INSTITUTO FEDERAL DE ACCESO A LA INFORMACION DE DATOS

INSTITUTO FEDERAL DE ACCESO A LA INFORMACION Y PROTECCION DE DATOS

CRITERIOS Generales para la instrumentación de medidas compensatorias sin la autorización expresa del Instituto Federal de Acceso a la Información y Protección de Datos.

Al margen un sello con el Escudo Nacional, que dice: Estados Unidos Mexicanos.- Instituto Federal de Acceso a la Información y Protección de Datos.

El Pleno del Instituto Federal de Acceso a la Información y Protección de Datos con fundamento en lo dispuesto por los artículos 15, 18, último párrafo y 39, fracción IV de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, y artículos 23, 32, primer párrafo, y Tercero transitorio de su Reglamento, y

CONSIDERANDO

Que la protección de datos personales es un derecho fundamental reconocido en nuestra Constitución, que busca la salvaguardia de la persona con relación al uso y aprovechamiento de su información personal;

Que esta garantía tiene por objeto dotar a toda persona de un amplio poder de disposición y control sobre sus datos personales, prerrogativa que abarca desde el derecho que tiene a conocer y decidir libre e informadamente quién y cómo se recaba, utiliza y comparte su información personal, hasta la potestad de oponerse al tratamiento de la misma;

Que el contenido del derecho a la protección de datos personales está determinado por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento, a través del establecimiento de una serie de principios, obligaciones y deberes que tiene que cumplir toda persona física o moral que trate datos personales, denominados por dichos instrumentos normativos como responsables, así como de una gama de derechos inherentes y reconocidos que tiene toda persona en su carácter de titular o dueña de la información que le concierne, y que se deben hacer efectivos cuando ésta lo solicite;

Que entre los principios de protección de datos personales que contempla y desarrolla la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento se encuentra el principio de información, el cual se traduce en la obligación que tiene el responsable de comunicar al titular la existencia y características principales del tratamiento a que será sometida su información personal, así como los mecanismos y procedimientos para que ejerzan sus derechos con relación a sus datos personales, en términos claros y sencillos, que le resulten fácilmente comprensibles, a través del aviso de privacidad;

Que por regla general el aviso de privacidad deberá ser puesto a disposición del titular de manera personal o directa, en función de los medios o formatos físicos, electrónicos, sonoros o cualquier otra tecnología utilizada para recabar los datos personales, previo a su obtención;

Que cuando se presente una imposibilidad material o se requieran esfuerzos desproporcionados para comunicar el aviso de privacidad de manera personal o directa al titular, el responsable podrá difundir dicho aviso a través de las medidas compensatorias a que se refiere el artículo 18, último párrafo de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

Que las medidas compensatorias se traducen en mecanismos alternos de comunicación que permiten y facilitan al responsable difundir el aviso de privacidad de manera generalizada y masiva a los titulares involucrados en el tratamiento de datos personales;

Que según lo dispuesto por el artículo 32, primer párrafo del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, el responsable podrá instrumentar medidas compensatorias, a través de los medios reconocidos en el artículo 35 del citado instrumento normativo, sin requerir la autorización expresa de este Instituto, de acuerdo con los criterios generales que expida esta Autoridad, mismos que serán publicados en el Diario Oficial de la Federación;

Que el Instituto en su carácter de autoridad garante y encargada de velar por el cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento, está obligado a expedir los criterios generales a través de los cuales los responsables podrán instrumentar de manera inmediata las medidas compensatorias a que se refiere el considerando anterior, sin la autorización expresa del Instituto;

Que los presentes Criterios Generales tienen por objeto establecer los supuestos y condiciones bajo los cuales el responsable podrá implementar medidas compensatorias sin la autorización expresa del Instituto;

Que el eje rector de estos Criterios Generales es en todo momento la protección de la persona, salvaguardando su derecho a mantener el poder de disposición y control sobre la información que le concierne y, a su vez, de decidir libre e informadamente sobre el uso, destino y comunicación de sus datos personales a terceros;

Que para que los individuos estén en posibilidad de ejercer sus derechos con relación a su información personal, los reconocidos como derechos ARCO (acceso, rectificación, cancelación y oposición), es indispensable que conozcan los términos y condiciones bajo los cuales están siendo tratados sus datos personales y los medios que le ofrece el responsable para el ejercicio de estos derechos, a través del aviso de privacidad;

Que de conformidad con lo dispuesto por los artículos 18, tercer párrafo de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, y 34 de su Reglamento, para la autorización de la instrumentación de medidas compensatorias, el Instituto debe tomar en cuenta el número de titulares; la antigüedad de los datos; la capacidad económica del responsable; el ámbito territorial y sectorial de operación del responsable, y la medida compensatoria a utilizar;

Que es una obligación legal del responsable procurar que los datos personales contenidos en las bases de datos sean pertinentes, correctos y actualizados para los fines para los cuales fueron recabados; y que en ese orden de ideas, cuando los datos personales hayan dejado de ser necesarios para el cumplimiento de las finalidades para las que se obtuvieron, así como para las disposiciones legales aplicables, deberán ser cancelados; lo que se reconoce como principio de calidad en el artículo 11 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

Que el artículo 37 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares establece los parámetros para fijar los plazos de conservación de los datos personales, al considerar las finalidades que justifican su tratamiento, las disposiciones legales aplicables a la materia de

...