SISTEMA DE GESTIÓN DE

SEGURIDAD DE DATOS
PERSONALES
Agenda

01 02 03 04
Principios y Importancia de Conceptos y Implementación
obligaciones de la seguridad de definiciones de un SGSDP
la Ley los datos
personales
Derechos, principios y deberes rectores del
derecho de protección de datos personales
¿Por qué me La protección
Ayuda a
mitigar los
debe de datos
personales es
efectos de una
vulneración a
un derecho
interesar la seguridad

la seguridad Evita daños a

de los datos la reputación

e imagen de la
Evita
sanciones
organización
personales?
Autorregulación
• La autorregulación es un conjunto de normas que se aplica a uno o
varios responsables y cuyo contenido es determinado por dichos
responsables.
La autorregulación en materia de
protección de datos personales en
México

La Ley Federal de Protección de Datos

Personales en Posesión de los Particulares
(LFPDPPP o Ley) es una ley que establece
principios, deberes y obligaciones en
materia de protección de datos
personales, que pueden complementarse
con la autorregulación y así elevar los
estándares de protección.
 Esquemas de autorregulación
vinculante

Los esquemas de autorregulación vinculante, se refieren al conjunto de

principios, normas, procedimientos y acciones vinculados a la protección de
datos personales que se desarrollan y aplican por los propios responsables
o encargados de manera voluntaria, buscando elevar lo estándares en
materia de seguridad de protección de datos personales previstos en la
legislación mexicana.
Beneficios de la autorregulación
• Apoya al debido tratamiento de datos personales;
• Aumenta la confianza y mejora reputación ante consumidores
• Ofrece un sistema para acreditar el cumplimiento de la normativa;
• Facilita las transferencias de datos personales;
• Incentiva mecanismos alternativos de solución de controversias;
• Permite que la protección trascienda al propio responsable (por ejemplo, al encargado u
otros)
• Puede ayudar a disminuir el monto de la sanción;
• Capacitaciones especializadas. PROGRAMA ALIADOS
• Publicidad positiva a través del REA y del uso del logotipo REA INAI.
Contenido del sitio Registro de Esquemas de
Autorregulación (REA)
1. Las reglas​ para adaptar la normativa en materia de protección de datos personales, a las que refiere el Capítulo II
de los Parámetros;
2. Los esquemas de autorregulación validados o con certificación reconocida por el INAI;
3. Las entidades de acreditación autorizadas por la Secretaría de Economía, facultadas para acreditar a organismos de
certificación en materia de protección de datos personales (Entidad Mexicana de Acreditación);
4. Los organismos de certificación acreditados para otorgar certificaciones en materia de protección de datos
personales (NYCE, Global Certification Bureau);
5. Los responsables y encargados que se hayan adherido a algún esquema, y
6. Las equivalencias de esquemas de autorregulación internacionales.​

Para que una entidad de acreditación, un certificador y una persona u organización certificada sean inscritos en el
REA, es necesario que sigan los procedimientos previstos para ello.​
Obligatorios para que un Esquema de Autorregulación Vinculante
pueda ser validado o certificado e inscrito en el Registro del INAI

Algunos requisitos:
• Nombre del Esquema de Autorregulación Vinculante,
• Nombre de los adheridos,
• Sector o actividad a la que aplica,
• Alcance del esquema (detallar la relación entre el responsable y el encargado del
tratamiento),
• Desarrollar e implementar un SGDP , que incluya, entre otras cosas, medidas correctivas
en caso de incumplimiento,
• Proporcionar datos del Administrador, si el esquema aplica a un grupo de responsables o
encargados.
Fundamento legal
Sistema de gestión
de datos personales
El sistema de gestión de datos
personales es un conjunto de
procedimientos y acciones para
planear, realizar, monitorear y
mejorar de manera continua el
tratamiento de datos personales.
Sistema de gestión de datos personales
Planear Hacer Verificar Actuar
Ciclo PHVA o Deming
Planear
Parámetros
17 al 22
Planear
Parámetros
17 al 22
Planear
Parámetros
17 al 22
 Hacer
Parámetros
23 al 27
Hacer
Parámetros 24, 25 y 27
Inventario de
datos
personales
Inventario de
datos
personales
Análisis de Riesgo de los Datos Personales
Análisis de Riesgo de los Datos Personales
Identificar
Activos
Identificar
amenazas
 Identificar
vulnerabilidades
Identificar escenarios de vulneración
 Reducir el Riesgo. Corrección, eliminación, prevención,
minimización del impacto, disuasión, recuperación,
monitoreo y concienciación.
Retener el Riesgo. No hay necesidad inmediata de
implementar controles adicionales.

Opciones de Evitar el Riesgo. Cuando el riesgo identificado es muy alto o

tratamiento los costos de tratamiento exceden a los beneficios.

de riesgo Compartir el Riesgo. Un tercero interviene para mitigar los

posibles efectos de un riesgo.

Aceptar el Riesgo. Asumir formalmente las decisiones sobre

el plan de tratamiento del riesgo.
 Cumplimiento Cotidiano de
Medidas de Seguridad

Implementar Implementación de las Medidas de

y operar el Seguridad Aplicables a los Datos
Personales
SGSDP
Plan de Trabajo para la
Implementación de las Medidas de
Seguridad Faltantes
Cumplimiento
Cotidiano de
Medidas de
Seguridad
Implementación
de las Medidas
de Seguridad
Aplicables a los
Datos Personales
 Políticas del SGSDP

Cumplimiento Legal

Identificación e Estructura organizacional de la seguridad

implementación Clasificación y acceso de los activos

de las medidas de Seguridad del personal
Seguridad: Seguridad física y ambiental

Gestión de comunicaciones y operaciones

Dominio de los
controles (Anexo de Control de acceso
Guía para implementar Desarrollo y mantenimiento de sistemas
un SGSDP)
Vulneraciones de seguridad
 • RLFPDPPP. Artículo 61 Fracciones V y VI

V. Realizar el análisis de brecha que consiste en la

diferencia de las medidas de seguridad existentes y
Análisis de aquéllas faltantes que resultan necesarias para la
protección de los datos personales;
Brecha
VI. Elaborar un plan de trabajo para la
implementación de las medidas de seguridad
faltantes, derivadas del análisis de brecha;
Vulneraciones a la Seguridad
Vulneraciones a
la Seguridad
Verificar
Parámetros
28 al 32
Verificar
Parámetros
28 al 32
 Actuar
Parámetros 33 al 37
 Actuar
Parámetros 33 al 37