por la Secretaría de Economía de menores de edad y personas en
Personales en Posesión de los Particulares (en lo en coadyuvancia con el INAI y determinan el estado de interdicción o
sucesivo la Ley) y su Reglamento.” contenido y alcance del aviso de privacidad, de incapacidad;
Por lo tanto, quien tiene que cumplir con manera que, además de cuestiones generales, o Obtención del consentimiento
dicha obligación es el responsable del los Lineamientos se refieren a: expreso y expreso y por escrito del
tratamiento, con independencia de que en la • Su puesta a disposición; titular;
práctica tuviera un encargado del tratamiento o Toma de decisiones sin
que recabase los datos personales, en su
40
Publicados en el Diario Oficial de la Federación del intervención humana, y
17 de enero de 2013 y disponibles en
nombre y por su cuenta, y fuera éste quien http://dof.gob.mx/nota_detalle.php?codigo=5284966 o Atención de quejas y denuncias.
proporcionase al titular de los datos personales &fecha=17/01/2013
41
Además, el INAI sometió a consulta pública, entre el
el aviso de privacidad, lo cual hará también 28 de septiembre y el 18 de octubre de 2015, varios
siguiendo las instrucciones del responsable del anteproyectos de Lineamientos entre los que se
encontraban los Lineamientos que los sujetos
tratamiento.
obligados deben seguir al momento de generar
información, en un lenguaje sencillo, procurando su
accesibilidad y traducción a lenguas indígenas. Al
respecto, puede verse el Comunicado del INAI, de 7 de
octubre de 2015, disponible en el vínculo electrónico
http://inicio.inai.org.mx/Comunicados/Comunicado%
39
Ya citada. 20INAI-124-15.pdf
3.4.3.2.1 Elementos mínimos que debe tener VI. El procedimiento y medio por el cual trata los datos
el Aviso de privacidad el responsable comunicará a los personales;
En cuanto a los elementos mínimos que debe titulares de cambios al aviso de P
II. Los datos O O
tener el aviso de privacidad, el artículo 16 de la privacidad, de conformidad con lo personales que
LFPDPPP indica que: previsto en esta Ley. serán sometidos
“El aviso de privacidad deberá contener, al En el caso de datos personales a tratamiento;
menos, la siguiente información: sensibles, el aviso de privacidad deberá P
III. El O O
señalar expresamente que se trata de señalamiento
I. La identidad y domicilio del este tipo de datos.” expreso de los
responsable que los recaba; datos
Además de los elementos indicados en la personales
II. Las finalidades del tratamiento de LFPDPPP, hay que atender también al sensibles que se
datos; Reglamento de la LFPDPPP y a los Lineamientos tratarán;
del Aviso de privacidad, considerando la IV. Las P P
P
finalidades del
III. Las opciones y medios que el modalidad del aviso de privacidad (integral,
tratamiento;
responsable ofrezca a los titulares para simplificado y corto). V. Distinguir P P O
limitar el uso o divulgación de los datos; En función de cada una de las modalidades entre las
finalidades que
del aviso de privacidad y siguiendo la Guía del son necesarias y
IV. Los medios para ejercer los derechos INAI para cumplir con los principios y deberes de dieron origen a
la relación
de acceso, rectificación, cancelación u la LFPDPPP, los elementos que debe tener el
jurídica, de las
oposición, de conformidad con lo aviso de privacidad son los siguientes: que no lo son;
dispuesto en esta Ley; VI. Los P P O
mecanismos
Elemento Integral Simplificado Corto para que el
V. En su caso, las transferencias de informativo titular pueda
manifestar su
datos que se efectúen, y I. La identidad y P P P negativa para el
domicilio del tratamiento de
sus datos
responsable que
personales para
aquellas su través de los
finalidades que consentimiento cuales el
no son al tratamiento responsable
necesarias, ni de sus datos comunicará a los
hayan dado personales; titulares los
origen a la XI. Las opciones P O O cambios al aviso
relación jurídica y medios que el de privacidad;
con el responsable XIV. Los
O P P
responsable; ofrece al titular mecanismos
VII. Las P O O para limitar el para que el
transferencias uso o titular conozca
de datos divulgación de el texto
personales que, los datos completo del
en su caso, se personales; aviso de
efectúen; el XII. La O O privacidad
P
tercero receptor información integral.
de los datos sobre el uso de
personales, y las mecanismos en
finalidades de medios remotos La lista completa de los elementos que deberá
las mismas; o locales de tener el aviso de privacidad, conforme a la
VIII. La cláusula P O O comunicación
que indique si el electrónica, LFPDPPP, su Reglamento y los Lineamientos,
titular acepta o óptica u otra puede verse en do el apéndice único de El ABC
no la tecnología, que
del Aviso de Privacidad42.
transferencia, permitan
cuando así se recabar datos
requiera; personales de 3.4.3.2.2 Puesta a disposición
IX. Los medios y P O O manera
el automática y Con carácter general, tal y como se indica en El
procedimiento simultánea al ABC del Aviso de Privacidad, el momento de
para ejercer los tiempo que el
poner a disposición del titular de los datos
derechos ARCO; titular hace
X. Los P O O contacto con los personales el aviso de privacidad “depende de la
mecanismos y mismos, en su forma en que se obtengan los datos personales,
procedimientos caso;
para que, en su XIII. Los
caso, el titular procedimientos
pueda revocar y medios a
42
Disponible en
http://abcavisosprivacidad.ifai.org.mx/#seccion1_08
es decir, si éstos se recaban personal, directa o
indirectamente del titular.”
Al respecto, siguiendo la citada guía del INAI
“el aviso de privacidad se pone a disposición en
los siguientes momentos”:

Cuando los datos personales se obtienen de manera directa o

A) Previo a la obtención de los datos
personales
B) Al primer contacto con el titular
C) Previo al aprovechamiento de los
datos personales
personal de su titular. En ese sentido, el responsable debe poner a
disposición del titular su aviso de privacidad antes de que este
último le proporcione su información personal, a través del
formato o medio respectivo.
Cuando los datos personales se obtienen de manera indirecta y el
tratamiento para el cual serán utilizados involucra el contacto directo
o personal con el titular. Por ejemplo, si los datos personales se
obtuvieron de una fuente de acceso público y el responsable enviará al
titular propaganda sobre los bienes o servicios que ofrece, en el primer
envío de información que realice, deberá poner a disposición del titular
el aviso de privacidad.
Cuando los datos personales se obtiene de manera indirecta, pero el
tratamiento para el cual serán utilizados no requiere contacto personal
o directo con el titular. Por ejemplo, si los datos personales se
obtuvieron mediante una transferencia y serán utilizados para un
estudio socioeconómico que no requiere entrar en contacto con los
titulares, antes de realizar el estudio, el responsable deberá poner a
disposición de los titulares el aviso de privacidad.
Los Lineamientos del Aviso de privacidad Y la forma de poner a disposición el aviso de
definen cada una de estas formas de obtención privacidad puede ser44:
de los datos personales de la siguiente manera43:
Forma de poner Definición
a disposición el
Forma de Definición
aviso de
obtención de los
privacidad
datos
personales Directa Acto en el cual se hace del
conocimiento del titular el aviso
De forma Acto en el cual el propio titular
de privacidad por algún medio
directa proporciona los datos personales
que permite su entrega directa,
por algún medio que permite su
entre ellos, medios electrónicos,
entrega directa al responsable,
ópticos, sonoros, visuales o
entre ellos, medios electrónicos,
cualquier otra tecnología, como
ópticos, sonoros, visuales o
correo postal, internet o vía
cualquier otra tecnología, como
telefónica, entre otros.
correo postal, internet o vía
Personal Acto en el cual el responsable o la
telefónica, entre otros.
persona física designada por el
De forma Acto en el cual el responsable
responsable para tal fin entrega o
indirecta obtiene los datos personales sin
hace del conocimiento del titular
que el titular se los haya
el aviso de privacidad, con la
proporcionado de forma personal
presencia física de ambos.
o directa, como por ejemplo a
través de una fuente de acceso
público o una transferencia.
Siguiendo la Guía del INAI para cumplir con los
De forma Acto en el cual el titular
personal de su proporciona los datos personales principios y deberes de la LFPDPPP45, se puede
titular al responsable o a la persona resumir la puesta a disposición del aviso de
física designada por el
responsable, con la presencia privacidad con la siguiente tabla que considera
física de ambos. el momento de la puesta a disposición y la forma
de obtención de los datos

44
Fracción VI y VII del Lineamiento tercero.
43
Fracciones III a V del Lineamiento tercero. 45
Páginas 35 a 37.
Momento de la puesta a Forma de obtención de los datos
disposición
A. Previo a la obtención Personal Se entiende que los datos personales se obtienen de manera personal, cuando el
de los datos personales titular los proporciona al responsable con la presencia física de ambos, por
ejemplo en una entrevista presencial o en las instalaciones del responsable.
Directa Por su parte, los datos personales se obtienen de manera directa cuando el propio
titular los proporciona por algún medio que permite su entrega directa al
responsable, entre ellos, medios electrónicos, ópticos, sonoros, visuales o
cualquier otra tecnología, como correo postal, Internet o vía telefónica. Por
ejemplo, el llenado de un formulario por Internet, el envío de los datos personales
por correo electrónico o la entrega de los datos personales a través de una
llamada telefónica.
En todos estos casos, el aviso de privacidad se debe dar a conocer previo a la obtención de los datos personales.
B. Al primer contacto con Indirecta Se entiende que los datos personales se obtienen de manera indirecta cuando el
el titular responsable los obtiene sin que el titular se los haya proporcionado de forma
personal o directa, como por ejemplo a través de una fuente de acceso público o
una transferencia consentida por el titular o que no requiere su consentimiento.
En estos casos en que el responsable no haya obtenido los datos personales directamente del titular, deberá dar a conocer
el aviso de privacidad al primer contacto que tenga con éste, siempre y cuando el tratamiento requiera el contacto entre el
responsable y el titular.
C. Previo al Indirecta. Ver inciso B.
aprovechamiento de los Ahora bien, a diferencia del caso expuesto en el inciso anterior, en este supuesto, el tratamiento de los datos personales no
datos personales involucra el contacto con los titulares, por lo que la puesta a disposición del aviso de privacidad no puede ser al primer contacto.
Por ejemplo, los datos se obtuvieron de una fuente de acceso público y se utilizarán para un estudio, en el que no se requiere entrar
en contacto con los titulares.

En estos casos, el responsable deberá dar a conocer su aviso de privacidad a los titulares, antes de que comience a utilizar
los datos para las finalidades para las cuales se obtuvieron, partiendo del supuesto de que tiene datos de contacto de los
titulares (para los casos en los que no se cuente con datos de contacto, ver apartado sobre medidas compensatorias de esta
guía). Siguiendo el ejemplo anterior, el aviso de privacidad se debería dar a conocer antes de iniciar la elaboración del
estudio.
D. Previo al Personal o directa. Ver inciso A.
aprovechamiento de los
datos personales
Ahora bien, en este supuesto se parte del hecho de que el responsable ya tiene los datos personales del titular, los cuales obtuvo
para cierta finalidad que le fue informada al titular en su momento, y que éste consintió, en el caso que se haya requerido el
consentimiento. Sin embargo, el responsable requiere tratar los datos personales para nuevas finalidades. En un caso así, el
responsable deberá poner a disposición del titular el aviso de privacidad con las nuevas finalidades, previo al
aprovechamiento de los datos personales, es decir, antes de que los datos sean utilizados para las nuevas finalidades.

3.4.3.2.3 Modalidades
En cuanto a las modalidades, el aviso de Sin perjuicio de lo anterior, como indica el
privacidad puede ser integral, simplificado y mencionado Lineamiento, es necesario tener en
corto. consideración que “[l]a puesta a disposición del
Como indica el decimoctavo de los aviso de privacidad simplificado o corto no
Lineamientos, conforme a la LFPDPPP y su exime al responsable de su obligación de
Reglamento, el aviso de privacidad “se podrá proveer los mecanismos para que el titular
poner a disposición en las siguientes pueda conocer el contenido del aviso de
modalidades”. privacidad integral.”
Por último, en El ABC del Aviso de Privacidad
Modalidad Casos en los que procede pueden encontrarse modelos de aviso de

Integral Cuando los datos personales privacidad integral, simplificado y corto46.

se obtengan personalmente
del titular.
Integral o Cuando los datos personales
se obtengan de manera
simplificado
directa o indirecta del titular.
Corto Cuando el espacio utilizado
para la obtención de los datos
personales sea mínimo y
limitado, de forma tal que los
datos personales recabados o
el espacio para la difusión o
reproducción del aviso de 46
Véase la citada Guía, que incluye los modelos, en
privacidad también lo sean. http://abcavisosprivacidad.ifai.org.mx/#seccion1_08
3.5 Medidas compensatorias
Las medidas compensatorias se han incluido,
específicamente, en la normatividad mexicana
sobre protección de datos personales para dar
solución, por una parte, a los tratamientos de
datos personales que ya se estaban realizando
con anterioridad a la entrada en vigor de la
LFPDPPP y, por otra parte, también para dar
solución a situaciones que requieren o exigen
esfuerzos desproporcionados a la hora de dar a
conocer el aviso de privacidad47.
47
A nivel internacional, por ejemplo, cabe hacer
referencia en este sentido al caso de España donde el
apartado 5, del artículo 5 de la Ley Orgánica 15/1999,
de 13 de diciembre, de Protección de Datos de
Carácter Personal (LOPD) incluye una excepción al
principio de información indicando que: “No será de
aplicación lo dispuesto en el apartado anterior,
cuando expresamente una ley lo prevea, cuando el
tratamiento tenga fines históricos, estadísticos o
científicos, o cuando la información al interesado
resulte imposible o exija esfuerzos
desproporcionados, a criterio de la Agencia de
Protección de Datos o del organismo autonómico
equivalente, en consideración al número de
interesados, a la antigüedad de los datos y a las
posibles medidas compensatorias.” La LOPD puede
consultarse en
http://www.boe.es/buscar/act.php?id=BOE-A-1999-
23750
El titular de los datos personales tiene que ser
informado siempre del tratamiento de sus datos
personales, con independencia de cómo se
obtengan los datos personales, ya sea directa,
indirectamente o personalmente. Es decir,
incluso cuando pudiera haber una excepción a la
necesidad del consentimiento, porque el
tratamiento de los datos personales sea exigido
por una ley o necesario para el cumplimiento de
un contrato, dichos tratamientos tendrán que
ser informados, a través del aviso de privacidad,
al titular de los datos.
Ahora bien, puede haber situaciones en las
que informar al titular de los datos personales,
puede resultar complicado por varios motivos,
previstos específicamente en la normatividad
sobre protección de datos personales, y que
implican que el responsable del tratamiento
tenga que instrumentar medidas
compensatorias. Éstas consistente, por ejemplo,
en que el responsable del tratamiento informe a
los titulares de los datos personales difundiendo
el aviso de privacidad a través de su página web,
un diario de circulación nacional, carteles
informativos u otros medios alternos de
comunicación masiva.
Es decir, el aviso de privacidad tiene que darse
siempre y sólo en casos específicos que pueden
requerir incluso que el responsable tenga que
obtener la autorización del INAI, este aviso de
privacidad podrá difundirse a través de medios
de comunicación masiva, como Internet, diarios
u otros medios de comunicación.
En cualquier caso, el titular de los datos
personales tiene que atender también al aviso
de privacidad cuando se difunda de esta manera
para informarse sobre el tratamiento de sus
datos personales así como de la posibilidad de
ejercitar sus derechos. Hay que tomar también
en cuenta que el aviso de privacidad es el
instrumento a través del que el responsable
cumple con el principio de información, que de
no darse podría suponer un incumplimiento de
la normatividad sobre protección de datos
personales, siendo ilícito el tratamiento.
Al respecto, es necesario saber que la
obligación que tiene el responsable del
tratamiento de informar sobre el tratamiento de
datos personales, incluso cuando se dan
determinadas situaciones por el número de
personas o el momento en el que se obtuvieron
los datos personales, tiene que cumplirse
siempre, pudiendo llevarse a cabo a través de
medidas compensatorias. Esto implica también
que como titulares de los datos personales,
tengamos que informarnos de qué datos
personales nos piden, para qué y quién los
tratará. Se trata también de un ejercicio de
responsabilidad que además es clave para, si
fuera necesario, poder ejercitar los derechos
ARCO ante el responsable del tratamiento.
En definitiva, el titular de los datos personales
tiene que informarse del tratamiento de sus
datos personales a través del aviso de
privacidad, prestando también atención a
aquellos casos en los que éste sea difundido a
través de medidas compensatorias. Y por lo que
se refiere a las mismas, en los siguientes
apartados se explica cómo se instrumentan en
atención específicamente al caso de México.
3.5.1 Concepto de medidas
compensatorias
Siguiendo los Criterios Generales para la
instrumentación de medidas compensatorias sin
la autorización expresa del Instituto Federal de
Acceso a la Información y Protección de Datos48,
48
Publicados en el Diario Oficial de la Federación del
18 de abril de 2012. Pueden consultarse en
en concreto el criterio segundo, las medidas
“son mecanismos alternos para dar a conocer a
los titulares el aviso de privacidad, a través de su
difusión por medios masivos de comunicación u
otros mecanismos de amplio alcance, que se
instrumentan de manera excepcional cuando al
responsable le resulta imposible poner a
disposición de cada titular, de manera directa o
personal, el aviso de privacidad, o ello exige
esfuerzos desproporcionados.” 49
Es decir, cuando por determinadas razones o
motivos previstos en los Criterios Generales, en
particular cuando resulte imposible o suponga
realizar esfuerzos desproporcionados para dar a
conocer el aviso de privacidad de forma personal
o directa50, el responsable del tratamiento no
http://dof.gob.mx/nota_detalle.php?codigo=5244229
&fecha=18/04/2012
49
Cabe recordar que por el cambio de denominación,
las referencias hechas al Instituto Federal de Acceso a
la Información y Protección de Datos (IFAI), deben
entenderse hechas al Instituto Nacional de
Transparencia, Acceso a la Información y Protección
de Datos Personales.
50
Por esfuerzos desproporcionados para dar a
conocer el aviso de privacidad de forma personal o
directa, se entiende, según la definición dada en los
Criterios Generales “Cuando el número de titulares
sea tal, que el hecho poner a disposición de cada uno
de ellos el aviso de privacidad, de manera personal o
directa, implique al responsable un costo excesivo, al
puede dar a conocer, de manera directa o
personal, el aviso de privacidad a los titulares de
los datos personales, se puede recurrir, bajo
ciertas condiciones, a darlo a conocer a través
de los medios previstos en dichos Criterios
Generales.
Por tanto, como indica la Guía del INAI para
Instrumentar Medidas Compensatorias51, se
trata de “mecanismos alternos para dar a
conocer a los titulares el aviso de privacidad, a
través de su difusión por medios masivos de
comunicación u otros mecanismos de amplio
alcance, en lugar de poner a disposición el aviso
a cada titular, de manera personal o directa.”52
considerar su capacidad económica, así como el
hecho de que se comprometa su estabilidad
financiera, la realización de actividades propias de su
negocio o la viabilidad de su presupuesto
programado; o bien, que dicha actividad sea
disruptiva, de manera significativa, de aquellas que el
responsable lleva a cabo cotidianamente.”
51
Publicada en marzo de 2014 y disponible en el
vínculo electrónico
http://inicio.inai.org.mx/DocumentosdeInteres/Guia_
para_instrumentar_medidas_compensatorias.pdf
52
Pág. 4.
3.5.2 Instrumentación
Con carácter previo a instrumentar medidas
compensatorias, y sin perjuicio de que sea
necesaria o no la autorización del INAI, tiene que
cumplirse con el principio de calidad de los
datos personales tratados, de manera que, como
indica el quinto de los Criterios, relativo al
cumplimiento del principio de calidad, “[p]revio
la implementación de medidas compensatorias
en el marco de los presentes Criterios Generales,
el responsable”, conforme a la normatividad
sobre protección de datos personales, “deberá
cancelar los datos personales que hayan dejado
de ser necesarios para el cumplimiento de las
finalidades que originaron su tratamiento y las
obligaciones legales aplicables.”
En cuanto a los medios para comunicar el
aviso de privacidad, el decimoquinto de los
Criterios Generales, podrán ser los siguientes53:
“I. Diarios de circulación nacional;
II. Diarios locales o revistas especializadas;
III. Página de Internet del responsable;
IV. Hiperenlaces o hipervínculos situados
en una página de Internet del Instituto;
V. Carteles informativos;
VI. Cápsulas informativas radiofónicas, y
VII. Otros medios alternos de comunicación
masiva”
Al respecto, hay que atender también a que el
decimosexto de los Criterios Generales lista
algunos factores que podrán ser tomados en
cuenta por el responsable del tratamiento para
elegir el medio correspondiente, siendo dichos
factores, en lo fundamental, los siguientes:

53
Al respecto, cabe considerar que el INAI realizó una
consulta pública sobre unos Lineamientos para el uso
de hiperenlaces o hipervínculos en una página de
internet del Instituto Nacional de Transparencia,
Acceso a la Información y Protección de Datos
Personales, para dar a conocer avisos de privacidad a
través de medidas compensatorias.
 datos
Perfil de los *tulares de los

Caracterís*cias del modelo de

Caracterís*cas del medio de

negocio del responsable

publicación
Su lugar de residencia, Vías o canales a través Su alcance geográfico,
edad, género, nivel de de los cuales presta sus impacto y relevancia,
instrucción, nivel servicios u ofrece sus formato, accesibilidad,
socioeconómico, productos, así como temporalidad o
ocupación, acceso los medios habilitados permanencia, entre
efec*vo a las para mantener una otros factores.
Tecnologías de la comunicación general
Información y del o personalizada con
Conocimiento, gustos y sus clientes
preferencias, entre
otros;

en atención a los medios de difusión ya citados “Cuando los datos personales se hayan
En cualquier caso, el citado Criterio General anteriormente (diarios de circulación nacional, obtenido posterior al plazo establecido por el
concluye indicando que el responsable del diarios locales o revistas especializadas, página artículo Tercero Transitorio de la Ley, así
tratamiento deberá prestar atención a la de Internet del responsable, etc.). como en cualquier otro caso que no actualice
necesidad de conseguir: los supuestos y condiciones establecidas en
1. El máximo alcance, y 3.5.3 Modalidades los criterios sexto y séptimo, y el responsable
2. La máxima difusión del aviso de requiera la instrumentación de medidas
privacidad entre los titulares de los Dependiendo de que actualicen o no los compensatorias, será necesario que solicite
datos personales, eligiendo para supuestos y condiciones establecidos en los la autorización expresa del Instituto, de
ello el medio y el periodo más Criterios Generales, se podrán instrumentar conformidad con lo establecido en los
eficiente. medidas compensatorias sin la autorización artículos 32, segundo párrafo, 33, 34 y 35 del
previa y expresa del INAI o, por el contrario, será Reglamento.”
Por último, el decimoséptimo de los Criterios necesaria dicha autorización. Al respecto, el
Generales lista los criterios para la publicación octavo de os Criterios Generales indica que: En los siguientes apartados se atiende,
del aviso de privacidad en los diferentes medios específicamente, a los casos en los que
conforme a los Criterios Generales es posible exija esfuerzos desproporcionados, en 3.5.5 Procedimiento para la solicitud y
instrumentar medidas compensatorias sin los términos que se señalan en el autorización de Medidas
autorización del INAI como aquéllos otros casos artículo Séptimo de los Criterios compensatorias
en los que para instrumentar dichas medidas Generales, antes citado.
compensatorias se requiere la autorización 3. La finalidad para la que se trata los Conforme al artículo 32 del Reglamento de la
previa y expresa del INAI. datos personales en la actualidad sea LFPDPPP55, la autorización expresa del INAI, que
igual, análoga o compatible con aquélla deberá obtenerse previamente a instrumentar
3.5.4 Criterios generales para la para la cual, en su momento, se las medidas compensatorias, es necesaria
instrumentación de Medidas recabaron los datos personales. cuando, tal y como indica la Guía del INAI “no
compensatorias sin la autorización 4. No se requiera el consentimiento del actualicen los supuestos y condiciones previstos
expresa del numeral titular, cuando el tratamiento involucre por los Criterios Generales” 56, de manera que
datos personales sensibles. hay que atender a los siguientes:
Las medidas compensatorias podrán
instrumentarse, según indica la Guía del INAI, Por tanto, siempre que se cumplan los 55
Dicho artículo indica que:
cuando : 54
requisitos establecidos en los Criterios Generales “Medidas compensatorias
Artículo 32. En términos del tercer párrafo del artículo
y no actualice alguno de los casos para tener que
18 de la Ley, cuando resulte imposible dar a conocer
1. Los datos personales se hayan obtenido solicitar la autorización previa y expresa del INAI el aviso de privacidad al titular o exija esfuerzos
–ya sea de manera personal o directa de para instrumentar las medidas compensatorias, desproporcionados, en consideración al número de
titulares o a la antigüedad de los datos, el responsable
los titulares, o bien de manera indirecta- se podrán instrumentar éstas sin dicha podrá instrumentar medidas compensatorias de
, antes del 6 de julio de 2011 (fecha en la autorización. comunicación masiva de acuerdo con los criterios
generales expedidos por el Instituto, mismos que
que vencía el plazo para emitir los serán publicados en el Diario Oficial de la Federación,
avisos de privacidad). bajo los cuales podrán utilizarse los medios que se
establecen en el artículo 35 del presente Reglamento.
2. Exista una imposibilidad de dar a
Los casos que no actualicen los criterios generales
conocer a cada titular el aviso de emitidos por el Instituto requerirán la autorización
privacidad o que la puesta a disposición expresa de éste, previo a la instrumentación de la
medida compensatoria, de conformidad con el
del mismo a cada uno de los titulares procedimiento establecido en los artículos 33 y 34 del
presente Reglamento.”
54
Guía del INAI, pág. 6. 56
Ya citada. Pág. 7.
 “i. Nombre, denominación o razón social x. Antigüedad de los datos personales
1. Los datos personales se hayan del responsable que promueve la solicitud; (por ejemplo, del 5 de mayo de 2010 al
obtenido –ya sea de manera ii. En su caso, nombre del representante del 15 de agosto de 2012);
personal o directa de los titulares, o responsable; xi. Indicar si existe o no contacto con los
bien de manera indirecta-, con iii. Copia simple de la identificación oficial titulares;
fecha posterior al 6 de julio de del responsable y, en su caso, de su xii. Capacidad económica del
2011, ya que a partir de dicha fecha representante, y original para su cotejo; responsable;
los responsables están obligados a iv. En su caso, copia simple del documento xiii. Tipo de medida compensatoria que
emitir los avisos de privacidad. que acredite la representación del pretende aplicar, según los medios que
2. La finalidad para la que trata los responsable y original para su cotejo; prevé el artículo 35 del RLFPDPPP;
datos personales en la actualidad v. Domicilio para oír y recibir notificaciones; xiv. Periodo de publicación de la medida
NO sea igual, análoga o compatible vi. Nombre de las personas autorizadas compensatoria,
con aquélla para la cual, en su para recibir notificaciones; xv. Texto del aviso de privacidad
momento, se recabaron los datos vii. Descripción del tratamiento que se propuesto para la medida
personales. efectúa con los datos personales compensatoria, y
3. Se requiera el consentimiento del (finalidad, tipo de datos tratados, xvi. Documentos que el responsable
titular, en aquellos casos en que el transferencias que se realizan, considere necesarios presentar ante el
tratamiento involucre datos particularidades de los titulares, entre Instituto.”
personales sensibles. ellas, edad, ubicación geográfica, nivel A la solicitud de autorización, como indica la
educativo y socioeconómico, entre Guía del INAI, se deben anexar los siguientes
La solicitud de autorización se otros); documentos57:
presentará al INAI mediante escrito libre que, viii. Causas o justificación de la
conforme al artículo 33 del Reglamento de la imposibilidad de dar a conocer el aviso 1. Copia de la identificación oficial que
LFPDPPP y como indica la Guía del INAI, deberá de privacidad a los titulares o el acredite la personalidad del
contener los siguientes aspectos: esfuerzo desproporcionado que esto responsable (persona física) y, en su
exige;
ix. Número de titulares afectados; 57
Véase la pregunta o apartado 8, en la página 8 de la
citada Guía.
 caso, de su representante legal, así implementación de las medidas
como el original para su cotejo. compensatorias propuestas.
2. En caso de que sea el representante
legal quien realice el trámite, éste Gráficamente, el proceso sería de la
deberá presentar copia del siguiente forma:
documento que acredite la
representación del responsable, así
como el original para su cotejo.
3. Documentos que el responsable Evalúa la solicitud
considere necesarios presentar ante
el Instituto. DGA
Si es procedente, el
Propone a la Secretaría el Secretario autoriza la
Una vez presentada la solicitud ante el proyecto de solicitud implementación de las
medidas compensatorias
INAI, se seguirá el siguiente proceso:

1. La Dirección General de Por lo que se refiere al plazo para resolver Durante los cuatro (4) días siguientes a la
Autorregulación (DGA), que está sobre la solicitud, como se explica en la Guía del presentación de la solicitud se podrá prevenir al
adscrita a la Secretaría de INAI, será de “10 días hábiles siguientes a la responsable, en cuyo caso éste tendrá cinco (5)
Protección de Datos Personales del recepción de la solicitud de medida días hábiles, contados desde la fecha en que
INAI: compensatoria para emitir la resolución surta efectos la prevención, y si no respondiera,
a. Evalúa la solicitud de correspondiente. Este plazo se puede ampliar la solicitud se desechará. La prevención
autorización y por 5 días hábiles en términos del artículo 31 de suspende el plazo para que el INAI emita su
b. Propone a la Secretaría el la Ley Federal de Procedimiento determinación, reanudándose dicho plazo “a
proyecto de resolución, Administrativo.” 58
partir del día hábil siguiente a aquél en la que
2. En caso de resultar procedente, el ésta se conteste”, como indica la Guía del INAI.
Secretario autoriza la

58
Guía del INAI. Pág. 9.
3.6 Principio de calidad específicamente vinculado con la veracidad y cuando el expediente médico contiene
exactitud en la que se mantienen los datos todos los documentos clínicos e
3.6.1 Concepto personales” información que debe estar integrada al
Es decir, como indica la Guía del INAI, ya mismo.
La calidad de los datos personales, como mencionada, el principio de calidad implica que, • Los datos personales son pertinentes
principio, significa que éstos “deben ser “conforme a la finalidad o finalidades para las cuando corresponden efectivamente al
correctos, exactos y completos y estar que se vayan a tratar los datos personales” , los
61
titular. Por datos del adeudo son
actualizados según sea necesario con respecto a datos personales tratados sean exactos, pertinentes cuando corresponden al
los fines para los cuales se hayan recopilado”, tal completos, pertinentes, actualizados y deudor y no a una homonimia.
y como indica, entre otros, el informe del CJI de correctos. Y esto significa, a su vez, que: • Los datos están actualizados cuando están
la OEA59. al día y corresponden a la situación real
Al respecto, también los Estándares “• Los datos personales son exactos cuando del titular. Por ejemplo, el número
Internacionales sobre Protección de Datos reflejan la realidad de la situación de su telefónico que se tiene registrado en la
Personales y Privacidad indican, en el apartado titular, es decir, son verdaderos o fieles. base de datos está actualizado cuando,
1, del artículo 9, que “los datos de carácter Por ejemplo, un dato no sería exacto si se efectivamente, corresponde al titular con
personal sean exactos, así como que se registra en la base de datos que una el que está vinculado.
mantengan tan completos y actualizados como persona cuenta con Doctorado en • Los datos personales son correctos cuando
sea necesario para el cumplimiento de las derecho, si el título que en realidad tiene cumplen con todas las características
finalidades para las que sean tratados.” es una Maestría en derecho. anteriores, es decir, son exactos,
Específicamente, el Dictamen con proyecto • Los datos personales están completos completos, pertinentes y actualizados.”
de Decreto por el que se expide la LFPDPPP se cuando no falta ninguno de los que se
refiere a este principio como que “refleje requiera para las finalidades para las
realmente de forma fiel, la realidad de la cuales se obtuvieron y son tratados, de
información tratada.”60 Y también indica que forma tal que no se cause un daño o
este principio “ha de entenderse perjuicio al titular. Por ejemplo, los datos
de salud del titular están completos
59
Pág. 9 del informe ya citado.
60
Ya mencionado. Pág. 31. 61
Pág. 58.
3.6.2 Importancia y utilidad características, a fin de que no se altere la Calidad de los datos personales
veracidad de la información, ni que ello tenga
Datos Se presume que los datos
El principio de calidad de los datos personales es como consecuencia que el titular se vea
personales personales son exactos,
otro de los principios fundamentales, ya que afectado por dicha situación.”63
obtenidos completos, pertinentes,
como indica el informe del CJI de la OEA “es Y adoptar estas medidas implica que el
directamente del correctos y actualizados
importante para la protección de la privacidad”, responsable del tratamiento tenga que adoptar
titular cuando los proporciona
ya que si los datos personales no respondiesen e implementar medida para asegurar que los
directamente el titular, y
efectivamente a este principio, se vulneraría el datos personales que trata, en cualquier fase del
hasta en tanto éste no
derecho a la protección de datos personales de tratamiento y a lo largo de todo el ciclo de vida
manifieste y acredite lo
su titular. del tratamiento, reúnan las características ya
contrario, o bien, el
Como indica el Dictamen con proyecto de señaladas (ser exactos, completos, pertinentes,
responsable cuente con
Decreto por el que se expide la LFPDPPP, en la actualizados y correctos). Al respecto, se debe
evidencia que lo contradiga.
práctica, este principio: “conlleva un doble prestar también atención al momento mismo de
Datos En estos casos, se deben
esfuerzo para los particulares responsables: por obtener o recabar los datos personales,
personales adoptar medidas razonables
un lado deberán asegurarse en el momento de la distinguiendo los supuestos en los que los datos
obtenidos para que los datos
recogida de la información, sobre todo cuando personales sean obtenidos directa o
indirectamente personales contenidos en las
la misma no procede directamente del titular, de indirectamente del titular.
bases de datos sean exactos,
que aquella resulta exacta y actualizada; por Es así que, en virtud de la normatividad
completos, pertinentes,
otro debería, siempre que ello sea posible, mexicana sobre protección de datos personales,
actualizados y correctos.
adoptar las medidas razonables para que la en relación con el principio de calidad y
información responda a esa veracidad mientras considerando si se han obtenido directa o
persiste en su tratamiento.” 62
indirectamente del titular los datos personales,
Es decir, conforme a lo indicado en la Guía del es posible indicar lo siguiente:
INAI “[e]l responsable debe adoptar las medidas
que considere convenientes para procurar que
los datos personales cumplan con estas

62
Páginas 31 y 32 del Dictamen. 63
Pág. 59.
3.6.3 Plazos de conservación de los preguntarse “¿Cuánto tiempo puedo conservar + periodo de bloqueo.
datos personales los datos personales?”, ante lo que cabe
considerar que: En algunos casos estos tres tiempos o plazos
En cuanto a la conservación de los datos pueden coincidir.”
personales, las Directrices para la armonización “El plazo de conservación de los datos Por tanto, los plazos de conservación de los
de la protección de datos en la Comunidad personales no debe exceder el tiempo datos personales requieren tomar en cuenta los
Iberoamericana, indican que “[l]os datos estrictamente necesario para llevar a cabo diferentes casos que pueden darse en la práctica
deberán ser cancelados o convertidos en las finalidades que justificaron el y, esto implica que, requieren que el responsable
anónimos cuando hayan dejado de ser tratamiento, ni aquél que se requiera para del tratamiento adopte medidas para asegurar
necesarios para el cumplimiento de las cumplir con: el principio de calidad de los datos personales.
finalidades que justificaron su obtención y Lo ideal es que el responsable del tratamiento
tratamiento.” 64
• Las disposiciones legales aplicables en aplique una política de conservación de los
Los plazos de conservación de los datos la materia de que se trate; datos, pudiendo apoyarse además en el uso de
personales pueden depender del • Los aspectos administrativos, herramientas tecnológicas de control en el
consentimiento del titular de los datos contables, fiscales, jurídicos e históricos tratamiento de los datos personales.
personales, el cumplimiento de una obligación de la información, y
contractual o legal así como de que los datos • El periodo de bloqueo. 3.6.4 Procedimiento para conservación,
personales dejen de cumplir con el principio de bloqueo y supresión de los datos
calidad puestos en conexión con la finalidad Entonces tenemos que: personales y prueba de su cumplimiento
para la que son tratados o su exactitud en
relación con la persona a la que se refieren. Plazo de conservación Para garantizar la calidad de los datos
La calidad de los datos personales implica = Tiempo requerido para llevar personales a lo largo de su ciclo de vida, es decir,
también que el responsable tenga que adoptar a cabo las finalidades del tratamiento desde que se recaban hasta que se suprimen
medidas para asegurar que ésta se cumple a lo + plazos legales, finalmente, es necesario, si la obligación está
largo del ciclo de vida de su tratamiento, de administrativos, contables, prevista en la normativa aplicable, y
manera que, como hace la Guía del INAI, cabe fiscales, jurídicos e históricos conveniente, en cualquier caso, que el
aplicables responsable adopte un procedimiento,
64
Pág. 14.
documentado, para gestionar la conservación, el que el tratamiento únicamente sea llevado a establecido en el apartado 3 de estas
bloqueo y la supresión de los datos personales. cabo en el ámbito de finalidades determinadas, directrices.”65
Al estar documentado, pudiendo adoptar explícitas y legítimas relacionadas con la
múltiples formas, como por ejemplo la adopción actividad del responsable. Junto con esta regla La Guía del INAI se refiere también a este
e implementación de una política u otras general, se ha venido reconociendo la principio indicando que “[s]e entiende por
normas internas en materia de protección de posibilidad de proceder a este tratamiento para finalidad del tratamiento, el propósito, motivo o
datos personales, el responsable podrá probar otros fines, siempre que los mismos no sean razón por el cual se tratan los datos
que ha adoptado medidas al respecto. Y incompatibles con los que motivaron el personales.” 66

mediante la realización de auditorías u otras tratamiento inicial del dato.” Por tanto, la finalidad del tratamiento de los
evaluaciones, internas o externas, se podrá Se trata también de un principio clave en datos personales es el uso que se va a dar los
probar, en su caso, cómo funciona este protección de datos personales, mismos, pudiendo distinguir, como veremos,
procedimiento. interrelacionado con otros principios, entre finalidades primarias y secundarias. En
En cualquier caso, se trata de asegurar, a especialmente los de información, cualquier caso, la finalidad tiene que estar
través del correspondiente procedimiento, la consentimiento y calidad. determinada, ser explícita y legítima, lo que
protección de los datos personales, de manera Al respecto, las Directrices para la implica también que este principio esté
que se respete así el derecho a la protección de armonización de la protección de datos en la relacionado con los de licitud y lealtad.
datos personales de su titular. Comunidad Iberoamericana, indican que:
3.7.2 Importancia y utilidad
3.7 Principio de finalidad “los datos únicamente podrán ser
recabados y tratados para el cumplimiento Desde un punto de vista práctico, conforme a la
3.7.1 Concepto de las finalidades determinadas, explícitas y Guía del INAI, es necesario prestar atención
legítimas relacionadas con la actividad de tanto a la finalidad del tratamiento de los datos
El Dictamen con proyecto de Decreto por el que quien los trate. personales, en sí misma, y también a cómo se
se expide la LFPDPPP se refiere a este principio No podrán ser tratados para fines redacta en su caso el correspondiente aviso de
indicando que “[l]a manifestación esencial de la distintos de aquéllos que motivaron su privacidad. Es así que:
protección de la privacidad en relación con el obtención a menos que exista legitimación
tratamiento de los datos personales se funda en suficiente para ello, conforme a lo 65
Pág. 14.
66
Pág. 52 de la Guía, ya citada.
 “La finalidad o finalidades del tratamiento de
datos personales deberán ser determinadas, es
decir, deberán especificar para qué objeto se
tratarán los datos personales de manera clara,
sin lugar a confusión y con objetividad. Un
ejemplo de una finalidad determinada es
cuando una tienda departamental, para prestar
su servicio de compra en línea, señala que las
finalidades del tratamiento de los datos
personales que solicita son i) para verificar la
identidad del cliente; ii) realizar el cobro
respectivo, y iii) enviar el pedido solicitado a la
dirección que el cliente proporciona.
En ese sentido, el responsable deberá evitar
que las finalidades que describa en el aviso de
privacidad sean inexactas, ambiguas o vagas,
como “de manera enunciativa más no
limitativa”, “entre otras finalidades”, “otros fines
análogos”, “por ejemplo” o “entre otros”. Por
ejemplo:
√ Correcto: Sus datos personales serán
tratados con la finalidad de darle la atención
médica que solicita, realizarle los estudios y
análisis que requiere, así como para el cobro y
facturación de los servicios médicos.
Х Incorrecto: Sus datos personales
serán tratados con la finalidad de darle la
atención médica que solicita, realizarle los
estudios y análisis que requiere, para el cobro y
facturación de los servicios médicos, entre otros
fines análogos.” 67
Otra cuestión a considerar en la práctica,
como apunta la Guía del INAI, es la razón o
motivo de distinguir entre ambos tipos de
finalidades. Al respecto, la citada
mencionando el Reglamento de la LFPDPPP,
indica que “el titular de los datos personales
puede negar o revocar su consentimiento, así
como oponerse para el tratamiento de sus datos
personales para las finalidades secundarias, sin
que ello tenga como consecuencia la conclusión
del tratamiento para las finalidades primarias.”68
3.7.3 Finalidad primaria
La Guía del INAI, siguiendo la normatividad
sobre protección de datos personales en
posesión de los particulares, se refiere la
finalidad primaria como “aquéllas que dan
origen y son necesarias para la relación jurídica
67
Guía del INAI, pág. 52.
68
Pág. 53.
entre el titular y el responsable, a las cuales
identificamos como primarias”.
La finalidad primaria puede ser desde el uso
de los datos personales para cumplir con un
contrato, que consista, por ejemplo, en la
prestación de un servicio, hasta el cumplimiento
de una obligación legal.
Es, por lo tanto, la necesidad de dicho
tratamiento de datos personales la que va a
Guía, servir como parámetro para determinar si una
finalidad es primaria o secundaria. En el
siguiente apartado se expone qué se entiende
por finalidad secundaria así como algunos
ejemplos prácticos que sirven para diferenciar
finalidades primarias y secundarias.
3.7.4 Finalidad secundaria
Si la finalidad primaria es aquella que da origen
e implica la necesidad del tratamiento de datos
personales para la relación jurídica, ya sea la
fuente de la obligación legal o contractual, las
demás finalidades serán secundarias. Por
ejemplo, una finalidad secundaria clara es el uso
de los datos personales para el envío de
publicidad.
 A modo de ejemplo, la Guía del INAI indica que 3.7.5 Tratamiento se somete a consideración, en aquellos
las siguientes son finalidades secundarias o supuestos en los que no se produce tal
accesorias : 69
El hecho de que los datos personales puedan compatibilidad.”70
utilizarse, en su caso, para finalidades primarias Al tratamiento de los datos personales hay
“• Una persona proporciona sus datos y secundarias, implica que haya que considerar que atender también a las finalidades distintas,
personales a una universidad para que le también al concepto de compatibilidad, el cual con respecto a lo que la Guía del INAI indica que:
preste un servicio educativo y, a su vez, la es explicado por el Dictamen con proyecto de “Es importante que el responsable tome en
universidad desea utilizar estos datos para Decreto por el que se expide la LFPDPPP de la consideración que no se pueden llevar a cabo
invitarla a los eventos anuales que realiza. siguiente manera: tratamientos para finalidades distintas que no
En este caso, la finalidad primaria es la “a los efectos de la aplicación de esta ley ha resulten compatibles o análogas con aquéllas
relacionada con la prestación del servicio de ser necesariamente indeterminado, dado que para las que se hubiese recabado de origen los
educativo, en tanto que la finalidad resulta imposible determinar a priori cuándo datos personales y que hayan sido previstas en
secundaria o accesoria es la relacionada existe o no la misma. Dicho esto, una el aviso de privacidad, a menos que:
con la invitación a los eventos anuales. interpretación razonable permite concluir que • Lo permita de forma explícita una ley o
no sería posible restringir el principio reglamento, o
• Una persona proporciona sus datos considerando prohibida la utilización de datos • El responsable haya obtenido el
personales a una compañía de para ninguna finalidad distinta de la que motivó consentimiento para el nuevo tratamiento.”
telecomunicaciones para que le preste el el tratamiento, pero tampoco sería acorde con la
servicio de telefonía local y, a su vez, la protección que se pretende, el conferir una Como conclusión, y siguiendo de nuevo la
compañía desea utilizar los datos de interpretación extensiva que considere que toda Guía del INAI, cabe señalar que “el responsable
finalidad primaria es la relacionada con la la actividad de un responsable puede tiene las siguientes obligaciones en torno al
prestación del servicio de telefonía, en considerarse compatible con la parte de la principio de finalidad:
tanto que la finalidad secundaria o misma que dio lugar al tratamiento. En todo
accesoria es la relacionada con la caso, la aplicación de esta regla impone al 1. Tratar los datos personales
promoción de los servicios de televisión por responsable la necesidad de encontrar únicamente para la finalidad o
cable e Internet.” legitimado el tratamiento de los datos con finalidades que hayan sido informadas
arreglo a los principios contenidos en la ley que
69
Págs. 52 y 53 70
Pág. 32 del Dictamen, ya citado.
 al titular en el aviso de privacidad y, en 7. Tratar los datos personales para Al respecto, la versión final del Dictamen con
su caso, consentidas por éste; finalidades distintas que no resulten proyecto de Decreto por el que se expide la
2. Informar en el aviso de privacidad compatibles o análogas con aquéllas LFPDPPP73 explica este principio indicando que
todas las finalidades para las cuales se para las que se hubiese recabado de “implica que el tratamiento de los datos
tratarán los datos personales, y origen los datos personales y que personales debe llevarse a cabo de forma leal y
redactarlas de forma tal que sean hayan sido previstas en el aviso de lícita; es decir, con pleno cumplimiento de la
determinadas; privacidad, al menos que lo permita legalidad y respeto de la buena fe y los derechos
3. Identificar y distinguir en el aviso de una ley o reglamento, o se obtenga el del individuo, cuya información es sometida a
privacidad entre las finalidades consentimiento del titular de los tratamiento.”
primarias y secundarias; datos.” 71
Es decir, es necesario que todo tratamiento de
4. Ofrecer al titular de los datos datos personales, a lo largo del ciclo de vida de
personales un mecanismo para que 3.8. Principio de lealtad los datos personales, en todas las fases de su
pueda manifestar su negativa al tratamiento, sea lícito, cumpliendo con las
tratamiento de sus datos personales 3.8.1 Concepto condiciones aplicables. Lo contrario
para todas o algunas de las finalidades determinaría que el tratamiento fuese ilícito, por
secundarias; El principio de lealtad está vinculado con el de incumplir con los principios y/o deberes
5. Cuando el aviso de privacidad se dé a licitud o principio de lealtad y legalidad. aplicables y exigibles a quienes tratan los datos
conocer a través de un medio Como indica la Guía del INAI para cumplir con personales, lo cual podría dar lugar, en su caso,
indirecto, como el correo postal, los principios y deberes de la LFPDPPP72 “[l]os a la exigencia de responsabilidad.
informar al titular que tiene cinco días datos personales tienen que ser tratados por el
hábiles para manifestar su negativa responsable de manera lícita y leal, lo que 3.8.2 Importancia y utilidad
para el tratamiento de su información supone que tiene que actuar con apego a las
para finalidades secundarias; leyes en general y en lo particular a la La versión final del Dictamen con proyecto de
6. No condicionar el tratamiento para normatividad sobre protección de datos Decreto por el que se expide la LFPDPPP74 indica
finalidades primarias, a que se puedan personales.” que el principio de licitud “se traduce en la
llevar a cabo las finalidades
secundarias; 71
Guía ya citada, págs. 53 y 54. 73
Ya citado. Pág. 29.
72
Ya mencionada. 74
Véase la nota pie de página anterior.
prohibición de cualquier tratamiento que
implique recabar o conservar los datos mediante
la utilización de engaño o fraude, de forma que
el individuo no pueda conocer con propiedad los
términos y condiciones vinculados a ese
tratamiento.”
Si se incumple con el principio de licitud, los
datos personales tendrían que cancelarse, ya
que su tratamiento sería ilícito lo que supone
que se vulnere el derecho a la protección de
datos personales de su titular. Y ello sin perjuicio
de que fuera exigible la responsabilidad
correspondiente por el incumplimiento que, en
su caso, se haya producido.
En este sentido, la licitud del tratamiento
implica también que tengan que cumplirse las
condiciones aplicables y exigibles a todo
tratamiento, lo que supone que este principio
esté interrelacionado con otros principios como
los de información, consentimiento, calidad, etc.
Por tanto, la licitud tiene que asegurarse por
quien trata los datos personales en todo
momento, evitando así posibles
incumplimientos que pudieran dar lugar a la
exigencia de responsabilidad por un tratamiento
ilícito de los datos personales.
3.9. Principio de proporcionalidad decisorias determinen si una medida ha ido más
allá de lo que se requiere para alcanzar una
3.9.1 Concepto meta legítima y si los beneficios alegados
excederán los costos previstos.”
El principio de proporcionalidad, como explica el Los Estándares Internacionales sobre
informe del CJI de la OEA relacionándolo con la Protección de Datos Personales y Privacidad, a
necesidad y minimización del tratamiento de los los que ya se ha hecho referencia, incluyen, en su
datos personales, implica que quienes tratan artículo 8, este principio de proporcionalidad,
datos personales los deben usar “solamente de indicando que:
una forma acorde con los fines expresos de la
recopilación; por ejemplo, cuando sean “1. El tratamiento de datos de carácter
necesarios para proporcionar el servicio o el personal deberá circunscribirse a aquéllos
producto solicitado por la persona. Asimismo, que resulten adecuados, relevantes y no
los recopiladores y procesadores de datos deben excesivos en relación con las finalidades
seguir un criterio de “limitación” o previstas en el apartado anterior.
“minimización”, de acuerdo con el cual deben 2. En particular, la persona responsable
hacer un esfuerzo razonable para cerciorarse de deberá realizar esfuerzos razonables para
que los datos personales que manejen limitar los datos de carácter personal
correspondan al mínimo requerido para el fin tratados al mínimo necesario.”
expreso.”75 Por su parte, la versión final del Dictamen
En particular, el CJI menciona, a continuación, con proyecto de Decreto por el que se expide
que “[e]n algunos sistemas jurídicos se usa el la LFPDPPP indica que “se encuentra
concepto de “proporcionalidad” para hacer directamente relacionado con el de
referencia al equilibrio de valores en pugna. La finalidad.” 76
proporcionalidad requiere que las instancias
75
Pág. 10. 76
Página 33 del citado Dictamen.
 Y explica también, a continuación, que “[l]a
exigencia al responsable de únicamente tratar
datos proporcionales para la finalidad para la
que se obtuvieron ha sido analizada por los
distintos derechos regionales o nacionales desde
dos perspectivas distintas, aunque
complementarias: Por una parte, los datos sólo
deberían ser los adecuados o necesarios para la
finalidad que justifica el tratamiento (principio
de proporcionalidad en sentido estricto); por
otra, quien procede al tratamiento de los datos
deberá analizar las finalidades que justifican el
tratamiento, de modo que sólo debería tratar la
mínima cantidad de información necesaria para
conseguir la finalidad perseguida (principio de
minimización).
Sobre este principio, las Directrices para la
armonización de la protección de datos en la
Comunidad Iberoamericana, indican que “[s]ólo
podrán ser sometidos a tratamiento los datos
que resulten adecuados, pertinentes y no
excesivos en relación con las finalidades a las
que se refiere el punto anterior.” 77
77
Pág. 14.
3.9.2 Importancia y utilidad tratamiento de los datos a realizar el mismo de
En la práctica, según indica el CJI de la OEA, este forma anonimizada o disociada.”
principio implica que “[d]e acuerdo con estos Es así que, como ejemplo práctico,
principios, los conceptos de “necesidad” y atendiendo a la normatividad mexicana sobre
“proporcionalidad” imponen limitaciones protección de datos personales, el principio de
generales al uso, lo cual significa que los datos proporcionalidad puede presentarse
personales solo deben usarse para cumplir los gráficamente de la siguiente forma : 78
propósitos de la recopilación excepto con el
consentimiento de la persona cuyos datos
personales se recopilen o cuando sea necesario
para proporcionar un producto o servicio
solicitado por la persona.
No obstante, en los principios se reconoce que
el campo de la gestión y el procesamiento de
datos están evolucionando continuamente
desde el punto de vista tecnológico. En
consecuencia, debe entenderse que este
principio abarca una medida razonable de
flexibilidad y adaptabilidad.”
También, el Dictamen con proyecto de
Decreto por el que se expide la LFPDPPP indica
que “el tratamiento de los datos de forma que
únicamente sean objeto de aquél los mínimos
datos necesarios para la finalidad que lo
justifica. La segunda consecuencia de la
aplicación de este principio será que deberá
tenderse siempre que sea posible en el
78
Recio Gayo, Miguel. Op. cit. Pág. 41.
 Aspecto Art(s). Previsión normativa
Proporcionalidad de 11 de la LFPDPPP y 45 Los datos personales deberán ser:
los datos personales del Reglamento — Pertinentes para los fines para los
cuales fueron recabados;
— Necesarios, adecuados y relevantes en
relación con las finalidades para las
que hayan sido obtenidos.
Criterio de 46 del Reglamento El responsable deberá esfuerzos razonables para
minimización limitar al mínimo los datos personales que serán los
que sean necesarios de acuerdo con la finalidad del
tratamiento.

3.10. Principio de responsabilidad
3.10.1 Concepto
El informe del CJI de la OEA79 incluye entre sus
principios también el de responsabilidad80, sobre
el que indica, con carácter general, que “[l]os
controladores de datos adoptarán
implementarán las medidas correspondientes
para el cumplimiento de estos principios”, de
forma que la “responsabilidad” de quien trata
los datos personales es fundamental para “[l]a
79
Ya citado.
80
Véanse las páginas 17 y 18 del citado informe.
protección efectiva de los derechos individuales A nivel internacional, en cuanto a la definición
de protección de la privacidad y de los datos”. A de este concepto, debe hacerse referencia al
continuación, incide en el hecho de que este Grupo de Trabajo del artículo 29 de la Directiva
principio: 95/46/CE81, que ha tratado este principio en su
“requiere el establecimiento de metas
apropiadas en lo que se refiere a la
81
Creado en virtud del citado artículo de la Directiva
95/46/CE del Parlamento Europeo y del Consejo, de 24
e protección de la privacidad, a las cuales los de octubre de 1995, relativa a la protección de las
controladores de datos (organizaciones y personas físicas en lo que respecta al tratamiento de
datos personales y a la libre circulación de estos
otras entidades) deben adherirse,
datos, como un grupo consultivo e independiente
permitiéndoles determinar las medidas más que, conforme al apartado 2 de dicho artículo, “estará
apropiadas para alcanzar esas metas y vigilar compuesto por un representante de la autoridad o de
las autoridades de control designadas por cada
su cumplimiento.” Estado miembro, por un representante de la
autoridad o autoridades creadas por las instituciones
y organismos comunitarios, y por un representante de
Dictamen 3/2010 sobre el principio de
responsabilidad (WP 173) indicando sobre este
82
la Comisión.” Y el artículo 30 de la Directiva le confiere
las siguientes atribuciones:
“a) estudiar toda cuestión relativa a la
aplicación de las disposiciones nacionales
tomadas para la aplicación de la presente
Directiva con vistas a contribuir a su
aplicación homogénea;
b) emitir un dictamen destinado a la
Comisión sobre el nivel de protección
existente dentro de la Comunidad y en los
países terceros;
c) asesorar a la Comisión sobre cualquier
proyecto de modificación de la presente
Directiva, cualquier proyecto de medidas
adicionales o específicas que deban
adoptarse para salvaguardar los derechos y
libertades de las personas físicas en lo que
respecta al tratamiento de datos personales,
así como sobre cualquier otro proyecto de
medidas comunitarias que afecte a dichos
derechos y libertades;
d) emitir un dictamen sobre los códigos de
conducta elaborados a escala comunitaria.”
La Directiva 95/46/CE fue publicada en el Diario Oficial
de la Unión Europea L 281, de 23 de noviembre de
1995. Disponible en el vínculo electrónico http://eur-
lex.europa.eu/legal-
content/ES/TXT/?qid=1443980796448&uri=CELEX:3199
5L0046
82
Adoptado el 13 de julio de 2010 y disponible en
http://ec.europa.eu/justice/data-protection/article-
29/documentation/opinion-
recommendation/files/2010/wp173_es.pdf
término que “proviene del mundo anglosajón
donde es de uso general y donde se da una
comprensión ampliamente compartida de su
significado, aunque la definición exacta de
«responsabilidad» resulta compleja en la
práctica. Pero de forma general, el término
apunta sobre todo al modo en que se ejercen las
competencias y al modo en que esto puede
comprobarse. Competencia y responsabilidad
son dos caras de la misma moneda y sendos
elementos esenciales de la gobernanza. Solo
cuando la responsabilidad funciona en la
práctica puede desarrollarse la confianza
suficiente.” 83
Además, el Dictamen apunta que, en la
práctica, se utilizan también “otras palabras
para recoger el sentido de responsabilidad,
como son «competencia reforzada», «garantía»,
«fiabilidad», fiabilidad» o, en español,
«obligación de rendir cuentas», etc. Puede
también sugerirse que la responsabilidad se
refiere a la «aplicación de principios de
protección de datos».” 84
La responsabilidad se refiere, por tanto, a “las
medidas que pudieran adoptarse o preverse
83
Apartado 21 del citado Dictamen. Pág. 8.
84
Apartado 22 del Dictamen. Pág. 8.
para garantizar la observancia en materia de
protección de datos.”85
Por establecer un punto de partida en cuanto
a la inclusión y reconocimiento de este principio
en instrumentos internacionales sobre
protección de datos personales, el Dictamen del
Grupo de Trabajo del artículo 29 de la Directiva
95/46/CE menciona que “el principio de
responsabilidad no es exactamente nuevo. Su
reconocimiento expreso figura en las directrices
sobre privacidad adoptadas en 1980 por la
Organización de Cooperación y Desarrollo
Económicos (OCDE). El principio de
responsabilidad de estas reza así: «Todo
responsable de datos debería ser responsable de
cumplir con las medidas que hagan efectivos los
principios [materiales] expuestos».”86
Cabe señalar que las directrices de la OCDE
fueron revisadas, publicándose una versión
actualizada en 2013, y precisamente una de las
cuestiones en las que se ha centrado la revisión
ha sido en este principio de responsabilidad al
referirse a la implementación práctica de
medidas para proteger la privacidad a través de
85
Apartado 23 del Dictamen. Pág. 8.
86
Dictamen ya citado. Pág. 7.
una aproximación basada en la gestión del
riesgo (en inglés risk management) . 87
Al respecto, la Guía para la implementación
del Principio de Responsabilidad Demostrada
(Accountability) , publicada en 2015 por la
88
Delegatura para la protección de datos
personales de Colombia , indica que:
89
“Las guías de la OCDE recogen un principio
fundamental conocido como responsabilidad
demostrada (accountability en inglés), según
el cual una entidad que recoge y hace
tratamiento de datos personales debe ser
responsable del cumplimiento efectivo de las
medidas que implementen los principios de
privacidad y protección de datos.
La versión de 2013 de las guías, que en lo
sustancial no hizo cambios a los principios
87
Las Directrices actualizadas, en su versión de 2013,
así como una guía explicativa, pueden verse, en
inglés, en el vínculo electrónico
http://www.oecd.org/sti/ieconomy/oecd_privacy_fra
mework.pdf
88
Disponible en
http://www.sic.gov.co/drupal/noticias/guia-para-la-
implementacion-del-principio-de-responsabilidad-
demostrada
89
Sobre la que puede verse más información en
http://www.sic.gov.co/drupal/delegatura-para-la-
proteccion-de-datos-personales
que allí se habían incluido en 1980, sí
estableció un nuevo aparte
implementación del principio
responsabilidad demostrada. En ese sentido,
y según lo dispuesto por las guías, los
Responsables del Tratamiento deben contar
con un Programa Integral de Gestión de
Datos Personales y estar preparados para
demostrarle a la autoridad
implementación efectiva de esas medidas en
la organización.” 90
3.10.2 Importancia y utilidad
De nuevo, hay que mencionar el informe del CJI
de la OEA que sobre las implicaciones del
principio de responsabilidad, indica que los
principios de la protección de datos personales
“dependen de la capacidad de quienes
recopilan, procesan y retienen datos personales
para tomar decisiones responsables, éticas y
disciplinadas acerca de los datos y su uso
durante todo el “ciclo de vida” de los datos.
Estos “gerentes de datos” deben actuar en
calidad de “buen custodio” de los datos que les
proporcionen o confíen.”
90
Véase la Guía en la página 5.
Y también indica que “[e]n los programas y
sobre procedimientos se deben tener en cuenta la
de índole de los datos personales en cuestión, el
tamaño y la complejidad dela organización que
recopila, almacena y procesa los datos, y el
riesgo de violaciones. La protección de la
privacidad depende de una evaluación creíble
de los riesgos que el uso de datos personales
la podría plantear para las personas y la mitigación
responsable de esos riesgos.”
Citando de nuevo el Dictamen del Grupo de
Trabajo del artículo 29 de la Directiva 95/46/CE,
este principio “requeriría expresamente que los
responsables del tratamiento de datos aplicaran
medidas adecuadas y eficaces para poner en
práctica los principios y obligaciones de la
Directiva y demostrar este extremo cuando se les
solicitara. En la práctica, ello se traduciría en
programas modulables tendentes a ejecutar los
principios de protección vigentes (a veces
llamados «programas de cumplimiento»). Como
complemento al principio, podrían establecerse
requisitos adicionales tendentes a implantar
garantías de protección de datos o a garantizar
su eficacia. Un ejemplo sería una disposición por
la que se exigiera llevar a cabo una evaluación
de impacto sobre la privacidad para operaciones
de tratamiento de datos de mayor riesgo.” 91
Al principio de responsabilidad hacen también
referencia los Estándares Internacionales sobre
Protección de Datos Personales y Privacidad en 92
su artículo 11, que indica:
“La persona responsable deberá:
a. adoptar las medidas necesarias para
cumplir con los principios y obligaciones
establecidos en el presente Documento y en
la legislación nacional aplicable, y
b. dotarse de aquellos mecanismos
necesarios para evidenciar dicho
cumplimiento, tanto ante los interesados
como ante las autoridades de supervisión en
el ejercicio de sus competencias, conforme a
lo establecido en el apartado 23.”
Sobre el principio de responsabilidad, el
Dictamen con proyecto de Decreto por el que se
expide la LFPDPPP indica que “debe entenderse
en el sentido de que corresponderá a la entidad
91
Véase el Dictamen ya citado en su párrafo 3. Pág. 4
92
Ya mencionados.
o persona responsable el deber de velar por el
cumplimiento de los principios y rendir cuentas
al titular en caso de incumplimiento.” 93
Y, a continuación, el citado Dictamen destaca
también que este principio de responsabilidad
“es la verdadera garantía para el titular de los
datos quien deposita su confianza en el
responsable, mismo que deberá tomar todas las
previsiones para que los datos sean tratados de
acuerdo con la voluntad del dueño de la
información y bajo las medidas de seguridad que
se prevean por la vía contractual.”
Es así que, en la práctica, como termina
indicando el Dictamen, el principio
responsabilidad implica que “dado que existe un
tráfico de datos intenso y en muchas ocasiones
este se da fuera de las fronteras de nuestro país,
el ciudadano tendrá la tranquilidad de que si su
información ha trascendido a manos de terceros
en otras latitudes, éste estará enterado de las
cautelas con que debe tratar su información.”
En relación con este principio, citando, de
nuevo, la Guía del INAI para cumplir con los
principios y deberes de la LFPDPPP, ésta indica
que este principio “cierra el círculo con relación
a los principios que regulan la protección de los
93
Dictamen ya citado, pág. 34.
datos personales. A este principio se le conoce
también como el principio de “rendición de
cuentas”, ya que establece la obligación de los
responsables de velar por el cumplimiento del
resto de los principios, adoptar las medidas
necesarias para su aplicación, y demostrar ante
titulares y la autoridad, que cumple con sus
obligaciones en torno a la protección de los
datos personales.”94
Por tanto, se trata de un principio
fundamental en materia de protección de datos
personales, siendo buena muestra de ello el
hecho de que también la Comisión Europea lo
de haya incluido en la propuesta de Reglamento
General de Protección de Datos que se tramita
actualmente95.
94
Guía y citada, pág. 65.
95
La iniciativa de la Comisión Europea, la Propuesta
de Reglamento del Parlamento Europeo y del Consejo
relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la
libre circulación de estos datos (Reglamento general
de protección de datos), COM(2012) 11 final, de 25 de
enero de 2012, introduce este principio en el artículo
22 lo que supone que dicho Reglamento “toma en
consideración el debate sobre un «principio de
responsabilidad» y describe pormenorizadamente la
obligación de responsabilidad del responsable del
tratamiento a la hora de cumplir el presente
Reglamento y de demostrar su observancia, incluso
mediante la adopción de políticas y mecanismos

internos que garanticen dicha conformidad.” El citado
artículo, en su versión original, indica lo siguiente:
“Artículo 22 Obligaciones del responsable
del tratamiento
1. El responsable del tratamiento adoptará
políticas e implementará medidas
apropiadas para asegurar y poder demostrar
que el tratamiento de datos personales se
lleva a cabo de conformidad con el presente
Reglamento.
2. Las medidas previstas en el apartado 1
incluirán, en particular:
a) la conservación de la documentación con
arreglo a lo dispuesto en el artículo 28;
b) la implementación de los requisitos en
materia de seguridad de los datos
establecidos en el artículo 30;
c) la realización de una evaluación de
impacto en relación con la protección de
datos con arreglo a lo dispuesto en el
artículo 33;
d) el cumplimiento de los requisitos en
materia de autorización o consulta previas
de la autoridad de control con arreglo a lo
dispuesto en el artículo 34, apartados 1 y 2;
e) la designación de un delegado de
protección de datos con arreglo a lo
dispuesto en el artículo 35, apartado 1.
3. El responsable del tratamiento
implementará mecanismos para verificar la
eficacia de las medidas contempladas en los
apartados 1 y 2. Siempre que no sea
desproporcionado, estas verificaciones
serán llevadas a cabo por auditores
independientes internos o externos.
4. La Comisión estará facultada para adoptar
actos delegados, de conformidad con lo
3.10.3 Medidas para su cumplimiento
A modo de ejemplo, en el caso de México, el
artículo 48 del Reglamento de la LFPDPPP, en
desarrollo del artículo 14 de la LFPDPPP96, indica
dispuesto en el artículo 86, a fin de
especificar cualesquiera otros criterios y
requisitos aplicables a las medidas
apropiadas contempladas en el apartado 1,
distintas de las ya mencionadas en el
apartado 2, las condiciones para los
mecanismos de verificación y auditoría
contemplados en el apartado 3 y el criterio
de proporcionalidad en virtud del apartado
3, y de considerar la adopción de medidas
específicas para las microempresas y las
pequeñas y medianas empresas.”
La versión inicial de la Propuesta de Reglamento
General de Protección de Datos puede consultarse en
http://eur-lex.europa.eu/legal-
content/ES/TXT/?qid=1443970930549&uri=CELEX:5201
2PC0011
96
Dicho artículo indica lo siguiente: “El responsable
velará por el cumplimiento de los principios de
protección de datos personales establecidos por esta
Ley, debiendo adoptar las medidas necesarias para su
aplicación. Lo anterior aplicará aún y cuando estos
datos fueren tratados por un tercero a solicitud del
responsable. El responsable deberá tomar las
medidas necesarias y suficientes para garantizar que
el aviso de privacidad dado a conocer al titular, sea
respetado en todo momento por él o por terceros con
los que guarde alguna relación jurídica.”
que, entre otras medidas “para garantizar el
debido tratamiento, privilegiando los intereses
del titular y la expectativa, el responsable del
tratamiento podrá adoptar las siguientes:
I. Elaborar políticas y programas de privacidad
obligatorios y exigibles al interior de la
organización del responsable;
II. Poner en práctica un programa de
capacitación, actualización y concientización
del personal sobre las obligaciones en materia
de protección de datos personales;
III. Establecer un sistema de supervisión y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
las políticas de privacidad;
IV. Destinar recursos para la instrumentación
de los programas y políticas de privacidad;
V. Instrumentar un procedimiento para que se
atienda el riesgo para la protección de datos
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos de
negocios, así como para mitigarlos;
VI. Revisar periódicamente las políticas y
programas de seguridad para determinar las
modificaciones que se requieran;
 VII. Establecer procedimientos para recibir y posesión de los particulares, se encuentran los basado en este estándar debe buscar la
responder dudas y quejas de los titulares de los siguientes: implementación de esas políticas y
datos personales; procedimientos, para lo cual, como primera
VIII. Disponer de mecanismos para el 1. Estándares; medida, se requiere contar con el compromiso
cumplimiento de las políticas y programas de 2. Mejores prácticas internacionales; de los sujetos obligados, derivado de una cultura
privacidad, así como de sanciones por su 3. Políticas corporativas; de respeto a la protección de datos personales
incumplimiento; 4. Esquemas de autorregulación, y que recoge o trata. En este sentido, la
IX. Establecer medidas para el aseguramiento 5. Otros mecanismos. organización, atendiendo a su tamaño y
de los datos personales, es decir, un conjunto estructura, así como al tipo de información
de acciones técnicas y administrativas que Al respecto, es también relevante la Guía para personal a la que le realiza tratamiento, debe
permitan garantizar al responsable el la implementación del Principio de comprometer recursos económicos y de
cumplimiento de los principios y obligaciones Responsabilidad Demostrada (Accountability) 98
personal una vez que decide emprender el
que establece la Ley y el presente Reglamento, de Colombia, que para la adopción de medidas camino hacia la implementación de un
o que permitan cumplir con el principio de Programa Integral de Gestión de Datos
X. Establecer medidas para la trazabilidad de responsabilidad explica la necesidad de que la Personales.”
los datos personales, es decir, acciones, organización, es decir, quien trata los datos Como parte de dicho programa y para
medidas y procedimientos técnicos que personales, implemente un Programa Integral implementar prácticas responsables en materia
permiten rastrear a los datos personales de Gestión de Datos Personales, indicando al de protección de datos personales, la Guía parte
durante su tratamiento.” respecto que : 99
de la necesidad del apoyo y compromiso de la
“Para que una organización efectivamente alta dirección y/o la gerencia, que debe:
En la práctica, son varios los instrumentos a implemente un Programa Integral de Gestión
través de los que pueden adoptarse e de Datos Personales, no es suficiente demostrar 1. Designar a la persona o al área que
implementarse medidas en virtud del principio la adopción de políticas y procedimientos asumirá la función de protección de
de responsabilidad, entre los que, como indica la tendientes a cumplir las normas sobre datos dentro de la organización,
Guía del INAI 97
siguiendo la normatividad en protección de datos personales. Un programa 2. Aprobar y monitorear el Programa
materia de protección de datos personales en Integral de Gestión de Datos
98
Ya citada Personales, e
97
Guía ya citada, pág. 65. 99
Véase la Guía en las págs. 9 y siguientes.
 3. Informar de manera periódica a los 3. Políticas: Son “políticas internas que de manejo de información, donde
órganos directivos sobre su dispongan obligaciones en virtud de la se afirme que se conoce a
ejecución. ley y dárselas a conocer a los suficiencia la política de la
En cuanto a los controles que debe incluir el empleados”, a través de las que se empresa, se acepta, y se permite a
Programa Integral de Gestión de Datos implementan los principios de la la compañía utilizar dicha
Personales para asegurar que las políticas protección de datos personales. Entre información de forma responsable.
adoptadas se implementen en la práctica, la las reglas que deben contener dichas f. Presentación de quejas, denuncias
Guía menciona los siguientes: políticas, tal y como indica la Guía 102
en y reclamos.
este punto, están las relativas a:
1. Procedimientos operacionales: Se trata a. La recolección, almacenamiento, 4. Sistema de administración de riesgos
de “procedimientos administrativos uso, circulación y supresión o asociados al tratamiento de datos
consistentes con las políticas generales disposición final de la información personales: Lo que implica que en la
de protección de datos y con las personal, incluyendo los requisitos práctica sea conveniente desarrollar
disposiciones legales vigentes de forma para obtener la autorización de los “un sistema de administración de
que pueda manejar adecuadamente los Titulares. riesgos, acorde con su estructura
riesgos inherentes al tratamiento de b. El acceso y corrección de datos organizacional, sus procesos y
información personal dentro de las personales. procedimientos internos asociados al
actividades de gestión operacional.” 100
c. La conservación y eliminación de tratamiento de datos personales, la
2. Inventario de las bases de datos con información personal. cantidad de base de datos y tipos de
información personal: Ya que quienes d. El uso responsable de la datos personales tratados por la
tratan datos personales “deben conocer información, incluyendo controles empresa.” Dicho sistema “permitirá a
qué datos personales almacenan, cómo de seguridad administrativos, la empresa identificar, medir,
los utilizan y si realmente los necesitan, físicos y tecnológicos. controlar y monitorear todos aquellos
teniendo en cuenta la finalidad para la e. Inclusión en todos los medios hechos o situaciones que puedan
cual los recolectan” 101
contractuales de la empresa de incidir en la debida administración del
una cláusula de confidencialidad y riesgo a que están expuestos en el
100
Apartado 2.1 de la Guía, pág. 14. desarrollo del cumplimiento de las
101
Véase el apartado 2.2 de la Guía, pág. 14. 102
Apartado 2.3 de la Guía pág. 15.
 normas de protección de datos.”103 Por capacitación complementaria”. 7. Gestión de los encargados del
último, en la adopción de este sistema Además, esta formación y educación tratamiento en las transmisiones
de administración de riesgos se deben en materia de protección de datos internacionales de datos: Al respecto,
tener en cuenta las etapas que se personales “debe ser permanente”, la Guía indica que deben tenerse en
enumeran a continuación y que son por lo que “es importante que exista cuenta, entre otros aspectos, los
explicadas en la Guía : 104
una actualización periódica del siguientes107:
contenido del programa.” Por último,
a. Identificación; como indica la Guía, “[d]entro de los a. Disposiciones que incluyan
b. Medición; contratos que suscriban los requisitos para que los
c. Control, y empleados, es importante incluir Encargados cumplan con las
d. Monitoreo. acuerdos de cumplimiento de las normas colombianas de
políticas internas adoptadas por los protección de datos, en general,
5. Requisitos de formación y educación: sujetos obligados.” y las políticas de tratamiento del
La efectividad del programa depende, 6. Protocolos de respuesta en el manejo Responsable, en particular. De la
en gran medida, de “la formación y de violaciones e incidentes: Lo que, misma manera, considerar
educación de todos los empleados de con carácter general, implica que el mecanismos para que el
la organización” 105
que, para el Programa Integral de Gestión de Datos Encargado reporte al
desarrollo de sus funciones, traten Personales “debe involucrar un Responsable los incidentes de
datos personales. Es así que, como componente de gestión de riesgos, seguridad de la información.
indica la Guía, es importante que se internos y externos, que le permita b. Formación y educación en temas
imparta “una formación de carácter identificar vulnerabilidades a tiempo y de protección de datos
general sobre la materia y, para el enfocar sus recursos a la adopción de personales para los empleados
personal que maneje datos personales medidas de mitigación de riesgo que del Encargado que tienen acceso
directamente, deberá existir una minimicen dicho impacto tanto para a la información personal.
la organización como para los titulares
103
Apartado 2.4 de la Guía, pág. 16. de información.”106
104
Véase la Guía en las páginas 17 y 18.
105
Apartado 2.5 de la Guía, págs. 18 y 19. 106
Apartado 2.6 de la Guía, págs. 19 y 20. 107
Apartado 2.7 de la Guía, págs. 20 y 21.
 c. Exigencia de adherencia a las evaluación revisión constante. A esta cuestión le como judiciales, así como accionistas, inversores
políticas de tratamiento si se dedica una sección 109
la Guía para la u otros.
utilizan subcontratistas. implementación del Principio de En definitiva, la adopción e implementación
d. Realización de auditorías Responsabilidad Demostrada (Accountability), de este principio implica que “[l]a apuesta que
internas y/o externas. siendo dos los aspectos fundamentales para hace una organización por implementar
e. Acuerdos con los Encargados y “supervisar, evaluar y revisar” el programa y que estándares elevados de protección de datos
sus empleados aceptando que consisten en: personales en su organización, y desarrollar un
cumplirán con las políticas y Programa Integral de Gestión de Datos
protocolos del Responsable del 1. Desarrollar un Plan de Supervisión y Personales, genera beneficios para la
Tratamiento. Revisión, y organización y se traduce en una mayor
2. Evaluar y revisar los controles del protección de datos individuos.”110
8. Comunicación externa: Se trata de “un Programa.
procedimiento para informar” por el
Responsable a los titulares de los Se trata, por tanto, de que a través de las
datos personales tanto de sus medidas previstas en el Programa Integral o
derechos como de “los programas de Sistema de Gestión de Datos Personales o en 3.10.4 Responsable y encargado del
control que han implementado”. Al cualquier instrumento adoptado e tratamiento de datos personales
respecto, como indica la Guía, es implementado por quien trata datos personales,
importante que las comunicaciones ya sea como responsable o encargado del Aunque el responsable del tratamiento es quien
sean “claras y comprensibles y no tratamiento, si bien la responsabilidad última es tiene la responsabilidad de adoptar e
limitarse a una simple reiteración de la del primero, se pueda demostrar el implementar las medidas necesarias para
ley.” 108
cumplimiento ante todas las partes interesadas, asegurar el cumplimiento en materia de
entre las que quedan incluidas el titular de los protección de datos personales, es necesario
Además, para asegurar la efectividad del datos personales, la autoridad garante en tener en consideración que el encargado del
Programa Integral de Gestión de Datos materia de protección de datos y otras tratamiento también trata datos personales y
Personales, es necesario que se realice una autoridades competentes, tanto administrativas

108
Apartado 2.8 de la Guía, pág. 21. 109
Véase la sección IV de la citada Guía, págs. 22 y 23. 110
Véase la Guía, ya citada, en la página 7.
por tanto tiene obligación de actuar en este
sentido.
Dicha obligación se extiende al encargado del
tratamiento a través del instrumento jurídico, ya
sea un contrato, acuerdo, convenio, cláusula
contractual u otro. Dicho instrumento jurídico
permitirá, en su caso, asegurar el cumplimiento
a lo largo de toda la cadena de contratación que
implique el tratamiento de datos personales en
cualquiera de las fases del mismo o a lo largo del
ciclo de vida de los datos personales.
A nivel internacional, cabe mencionar que
esta es una cuestión que se está planteando en
relación con algunos servicios, como por
ejemplo, el cómputo en la nube y a la que
también está prestando atención la propuesta
de Reglamento General de Protección de Datos
en la Unión Europea.
En cuanto al cómputo en la nube, puede
prestarse atención, por ejemplo, al informe
publicado por la Unidad Reguladora y de Control
de Datos Personales111 sobre el Análisis de la
Norma ISO/IEC 27.018 desde la perspectiva de la
111
Sobre la que puede verse más información en
http://datospersonales.gub.uy/
Protección de Datos Personales112, en el que se
hace referencia al esquema básico previsto en
dicho estándar internacional113 en virtud del que
el cliente de los servicios de cómputo en la nube
es considerado como responsable del
tratamiento y el proveedor de dichos servicio es
el encargado del tratamiento y se indica que:
“la Ley Nº 18.331 establece en su
artículo 12 específicamente la consagración
del principio de responsabilidad, por el cual
el responsable de la base de datos es
responsable de la violación de las
disposiciones de la presente ley.
Independientemente de ello, la
responsabilidad del encargado de
tratamiento también es clara en la Ley Nº
18.331 en su artículo 35 que prevé la
posibilidad de que el encargado de
tratamiento sea sancionado al igual que el
responsable por el organismo de control, y
en el decreto Nº 414/009 en su artículo 7º que
112
De mayo de 2015 y disponible en
http://datospersonales.gub.uy/inicio/institucional/no
ticias/informe+norma+iso
113
La ISO/IEC 27018 Information technology -- Security
techniques -- Code of practice for protection of
personally identifiable information (PII) in public
clouds acting as PII processors, es el primer estándar
internacional sobre privacidad en la nube. Sobre el
mismo puede verse más información, en inglés, en
http://www.iso.org/iso/catalogue_detail.htm?csnumb
er=61498
establece la responsabilidad del encargado
de tratamiento de proteger los datos
personales sometidos a tratamiento
mediante las “(...) medidas técnicas y
organizativas que resulten idóneas para
garantizar su integridad, confidencialidad y
disponibilidad”. Finalmente, el artículo 17
inciso final de la Ley Nº 18.331 reafirma lo
antedicho al establecer: “El destinatario
quedará sujeto a las mismas obligaciones
legales y reglamentarias del emisor y éste
responderá solidaria y conjuntamente por la
observancia de las mismas ante el organismo
de control y el titular de los datos de que se
trate”.”114
Es decir, al contratar servicios que impliquen
acceso a datos personales, entre los que se
encuentran los de cómputo en la nube, el
responsable debe considerar que:
“Si bien el principio de
responsabilidad o rendición de cuentas
(en inglés, ´accountability´) es exigible
al responsable del tratamiento174,
resulta claro que en el caso de la
prestación de servicios de cómputo en
la nube, esta responsabilidad o
rendición de cuentas tiene también
implicaciones para el proveedor de
114
Pág. 7 del citado informe.
dichos servicios, aunque sea del servicio, y no, por ejemplo, con fines
considerado como un encargado del de publicidad u otras finalidades, lo cual Por lo que se refiere a la propuesta de
tratamiento. pondría en riesgo al cliente de sus Reglamento General de Protección de Datos en
Un proveedor de servicios de servicios como consecuencia del la Unión Europea, este aspecto trae causa de la
cómputo en la nube que diseña sus incumplimiento y que podría implicar Directiva 95/46/CE117 ya que en la misma, su
servicios para que tanto él como su también la pérdida de confianza por un artículo 17, indica que “el responsable del
cliente estén en condición de cumplir uso no previsto ni legítimo de los datos tratamiento, en caso de tratamiento por cuenta
con la normatividad sobre protección personales.” 115
del mismo, deberá elegir un encargado del
de datos personales y privacidad; tratamiento que reúna garantías suficientes en
adopte medidas para proteger de Es así que el responsable del tratamiento, relación con las medidas de seguridad técnica y
manera efectiva los datos personales cuando decide hacer uso de los servicios de un de organización de los tratamientos que deban
durante la prestación de sus servicios y, encargado del tratamiento para que trate datos efectuarse, y se asegure de que se cumplen
además, proporcione al cliente personales en su nombre, tiene que buscar a uno dichas medidas.”
información y recursos para que le permita, concretando las garantías
empoderarle de manera que pueda necesarias en el correspondiente instrumento
tomar decisiones tanto en relación con jurídico, asegurar un buen gobierno y gestión de
la protección de datos personales como la protección de datos personales116. artículo 29 de la Directiva 95/46/CE, al que ya se ha
el cumplimiento de los requisitos hecho referencia, en su Dictamen 5/2012 sobre
computación en la nube, recomienda específicamente
aplicables a su negocio y derivados de 115
Maqueo Ramírez, María Solange; Moreno González, que: “el responsable del tratamiento debe elegir un
dicha normatividad, es fundamental175. Jimena y Recio Gayo, Miguel (2014), Lineamientos de proveedor que garantice el cumplimiento de la
Protección de Datos en el Cómputo en la Nube: legislación sobre protección de datos. Debe prestarse
Unido a lo anterior, un Parámetros para su elaboración, Centro de una atención especial a las características de los
proveedor de servicios de cómputo en la Investigación y Docencia Académicas (CIDE), México. contratos, que deberán incluir una serie de garantías
Pág. 53. Disponible en de protección de datos normalizadas.” Dictamen
nube comprometido con la
https://cidecyd.files.wordpress.com/2014/09/white- 5/2012 sobre la computación en la nube, WP 196,
normatividad sobre protección de datos paper-lineamientos-proteccion-datos-computo-nube- adoptado el 1 de julio de 2012. Pág. 10. Disponible, en
personales no utilizará los datos mx-18-sept-14-def.pdf español, en la dirección de Internet
116
En este sentido, referido al cómputo en la nube http://ec.europa.eu/justice/data-protection/article-
personales que le ha encomendado el aunque es aplicable también a otros servicios que 29/documentation/opinion-
cliente nada más que para la prestación impliquen un tratamiento de datos personales por un recommendation/files/2012/wp196_es.pdf
encargado del tartamiento, el Grupo de Trabajo del 117
Ya citada.
 En concreto, la versión inicial presentada por
la Comisión Europea 118
de la propuesta de
Reglamento General de Protección de Datos en
la Unión Europea explica que “El artículo 26
aclara la posición y la obligación de los
encargados del tratamiento, basándose
parcialmente en el artículo 17, apartado 2, de la
Directiva 95/46/CE y añadiendo nuevos
elementos, incluido que todo encargado que
trate datos más allá de las instrucciones del
responsable del tratamiento ha de ser
considerado corresponsable.” 119
Y también “El
Ya citada.
118
119
En lo sustancial, dicho artículo, conforme a la
propuesta de la Comisión Europea, indica que:
“Artículo 26 Encargado del tratamiento
1. Cuando una operación de tratamiento
vaya a ser llevada a cabo por cuenta de un
responsable del tratamiento, este elegirá un
encargado del tratamiento que ofrezca
garantías suficientes para implementar
medidas y procedimientos técnicos y
organizativos apropiados, de manera que el
tratamiento sea conforme con las
disposiciones del presente Reglamento y
garantice la protección de los derechos del
interesado, en particular en lo que respecta
a las medidas de seguridad técnica y
organizativas que rigen el tratamiento que
vaya a efectuarse, y velará por que se
cumplan dichas medidas.
2. La realización del tratamiento por un
encargado se regirá por un contrato u otro
acto jurídico que vincule al encargado del
tratamiento con el responsable del
tratamiento y que disponga, en particular,
que el encargado del tratamiento:
a) actuará únicamente siguiendo
instrucciones del responsable del
tratamiento, en particular cuando la
transferencia de los datos personales
utilizados esté prohibida;
b) empleará únicamente personal que se
haya comprometido a respetar la
confidencialidad o esté sujeto a una
obligación legal de confidencialidad;
c) tomará todas las medidas necesarias de
conformidad con lo dispuesto en el artículo
30;
d) solo recurrirá a otro encargado del
tratamiento con la autorización previa del
responsable del tratamiento;
e) en la medida de lo posible, y teniendo en
cuenta la naturaleza del tratamiento, creará,
de acuerdo con el responsable del
tratamiento, las condiciones técnicas y
organizativas necesarias para permitir al
responsable del tratamiento cumplir su
obligación de dar curso a las solicitudes que
le dirijan los interesados en el ejercicio de
sus derechos establecidos en el capítulo III;
f) ayudará al responsable del tratamiento a
garantizar el cumplimiento de las
obligaciones previstas en los artículos 30 a
34;
g) transmitirá todos los resultados al
responsable del tratamiento al término de
artículo 29 aclara las obligaciones del
responsable y el encargado del tratamiento de
cooperar con la autoridad de control.”
3.11 Privacidad desde el diseño
3.11.1 Concepto
El principio de privacidad desde o por diseño (en
inglés, “privacy by default”) ha sido reconocido a
nivel internacional120, aunque el mismo no se
este y se abstendrá de someter los datos
personales a otros tratamientos;
h) pondrá a disposición del responsable del
tratamiento y de la autoridad de control
toda la información necesaria para controlar
el cumplimiento de las obligaciones
establecidas en el presente artículo.
3. El responsable y el encargado del
tratamiento documentarán por escrito las
instrucciones del responsable y las
obligaciones del encargado contempladas
en el apartado 2.
4. Si un encargado del tratamiento trata
datos personales sin seguir las instrucciones
del responsable del tratamiento, el
encargado será considerado responsable del
tratamiento con respecto a ese tratamiento
y estará sujeto a las normas aplicables a los
corresponsables del tratamiento
establecidas en el artículo 24.”
120
Al respecto, puede verse, por ejemplo, la
Resolución sobre Privacidad por Diseño, adoptada
durante la 32ª Conferencia Internacional de
encuentra previsto específicamente en la
normativa de muchos países. Este principio
“tiene por objeto servir como aproximación de
manera que los nuevos modelos o prácticas de
Autoridades de Protección de Datos y Privacidad,
celebrada en Jerusalén (Israel) del 27 al 29 de octubre
de 2010. Disponible, en inglés, en el vínculo
electrónico
http://www.justice.gov.il/NR/rdonlyres/F8A79347-
170C-4EEF-A0AD-
155554558A5F/26502/ResolutiononPrivacybyDesign.p
df También el artículo 23 de la propuesta de
Reglamento del Parlamento Europeo y del Consejo
relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la
libre circulación de estos datos (Reglamento general
de protección de datos), COM(2012) 11 final, se refiere
a los principios de privacidad desde el diseño y por
defecto.
La propuesta d Reglamento general de protección de
datos, presentada por la Comisión Europea el 25 de
enero de 2012, puede verse en el vínculo electrónico
http://eur-lex.europa.eu/legal-
content/ES/TXT/PDF/?uri=CELEX:52012PC0011&qid=1
445182738440&from=ES Una versión en inglés, que
incluye la tabla comparativa entre la propuesta de la
Comisión Europea, la posición del Parlamento
Europeo y la aproximación general adoptada por el
Consejo de la Unión Europea, además de los
comentarios oportunos del Supervisor Europeo de
Protección de Datos puede verse en
https://secure.edps.europa.eu/EDPSWEB/webdav/site
/mySite/shared/Documents/Consultation/Opinions/2
015/15-07-
27_GDPR_Recommendations_Annex_EN.pdf
negocio, las especificaciones tecnológicas y las prácticas del mismo que impliquen el
tratamiento de datos personales.
infraestructuras físicas incluyan principios de
La privacidad desde el diseño se basa en siete
privacidad de manera que respeten el derecho
principios fundamentales123, que son los
fundamental a la protección de datos siguientes:
personales.” 121
Como explica la Dra. Ann Cavoukian, que
desarrolló este principio en los años 90, la
privacidad por diseño “promueve la visión de
que el futuro de la privacidad no puede ser
garantizada sólo por cumplir con los marcos
regulatorios; más bien, idealmente el
aseguramiento de la privacidad debe convertirse
en el modo de operación predeterminado de una
organización.”122
3.11.2 Importancia y utilidad
La privacidad desde el diseño implica incluir
controles relativos a la protección de datos
personales desde el momento mismo en el que
se define la arquitectura de un sistema de
información, un modelo de negocio o las
121
Véase el estudio de GEV, Asesores Internacionales,
S.C. (2013) Privacy by Design para fomentar la figura
del encargado, Estudios del PROSOFT. Disponible en
https://prosoft.economia.gob.mx/Imagenes/Imagene
sMaster/Estudios%20Prosoft/FREF_23.pdf
122
Ann Cavoukian, Privacy by Design, Los 7 Principios
Fundamentales. Disponible en
https://www.privacybydesign.ca/content/uploads/20
09/08/7foundationalprinciples-spanish.pdf 123
Véase la nota a pie de página anterior.
 Principios Fundamentales Explicación
1. Proactivo, no Reactivo; Preventivo “El enfoque de Privacidad por Diseño (PbD por sus siglas en Inglés) está caracterizado por medidas proactivas, en
no Correctivo vez de reactivas. Anticipa y previene eventos de invasión de privacidad antes de que estos ocurran. PbD no espera
a que los riesgos se materialicen, ni ofrece remedios para resolver infracciones de privacidad una vez que ya
ocurrieron – su finalidad es prevenir que ocurran. En resumen, Privacidad por Diseño llega antes del suceso, no
después.”
2. Privacidad como la Configuración “Todos podemos estar seguros de una cosa – ¡Lo predeterminado es lo que manda! La Privacidad por Diseño busca
Predeterminada entregar el máximo grado de privacidad asegurándose de que los datos personales estén protegidos
automáticamente en cualquier sistema de IT dado o en cualquier práctica de negocios. Si una la persona no toma
una acción, aún así la privacidad se mantiene intacta. No se requiere acción alguna de parte de la persona para
proteger la privacidad – está interconstruida en el sistema, como una configuración predeterminada.”
3. Privacidad Incrustada en el Diseño “La Privacidad por Diseño está incrustada en el diseño y la arquitectura de los sistemas de Tecnologías de
Información y en las prácticas de negocios. No está colgada como un suplemento, después del suceso. El
resultado es que la privacidad se convierte en un componente esencial de la funcionalidad central que está siendo
entregada. La privacidad es parte integral del sistema, sin disminuir su funcionalidad.”
4. Funcionalidad Total – “Todos “Privacidad por Diseñobusca acomodar todos los intereses y objetivos legítimos de una forma “ganar-ganar”, no a
ganan”, no “Si alguien gana, otro través de un método anticuado de “si alguien gana, otro pierde”, donde se realizan concesiones innecesarias.
pierde” Privacidad por Diseño evita la hipocresía de las falsas dualidades, tales como privacidad versus seguridad,
demostrando que sí es posible tener ambas al mismo tiempo.”
5. Seguridad Extremo-a-Extremo – “Habiendo sido incrustada en el sistema antes de que el primer elemento de información haya sido recolectado, la
Protección de Ciclo de Vida Privacidad por Diseño se extiende con seguridad a través del ciclo de vida completo de los datos involucrados – las
Completo medidas de seguridad robustas son esenciales para la privacidad, de inicio a fin. Esto garantiza que todos los
datos son retenidos con seguridad, y luego destruidos con seguridad al final del proceso, sin demoras. Por lo
tanto, la Privacidad por Diseño garantiza una administración segura del ciclo de vida de la información, desde la
cuna hasta la tumba, desde un extremo hacia el otro.”
6. Visibilidad y Transparencia – “Privacidad por Diseño busca asegurar a todos los involucrados que cualquiera que sea la práctica de negocios o
Mantenerlo Abierto tecnología involucrada, esta en realidad esté operando de acuerdo a las promesas y objetivos declarados, sujeta a
verificación independiente. Sus partes componentes y operaciones permanecen visibles y transparentes, a
usuarios y a proveedores. Recuerde, confíe pero verifique.”
7. Respeto por la Privacidad de los “Por encima de todo, la Privacidad por Diseño requiere que los arquitectos y operadores mantengan en una
Usuarios – Mantener un Enfoque posición superior los intereses de las personas, ofreciendo medidas tales como predefinidos de privacidad
Centrado en el Usuario robustos, notificación apropiada, y facultando opciones amigables para el usuario. Hay que mantener al usuario
en el centro de las prioridades.”
 En la práctica, este principio implica que dicho, medidas y procedimientos técnicos y 3.12 Privacidad por defecto
“[d]esde una base de datos de clientes o
organizativos apropiados, de manera que el
recursos humanos, pasando por aplicación (en
inglés, ´app´), hasta una red social, son algunos
tratamiento sea conforme con las 3.12.1 Concepto
ejemplos de casos en los que la privacidad por disposiciones del presente Reglamento y
diseño es fundamental ya que, en caso contrario, garantice la protección de los derechos del Otro de los principios en protección de datos
podrían darse situaciones en las que un mal interesado.” personales, relevantes a nivel internacional126, es
diseño o una gestión inadecuada de los datos
el de privacidad por defecto (en inglés, “privacy
personales dé lugar, por una parte, a una
Es así que, considerar la protección de datos by default”) a la que se refiere la propuesta de
sanción en caso de que se verifique un
incumplimiento de la normatividad sobre personales desde el comienzo permite fomentar Reglamento general de protección de datos,
protección de datos personales y, por otra parte, la confianza de los titulares de los datos presentada por la Comisión Europea para
al propio fracaso del negocio ya que los personales y, al mismo tiempo, puede dar lugar actualizar la Directiva 95/46/CE, y que en el
controles necesarios no fueron considerados en a una ventaja competitiva ya que una tecnología apartado 2 de su artículo 23 indica que:
el diseño del sistema de información, producto o
que se desarrolla o un negocio que se realiza han
servicio correspondiente.”124
sido diseñados considerando altos estándares “El responsable del tratamiento
Al respecto y como referente internacional, el
en protección de datos personales. implementará mecanismos con miras a
apartado 1 del artículo 23 de la propuesta de
Incluso cuando el principio de privacidad garantizar que, por defecto, solo sean objeto
Reglamento general de protección de datos en la
desde el diseño no esté expresamente previsto de tratamiento los datos personales
Unión Europea125, en la versión presentada por la
en la normativa sobre protección de datos necesarios para cada fin específico del
Comisión Europea, indica que:
personales, es una buena práctica que debe ser tratamiento y, especialmente, que no se
“Habida cuenta de las técnicas existentes y
considerada por quien trata datos personales. recojan ni conserven más allá del mínimo
de los costes asociados a su implementación,
Además, para la persona a quien se refieren los necesario para esos fines, tanto por lo que
el responsable del tratamiento
datos personales que son tratados, el principio respecta a la cantidad de los datos como a la
implementará, tanto en el momento de la
de privacidad desde el diseño es una indicación duración de su conservación. En concreto,
determinación de los medios de tratamiento
de que quien trata los datos personales ha
como en el del tratamiento propiamente
adoptado medidas proactivas que respeten el
En concreto, véase el artículo 23 de la propuesta de
126

124
Privacy by Design para fomentar la figura del derecho a la protección de datos personales. Reglamento general de protección de datos en la
encargado, ya citada. Pág. 17. Unión Europea, ya citada.
125
Ya citada.
 estos mecanismos garantizarán que, por
defecto, los datos personales no sean
accesibles a un número indeterminado de
personas.”
Es decir, cuando el responsable del
tratamiento, por ejemplo, desarrolla una
aplicación (“app”), se prepara un proyecto de
negocio o se plantea cualquier otra actividad
que implica el tratamiento de datos personales,
debe hacerse de manera que se asegure el
derecho a la protección de datos personales a lo
largo del ciclo de vida de los mismos, en todas y
cada una de las fases del tratamiento. Se trata
así de que la protección de datos personales sea
considerada desde el principio, antes de llegar a
tratar los datos personales, lo que permitirá
impulsar un alto nivel de protección de datos
personales generando así la confianza necesaria.
3.12.2 Importancia y utilidad
En la práctica, si por defecto, una aplicación, un
vestible (en inglés, “wearable”) o un proyecto,
entre otros, ha incluido mecanismos, tales como
controles, que por defecto sirvan para proteger
la protección de datos personales, se podrá
asegurar mejor el derecho a la protección de
datos personales.
Aunque es un principio que no se encuentra
expresamente en la normatividad sobre
protección de datos personales de países
iberoamericanos, el de protección de datos por
defecto se encuentra estrechamente vinculado
con el de responsabilidad (“accountability”),
incidiendo en la importancia de considerar la
protección de datos personales desde el
principio.
Por lo tanto, el principio de privacidad por
defecto es también una muestra de compromiso
con la protección de datos personales cuando se
desarrolla una aplicación, tecnología o un
proyecto de negocio que implica el tratamiento
de datos personales. Es así que quien trata los
datos personales tendrá en consideración la
protección de los datos personales, asegurando
así el derecho a la protección de datos
personales desde el inicio de su actividad, y la
persona a quien se refieren los datos personales,
su titular, encontrará en la práctica que este
principio supone que el software, aplicación,
vestible o negocio, entre otros, que va a tratar
los datos personales lo hace de forma
respetuosa y asegurando su derecho a la
protección de datos personales.
3.13 Deberes en la protección de
datos personales
3.13.1 Confidencialidad en los datos
personales
La confidencialidad se refiere a guardar secreto
o sigilo sobre los datos personales objeto de
tratamiento.
El informe del CJI de la OEA sobre Privacidad y
Protección de Datos, ya mencionado, incluye
también como principio el deber de
confidencialidad y, con carácter general, indica
que “[l]os datos personales no deben divulgarse,
ponerse a disposición de terceros ni emplearse
para otros propósitos que no sean aquellos para
los cuales se obtuvieron, excepto con el
conocimiento o consentimiento de la persona en
cuestión o bajo autoridad de la ley.”127
En relación con este principio, el informe
explica que el mismo implica que el responsable
del tratamiento “se cerciore de que no se
127
Véase la página 11 del citado informe.
proporcionen tales datos (ni se pongan a
disposición por otros medios) a personas o
entidades excepto con el conocimiento o
consentimiento de la persona afectada, en
consonancia con las expectativas razonables de
la persona afectada o por mandato de la ley.” Y
también que “los datos personales no se usen
con fines que sean incompatibles con el fin
original para el cual se recopilaron los datos.
Estas responsabilidades emanan
naturaleza misma de los datos personales y no
dependen de afirmaciones de las personas
afectadas.” 128
Las Directrices para la armonización de la
protección de datos en la
Iberoamericana indican que
intervengan en cualquier fase del tratamiento de
datos personales están obligados al secreto
profesional respecto de los
obligación subsistirá aun después de finalizada
su relación con el titular del archivo de datos.”
Al mismo se refieren también los Estándares
Internacionales sobre Protección de Datos
Personales y Privacidad, que dedican su artículo
21 al mismo indicando que “[l]a persona
128
Págs. 11 y 12 del informe.
129
Pág. 17.
responsable y quienes intervengan en cualquier de las tareas o funciones que se le hubieran
fase del tratamiento de los datos de carácter encomendado.”131
personal deberán respetar la confidencialidad La Guía del INAI también lista las siguientes
de los mismos, obligación que subsistirá aun obligaciones, a cumplir y hacer cumplir por el
después de finalizar sus relaciones con el responsable del tratamiento, en relación con el
interesado o, en su caso, con la persona deber de confidencialidad:
responsable.”
Como se explica en la Guía del INAI para “1. Guardar confidencialidad en
cumplir con los principios y deberes de la cualquier fase del tratamiento de los
de la LFPDPPP , este deber “implica la obligación de
130
datos personales, incluso después de
guardar secreto respecto de los datos finalizar la relación con el titular, y
personales que son tratados. La 2. Verificar que los encargados también
confidencialidad debe cumplirse para evitar guarden confidencialidad de los datos
causar un daño a su titular. De no ser así, un personales que tratan a nombre y por
Comunidad tercero no autorizado podría tener acceso a los cuenta del responsable, aun después de
“quienes datos personales. concluida la relación con éste.”132
Es así que “cuando se tratan datos personales,
el responsable tiene que adoptar medidas para Por tanto, el deber de confidencialidad, que
mismos. Tal evitar que quienes tengan acceso a éstos implica que el responsable del tratamiento
divulguen dicha información. Incluso la tenga que adoptar medidas al respecto, tiene
129
obligación de confidencialidad tiene que hacerse que garantizarse a lo largo del ciclo de vida de
cumplir una vez que finalice la relación los datos personales, en todas las fases del
contractual, laboral o de otra naturaleza, entre tratamiento, e incluso una vez finalizado el
el responsable del tratamiento y quien tenga tratamiento. A tal fin, es conveniente que el
acceso a los datos personales para el desarrollo responsable adopte e implemente tanto una
131
Guía del INAI, ya mencionada, página 69.
130
Ya citada. 132
Guía del INAI. Pág. 70.
política de confidencialidad como otras pérdida o destrucción accidental, el acceso no autorizados, pérdida, destrucción, uso,
medidas, tales como contratos o cláusulas autorizado o su uso fraudulento.” 133
modificación o divulgación.” 136

contractuales a firmar con quienes intervengan
en el tratamiento de datos personales, ya sean
empleados de dicho responsable o encargados
del tratamiento que le presten algún servicio.
3.13.2 Seguridad en los datos personales
La seguridad en el tratamiento de los datos
personales es también una cuestión
fundamental ya que se protege, con carácter
general, contra su acceso no autorizado e
incluso su pérdida. Al mismo tiempo, las
medidas de seguridad que se adopten van a
servir, junto con los principios y demás deberes
aplicables, para asegurar el derecho a la
Como explica, al respecto, la Guía del INAI, el
deber de seguridad “se refiere a la obligación de Dicho informe continúa explicando que:
establecer y mantener medidas de seguridad
tanto técnicas, físicas y administrativas, que “tienen el deber claro de tomar las
permitan proteger los datos personales contra medidas prácticas y técnicas que sean
daño, pérdida, alteración, destrucción o el uso, necesarias para proteger los datos
acceso o tratamiento no autorizado.” 134
personales que obren en su poder o bajo su
En relación con la seguridad, el Dictamen con custodia (o de los cuales sean
proyecto de Decreto por el que se expide la responsables) y cerciorarse de que tales
LFPDPPP, indica que “la seguridad en el datos personales no sean objeto de acceso,
tratamiento de los datos de carácter personal es pérdida, destrucción, uso, modificación o
vital para garantizar de forma efectiva la divulgación excepto con el conocimiento o
privacidad de las personas, estableciendo consentimiento de la persona o de otra
controles o medidas que impidan el acceso autoridad legítima.
indebido a la información.” 135

protección de los datos personales.
En relación con la seguridad de los datos
personales, las Directrices para la armonización
de la protección de datos en la Comunidad
Iberoamericana indican, con carácter general,
que “[d]eberán adoptarse las medidas técnicas y
organizativas que resulten necesarias para
proteger los datos contra su adulteración,
El informe del CJI de la OEA se refiere a la
seguridad como uno de los principios aplicables
al tratamiento de datos personales e indica, con
carácter general, que “[l]os datos personales
deben ser protegidos mediante salvaguardias
razonables y adecuadas contra accesos no
133
Pág. 17.
134
Guía ya citada, pág. 72.
135
Pág. 41 del Dictamen.
La obligación específica consiste en
proporcionar “salvaguardias razonables y
adecuadas”. Se basa en la consecución y el
mantenimiento de un nivel apropiado de
atención en el contexto de la situación
general. Por lo tanto, hay que tener en
cuenta consideraciones de
proporcionalidad y necesidad.”
136
Pág. 12 del informe, ya citado.
Y también que: que constituye salvaguardias “razonables y privacidad personal. Asimismo, debe
adecuadas” debe responder a esa reverse y evaluarse periódicamente.”
“Los datos personales deben protegerse, evolución. El reto consiste en proporcionar
independientemente de la forma en que se orientación válida a los controladores de El Dictamen con proyecto de Decreto por el
mantengan, por medio de salvaguardias datos, procurando al mismo tiempo que las que se expide la LFPDPPP explica también que
razonablemente concebidas para prevenir normas sigan siendo “tecnológicamente “[l]as medidas de seguridad no sólo deben
que las personas sufran daños neutrales” y no se vuelvan obsoletas como referirse al funcionamiento de los sistemas de
considerables como consecuencia del consecuencia de los rápidos cambios información en que se traten y almacenen datos
acceso no autorizado a los datos o de su tecnológicos. de carácter personal -tales como la
pérdida o destrucción. La índole de las identificación y autenticación o el
salvaguardias podría variar según la En vista de la celeridad de los cambios en establecimiento de bitácoras, también
sensibilidad de los datos en cuestión. el entorno actual de la información, una conocidos como “logs” de acceso a los datos,
práctica que hace solo unos meses era entre otras-, sino que además deben
Evidentemente, para los datos más permisible podría considerarse en la necesariamente complementarse con medidas
sensibles se requiere un nivel más alto de actualidad como una práctica intrusiva, físicas y administrativas dentro de la
protección. Algunas de las razones para riesgosa o peligrosa para la privacidad organización que, por objeto, permitan el
conferir mayor protección podrían ser, por individual. Análogamente, una restricción control de acceso físico a los centros de proceso
ejemplo, los riesgos de usurpación de la que haya parecido razonable hace algunos de datos o la entrada y salida de los soportes en
identidad, pérdidas económicas, efectos meses podría ser obsoleta o injusta a la luz que puedan almacenarse datos de carácter
negativos en la calificación crediticia, de los adelantos tecnológicos. personal y la formación de una cultura de
daños a bienes y pérdida del empleo o de seguridad integral.
oportunidades comerciales o profesionales. Por lo tanto, la determinación relativa a Así, tanto la persona o entidad responsable
la existencia de “salvaguardias razonables y como los encargados y terceros –estos últimos
La norma no es estática. Las amenazas a la adecuadas” debe basarse en los métodos y vía contractual- deben proteger los datos de
privacidad, especialmente las amenazas técnicas más avanzados que estén en uso carácter personal que sometan a tratamiento
cibernéticas, están evolucionando en el ámbito de la seguridad de los datos en mediante la implementación de medidas
constantemente y la determinación de lo vista de la evolución de las amenazas a la técnicas, físicas y organizativas que resulten
idóneas para garantizar su integridad, constante de la tecnología así como
confidencialidad y disponibilidad.” 137
los riesgos cambiantes para los “I. Elaborar un inventario de datos
Al momento de adoptar e implementar datos personales derivados de personales y de los sistemas de
medidas de seguridad es necesario tomar en ataques informáticos. tratamiento;
cuenta los siguientes factores : 138
• II. Determinar las funciones y obligaciones
Además de estos factores, siguiendo la de las personas que traten datos
• Riesgo inherente al tipo de dato: normatividad mexicana en materia de personales;
Siendo relevante si se trata o no de protección de datos, la Guía del INAI también III. Contar con un análisis de riesgos de
datos sensibles o especialmente lista los siguientes elementos a considerar: datos personales que consiste en identificar
protegidos. peligros y estimar los riesgos a los datos
• Consecuencias para los titulares de 1. Número de titulares; personales;
una vulneración: Debiendo 2. Vulnerabilidades previas ocurridas IV. Establecer las medidas de seguridad
considerar el daño o impacto para en los sistemas de tratamiento; aplicables a los datos personales e
el derecho a la protección de datos 3. Riesgo por valor potencial identificar aquéllas implementadas de
personales así como otros impactos cuantitativo y cualitativo por manera efectiva;
reputacionales y/o económicos tratamiento no autorizado; V. Realizar el análisis de brecha que
para el titular de los datos 4. Demás factores que pueden incidir consiste en la diferencia de las medidas de
personales. en el riesgo que resulten de otra seguridad existentes y aquéllas faltantes
• Sensibilidad de los datos: Si son normativa aplicable. que resultan necesarias para la protección
sensibles o especialmente de los datos personales;
protegidos o no. En cuanto a las acciones a adoptar en materia VI. Elaborar un plan de trabajo para la
• Desarrollo tecnológico: Por lo que de seguridad, el Reglamento de la LFPDPPP 139
implementación de las medidas de
hay que atender al avance lista algunas, correspondiendo al responsable en seguridad faltantes, derivadas del análisis
última instancia adoptar las necesarias en de brecha;
atención a los factores y elementos ya indicados. VII. Llevar a cabo revisiones o auditorías;
137
Pág. 42.
138
La Guía del INAI hace referencia a estos factores, en Estas acciones son: VIII. Capacitar al personal que efectúe el
virtud de la normatividad aplicable en México, en tratamiento, y
particular el Reglamento de la LFPDPPP. 139
Artículo 61.
 IX. Realizar un registro de los medios de
almacenamiento de los datos personales.”
Las medidas de seguridad deben revisarse o
actualizarse, pudiendo utilizar como criterios al
respecto los indicados por el Reglamento de la
LFPDPPP en su artículo 62, que son los
siguientes:
“I. Se modifiquen las medidas o
procesos de seguridad para su mejora
continua, derivado de las revisiones a la
política de seguridad del responsable;
II. Se produzcan modificaciones
sustanciales en el tratamiento que
deriven en un cambio del nivel de
riesgo;
III. Se vulneren los sistemas de
tratamiento, de conformidad con lo
dispuesto en el artículo 20 de la Ley y 63
del presente Reglamento, o
IV. Exista una afectación a los datos
personales distinta a las anteriores.”
Y en el caso de que los datos personales
tratados sean sensibles, el citado artículo
concluye indicando que “los responsables
procurarán revisar y, en su caso, actualizar las
relaciones correspondientes una vez al año.”
— Violaciones o vulneraciones de seguridad
En relación con la seguridad hay que
considerar también, de manera específica, las
violaciones o vulneraciones de seguridad. Al
respecto, el informe del CIJ de la OEA indica que:
“La incidencia creciente de intrusiones
externas (“violaciones de los datos
personales”), que consisten en el acceso no
autorizado a datos protegidos, suscita
preocupaciones relacionadas con la
privacidad y con el ámbito penal. En
muchos países, entre los cuales se cuentan
Estados Miembros de la OEA, la notificación
es obligatoria por ley en esos casos. Por
consiguiente, en caso de violación de los
datos, los controladores de datos podrían
tener la obligación legal de notificar a las
personas cuyos datos hayan sido (o puedan
haber sido) comprometidos.
Tales notificaciones permiten a las
personas afectadas tomar medidas de
protección y posiblemente tener acceso a
los datos y pedir que se corrijan datos
inexactos o el uso indebido de los datos
como consecuencia de su violación. Las
notificaciones también podrían ofrecer
incentivos a los controladores de datos
para asumir la responsabilidad, examinar
las políticas en materia de retención de
datos y mejorar sus medidas de seguridad.”
En el caso de México, el artículo 20 de la
LFPDPPP se refiere a las vulneraciones de
seguridad, indicando que “[l]as vulneraciones de
seguridad ocurridas en cualquier fase del
tratamiento que afecten de forma significativa
los derechos patrimoniales o morales de los
titulares, serán informadas de forma inmediata
por el responsable al titular, a fin de que este
último pueda tomar las medidas
correspondientes a la defensa de sus derechos.”
Dicho artículo ha sido desarrollado por los
artículos 63 a 66 del Reglamento de la LFPDPPP
que, entre otras cuestiones, se refieren a la
notificación, la información mínima a
proporcionar al titular de los datos personales
así como a las medidas correctivas.
 De producirse la vulneración, como indica la mantenimiento de las medidas de
Guía del INAI “el responsable, en primer lugar, seguridad;
debe analizar las causas por las cuales se 5. Actualizar las medidas de seguridad
presentó; y en segundo lugar, a efecto de evitar implementadas, cuando así se requiera,
que la vulneración se repita” . 140
según los criterios antes descritos;
En definitiva, conforme indica la Guía del INAI, 6. Notificar a los titulares las
las medidas de seguridad implican que “el vulneraciones de seguridad que se
responsable tiene las siguientes obligaciones en presenten, con la información y en el
torno al deber de seguridad: momento antes señalados;
7. Llevar a cabo las acciones correctivas
“1. Establecer y mantener medidas de que sean necesarias.”
seguridad administrativas, físicas y
técnicas;
2. No adoptar medidas de seguridad
menores a aquéllas que mantengan
para el manejo de su información;
3. Tomar en cuenta el riesgo inherente
por tipo de dato personales; las posibles
consecuencias para los titulares por una
vulneración; la sensibilidad de los datos
personales tratados y el desarrollo
tecnológico;
4. Considerar las acciones que establece
el artículo 61 del Reglamento de la
LFPDPPP pata la implementación y

140
Pág. 75.