Está en la página 1de 23

Ley Federal de Proteccin Feder ederal Protec oteccin Dat Personales de Datos Personales en Posesin Posesin Particulares articular

de los Particulares

Directorio
Jacqueline Peschard Mariscal
Comisionada Presidenta

Wanda Sigrid Arzt Colunga


Comisionada

Mara Marvn Laborde


Comisionada

Mara Elena Prez-Jan Zermeo


Comisionada

ngel J. Trinidad Zaldvar


Comisionado

Alejandro del Conde Ugarte


Secretario Ejecutivo

Cecilia Azuara Arai


Secretaria de Acuerdos

Instituto Federal de Acceso a la Informacin y Proteccin de Datos (IFAI) Av. Mxico 151, Col. Del Carmen Coyoacn, C.P. 04100, Delegacin Coyoacn, Mxico, D.F. Primera Edicin, Abril de 2011 ISBN: 978-968-5954-58-7 Impreso en Mxico / Printed in Mexico

Presentacin
El Instituto Federal de Acceso a la Informacin y Proteccin de Datos (IFAI) pone en sus manos la primera edicin de la Ley Federal de Proteccin de Datos Personales en Posesin de los Particulares, la cual regula el tratamiento de la informacin personal que cada uno de nosotros ofrece al contratar un bien o un servicio. Se trata de una legislacin que llena vacos importantes en la proteccin de derechos fundamentales y que incide en la seguridad de las personas, de su identidad, de su patrimonio y de su privacidad. Esta legislacin establece obligaciones muy claras para todas las personas fsicas o empresas que cuenten con bases de datos personales, para que adopten medidas que garanticen que la informacin estar adecuadamente resguardada y que no se le dar un uso distinto al autorizado por el dueo de los datos. Con esta normatividad, el Congreso de la Unin dot a los mexicanos de un mecanismo que ya es referencia a nivel internacional y que recoge las mejores prcticas para la proteccin de los datos personales en todo el mundo. A la vez que plantea la seguridad de los datos, esta Ley tambin ofrece las certezas que la inversin y el comercio requieren y, con ello, un gran potencial para el desarrollo econmico de Mxico. Junto con la proteccin de los datos personales, la transparencia y el acceso a la informacin pblica siguen planteando retos importantes hacia la consecucin de una democracia plena, por lo que se necesita que las y los mexicanos conozcamos nuestras leyes, las apliquemos y las hagamos cumplir.

DECRETO "EL CONGRESO GENERAL DE LOS ESTADOS UNIDOS MEXICANOS, DECRETA: SE EXPIDE LA LEY FEDERAL DE PROTECCIN DE DATOS PERSONALES EN POSESIN DE LOS PARTICULARES Y SE REFORMAN LOS ARTCULOS 3, FRACCIONES II Y VII, Y 33, AS COMO LA DENOMINACIN DEL CAPTULO II, DEL TTULO SEGUNDO, DE LA LEY FEDERAL DE TRANSPARENCIA Y ACCESO A LA INFORMACIN PBLICA GUBERNAMENTAL. ARTCULO PRIMERO. Se expide la Ley Federal de Proteccin de Datos Personales en Posesin de los Particulares.

Artculo 3.- Para los efectos de esta Ley, se entender por: I. Aviso de Privacidad: Documento fsico, electrnico o en cualquier otro formato generado por el responsable que es puesto a disposicin del titular, previo al tratamiento de sus datos personales, de conformidad con el artculo 15 de la presente Ley. Bases de datos: El conjunto ordenado de datos personales referentes a una persona identificada o identificable. Bloqueo: La identificacin y conservacin de datos personales una vez cumplida la finalidad para la cual fueron recabados, con el nico propsito de determinar posibles responsabilidades en relacin con su tratamiento, hasta el plazo de prescripcin legal o contractual de stas. Durante dicho periodo, los datos personales no podrn ser objeto de tratamiento y transcurrido ste, se proceder a su cancelacin en la base de datos que corresponde.

II.

III.

Captulo I Disposiciones Generales Artculo 1.- La presente Ley es de orden pblico y de observancia general en toda la Repblica y tiene por objeto la proteccin de los datos personales en posesin de los particulares, con la finalidad de regular su tratamiento legtimo, controlado e informado, a efecto de garantizar la privacidad y el derecho a la autodeterminacin informativa de las personas. Artculo 2.- Son sujetos regulados por esta Ley, los particulares sean personas fsicas o morales de carcter privado que lleven a cabo el tratamiento de datos personales, con excepcin de: I. Las sociedades de informacin crediticia en los supuestos de la Ley para Regular las Sociedades de Informacin Crediticia y dems disposiciones aplicables, y Las personas que lleven a cabo la recoleccin y almacenamiento de datos personales, que sea para uso exclusivamente personal, y sin fines de divulgacin o utilizacin comercial.

IV. Consentimiento: Manifestacin de la voluntad del titular de los datos mediante la cual se efecta el tratamiento de los mismos. V. Datos personales: Cualquier informacin concerniente a una persona fsica identificada o identificable.

II.

VI. Datos personales sensibles: Aquellos datos personales que afecten a la esfera ms ntima de su titular, o cuya utilizacin indebida pueda dar origen a discriminacin o conlleve un riesgo grave para ste. En particular, se consideran sensibles aquellos que puedan revelar aspectos como origen racial o tnico, estado de salud presente y futuro, informacin gentica, creencias religiosas, filosficas y morales, afiliacin sindical, opiniones polticas, preferencia sexual. 5

VII. Das: Das hbiles. VIII. Disociacin: El procedimiento mediante el cual los datos personales no pueden asociarse al titular ni permitir, por su estructura, contenido o grado de desagregacin, la identificacin del mismo. IX. Encargado: La persona fsica o jurdica que sola o conjuntamente con otras trate datos personales por cuenta del responsable. X. Fuente de acceso pblico: Aquellas bases de datos cuya consulta puede ser realizada por cualquier persona, sin ms requisito que, en su caso, el pago de una contraprestacin, de conformidad con lo sealado por el Reglamento de esta Ley.

abarca cualquier accin de acceso, manejo, aprovechamiento, transferencia o disposicin de datos personales. XIX. Transferencia: Toda comunicacin de datos realizada a persona distinta del responsable o encargado del tratamiento. Artculo 4.- Los principios y derechos previstos en esta Ley, tendrn como lmite en cuanto a su observancia y ejercicio, la proteccin de la seguridad nacional, el orden, la seguridad y la salud pblicos, as como los derechos de terceros. Artculo 5.- A falta de disposicin expresa en esta Ley, se aplicarn de manera supletoria las disposiciones del Cdigo Federal de Procedimientos Civiles y de la Ley Federal de Procedimiento Administrativo. Para la substanciacin de los procedimientos de proteccin de derechos, de verificacin e imposicin de sanciones se observarn las disposiciones contenidas en la Ley Federal de Procedimiento Administrativo. CAPTULO II De los Principios de Proteccin de Datos Personales Artculo 6.- Los responsables en el tratamiento de datos personales, debern observar los principios de licitud, consentimiento, informacin, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, previstos en la Ley. Artculo 7.- Los datos personales debern recabarse y tratarse de manera lcita conforme a las disposiciones establecidas por esta Ley y dems normatividad aplicable. La obtencin de datos personales no debe hacerse a travs de medios engaosos o fraudulentos. En todo tratamiento de datos personales, se presume que existe la expectativa razonable

XI. Instituto: Instituto Federal de Acceso a la Informacin y Proteccin de Datos, a que hace referencia la Ley Federal de Transparencia y Acceso a la Informacin Pblica Gubernamental. XII. Ley: Ley Federal de Proteccin de Datos Personales en Posesin de los Particulares. XIII. Reglamento: El Reglamento de la Ley Federal de Proteccin de Datos Personales en Posesin de los Particulares. XIV. Responsable: Persona fsica o moral de carcter privado que decide sobre el tratamiento de datos personales. XV. Secretara: Secretara de Economa. XVI. Tercero: La persona fsica o moral, nacional o extranjera, distinta del titular o del responsable de los datos. XVII. Titular: La persona fsica a quien corresponden los datos personales. XVIII. Tratamiento: La obtencin, uso, divulgacin o almacenamiento de datos personales, por cualquier medio. El uso 6

de privacidad, entendida como la confianza que deposita cualquier persona en otra, respecto de que los datos personales proporcionados entre ellos sern tratados conforme a lo que acordaron las partes en los trminos establecidos por esta Ley. Artculo 8.- Todo tratamiento de datos personales estar sujeto al consentimiento de su titular, salvo las excepciones previstas por la presente Ley. El consentimiento ser expreso cuando la voluntad se manifieste verbalmente, por escrito, por medios electrnicos, pticos o por cualquier otra tecnologa, o por signos inequvocos. Se entender que el titular consiente tcitamente el tratamiento de sus datos, cuando habindose puesto a su disposicin el aviso de privacidad, no manifieste su oposicin. Los datos financieros o patrimoniales requerirn el consentimiento expreso de su titular, salvo las excepciones a que se refieren los artculos 10 y 37 de la presente Ley. El consentimiento podr ser revocado en cualquier momento sin que se le atribuyan efectos retroactivos. Para revocar el consentimiento, el responsable deber, en el aviso de privacidad, establecer los mecanismos y procedimientos para ello. Artculo 9.- Tratndose de datos personales sensibles, el responsable deber obtener el consentimiento expreso y por escrito del titular para su tratamiento, a travs de su firma autgrafa, firma electrnica, o cualquier mecanismo de autenticacin que al efecto se establezca. No podrn crearse bases de datos que contengan datos personales sensibles, sin que se justifique la creacin de las mismas para finalidades legtimas, concretas y acordes con las actividades o fines explcitos que persigue el sujeto regulado.

Artculo 10.- No ser necesario el consentimiento para el tratamiento de los datos personales cuando: I. II. Est previsto en una Ley; Los datos figuren en fuentes de acceso pblico;

III. Los datos personales se sometan a un procedimiento previo de disociacin; IV. Tenga el propsito de cumplir obligaciones derivadas de una relacin jurdica entre el titular y el responsable; V. Exista una situacin de emergencia que potencialmente pueda daar a un individuo en su persona o en sus bienes;

VI. Sean indispensables para la atencin mdica, la prevencin, diagnstico, la prestacin de asistencia sanitaria, tratamientos mdicos o la gestin de servicios sanitarios, mientras el titular no est en condiciones de otorgar el consentimiento, en los trminos que establece la Ley General de Salud y dems disposiciones jurdicas aplicables y que dicho tratamiento de datos se realice por una persona sujeta al secreto profesional u obligacin equivalente, o VII. Se dicte resolucin de autoridad competente. Artculo 11.- El responsable procurar que los datos personales contenidos en las bases de datos sean pertinentes, correctos y actualizados para los fines para los cuales fueron recabados. Cuando los datos de carcter personal hayan dejado de ser necesarios para el cumplimiento de las finalidades previstas por el aviso de privacidad y las disposiciones legales aplicables, debern ser cancelados. El responsable de la base de datos estar obligado a eliminar la informacin relativa al incumplimiento de obligaciones contractuales, una vez que transcurra un plazo de setenta y

dos meses, contado a partir de la fecha calendario en que se presente el mencionado incumplimiento. Artculo 12.- El tratamiento de datos personales deber limitarse al cumplimiento de las finalidades previstas en el aviso de privacidad. Si el responsable pretende tratar los datos para un fin distinto que no resulte compatible o anlogo a los fines establecidos en aviso de privacidad, se requerir obtener nuevamente el consentimiento del titular. Artculo 13.- El tratamiento de datos personales ser el que resulte necesario, adecuado y relevante en relacin con las finalidades previstas en el aviso de privacidad. En particular para datos personales sensibles, el responsable deber realizar esfuerzos razonables para limitar el periodo de tratamiento de los mismos a efecto de que sea el mnimo indispensable. Artculo 14.- El responsable velar por el cumplimiento de los principios de proteccin de datos personales establecidos por esta Ley, debiendo adoptar las medidas necesarias para su aplicacin. Lo anterior aplicar an y cuando estos datos fueren tratados por un tercero a solicitud del responsable. El responsable deber tomar las medidas necesarias y suficientes para garantizar que el aviso de privacidad dado a conocer al titular, sea respetado en todo momento por l o por terceros con los que guarde alguna relacin jurdica. Artculo 15.- El responsable tendr la obligacin de informar a los titulares de los datos, la informacin que se recaba de ellos y con qu fines, a travs del aviso de privacidad. Artculo 16.- El aviso de privacidad deber contener, al menos, la siguiente informacin: I. II. La identidad y domicilio del responsable que los recaba; Las finalidades del tratamiento de datos;

III.

Las opciones y medios que el responsable ofrezca a los titulares para limitar el uso o divulgacin de los datos;

IV. Los medios para ejercer los derechos de acceso, rectificacin, cancelacin u oposicin, de conformidad con lo dispuesto en esta Ley; V. En su caso, las transferencias de datos que se efecten, y

VI. El procedimiento y medio por el cual el responsable comunicar a los titulares de cambios al aviso de privacidad, de conformidad con lo previsto en esta Ley. En el caso de datos personales sensibles, el aviso de privacidad deber sealar expresamente que se trata de este tipo de datos. Artculo 17.- El aviso de privacidad debe ponerse a disposicin de los titulares a travs de formatos impresos, digitales, visuales, sonoros o cualquier otra tecnologa, de la siguiente manera: I. Cuando los datos personales hayan sido obtenidos personalmente del titular, el aviso de privacidad deber ser facilitado en el momento en que se recaba el dato de forma clara y fehaciente, a travs de los formatos por los que se recaban, salvo que se hubiera facilitado el aviso con anterioridad, y Cuando los datos personales sean obtenidos directamente del titular por cualquier medio electrnico, ptico, sonoro, visual, o a travs de cualquier otra tecnologa, el responsable deber proporcionar al titular de manera inmediata, al menos la informacin a que se refiere las fracciones I y II del artculo anterior, as como proveer los mecanismos para que el titular conozca el texto completo del aviso de privacidad.

II.

Artculo 18.- Cuando los datos no hayan sido obtenidos directamente del titular, el

responsable deber darle a conocer el cambio en el aviso de privacidad. No resulta aplicable lo establecido en el prrafo anterior, cuando el tratamiento sea con fines histricos, estadsticos o cientficos. Cuando resulte imposible dar a conocer el aviso de privacidad al titular o exija esfuerzos desproporcionados, en consideracin al nmero de titulares, o a la antigedad de los datos, previa autorizacin del Instituto, el responsable podr instrumentar medidas compensatorias en trminos del Reglamento de esta Ley. Artculo 19.- Todo responsable que lleve a cabo tratamiento de datos personales deber establecer y mantener medidas de seguridad administrativas, tcnicas y fsicas que permitan proteger los datos personales contra dao, prdida, alteracin, destruccin o el uso, acceso o tratamiento no autorizado. Los responsables no adoptarn medidas de seguridad menores a aquellas que mantengan para el manejo de su informacin. Asimismo se tomar en cuenta el riesgo existente, las posibles consecuencias para los titulares, la sensibilidad de los datos y el desarrollo tecnolgico. Artculo 20.- Las vulneraciones de seguridad ocurridas en cualquier fase del tratamiento que afecten de forma significativa los derechos patrimoniales o morales de los titulares, sern informadas de forma inmediata por el responsable al titular, a fin de que este ltimo pueda tomar las medidas correspondientes a la defensa de sus derechos. Artculo 21.- El responsable o terceros que intervengan en cualquier fase del tratamiento de datos personales debern guardar confidencialidad respecto de stos, obligacin que subsistir aun despus de finalizar sus relaciones con el titular o, en su caso, con el responsable.

CAPTULO III De los Derechos de los Titulares de Datos Personales Artculo 22.- Cualquier titular, o en su caso su representante legal, podr ejercer los derechos de acceso, rectificacin, cancelacin y oposicin previstos en la presente Ley. El ejercicio de cualquiera de ellos no es requisito previo ni impide el ejercicio de otro. Los datos personales deben ser resguardados de tal manera que permitan el ejercicio sin dilacin de estos derechos. Artculo 23.- Los titulares tienen derecho a acceder a sus datos personales que obren en poder del responsable, as como conocer el Aviso de Privacidad al que est sujeto el tratamiento. Artculo 24.- El titular de los datos tendr derecho a rectificarlos cuando sean inexactos o incompletos. Artculo 25.- El titular tendr en todo momento el derecho a cancelar sus datos personales. La cancelacin de datos personales dar lugar a un periodo de bloqueo tras el cual se proceder a la supresin del dato. El responsable podr conservarlos exclusivamente para efectos de las responsabilidades nacidas del tratamiento. El periodo de bloqueo ser equivalente al plazo de prescripcin de las acciones derivadas de la relacin jurdica que funda el tratamiento en los trminos de la Ley aplicable en la materia. Una vez cancelado el dato se dar aviso a su titular. Cuando los datos personales hubiesen sido transmitidos con anterioridad a la fecha de rectificacin o cancelacin y sigan siendo tratados por terceros, el responsable deber hacer de su conocimiento dicha solicitud de rectificacin o cancelacin, para que proceda a efectuarla tambin.

Artculo 26.- El responsable no estar obligado a cancelar los datos personales cuando: I. Se refiera a las partes de un contrato privado, social o administrativo y sean necesarios para su desarrollo y cumplimiento; Deban ser tratados por disposicin legal;

Artculo 29.- La solicitud de acceso, rectificacin, cancelacin u oposicin deber contener y acompaar lo siguiente: I. El nombre del titular y domicilio u otro medio para comunicarle la respuesta a su solicitud; Los documentos que acrediten la identidad o, en su caso, la representacin legal del titular; La descripcin clara y precisa de los datos personales respecto de los que se busca ejercer alguno de los derechos antes mencionados, y

II.

II.

III. Obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, la investigacin y persecucin de delitos o la actualizacin de sanciones administrativas; IV. Sean necesarios para proteger los intereses jurdicamente tutelados del titular; V. Sean necesarios para realizar una accin en funcin del inters pblico;

III.

IV. Cualquier otro elemento o documento que facilite la localizacin de los datos personales. Artculo 30.- Todo responsable deber designar a una persona, o departamento de datos personales, quien dar trmite a las solicitudes de los titulares, para el ejercicio de los derechos a que se refiere la presente Ley. Asimismo fomentar la proteccin de datos personales al interior de la organizacin. Artculo 31.- En el caso de solicitudes de rectificacin de datos personales, el titular deber indicar, adems de lo sealado en el artculo anterior de esta Ley, las modificaciones a realizarse y aportar la documentacin que sustente su peticin. Artculo 32.- El responsable comunicar al titular, en un plazo mximo de veinte das, contados desde la fecha en que se recibi la solicitud de acceso, rectificacin, cancelacin u oposicin, la determinacin adoptada, a efecto de que, si resulta procedente, se haga efectiva la misma dentro de los quince das siguientes a la fecha en que se comunica la respuesta. Tratndose de solicitudes de acceso a datos personales, proceder la entrega previa acreditacin de la identidad del solicitante o representante legal, segn corresponda.

VI. Sean necesarios para cumplir con una obligacin legalmente adquirida por el titular, y VII. Sean objeto de tratamiento para la prevencin o para el diagnstico mdico o la gestin de servicios de salud, siempre que dicho tratamiento se realice por un profesional de la salud sujeto a un deber de secreto. Artculo 27.- El titular tendr derecho en todo momento y por causa legtima a oponerse al tratamiento de sus datos. De resultar procedente, el responsable no podr tratar los datos relativos al titular. CAPTULO IV Del Ejercicio de los Derechos de Acceso, Rectificacin, Cancelacin y Oposicin Artculo 28.- El titular o su representante legal podrn solicitar al responsable en cualquier momento el acceso, rectificacin, cancelacin u oposicin, respecto de los datos personales que le conciernen. 10

Los plazos antes referidos podrn ser ampliados una sola vez por un periodo igual, siempre y cuando as lo justifiquen las circunstancias del caso. Artculo 33.- La obligacin de acceso a la informacin se dar por cumplida cuando se pongan a disposicin del titular los datos personales; o bien, mediante la expedicin de copias simples, documentos electrnicos o cualquier otro medio que determine el responsable en el aviso de privacidad. En el caso de que el titular solicite el acceso a los datos a una persona que presume es el responsable y sta resulta no serlo, bastar con que as se le indique al titular por cualquiera de los medios a que se refiere el prrafo anterior, para tener por cumplida la solicitud. Artculo 34.- El responsable podr negar el acceso a los datos personales, o a realizar la rectificacin o cancelacin o conceder la oposicin al tratamiento de los mismos, en los siguientes supuestos: I. Cuando el solicitante no sea el titular de los datos personales, o el representante legal no est debidamente acreditado para ello; Cuando en su base de datos, no se encuentren los datos personales del solicitante; Cuando se lesionen los derechos de un tercero;

efectuar el acceso, rectificacin, cancelacin u oposicin requerida por el titular. En todos los casos anteriores, el responsable deber informar el motivo de su decisin y comunicarla al titular, o en su caso, al representante legal, en los plazos establecidos para tal efecto, por el mismo medio por el que se llev a cabo la solicitud, acompaando, en su caso, las pruebas que resulten pertinentes. Artculo 35.- La entrega de los datos personales ser gratuita, debiendo cubrir el titular nicamente los gastos justificados de envo o con el costo de reproduccin en copias u otros formatos. Dicho derecho se ejercer por el titular en forma gratuita, previa acreditacin de su identidad ante el responsable. No obstante, si la misma persona reitera su solicitud en un periodo menor a doce meses, los costos no sern mayores a tres das de Salario Mnimo General Vigente en el Distrito Federal, a menos que existan modificaciones sustanciales al aviso de privacidad que motiven nuevas consultas. El titular podr presentar una solicitud de proteccin de datos por la respuesta recibida o falta de respuesta del responsable, de conformidad con lo establecido en el siguiente Captulo. CAPTULO V De la Transferencia de Datos Artculo 36.- Cuando el responsable pretenda transferir los datos personales a terceros nacionales o extranjeros, distintos del encargado, deber comunicar a stos el aviso de privacidad y las finalidades a las que el titular sujet su tratamiento. El tratamiento de los datos se har conforme a lo convenido en el aviso de privacidad, el cual contendr una clusula en la que se indique si el titular acepta o no la transferencia

II.

III.

IV. Cuando exista un impedimento legal, o la resolucin de una autoridad competente, que restrinja el acceso a los datos personales, o no permita la rectificacin, cancelacin u oposicin de los mismos, y V. Cuando la rectificacin, cancelacin u oposicin haya sido previamente realizada.

La negativa a que se refiere este artculo podr ser parcial en cuyo caso el responsable

11

de sus datos, de igual manera, el tercero receptor, asumir las mismas obligaciones que correspondan al responsable que transfiri los datos. Artculo 37.- Las transferencias nacionales o internacionales de datos podrn llevarse a cabo sin el consentimiento del titular cuando se d alguno de los siguientes supuestos: I. Cuando la transferencia est prevista en una Ley o Tratado en los que Mxico sea parte; Cuando la transferencia sea necesaria para la prevencin o el diagnstico mdico, la prestacin de asistencia sanitaria, tratamiento mdico o la gestin de servicios sanitarios;

CAPTULO VI De las Autoridades Seccin I Del Instituto Artculo 38.- El Instituto, para efectos de esta Ley, tendr por objeto difundir el conocimiento del derecho a la proteccin de datos personales en la sociedad mexicana, promover su ejercicio y vigilar por la debida observancia de las disposiciones previstas en la presente Ley y que deriven de la misma; en particular aquellas relacionadas con el cumplimiento de obligaciones por parte de los sujetos regulados por este ordenamiento. Artculo 39.- El Instituto tiene las siguientes atribuciones: I. Vigilar y verificar el cumplimiento de las disposiciones contenidas en esta Ley, en el mbito de su competencia, con las excepciones previstas por la legislacin; Interpretar en el mbito administrativo la presente Ley;

II.

III. Cuando la transferencia sea efectuada a sociedades controladoras, subsidiarias o afiliadas bajo el control comn del responsable, o a una sociedad matriz o a cualquier sociedad del mismo grupo del responsable que opere bajo los mismos procesos y polticas internas; IV. Cuando la transferencia sea necesaria por virtud de un contrato celebrado o por celebrar en inters del titular, por el responsable y un tercero; V. Cuando la transferencia sea necesaria o legalmente exigida para la salvaguarda de un inters pblico, o para la procuracin o administracin de justicia;

II.

III. Proporcionar apoyo tcnico a los responsables que lo soliciten, para el cumplimiento de las obligaciones establecidas en la presente Ley; IV. Emitir los criterios y recomendaciones, de conformidad con las disposiciones aplicables de esta Ley, para efectos de su funcionamiento y operacin; V. Divulgar estndares y mejores prcticas internacionales en materia de seguridad de la informacin, en atencin a la naturaleza de los datos; las finalidades del tratamiento, y las capacidades tcnicas y econmicas del responsable;

VI. Cuando la transferencia sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, y VII. Cuando la transferencia sea precisa para el mantenimiento o cumplimiento de una relacin jurdica entre el responsable y el titular.

VI. Conocer y resolver los procedimientos de proteccin de derechos y de verificacin sealados en esta Ley e

12

imponer las corresponda;

sanciones

segn

y el desarrollo econmico nacional en su conjunto. Artculo 42.- En lo referente a las bases de datos de comercio, la regulacin que emita la Secretara, nicamente ser aplicable a aquellas bases de datos automatizadas o que formen parte de un proceso de automatizacin. Artculo 43.- La Secretara tiene las siguientes atribuciones: I. Difundir el conocimiento respecto a la proteccin de datos personales en el mbito comercial; Fomentar las buenas prcticas comerciales en materia de proteccin de datos personales; Emitir los lineamientos correspondientes para el contenido y alcances de los avisos de privacidad en coadyuvancia con el Instituto, a que se refiere la presente Ley;

VII. Cooperar con otras autoridades de supervisin y organismos nacionales e internacionales, a efecto de coadyuvar en materia de proteccin de datos; VIII. Rendir al Congreso de la Unin un informe anual de sus actividades; IX. Acudir a foros internacionales en el mbito de la presente Ley; X. Elaborar estudios de impacto sobre la privacidad previos a la puesta en prctica de una nueva modalidad de tratamiento de datos personales o a la realizacin de modificaciones sustanciales en tratamientos ya existentes;

II.

XI. Desarrollar, fomentar y difundir anlisis, estudios e investigaciones en materia de proteccin de datos personales en Posesin de los Particulares y brindar capacitacin a los sujetos obligados, y XII. Las dems que le confieran esta Ley y dems ordenamientos aplicables. Seccin II De las Autoridades Reguladoras Artculo 40.- La presente Ley constituir el marco normativo que las dependencias debern observar, en el mbito de sus propias atribuciones, para la emisin de la regulacin que corresponda, con la coadyuvancia del Instituto. Artculo 41.- La Secretara, para efectos de esta Ley, tendr como funcin difundir el conocimiento de las obligaciones en torno a la proteccin de datos personales entre la iniciativa privada nacional e internacional con actividad comercial en territorio mexicano; promover las mejores prcticas comerciales en torno a la proteccin de los datos personales como insumo de la economa digital,

III.

IV. Emitir, en el mbito de su competencia, las disposiciones administrativas de carcter general a que se refiere el artculo 40, en coadyuvancia con el Instituto; V. Fijar los parmetros necesarios para el correcto desarrollo de los mecanismos y medidas de autorregulacin a que se refiere el artculo 44 de la presente Ley, incluido la promocin de Normas Mexicanas o Normas Oficiales Mexicanas, en coadyuvancia con el Instituto;

VI. Llevar a cabo los registros de consumidores en materia de datos personales y verificar su funcionamiento; VII. Celebrar convenios con cmaras de comercio, asociaciones y organismos empresariales en lo general, en materia de proteccin de datos personales;

13

VIII. Disear e instrumentar polticas y coordinar la elaboracin de estudios para la modernizacin y operacin eficiente del comercio electrnico, as como para promover el desarrollo de la economa digital y las tecnologas de la informacin en materia de proteccin de datos personales; IX. Acudir a foros comerciales nacionales e internacionales en materia de proteccin de datos personales, o en aquellos eventos de naturaleza comercial, y X. Apoyar la realizacin de eventos, que contribuyan a la difusin de la proteccin de los datos personales.

el contenido de su reclamacin y de los preceptos de esta Ley que se consideran vulnerados. La solicitud de proteccin de datos deber presentarse ante el Instituto dentro de los quince das siguientes a la fecha en que se comunique la respuesta al titular por parte del responsable. En el caso de que el titular de los datos no reciba respuesta por parte del responsable, la solicitud de proteccin de datos podr ser presentada a partir de que haya vencido el plazo de respuesta previsto para el responsable. En este caso, bastar que el titular de los datos acompae a su solicitud de proteccin de datos el documento que pruebe la fecha en que present la solicitud de acceso, rectificacin, cancelacin u oposicin. La solicitud de proteccin de datos tambin proceder en los mismos trminos cuando el responsable no entregue al titular los datos personales solicitados; o lo haga en un formato incomprensible, se niegue a efectuar modificaciones o correcciones a los datos personales, el titular no est conforme con la informacin entregada por considerar que es incompleta o no corresponda a la informacin requerida. Recibida la solicitud de proteccin de datos ante el Instituto, se dar traslado de la misma al responsable, para que, en el plazo de quince das, emita respuesta, ofrezca las pruebas que estime pertinentes y manifieste por escrito lo que a su derecho convenga. El Instituto admitir las pruebas que estime pertinentes y proceder a su desahogo. Asimismo, podr solicitar del responsable las dems pruebas que estime necesarias. Concluido el desahogo de las pruebas, el Instituto notificar al responsable el derecho que le asiste para que, de considerarlo necesario, presente sus alegatos dentro de los cinco das siguientes a su notificacin. Para el debido desahogo del procedimiento, el Instituto resolver sobre la solicitud de

Artculo 44.- Las personas fsicas o morales podrn convenir entre ellas o con organizaciones civiles o gubernamentales, nacionales o extranjeras, esquemas de autorregulacin vinculante en la materia, que complementen lo dispuesto por la presente Ley. Dichos esquemas debern contener mecanismos para medir su eficacia en la proteccin de los datos, consecuencias y medidas correctivas eficaces en caso de incumplimiento. Los esquemas de autorregulacin podrn traducirse en cdigos deontolgicos o de buena prctica profesional, sellos de confianza u otros mecanismos y contendrn reglas o estndares especficos que permitan armonizar los tratamientos de datos efectuados por los adheridos y facilitar el ejercicio de los derechos de los titulares. Dichos esquemas sern notificados de manera simultnea a las autoridades sectoriales correspondientes y al Instituto. CAPTULO VII Del Procedimiento de Proteccin de Derechos Artculo 45.- El procedimiento se iniciar a instancia del titular de los datos o de su representante legal, expresando con claridad

14

proteccin de datos formulada, una vez analizadas las pruebas y dems elementos de conviccin que estime pertinentes, como pueden serlo aqullos que deriven de la o las audiencias que se celebren con las partes. El Reglamento de la Ley establecer la forma, trminos y plazos conforme a los que se desarrollar el procedimiento de proteccin de derechos. Artculo 46.- La solicitud de proteccin de datos podr interponerse por escrito libre o a travs de los formatos, del sistema electrnico que al efecto proporcione el Instituto y deber contener la siguiente informacin: I. El nombre del titular o, en su caso, el de su representante legal, as como del tercero interesado, si lo hay; El nombre del responsable ante el cual se present la solicitud de acceso, rectificacin, cancelacin u oposicin de datos personales; El domicilio para notificaciones; or y recibir

En el caso de que la solicitud de proteccin de datos se interponga a travs de medios que no sean electrnicos, deber acompaarse de las copias de traslado suficientes. Artculo 47.- El plazo mximo para dictar la resolucin en el procedimiento de proteccin de derechos ser de cincuenta das, contados a partir de la fecha de presentacin de la solicitud de proteccin de datos. Cuando haya causa justificada, el Pleno del Instituto podr ampliar por una vez y hasta por un perodo igual este plazo. Artculo 48.- En caso que la resolucin de proteccin de derechos resulte favorable al titular de los datos, se requerir al responsable para que, en el plazo de diez das siguientes a la notificacin o cuando as se justifique, uno mayor que fije la propia resolucin, haga efectivo el ejercicio de los derechos objeto de proteccin, debiendo dar cuenta por escrito de dicho cumplimiento al Instituto dentro de los siguientes diez das. Artculo 49.- En caso de que la solicitud de proteccin de datos no satisfaga alguno de los requisitos a que se refiere el artculo 46 de esta Ley, y el Instituto no cuente con elementos para subsanarlo, se prevendr al titular de los datos dentro de los veinte das hbiles siguientes a la presentacin de la solicitud de proteccin de datos, por una sola ocasin, para que subsane las omisiones dentro de un plazo de cinco das. Transcurrido el plazo sin desahogar la prevencin se tendr por no presentada la solicitud de proteccin de datos. La prevencin tendr el efecto de interrumpir el plazo que tiene el Instituto para resolver la solicitud de proteccin de datos. Artculo 50.- El Instituto suplir las deficiencias de la queja en los casos que as se requiera, siempre y cuando no altere el contenido original de la solicitud de acceso, rectificacin, cancelacin u oposicin de datos personales, ni se modifiquen los hechos o peticiones expuestos en la misma o en la solicitud de proteccin de datos. 15

II.

III.

IV. La fecha en que se le dio a conocer la respuesta del responsable, salvo que el procedimiento inicie con base en lo previsto en el artculo 50; V. Los actos que motivan su solicitud de proteccin de datos, y

VI. Los dems elementos que se considere procedente hacer del conocimiento del Instituto. La forma y trminos en que deba acreditarse la identidad del titular o bien, la representacin legal se establecern en el Reglamento. Asimismo, a la solicitud de proteccin de datos deber acompaarse la solicitud y la respuesta que se recurre o, en su caso, los datos que permitan su identificacin. En el caso de falta de respuesta slo ser necesario presentar la solicitud.

Artculo 51.- Las resoluciones del Instituto podrn: I. II. Sobreseer o desechar la solicitud de proteccin de datos por improcedente, o Confirmar, revocar o modificar la respuesta del responsable.

Instituto verificar el cumplimiento del acuerdo respectivo. Para efectos de la conciliacin a que se alude en el presente ordenamiento, se estar al procedimiento que se establezca en el Reglamento de esta Ley. Artculo 55.- Interpuesta la solicitud de proteccin de datos ante la falta de respuesta a una solicitud en ejercicio de los derechos de acceso, rectificacin, cancelacin u oposicin por parte del responsable, el Instituto dar vista al citado responsable para que, en un plazo no mayor a diez das, acredite haber respondido en tiempo y forma la solicitud, o bien d respuesta a la misma. En caso de que la respuesta atienda a lo solicitado, la solicitud de proteccin de datos se considerar improcedente y el Instituto deber sobreseerlo. En el segundo caso, el Instituto emitir su resolucin con base en el contenido de la solicitud original y la respuesta del responsable que alude el prrafo anterior. Si la resolucin del Instituto a que se refiere el prrafo anterior determina la procedencia de la solicitud, el responsable proceder a su cumplimiento, sin costo alguno para el titular, debiendo cubrir el responsable todos los costos generados por la reproduccin correspondiente. Artculo 56.- Contra las resoluciones del Instituto, los particulares podrn promover el juicio de nulidad ante el Tribunal Federal de Justicia Fiscal y Administrativa. Artculo 57.- Todas las resoluciones del Instituto sern susceptibles de difundirse pblicamente en versiones pblicas, eliminando aquellas referencias al titular de los datos que lo identifiquen o lo hagan identificable. Artculo 58.- Los titulares que consideren que han sufrido un dao o lesin en sus bienes o derechos como consecuencia del incumplimiento a lo dispuesto en la presente

Artculo 52.- La solicitud de proteccin de datos ser desechada por improcedente cuando: I. II. El Instituto no sea competente; El Instituto haya conocido anteriormente de la solicitud de proteccin de datos contra el mismo acto y resuelto en definitiva respecto del mismo recurrente;

III. Se est tramitando ante los tribunales competentes algn recurso o medio de defensa interpuesto por el titular que pueda tener por efecto modificar o revocar el acto respectivo; IV. Se trate de una solicitud de proteccin de datos ofensiva o irracional, o V. Sea extempornea.

Artculo 53.- La solicitud de proteccin de datos ser sobreseda cuando: I. II. El titular fallezca; El titular se desista de manera expresa;

III. Admitida la solicitud de proteccin de datos, sobrevenga una causal de improcedencia, y IV. Por cualquier motivo quede sin materia la misma. Artculo 54.- El Instituto podr en cualquier momento del procedimiento buscar una conciliacin entre el titular de los datos y el responsable. De llegarse a un acuerdo de conciliacin entre ambos, ste se har constar por escrito y tendr efectos vinculantes. La solicitud de proteccin de datos quedar sin materia y el

16

Ley por el responsable o el encargado, podrn ejercer los derechos que estimen pertinentes para efectos de la indemnizacin que proceda, en trminos de las disposiciones legales correspondientes. CAPTULO VIII Del Procedimiento de Verificacin Artculo 59.- El Instituto verificar el cumplimiento de la presente Ley y de la normatividad que de sta derive. La verificacin podr iniciarse de oficio o a peticin de parte. La verificacin de oficio proceder cuando se d el incumplimiento a resoluciones dictadas con motivo de procedimientos de proteccin de derechos a que se refiere el Captulo anterior o se presuma fundada y motivadamente la existencia de violaciones a la presente Ley. Artculo 60.- En el procedimiento de verificacin el Instituto tendr acceso a la informacin y documentacin que considere necesarias, de acuerdo a la resolucin que lo motive. Los servidores pblicos federales estarn obligados a guardar confidencialidad sobre la informacin que conozcan derivada de la verificacin correspondiente. El Reglamento desarrollar la forma, trminos y plazos en que se sustanciar el procedimiento a que se refiere el presente artculo. CAPTULO IX Del Procedimiento de Imposicin de Sanciones Artculo 61.- Si con motivo del desahogo del procedimiento de proteccin de derechos o del procedimiento de verificacin que realice el Instituto, ste tuviera conocimiento de un presunto incumplimiento de alguno de los

principios o disposiciones de esta Ley, iniciar el procedimiento a que se refiere este Captulo, a efecto de determinar la sancin que corresponda. Artculo 62.- El procedimiento de imposicin de sanciones dar comienzo con la notificacin que efecte el Instituto al presunto infractor, sobre los hechos que motivaron el inicio del procedimiento y le otorgar un trmino de quince das para que rinda pruebas y manifieste por escrito lo que a su derecho convenga. En caso de no rendirlas, el Instituto resolver conforme a los elementos de conviccin de que disponga. El Instituto admitir las pruebas que estime pertinentes y proceder a su desahogo. Asimismo, podr solicitar del presunto infractor las dems pruebas que estime necesarias. Concluido el desahogo de las pruebas, el Instituto notificar al presunto infractor el derecho que le asiste para que, de considerarlo necesario, presente sus alegatos dentro de los cinco das siguientes a su notificacin. El Instituto, una vez analizadas las pruebas y dems elementos de conviccin que estime pertinentes, resolver en definitiva dentro de los cincuenta das siguientes a la fecha en que inici el procedimiento sancionador. Dicha resolucin deber ser notificada a las partes. Cuando haya causa justificada, el Pleno del Instituto podr ampliar por una vez y hasta por un perodo igual este plazo. El Reglamento desarrollar la forma, trminos y plazos en que se sustanciar el procedimiento de imposicin de sanciones, incluyendo presentacin de pruebas y alegatos, la celebracin de audiencias y el cierre de instruccin.

17

CAPTULO X De las Infracciones y Sanciones Artculo 63.- Constituyen infracciones a esta Ley, las siguientes conductas llevadas a cabo por el responsable: I. No cumplir con la solicitud del titular para el acceso, rectificacin, cancelacin u oposicin al tratamiento de sus datos personales, sin razn fundada, en los trminos previstos en esta Ley; Actuar con negligencia o dolo en la tramitacin y respuesta de solicitudes de acceso, rectificacin, cancelacin u oposicin de datos personales;

X.

Transferir datos a terceros sin comunicar a stos el aviso de privacidad que contiene las limitaciones a que el titular sujet la divulgacin de los mismos;

XI. Vulnerar la seguridad de bases de datos, locales, programas o equipos, cuando resulte imputable al responsable; XII. Llevar a cabo la transferencia o cesin de los datos personales, fuera de los casos en que est permitida por la Ley; Recabar o transferir datos personales sin el consentimiento expreso del titular, en los casos en que ste sea exigible;

XIII.

II.

XIV. Obstruir los actos de verificacin de la autoridad; XV. Recabar datos en forma engaosa y fraudulenta;

III. Declarar dolosamente la inexistencia de datos personales, cuando exista total o parcialmente en las bases de datos del responsable; IV. Dar tratamiento a los datos personales en contravencin a los principios establecidos en la presente Ley; V. Omitir en el aviso de privacidad, alguno o todos los elementos a que se refiere el artculo 16 de esta Ley;

XVI. Continuar con el uso ilegtimo de los datos personales cuando se ha solicitado el cese del mismo por el Instituto o los titulares; XVII. Tratar los datos personales de manera que se afecte o impida el ejercicio de los derechos de acceso, rectificacin, cancelacin y oposicin establecidos en el artculo 16 de la Constitucin Poltica de los Estados Unidos Mexicanos; XVIII. Crear bases de datos en contravencin a lo dispuesto por el artculo 9, segundo prrafo de esta Ley, y XIX. Cualquier incumplimiento del responsable a las obligaciones establecidas a su cargo en trminos de lo previsto en la presente Ley. Artculo 64.- Las infracciones a la presente Ley sern sancionadas por el Instituto con: I. El apercibimiento para que el responsable lleve a cabo los actos solicitados por el titular, en los trminos previstos por esta

VI. Mantener datos personales inexactos cuando resulte imputable al responsable, o no efectuar las rectificaciones o cancelaciones de los mismos que legalmente procedan cuando resulten afectados los derechos de los titulares; VII. No cumplir con el apercibimiento a que se refiere la fraccin I del artculo 64; VIII. Incumplir el deber de confidencialidad establecido en el artculo 21 de esta Ley; IX. Cambiar sustancialmente la finalidad originaria del tratamiento de los datos, sin observar lo dispuesto por el artculo 12;

18

Ley, tratndose de los supuestos previstos en la fraccin I del artculo anterior; II. Multa de 100 a 160,000 das de salario mnimo vigente en el Distrito Federal, en los casos previstos en las fracciones II a VII del artculo anterior; Multa de 200 a 320,000 das de salario mnimo vigente en el Distrito Federal, en los casos previstos en las fracciones VIII a XVIII del artculo anterior, y

CAPTULO XI De los Delitos en Materia del Tratamiento Indebido de Datos Personales Artculo 67.- Se impondrn de tres meses a tres aos de prisin al que estando autorizado para tratar datos personales, con nimo de lucro, provoque una vulneracin de seguridad a las bases de datos bajo su custodia. Artculo 68.- Se sancionar con prisin de seis meses a cinco aos al que, con el fin de alcanzar un lucro indebido, trate datos personales mediante el engao, aprovechndose del error en que se encuentre el titular o la persona autorizada para transmitirlos. Artculo 69.- Tratndose de datos personales sensibles, las penas a que se refiere este Captulo se duplicarn.

III.

IV. En caso de que de manera reiterada persistan las infracciones citadas en los incisos anteriores, se impondr una multa adicional que ir de 100 a 320,000 das de salario mnimo vigente en el Distrito Federal. En tratndose de infracciones cometidas en el tratamiento de datos sensibles, las sanciones podrn incrementarse hasta por dos veces, los montos establecidos. Artculo 65.- El Instituto fundar y motivar sus resoluciones, considerando: I. II. La naturaleza del dato; La notoria improcedencia de la negativa del responsable, para realizar los actos solicitados por el titular, en trminos de esta Ley; El carcter intencional o no, de la accin u omisin constitutiva de la infraccin; econmica del

III.

IV. La capacidad responsable, y V. La reincidencia.

Artculo 66.- Las sanciones que se sealan en este Captulo se impondrn sin perjuicio de la responsabilidad civil o penal que resulte.

19

TRANSITORIOS PRIMERO.- El presente Decreto entrar en vigor al da siguiente al de su publicacin en el Diario Oficial de la Federacin. SEGUNDO.- El Ejecutivo Federal expedir el Reglamento de esta Ley dentro del ao siguiente a su entrada en vigor. TERCERO.- Los responsables designarn a la persona o departamento de datos personales a que se refiere el artculo 30 de la Ley y expedirn sus avisos de privacidad a los titulares de datos personales de conformidad a lo dispuesto por los artculos 16 y 17 a ms tardar un ao despus de la entrada en vigor de la presente Ley. CUARTO.- Los titulares podrn ejercer ante los responsables sus derechos de acceso, rectificacin, cancelacin y oposicin contemplados en el Captulo IV de la Ley; as como dar inicio, en su caso, al procedimiento de proteccin de derechos establecido en el Captulo VII de la misma, dieciocho meses despus de la entrada en vigor de la Ley. QUINTO.- En cumplimiento a lo dispuesto por el artculo tercero transitorio del Decreto por el que se adiciona la fraccin XXIX-O al artculo 73 de la Constitucin Poltica de los Estados Unidos Mexicanos, publicado en el Diario Oficial de la Federacin el 30 de abril de 2009, las disposiciones locales en materia de proteccin de datos personales en posesin de los particulares se abrogan, y se derogan las dems disposiciones que se opongan a la presente Ley. SEXTO.- Las referencias que con anterioridad a la entrada en vigor del presente Decreto, se hacen en las leyes, tratados y acuerdos internacionales, reglamentos y dems ordenamientos al Instituto Federal de Acceso a la Informacin Pblica, en lo futuro se entendern hechas al Instituto Federal de Acceso a la Informacin y Proteccin de Datos Personales. SPTIMO.- Las acciones que, en cumplimiento a lo dispuesto en la Ley Federal 20

de Proteccin de Datos Personales en Posesin de los Particulares, corresponda realizar al Ejecutivo Federal, se sujetarn a los presupuestos aprobados de las instituciones correspondientes y a las disposiciones de la Ley Federal de Presupuesto y Responsabilidad Hacendaria. OCTAVO.- El Presupuesto de Egresos de la Federacin para el Ejercicio Fiscal de 2011 considerar partidas suficientes para el adecuado funcionamiento del Instituto Federal de Acceso a la Informacin y Proteccin de Datos en las materias de esta Ley. ARTCULO SEGUNDO. Se reforman los artculos 3, fracciones II y VII, y 33, as como la denominacin del Captulo II, del Ttulo Segundo, de la Ley Federal de Transparencia y Acceso a la Informacin Pblica Gubernamental, para quedar como sigue: Artculo 3.- Para los efectos de esta Ley se entender por: I. II. ... Datos personales: Cualquier informacin concerniente a una persona fsica identificada o identificable;

III. a VI. ... VII. Instituto: El Instituto Federal de Acceso a la Informacin y Proteccin de Datos, establecido en el Artculo 33 de esta Ley; VIII. a XV. ... CAPTULO II Del Instituto Artculo 33.- El Instituto es un rgano de la Administracin Pblica Federal, con autonoma operativa, presupuestaria y de decisin, encargado de promover y difundir el ejercicio del derecho a la informacin; resolver sobre la negativa a las solicitudes de acceso a la informacin y proteger los datos personales en poder de las dependencias y entidades.

TRANSITORIO NICO.- El presente Decreto entrar en vigor al da siguiente al de su publicacin en el Diario Oficial de la Federacin.

Mxico, D.F., a 27 de abril de 2010.- Dip. Francisco Javier Ramirez Acua, Presidente.Sen. Carlos Navarrete Ruiz, Presidente.- Dip. Georgina Trujillo Zentella, Secretaria.- Sen. Renn Cleominio Zoreda Novelo, Secretario.Rbricas." En cumplimiento de lo dispuesto por la fraccin I del Artculo 89 de la Constitucin Poltica de los Estados Unidos Mexicanos, y para su debida publicacin y observancia, expido el presente Decreto en la Residencia del Poder Ejecutivo Federal, en la Ciudad de Mxico, Distrito Federal, a veintiocho de junio de dos mil diez.- Felipe de Jess Caldern Hinojosa.Rbrica.- El Secretario de Gobernacin, Lic. Fernando Francisco Gmez Mont Urueta.Rbrica.

21

Tiraje: 10,000 ejemplares Abril de 2011 Edicin a cargo de: Direccin General de Clasificacin y Datos Personales Direccin General de Comunicacin Social