¿Qué son los datos personales?

Las leyes los definen como cualquier información concerniente a una persona física identificada o identificable.

Se considera que una persona es identificable cuando su identidad pueda determinarse directa o indirectamente a través de cualquier información como puede ser su nombre, número de identificación, datos de localización o uno o varios elementos de la identidad física, fisiológica, genética, psíquica, patrimonial, económica, cultural o social de la persona.

Los datos personales pueden estar expresados de forma alfabética (letras), numérica (números), alfanumérica (letras y números), gráfica (imágenes), acústica (sonido), etc.; como, por ejemplo: nombres y apellidos, edad, CURP o RFC, rostro y voz, entre otros.

Categorías de datos personales

De manera enunciativa, más no limitativa:

• Datos de identificación: nombre, CURP, RFC, nacionalidad, sexo, género, fecha de nacimiento, edad, firma, etc.
• Datos de contacto: domicilio particular, número telefónico fijo o móvil personal, cuenta de correo electrónico personal, etc.
• Datos laborales: experiencia laboral, puesto y domicilio, número telefónico y cuenta de correo electrónico del trabajo, entre otros.
• Datos académicos: educación, escolaridad o formación académica y número de cédula profesional.
• Datos patrimoniales: número de cuenta bancaria, CLABE interbancaria, historial crediticio, etc.
• Datos sobre salud física y mental: enfermedades o padecimientos y resultados de pruebas de laboratorio.
• Datos biométricos: rostro, huella digital o dactilar, iris, retina, geometría de la mano y del árbol de las venas del dedo, etc.
• Datos sensibles: origen étnico o racial, creencia religiosa, opiniones políticas, preferencia sexual, etc.
• Datos de naturaleza pública: nombre y domicilio, número telefónico y cuenta de correo electrónico oficial o institucional de personas servidoras públicas.

¿Qué es el derecho a la protección de los datos personales?

Es un derecho humano y fundamental de rango constitucional que tienen todas las personas para disponer y controlar sus datos de carácter personal, pudiendo decidir cuáles proporcionan a otras personas, así como conocer quién posee esos datos y para qué, y oponerse a esa posesión o tratamiento; el cual es un derecho autónomo e independiente del derecho de acceso a la información.

¿Quiénes son las personas titulares de los datos personales?

Son las personas físicas a quienes corresponden los datos personales, a ellas pertenecen.

¿Quiénes son los responsables?

En el sector público son los "sujetos obligados" de las leyes de transparencia y acceso a la información (cualquier autoridad, dependencia, entidad, organismo u órgano de los poderes Ejecutivo, Legislativo y Judicial, así como los organismos u órganos autónomos, los fideicomisos y fondos públicos y los partidos políticos), excepto los sindicatos y las personas físicas y morales que reciban y ejerzan recursos públicos o que realicen o ejerzan actos de autoridad, quienes son responsables de conformidad con la normatividad aplicable a los particulares; mientras que en el sector privado son los llamados "sujetos regulados" (personas físicas y morales de carácter privado), excepto las sociedades de información crediticia en determinados supuestos y las personas físicas que lleven a cabo la recolección y almacenamiento de datos personales para uso exclusivamente personal y sin fines de divulgación o utilización comercial.

Los responsables deciden sobre el tratamiento de los datos personales en el ejercicio de sus atribuciones, facultades, competencias y funciones.

Su poder de decisión implica establecer, por ejemplo:

• El tipo de datos personales que requieren.
• Los medios a utilizar en el tratamiento de los datos personales.
• Las transferencias y remisiones de datos personales que, en su caso, efectúen.
• La forma o mecanismos para obtener, almacenar y suprimir los datos personales.

¿Qué es un tratamiento de datos personales?

Es un conjunto de operaciones realizadas con los datos personales para la consecución de ciertos fines que persigue el responsable; concretamente, consiste en ejecutar distintas operaciones durante el ciclo de vida de los datos personales, desde el momento de su obtención, pasando por su explotación o aprovechamiento, hasta su supresión o eliminación.

A manera de referencia enunciativa, no limitativa, un tratamiento se distingue por efectuar cualquier operación o conjunto de operaciones mediante procedimientos manuales o automatizados aplicados a los datos personales, relacionadas a partir de la obtención, uso, registro, organización, conservación, elaboración, utilización, comunicación, difusión, almacenamiento, posesión, acceso, manejo, aprovechamiento, divulgación, transferencia, remisión o disposición de datos personales.

¿Qué son los principios rectores de la protección de datos personales?

Son un pilar fundamental que garantizan a la persona titular de los datos personales ese poder de decisión y control sobre la información que le concierne y que se traducen en obligaciones de hacer o no hacer a cargo del responsable, en cualquier tratamiento que efectúe; los cuales son:

• Calidad: Los datos personales deben ser ciertos, exactos, completos, pertinentes, correctos y actualizados, en relación con la finalidad para la que fueron recabados.
• Consentimiento: Toda manifestación previa, de voluntad libre, específica, informada e inequívoca por la que la persona titular acepta, mediante declaración o acción afirmativa, el tratamiento de sus datos personales.
• Finalidad: El responsable está obligado a determinar las finalidades concretas, lícitas, explícitas y legítimas que motivan cada tratamiento de datos personales que efectúe, las cuales deberán ser acordes con las atribuciones, facultades y funciones que la normatividad aplicable le confiere y también deberán estar previstas en el aviso de privacidad que ponga a disposición de la persona titular de los datos personales.
• Información: El responsable deberá informar a la persona titular de los datos personales sobre la existencia y las características principales del tratamiento al que serán sometidos sus datos personales, a través del aviso de privacidad, a fin de que pueda tomar decisiones informadas al respecto.
• Lealtad: El tratamiento de los datos personales se realizará sin que medie dolo, engaño o medios fraudulentos. En todo momento el responsable debe privilegedar la protección de los intereses de la persona titular de los mismos y la expectativa razonable de privacidad, así como no vulnerar su confianza.
• Licitud: Todo tratamiento de datos personales efectuado por el responsable debe sujetarse a las atribuciones, facultades y funciones que la normativa aplicable le ha conferido. De conformidad con este principio, los datos personales deberán tratarse con apego y cumplimiento a lo dispuesto por la legislación mexicana y el derecho internacional.
• Proporcionalidad: El responsable tratará sólo aquellos datos personales que resulten necesarios, adecuados y relevantes en relación con las finalidades para las cuales se obtuvieron y que se encuentren previstas en el aviso de privacidad. El responsable tendrá que realizar esfuerzos razonables para que los datos personales tratados sean los mínimos necesarios y limitar el periodo de tratamiento al mínimo indispensable.
• Responsabilidad: El responsable está obligado a implementar los mecanismos que considere convenientes para acreditar el cumplimiento de los principios rectores, deberes y obligaciones establecidas en la Ley, así como rendir cuentas sobre el tratamiento de datos personales en su posesión a la persona titular de los mismos y a las autoridades competentes.

¿Qué son los deberes que rigen la protección de datos personales?

Además de los principios rectores, se reconocen dos deberes que también establecen obligaciones concretas a quienes traten datos personales; los cuales son:

• Confidencialidad: El responsable deberá establecer controles o mecanismos que permitan que todas las personas que intervengan en cualquier fase del tratamiento de los datos personales guarden confidencialidad respecto de éstos, obligación que subsistirá aún después de que dichas personas finalicen su relación con el responsable. En cualquier caso, se deberá garantizar la secrecía y la no difusión de los datos personales sometidos a tratamiento.
  
  Es importante considerar que este deber no debe confundirse con el secreto profesional al que están sometidas determinadas personas en función de la profesión que ejercen, ya que el deber de confidencialidad es genérico y alcanza a cualquier persona que intervenga en el tratamiento de los datos personales.
• Seguridad: El responsable deberá establecer y mantener las medidas de seguridad de carácter administrativo, físico y técnico para la protección de los datos personales, que permitan protegerlos contra daño, pérdida, alteración, destrucción o su uso, acceso o tratamiento no autorizado, así como garantizar su confidencialidad, integridad y disponibilidad.

¿Qué son los derechos ARCO?

Los llamados “derechos ARCO” son aquellos cuyo ejercicio nos permite hacer efectivo el derecho a la protección de los datos personales, el cual también es un derecho humano y fundamental de rango constitucional, pero autónomo e independiente del derecho de acceso a la información.

Los cuatro derechos ARCO que existen son los que se enlistan a continuación:

• Acceso: Nos permite saber quién posee nuestros datos personales y para qué están siendo usados, así como acceder a ellos y a los documentos que los contienen.
• Rectificación: Nos permite solicitar la rectificación o corrección de nuestros datos personales en caso de que sean inexactos, se encuentren incompletos o estén desactualizados.
• Cancelación: Nos permite solicitar la cancelación, supresión o eliminación de nuestros datos personales de los archivos, registros, expedientes o sistemas con los que cuente quien los posea para que dejen de ser usados.
• Oposición: Nos permite oponernos al uso de nuestros datos personales si es que fueron obtenidos sin nuestro consentimiento, así como solicitar que quien los posea deje de usarlos.

Cabe señalar que también existe el derecho o la prerrogativa de portabilidad, la cual complementa al derecho de acceso, ya que nos permite obtener los datos personales que hemos proporcionado en un formato estructurado, de uso común y de lectura mecánica, así como que sean transmitidos directamente de una institución pública o empresa a otra, siempre que ello sea técnicamente posible.

Estos derechos son independientes entre sí y su ejercicio no impide el ejercicio de otro.

¿Cómo puedo ejercer los derechos ARCO?

La Ley de Protección de Datos Personales en Posesión de Sujetos Obligados del Estado de Chiapas (LPDPPSOCHIS) establece que la persona titular de sus respectivos datos personales o su representante podrán solicitar en cualquier momento el acceso, la rectificación o la cancelación de sus datos personales, así como oponerse a que sean usados, lo cual se hace mediante la presentación de solicitudes de datos personales o para el ejercicio de los derechos ARCO ante la Unidad de Transparencia con la que deben contar todos los sujetos obligados del estado, ya sea a través de escrito libre, formatos, medios electrónicos o cualquier otro medio que al efecto establezcan o aprueben el Consejo Nacional del Sistema Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales (CONAIP-SNT) o el Pleno del Instituto de Transparencia, Acceso a la Información y Protección de Datos Personales del Estado de Chiapas (ITAIPCH); o bien, vía la Plataforma Nacional de Transparencia (PNT).

¿Qué es el documento de seguridad?

Es el instrumento que describe y da cuenta de manera general sobre las medidas de seguridad técnicas, físicas y administrativas adoptadas por la IJECH para garantizar la confidencialidad, integridad y disponibilidad de los datos personales que posee y somete a tratamiento.

La normatividad vigente prevé que dicho documento debe contener al menos el inventario de datos personales y de los sistemas de tratamiento, así como las funciones y obligaciones de las personas que traten datos personales, los análisis de riesgos y de brecha, el plan de trabajo, los mecanismos de monitoreo y revisión de las medidas de seguridad y el programa de capacitación.