¿Por qué el reconocimiento de los CBPR (Cross Border Privacy Rules) en la USMCA es un desarrollo significativo para la privacidad?

El 30 de septiembre, representantes de los Estados Unidos, México y Canadá concluyeron las negociaciones y publicaron el texto final de un Acuerdo de Libre Comercio de América del Norte revisado conocido como el Acuerdo de los Estados Unidos, México y Canadá. Si bien USMCA aún requiere la aprobación de las legislaturas de cada una de las naciones miembros del tratado, la implementación final marcaría desarrollos significativos para la privacidad de los datos, el libre flujo de datos y el futuro del sistema de Reglas de Privacidad Transfronterizas de APEC.

Entre las actualizaciones más importantes en USMCA está la inclusión de un capítulo de comercio digital. El artículo 19.11 de este capítulo generalmente prohíbe la restricción a la transferencia transfronteriza de información personal entre los tres países, pero permite que se impongan dichas restricciones cuando sea necesario para lograr un "objetivo legítimo de política pública" siempre que se aplique de manera justa. De esta forma manera no se restringiría la transferencia de información más de lo necesario para lograr ese objetivo. Además, el Artículo 19.8 (6) establece específicamente que las partes "reconocen que el sistema de Reglas de Privacidad Transfronterizas de APEC es un mecanismo válido para facilitar las transferencias de información transfronterizas al tiempo que protege la información personal".

En conjunto, estos dos párrafos parecen indicar que cada país puede implementar nuevas leyes de privacidad que incluyen restricciones a la transferencia de datos siempre que no se apliquen de manera discriminatoria y que continúen reconociendo a los CBPR como un mecanismo viable para la transferencia de datos. Este reconocimiento garantiza que las empresas participantes puedan seguir utilizando los CBPR como un mecanismo de transferencia a medida que se desarrollen las leyes de privacidad en los tres países en los próximos años.

El Sistema de Reglas de Privacidad Transfronterizas de APEC (CBPR) fue desarrollado por las economías de APEC con aportes y asistencia de la industria y la sociedad civil para fomentar la confianza de los consumidores, las empresas y los reguladores en los flujos de información personal entre las fronteras. El sistema APEC CBPR requiere que las empresas participantes implementen políticas de privacidad de datos coherentes con el Marco de privacidad de APEC. Estas políticas y prácticas deben ser evaluadas para cumplir con los requisitos del programa APEC CBPR por un Agente de Responsabilidad (una entidad del sector público o privado reconocida por el sistema APEC) y deben ser exigibles por ley. 

Por otro lado las reglas corporativas vinculantes o "BCR" (por sus siglas en Ingles, Binding Corporate Rules) fueron desarrolladas por el Grupo de Trabajo del Artículo 29 de la Unión Europea para permitir que corporaciones multinacionales, organizaciones internacionales y grupos de empresas realicen transferencias dentro de la organización de datos personales a través de las fronteras de conformidad con la Ley de Protección de Datos de la UE. Los BCR se desarrollaron como una alternativa al Departamento de Comercio de EE. UU. Puerto Seguro de la UE (que fue solo para organizaciones de EE. UU., Pero se declaró inválido y fue reemplazado por los Marcos de Escudos de Privacidad de EU-EE. UU. y Suiza-EE. UU.) Y las Cláusulas de Contrato Modelo de la UE.

 

El ver reflejado CBPR en el USMCA marca el segundo hito importante para el sistema en la misma cantidad de años, luego del reconocimiento por parte de Japón de 2017 de los CBPR como un mecanismo de transferencia válido según su ley de privacidad actualizada. Si este lenguaje se incorporara en un posible TLC entre EE. UU. y Japón, se crearía una red "trilateral más una" que podría servir de base para una mayor expansión y reconocimiento en ambos hemisferios.

La USMCA también contempla la cooperación futura en asuntos de privacidad entre las naciones signatarias. El Artículo 19.14 establece que “reconociendo la naturaleza global del comercio digital, las Partes se esforzarán por ... cooperar y mantener un diálogo sobre la promoción y el desarrollo de mecanismos, incluidas las Normas de privacidad transfronterizas de APEC, que fomenten la interoperabilidad mundial de la privacidad. los regímenes ... [y] considerarán el establecimiento de un foro para abordar cualquiera de los temas enumerados anteriormente, o cualquier otro asunto relacionado con el funcionamiento de este capítulo ".

Este lenguaje podría usarse para establecer un Foro de Privacidad de América del Norte compuesto por reguladores y funcionarios gubernamentales de los países participantes con el fin de promover colectivamente el entendimiento común y los intereses compartidos en asuntos relacionados con la privacidad de los datos. Y si este lenguaje se repitiera en un posible TLC entre EE. UU. Y Japón, también sería posible extender la participación a los funcionarios japoneses.

Dada su inclusión en la USMCA, es importante resaltar cómo CBPRs afecta las leyes en cada país. Críticamente, la participación del CBPR no desplaza ni puede desplazar la ley local. Este principio se reconoce explícitamente en el párrafo 44 de las Políticas, Reglas y Directrices de APEC, que estipula que “la articulación en el Sistema CBPR no reemplaza las obligaciones legales internas de una organización participante. Los compromisos que una organización lleva a cabo para participar en el Sistema CBPR están separados de cualquier requisito legal nacional que pueda ser aplicable. Cuando los requisitos legales nacionales excedan lo que se espera en el sistema de CBPR, se seguirá aplicando toda la extensión de dicha ley y regulación doméstica. Donde los requisitos del Sistema CBPR superen los requisitos de las leyes y regulaciones nacionales, una organización deberá cumplir voluntariamente dichos requisitos adicionales para poder participar ".

Como queda claro, la participación del CBPR está diseñada específicamente para dar cabida a obligaciones adicionales conforme a la ley, incluidas las que se pueden adjuntar como condición de una determinación de adecuación. Este concepto se refleja aún más en la Referencia BCR-CBPR, cuyo objetivo era "facilitar el diseño y la adopción de políticas de protección de datos personales que cumplan con cada uno de los sistemas".

Con el reconocimiento del sistema CBPR, el USMCA ha consagrado un enfoque flexible que puede acomodar requisitos adicionales a nivel local con procedimientos fijos para la participación y el reconocimiento a nivel global. Y mientras que la certificación según los CBPR o cualquier otra norma no debe ser el único mecanismo de transferencia disponible, dados sus atributos únicos, es fundamental que siga siendo una opción viable tanto en los acuerdos comerciales como en las regulaciones en el futuro.

México, rezagado en seguridad de datos

“Comparado con países como Estados Unidos, México está casi 5 años retrasado en la cultura de protección de información y datos personales”, dijo Juan Carlos Carrillo, representante en el país del área de Seguridad de la firma Oracle.

“En México, la mayoría de las empresas consideran que las inversiones en el área de Tecnologías de la Información (TI) son una disminución en sus presupuestos que no reporta beneficios”, comentó Carrillo.

El integrante de la firma Oracle añadió: “La única variable que provoca que las compañías inviertan en tecnología de seguridad es un tema de cumplimiento regulatorio como el que exigen diferentes organismos como el Instituto Federal de Acceso a la Información y Protección de Datos, que implementó legislaciones que obligan a las empresas a proteger los datos personales de sus clientes”.

De acuerdo con reportes del Instituto Nacional de Estadística y Geografía (INEGI), en 2014 México tenía 5.6 millones de empresas, de ellas, las correspondientes al sector financiero (que en porcentaje representan una minoría) son las únicas que cumplen de manera satisfactoria con las regulaciones en materia de seguridad.

“Es muy difícil que fuera de ese sector encuentres un proyecto bien armado de seguridad de la información. La mayoría de las compañías solo actúan cuando se dan cuenta que su información fue sustraída. Entonces sí responden con una inversión fuerte, pero sin un plan de largo plazo, por lo que al siguiente año lo dejan de lado”, explicó Carrillo.

Dijo que a pesar de que desde hace cinco años se encuentra vigente la Ley de Protección de Datos Personales en Posesión de Particulares, las empresas todavía no la cumplen en su totalidad. Al respecto, el especialista aseguró que es mejor invertir de manera preventiva en temas de resguardo de información, ya que varios estudios demuestran que por cada dato sustraído, las empresas pierden en promedio 200 dólares.

http://www.eluniversalqueretaro.mx/vida-q/08-05-2015/mexico-rezagado-en-seguridad-de-datos#sthash.8sXmpngR.dpuf

RSA Conference: We need better cyber hygiene

Presentación sobre CiberCrimen por parte de Juan Carlos Carrillo, CIPP/IT CIRM Security Executive Oracle México

Fight Cybercrime with Oracle Security from the Inside Out from Juan Carrillo

http://event.on24.com/eventRegistration/console/EventConsoleNG.jsp?uimode=nextgeneration&simulive=y&eventid=837212&sessionid=1&username=&partnerref=&format=fhvideo1&mobile=false&flashsupportedmobiledevice=false&helpcenter=false&key=7984E8EBC1E05FAC3A886BB8252D30AB&text_language_id=en&playerwidth=1000&playerheight=650&overwritelobby=y&eventuserid=104304548&contenttype=A&mediametricsessionid=82136496&mediametricid=1311867&usercd=104304548&mode=launch#

Presentación Privacidad en Campus Night

Les comparto la liga de la presentación en Campus Night sobre Privacidad en México
http://www.campus-night.com.mx/juancarloscarrillo.html

Proteja los Datos más Sensibles

To see the complete presentation visit the complete webcast

DATA PROTECTION AND SECURITY MEASURES

How to comply with the Responsibility Principal in the Mexican Data Protection field. (PART I)

You can see my latest blog entry in http://www.molet.mx/noticias 

¿Existe la Privacidad de datos en America Latina?

Mi buen amigo Andrés Velázquez me hizo una entrevista en su podcast sobre el tema de Privacidad. Aquí les comparto la liga del podcast:
http://www.crimendigital.com/podcast/064-existe-la-privacidad-de-datos-con-juan-carlos-carrillo 

Para ver más presentaciones del tema pueden visitar el sitio http://slideshare.net/juan_carrillo

En Privacidad… 10 preguntas para toda organización.

Cuando visitó a las organizaciones es normal que las personas me digan que ya tienen TODO o no tienen NADA en materia de privacidad.

Diría mi abuelo, ni tanto que queme al Santo, ni tanto que no lo alumbre.

¿Cómo saber en donde estoy en el tema de privacidad?

Anexo 10 grupos de preguntas para medir en donde se encuentra tu empresa en materia de protección de datos personales.

1.     ¿Quién es tu Chief Privacy Officer (CPO) y quién es tu Chief Information Security Officer (CISO)?

a.     Todo en la compañía los conocen?

2.     ¿Quién es el ejecutivo que lidera la seguridad y privacidad de la información?

a.     ¿Es una posición formal o informal?

b.     ¿Existe un comité de seguridad y/o privacidad?

c.      ¿Esta la seguridad representada en la mesa directiva?

d.     ¿Se tiene el entendimiento de la mesa directiva de la importancia de la privacidad?

e.     ¿Conoce la mesa directiva las posibles multas y penas?

f.      ¿Esta incorporada la privacidad en la estrategia de ventas?

3.     ¿Se tiene un inventario de datos personales y clasificación de los mismo (Que datos, Donde estan y Quien tiene acceso a ellos)

4.     ¿Quién es más probable que quiera acceder a los sistemas de tu empresa?

a.     ¿Qué nivel de sofisticación, alcance geográfico y los motivos (por ejemplo económica / malversación, robo de identidad, robo de secretos comerciales) pueden tener estos enemigos?

5.     ¿Tu empresa tiene un plan de respuesta a incidentes?

a.     ¿Tu empresa ha identificado a los miembros clave internos y externos (IT, legal, relaciones públicas, marketing, etc.) que deberían involucrarse en el caso de una vulneración a la seguridad?

b.     ¿Tu empresa tiene un plan para comunicarse con las autoridades policiales?

6.     ¿Está su empresa un entorno BYOD?

a.     ¿Cuál es la política sobre BYOD?

7.     ¿Tu empresa tiene una visión clara de los flujos de datos?

a.     ¿Qué flujos de datos tienen interacción con terceros o contratistas?

b.     ¿Cómo confirmas la integridad de los contratistas?

c.      ¿Cómo te aseguras que las soluciones de terceros, incluido el software, están libres de problemas e incluyen la indemnización por posibles defectos?

8.     ¿Tu empresa ha evaluado la amenaza interna?

a.     ¿Tiene tu empresa monitoreo de las redes internas para el acceso o el uso compartido de archivos?

9.     ¿Tiene tu empresa una administración activa tanto la seguridad física y cibernética?

a.     ¿Cómo y cada cuanto se revisa?

10. ¿Se tiene documentada la forma en que se interactúa con los proveedores, clientes y socios?

a.     ¿Hasta qué punto tiene tu compañía ofrecer productos o servicios que, si se ve comprometida o mal usada la información, afectarían a la empresa?

b.     ¿Cada cuanto se está entrenando a su personal con un programa continuo? 

Attorney General Harris Unveils Cybersecurity Guide for California Businesses

The California Attorney General’s Office has announced the release of a new cybersecurity guide designed to help California businesses better protect against and respond to cybersecurity threats.  The guide provides a simple and easy to understand overview of basic security threats and outlines some practical steps for minimizing cyber vulnerabilities, including guidance on how to respond to cyber incidents.

“California is at the center of the digital revolution that is changing the world. Because of work done by companies right here in our home state, we are more connected – and empowered – than ever before” said Attorney General Kamala D. Harris.  “But we are also increasingly vulnerable, a fact underscored by the recent holiday–period data breaches that impacted millions across the country.”

California has long been at forefront of cyber security advocacy and was the first state to pass a law mandating data breach notification.  In 2011, California established the eCrime Unit to prosecute identity theft, data intrusions, and crimes involving the use of technology.  In 2012, California established the Privacy Enforcement and Protection Unit in the Department of Justice, whose mission is to help to regulate and enforce laws addressing the collection, retention, disclosure, and destruction of private or sensitive information.  Continuing that tradition, Attorney General Harris, in collaboration with the California Chamber of Commerce and a mobile security company called Lookout, developed the guide titled, “Cybersecurity in the Golden State” (the “Guide”).

The purpose of the Guide is to specify ways that small and medium-size businesses can reduce cybersecurity risks.  To accommodate individuals who may not be tech-savvy, the Guide uses plain language to describe steps that any business can take to help protect itself, even if it lacks the resources to hire full-time cybersecurity personnel.

Key recommendations include:

• Assume you’re a target and develop an incident response plan now;
• Map your data and review where your business stores or shares information with third parties including backup storage and cloud computing;
• Encrypt the data you need to keep. Strong encryption technology is now commonly available for free, and is generally easy to use;
• Educate employees about cyber threats, as they are often the first line of defense;
• Follow safe online practices such as regularly updating firewall and antivirus software on all devices, using strong passwords, and avoiding downloading software from unknown sources;
• Pick an incident

The issue of cyber security is increasingly important as the recent security breaches at Target and Niemen Marcus help to demonstrate.  According to data cited by the Attorney General’s Office, there were more than one billion cyberattacks in the first three months of 2013, a number that is likely to keep growing as hackers become more sophisticated and organized.  While the  recommendations contained in the Guide are not legally mandated, they do reflect security best practices that, if followed, have the potential to help mitigate the risk of cybersecurity attacks.

https://oag.ca.gov/cybersecurity 

2013 Data Breach Trends

2013 Data Breach at a Glance

1. There were 2,164 incidents reported through December 31, 2013 exposing 822 million records.
2. A single hacking incident involving Adobe Systems exposed 
3. The Business sector accounted for 53.4% of reported incidents, followed by Government (19.3%), Medical (11.5%), Education (8.2%), and Unknown (7.6%). 
4. The Business sector accounted for 73.9% of the number of records exposed, followed by Unknown at 24.5%. 
5. 59.8% of reported incidents were the result of Hacking which accounted for 72.0% of exposed records. 
6. 4.8% of the reported incidents were the result of Web related attacks which accounted 16.9% of exposed records. 
7. Breaches involving U.S. entities accounted for 48.7% of the incidents and 66.5% of the exposed records. 
8. 51.1% of the incidents exposed between one and 1000 records. 
9. Twenty-seven incidents have exposed more than one million records. 
10. Four 2013 incidents have secured a place on the Top 10 All Time Breach List. 
11. The number of reported exposed records tops 2.5 billion and the number of reported incidents tracked by Risk Based Security exceeded 11,200.
12. A review of all reported incidents shows a total of 31.3% of all incidents are attributable to insider activity vs. 2013’s 25.0%.

https://www.riskbasedsecurity.com/reports/2013-DataBreachQuickView.pdf

Más respuestas a la protección de datos

Les comparto un a columna que escribí en Abril de este año sobre protección de datos personales. En relación a las acciones para la seguridad de los datos personales Artículo 61. A fin de establecer y mantener la seguridad de los datos personales, el responsable deberá considerar las siguientes acciones: I. Elaborar un inventario de datos personales y de los sistemas de tratamiento; II. Determinar las funciones y obligaciones de las personas que traten datos personales; III. Contar con un análisis de riesgos de datos personales que consiste en identificar peligros y estimar los riesgos a los datos personales; IV. Establecer las medidas de seguridad aplicables a los datos personales e identificar aquéllas implementadas de manera efectiva; V. Realizar el análisis de brecha que consiste en la diferencia de las medidas de seguridad existentes y aquéllas faltantes que resultan necesarias para la protección de los datos personales; VI. Elaborar un plan de trabajo para la implementación de las medidas de seguridad faltantes, derivadas del análisis de brecha; VII. Llevar a cabo revisiones o auditorías; VIII. Capacitar al personal que efectúe el tratamiento, y IX. Realizar un registro de los medios de almacenamiento de los datos personales. El responsable deberá contar con una relación de las medidas de seguridad derivadas de las fracciones anteriores.

Más respuestas a la protección de datos from Juan Carlos Carrillo

Parámetros para el correcto desarrollo de los esquemas de autorregulación vinculante

La privacidad, de la innovación a un tema de masas

Llega un punto en muchas situaciones donde hay que reconocer que dejamos de hablar de un tema innovador o solo para ingenuos y vemos que aplica para todos. Es la historia del adolecente que no solo se roba la bolsa, se ha robado la cartera y las llaves del coche y ha tomado la carretera para Acapulco… perdimos el control y esta afectándonos a todos.

Y tal es el caso cuando se trata de la vigilancia y la privacidad. Por ejemplo, The New York Times informa que los legisladores alemanes han vuelto a abrir su investigación sobre Facebook.

El problema de Alemania con Das Facebook comenzó a principios de 2012, cuando el comisionado de protección de datos de la Oficina de Hamburgo de Protección de Datos y Libertad de Información, Johannes Caspar, denunció que la empresa estaba ilegalmente en la construcción de una base de datos de fotos de los miembros de Facebook sin su consentimiento y esto provoco una investigación. La investigación fue suspendida en junio, en la creencia de que Facebook podría reparar sus malos caminos y cambiar sus políticas.

Por desgracia, la investigación ha sido abierta de nuevo debido a que parece que Facebook sich fügte (se paso de la raya), y en relación con la reapertura de la investigación el comisario señaló que la cuestión del reconocimiento facial tiene "graves consecuencias para los datos personales."

En el corazón del problema de Alemania es la política de Facebook que los usuarios son automáticamente opt-in por el proceso de archivo de imágenes y los usuarios tienen que hacer opt-out explícitamente a evitar ser envasado y etiquetado. Los alemanes piensan que esto es nicht gut (no está bien) y quiere Schlag auf den Kopf ihre Köpfe Facebook (Darle un buen zape a Facebook).

Esto, por supuesto, sería un golpe de menor importancia a Facebook en comparación con su, digamos, pésima actuación en el mercado de capitales. Sus acciones han bajado un poco más del 50% $19.09 versus $38 dólares por acción que fue su precio de salida el 17 de mayo .Eso es una caída que, de acuerdo con Bloomberg, ha acabado con más de $ 40 millones de valor de mercado de la empresa desde su salida a bolsa y por eso se ha ganado la distinción de ser la peor empresa en desempeño de todas las OPI grandes en la historia. Junto a ese desastre, los problemas de los alemanes con el programa de la compañía de reconocimiento facial debe parecer un Heulsuse (bebe llorón).

Tengo que hacer una digresión por un momento y preguntar cómo alguien pudo haber sido engañado por la salida a bolsa de Facebook? ¿En serio? Una compañía sin fuente de ingresos importante, sostenible o claramente definida y sin grandes planes para el crecimiento futuro de los ingresos? Si usted fue uno de los primeros idio.., perdón, se dice inversionistas que compraron acciones de Facebook, tengo vochito sin motor 1960  que estoy buscando vender ... esta hermoso ...

De todos modos, a pesar de que los alemanes tienen una buena plataforma ética para sus problemas con Facebook creo que es spät zu (demasiado tarde), porque en la gran escala todo está Wasser Unter der Brücke (el agua bajo el puente). ¿Por qué? Debido a que el gobierno de Estados Unidos mediante la Agencia de Seguridad Nacional y la Agencia Central de Inteligencia y muchas otras agencias han estado haciendo eso y mucho más en los últimos años.

En Estados Unidos, el senador Al Franken (D-Minn.)  presidente del subcomité de privacidad del Comité Judicial del Senado, ha hecho un llamamiento para la regulación de reconocimiento facial y "pidió al FBI y Facebook para cambiar el modo en que utilizan la tecnología de reconocimiento facial. " Franken ha dicho: "Creo que tenemos un derecho fundamental de controlar nuestra información privada."

El senador esta en lo correcto, se tenía un derecho fundamental... por desgracia, en los Estados Unidos., ese derecho fue violado y luego triturado y finalmente destruido hace muchos años. En México tenemos la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) que trata como un derecho fundamental la privacidad, pero hago una pregunta básica, ¿A cuántos edificios hemos entrado donde nos toman una foto y no pedimos un aviso de privacidad o cuestionamos el porqué y él para que de dicha fotografía? El no tener una ley, como Estados Unidos, o tener una ley que no sabemos usar, como en México, parece lo mismo.

El hecho es que nuestros datos personales han sido capturados, catalogados, indexados, cortados en cubitos y durante tanto tiempo que no hay vuelta atrás. Es como contraer cáncer... usted puede recibir tratamiento y poder mejorar, pero nunca está curado técnicamente, estás simplemente "indultado".

Si tan sólo el reconocimiento facial fuera todo el problema. El hecho es que en el mundo real que tenemos cámaras de video vigilancia en todas partes, las llamadas telefónicas privadas son rutinariamente interceptadas, los radares terahertz está emergiendo con la capacidad de ver a través de las paredes y a través de la ropa desde una milla de distancia, aviones no tripulados que pueden revolotear por encima y alrededor usted y espiarnos sin que nos demos cuenta y lo más sorprendente, se están convirtiendo en algo común, algo del día a día.

Pero eso no es todo! Todo lo que está en línea, cada e-mail, anuncio de Facebook, cada actualización de Twitter - está siendo monitoreado por varias empresas o agencias, ya sea en algún lugar de su ISP, el FBI, la CIA o la NSA... y todo está siendo grabado, tabulados, referenciados de forma cruzadas y almacenados por quién sabe cuánto tiempo.

Y ese es el problema con todos los intentos necesarios para poner regresar el reloj de la privacidad: Es demasiado tarde, y no sólo un poquito, creo que es demasiado tarde. El adolecente ya salió de la casa, el barco ha partido, la gorda ha cantado, el telón ha bajado, y es hora de contarle un cuento a la privacidad... a menos que...

Sí, hay una manera de recobrar nuestra privacidad... Exijamos lo que las leyes ya nos dieron, el derecho que estipula constitución Mexicana en el artículo 16 “Nadie puede ser molestado en su persona, familia, domicilio, posesiones o derechos sino en virtud de mandamiento escrito de la autoridad competente debidamente fundado y motivado”

¿Nos seguimos quejando? O ¿Empezamos a exigir lo que por derecho es nuestro?

74% de las empresas considera insuficiente la difusión de la LFPDPPP

8 de cada 10 empresas resguardan algún tipo de datos personales de sus clientes, proveedores, de su recurso humano o de potenciales clientes, entre los cuáles 90% conserva sólo datos de identificación (nombre, edad, domicilio, sexo, RFC y CURP); 33% guarda datos patrimoniales (cuentas bancarias, saldos, propiedades, deudas, etc.) y 18% resguarda datos sensibles como estados de salud físico y mental, resultados de análisis clínicos, tipo de sangre y otros. Sin embargo, 74%de las empresas evaluadas considera que la LFPDPPP no ha sido difundida apropiadamente, sobre todo en lo referente a las ventajas que puede representar para los negocios en línea.

En el marco del Seminario de Protección de Datos Personales que la Asociación Mexicana de Internet (AMIPCI) se mostraron los resultados de una encuesta para conocer qué tan preparadas están las empresas e internautas para dar cumplimiento a las disposiciones de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).

Según los datos que arroja este estudio, 28% de las empresas evaluadas no pudo definir lo que es un dato personal; el 18% desconoce la LFPDPP y su reglamento, y sólo el 26% ha escuchado sobre ella, lo que arroja que sólo un 56% de las empresas está al tanto de las obligaciones que impone dicha legislación. 

Al hacer la presentación de los resultados, Renato Juárez , vicepresidente de Investigación de Mercados de la AMIPCI, explicó que la AMIPCI decidió hacer este estudio ante la importancia de la LFPDPPP en la industria de Internet, ya que, como puede observarse, el fundamento de estos negocios está en el orden y adecuación que den a sus bases de datos, que determinan el contacto que tienen principalmente con sus clientes y proveedores. 

El estudio reveló que 20% de las empresas no saben lo que son los derechos de Acceso, Rectificación, Cancelación y Oposición (derechos ARCO), y 3 de cada 10 sólo ha escuchado sobre ellos, lo que indica que la mitad de las empresas encuestadas posee conocimientos insuficientes sobre estos derechos. Por el contrario, sólo 3 de cada 10 firmas han definido un proceso interno para la atención de solicitudes de ejercicio de derechos ARCO por parte de los titulares de los datos que están en sus expedientes. 

Finalmente, entre las empresas que tienen conocimiento de sus responsabilidades en materia de protección de datos personales, casi la totalidad (9 de cada 10 empresas) declara que consideran y analizan las políticas o herramientas de privacidad y seguridad de la información que ofrecen los productos y servicios de software o servicios en la nube, antes de utilizarlos. 

El estudio incluye, adicionalmente, una encuesta a usuarios de Internet en donde se les cuestionó sobre su conocimiento de los derechos que la Ley les otorga como titulares de sus datos personales. 

Este segmento indicó que 9 de cada 10 usuarios de Internet han entregado datos de identificación y 4 de cada 10 han revelado datos sensibles. Los sitios de Internet dónde los usuarios declaran haber entregado sus datos personales son:

• Sitios de redes sociales (77%)
• Banca en línea (63%)
• Compras en línea (62%) 

Sobre el aviso de privacidad de los sitios de Internet donde los usuarios entregan datos personales, 4 de cada 10 dice revisarlo siempre o casi siempre, pero sólo 4% conoce el objetivo de que exista un aviso de privacidad en estos sitios.

Otros datos importantes del estudio señalan que:

• Casi la mitad de los internautas evaluados consideran los derechos ARCO como muy importantes, aunque sólo 3 de cada 10 ven como probable el ejercer sus derechos ARCO ante el responsable del tratamiento de sus datos personales.
• 76% de los internautas evaluados han habilitado configuraciones de privacidad que ofrecen las redes sociales.
• 61% no saben qué tratamiento le darán a sus datos personales en las redes sociales en las que se encuentran inscritos.

 Para consultar el “Primer Estudio sobre Protección de Datos Personales”, visita: http://bit.ly/IGFDB0

Ley Federal de Protección de Datos Personales en Posesión de Particulares

http://revista.seguridad.unam.mx/numero-10/ley-federal-de-protecci%C3%B3n-de-datos-personales-en-posesi%C3%B3n-de-particulares

El pasado mes de julio de 2010 se publicó en el Diario Oficial de la Federación la Ley Federal de Protección de Datos Personales en Posesión de Particulares. Este tipo de ley no es nueva en el mundo, pues tanto en Europa como en Estados Unidos existen leyes parecidas a la nuestra desde hace varios años. En México tenemos la ventaja de que la ley integra conceptos que no contemplan las leyes de otros países, ya que la innovación tecnológica de los últimos diez años hace que el tratamiento de datos personales sea completamente distinto.

El objetivo de la ley es proteger los datos personales en posesión de las empresas, así como regular que dichos datos sean usados únicamente para la finalidad que fueron entregados, que se tenga un control de quién y para qué los tiene y que el titular o dueño de los datos siempre esté informado del trato de dichos datos, buscando con lo anterior garantizar la privacidad y el derecho a la autodeterminación informativa de los individuos.

La ley define a los datos personales como cualquier información que haga a una persona identificada o identificable, y a su vez menciona que, son datos personales sensibles aquellos datos que afecten a la esfera más íntima de su titular, como podrían ser estado de salud, preferencias religiosas o sexuales.

La ley les otorga a los titulares de datos personales, léase que esta ley no sólo aplica a los mexicanos, sino a cualquier persona que entregue datos personales, cuatro derechos fáciles de recordar, pero que serán un dolor de cabeza para las empresas. Dichos derechos son: (1) acceso a sus datos; (2) rectificación de datos erróneos o incompletos, así como la responsabilidad de que las empresas notifiquen a sus terceros dichas rectificaciones; (3) Cancelación de los datos, que puede involucrar el que sean bloqueados por un periodo o su total borrado, y (4) Oposición, por la cual, el titular puede solicitar la exclusión de los datos de cualquier tipo de tratamiento.

Uno de los temas más importantes de la ley es el reparto de responsabilidades. Ahora, la autoridad responsable tiene el poder de realizar verificaciones de oficio o a petición de parte, poner penas de hasta 10 años de prisión o multas de hasta 76 millones de pesos, y por último, publicar los resultados y resoluciones de forma pública, lo que implica un riesgo reputacional, altísimo.

Durante los últimos meses he impartido distintas conferencias sobre la Ley de Protección de Datos; en la gran mayoría de los casos, las personas no conocen la ley, ni sus derechos, y aún peor, las empresas están realizando esfuerzos mínimos para proteger a los titulares. ¿Por qué ocurre esta situación? Hay dos aspectos básicos:

1. Dado que se trata de una ley, quienes la están leyendo-entendiendo son únicamente las áreas legales, dejando de lado las áreas de sistemas, recursos humanos, operaciones, finanzas, riesgos, etcétera.
2. En nuestro país tenemos una escasa cultura sobre seguridad informática, por lo que nos parece que una ley como ésta es letra muerta, y que las autoridades no cumplirán ni con las penas ni con las multas que la ley prescriba.

¿Qué debemos hacer? Existen tres visiones distintas, las cuales quiero contemplar:

• Como titulares de datos personales, debemos exigir a los responsables del tratamiento de nuestros datos personales, que antes de julio de este año, nos hagan llegar nuestro aviso de privacidad y así poder leerlo a conciencia. Tenemos derecho a que nos expliquen detalladamente aquello que no nos quede claro.
• Como empleados de una empresa responsable de protección de datos personales, es necesario estar conscientes de nuestra responsabilidad en la protección de los datos de mi empleador, ya que la inobservancia de esto podría significarle a una persona hasta 10 años de cárcel (Artículo 67,68 y 69). Por otro lado, es imperativo exigir a nuestro empleador que nos comunique el tratamiento de nuestros datos personales (aviso de privacidad) a la mayor brevedad.
• Las empresas responsables de protección de datos Requieren tomar en cuenta que estamos a menos de tres meses para que todos los obligados por la ley entreguen a los titulares sus avisos de privacidad y designen al responsable de protección de datos. La mayoría de los responsables no han enviado, publicado o presentado sus avisos de privacidad. En general, existe un desconocimiento al respecto, en algunos casos no saben que lo tienen que hacer, en otros no están al tanto de qué datos personales tienen de los titulares (sus clientes) y, en el peor de los escenarios, creen que sus áreas legales lo pueden hacer en unas semanas antes de la fecha límite (5 de julio del 2011).

Es necesario comprender que no todo el mundo necesita proteger los datos de la misma manera; es imposible pedir el mismo nivel de seguridad a los pequeños comercios que manejan pocos o ningún dato personal, comparado con las grandes compañías internacionales que utilizan millones de datos personales de los clientes.

La visión de los riesgos financieros, operativos o tecnológicos se ha centrado en establecer calificaciones subjetivas para los diferentes factores que influyen en dichos riesgos. Las valoraciones son subjetivas, hay una tendencia para atribuir valores a los riesgos que no reflejan completamente la realidad, atribuyéndose comúnmente esta tarea a la experiencia previa del consultor o de la empresa que lo realiza.

¿Cuál es la solución? Hay que administrar los riesgos relacionados con los datos personales en tres niveles:

• Riesgo Accidental: Históricamente, las áreas de TI entienden muy bien este riesgo y elaboran sus planes de recuperación ante desastres, o bien la empresa crea sus procedimientos de continuidad de negocio. Para el tratamiento de este riesgo debemos medir el mejor esfuerzo, donde únicamente una fuente de poder, puerto, enlace o servidor funcione adecuadamente para mitigar este riesgo. La forma en que solventamos los riesgos accidentales es aplicando controles de disponibilidad de los datos y la información.
• Riesgo oportunista: La mayor parte de los datos personales está amenazada por este tipo de riesgo; aquí tenemos que aumentar la altura y grosor de nuestras "paredes", ya sean internas o externas. Una analogía de esta propuesta es la siguiente: hay dos automóviles iguales en diferentes situaciones; el primero tiene alarma, bastón para el volante, las ventanillas cerradas y se encuentra en un estacionamiento que cuenta con seguridad y video-grabación continua; el segundo está estacionado en una calle sin luz y con las ventanillas mal cerradas. Si un ladrón roba cualquiera de los dos vehículos, obtiene el mismo beneficio económico, pero si roba el segundo su oportunidad de hacerlo requiere un esfuerzo menor y su riesgo está atenuado por el entorno. El riesgo oportunista es mitigado colocando “la reja más alta de la calle”, es decir, no requerimos tener los controles más estrictos, sino únicamente mejores controles que los que tiene nuestra competencia, el estándar o la industria. “No hay que correr más rápido que el dragón, únicamente, más rápido que el hobbit”. Este riesgo se minimiza implementando la mayor cantidad de controles (entre más mejor) y manteniendo buenas prácticas.
• Riesgo intencional: Este riesgo es atendido mediante controles de privacidad y de integridad. Cualquier error en un control podría significar la pérdida de datos.
  Si no entendemos esta categoría diferente, no podemos evolucionar en la gestión de riesgos. El riesgo de un presidente de ser asaltado, secuestrado o atacado es tan alto, que los niveles de seguridad que requiere, deben ser los más rigurosos en todo momento. Sus atacantes no lo agredirán por accidente, ni porque exista la oportunidad, lo harán con una intención directa, tendrán tiempo de planear el ataque y por lo mismo los controles deben ser máximos, ya que una sola falla en el sistema de protección provocaría que todo el esquema de seguridad se afectara.

Una vez analizados estos tres tipos de riesgo, y ante la inminente entrada en vigor de la Ley Federal de Protección de Datos Personales en Posesión de Particulares, debemos tener claro que en la protección de datos, el mayor riesgo es que no exista la administración de riesgos.

Como un método rápido y sencillo de lo qué las empresas deben hacer, sugiero tres pasos muy simples, pero efectivos:

1. Concientización de los empleados sobre el trato que dan a la información de sus clientes, proveedores y su mismo personal.
2. Realizar un análisis del impacto de privacidad, en dónde se encuentren las diferencias del estado actual versus el estado de cumplimiento y desarrollar un plan para subsanar dichas deficiencias.
3. Crear procesos que mantengan al día la protección de datos personales.

Por nuestra parte, en tanto titulares de datos personales, lo más importante es estar informados y conocer nuestros derechos y obligaciones, la mejor forma de lograrlo es leer, entender y ejercer nuestros derechos.

Los lectores pueden consultar, la publicación de esta ley en el sitio:

http://dof.gob.mx/nota_detalle.php?codigo=5150631&fecha=05/07/2010, si al leerla la encuentra complicada, el IFAI (http://www.ifai.org.mx) ha creado información sencilla y entendible para aquellas personas que quieran una referencia rápida del tema.

Juan Carlos Carrillo

@juan_carrillo