archivo

Archivos Mensuales: octubre 2014

La más reciente sanción difundida por el IFAI con motivo de la violación a la Ley Federal de Protección de Datos Personales en Posesión de Particulares se inscribe, al igual que la de Creaciones Textiles de Mérida, en el marco de la aplicación de esa ley a las relaciones laborales, y fue determinada por dicho Instituto debido a la transgresión de los siguientes artículos de la LFPDPPP:

  • 6 (Principios rectores);
  • 7 (Principios de Licitud y de Lealtad);
  • 14 (Principio de Responsabilidad);
  • 15 (Principio de Información);
  • 16 (Idem, entratándose de la obligación de poner el Aviso de Privacidad a disposición de los Titulares, referidas en el caso las fracciones I -requisito de identidad del Responsable, sobre lo cual se puede ver el caso de Farmacias San Pablo-, II -Finalidades del Tratamiento- y III -opciones y medios para que el Titular limite el uso o divulgación de sus Datos Personales, con relación a lo cual remitimos al caso de Sport City en nuestra nota del 14 de junio del 2013-);
  • 17, fracción II (fundamento de la modalidad “simplificada” del Aviso de Privacidad”), y
  • 19 (Medidas de Seguridad).

Concretamente el IFAI encontró que en la especie:

  1. Se había declarado dolosamente la inexistencia de Datos Personales que existían total o parcialmente en las bases de datos de la Responsable, por lo cual se actualizó la hipótesis del art. 63, fracción III, de la LFPDPPP;
  2. La Responsable había incumplido con los Principios de Licitud, Responsabilidad e Información, pues en la verificación manifestó expresamente no contar con procedimientos de conservación, bloqueo y supresión de Datos Personales, ni medidas de seguridad para protegerlos contra vulneraciones consistentes en daño, pérdida, alteración, destrucción o uso, acceso o Tratamiento no autorizados, además de haber omitido cumplir con el requisito de su identidad y Finalidades del Tratamiento a los Datos Personales.
  3. El Aviso de Privacidad de la Responsable carecía de la indicación de opciones y medios para que los Titulares limitaran el uso o divulgación de sus Datos Personales, infringiendo con ello el artículo 63, fracción V.

Entre los hallazgos derivados del procedimiento de verificación se encontró una discrepancia entre los Datos Personales que la Responsable efectivamente recaba de sus 24 trabajadores y los que manifiesta recabar conforme a su Aviso de Privacidad, entre ellos los datos correspondientes a la afiliación de los mismos al Instituto Mexicano del Seguro Social, así como datos jurídicos relativos a su filiación, estado civil y condición migratoria en México, además de datos patrimoniales relativos a cuentas bancarias. Tal hallazgo motivó a la autoridad de protección de datos a resolver que se llevó a cabo un ocultamiento doloso de Datos Personales recabados de los empleados de la Responsable.

Adicionalmente consta en autos de verificación que la Responsable no dió a conocer a dichos Titulares la información de la existencia y características principales del Tratamiento de sus Datos Personales en el Aviso de Privacidad, puesto que mediante correo electrónico recabó diversos datos  de un empleado a quien no informó de los mecanismos para conocer el Aviso de Privacidad en su modalidad Integral, ya que el mismo es puesto a disposición de esos Titulares en el momento de la firma del contrato  de trabajo. A este particular es preciso destacar que, por definición, el Aviso de Privacidad debe ser puesto a disposición de los Titulares previo al Tratamiento de sus Datos Personales (art. 3, fracción I, de la LFPDPPP).

Lo anterior destaca el hecho que aún cuando recién expedida la LFPDPPP hubo quienes pretendían extender la interpretación de la fracción II de su artículo 2, relativa al Tratamiento de datos para “fines personales” y sin finalidad de divulgación a los fines del “Área de Personal”, o Recursos Humanos, de las Responsables, interpretación que cayó por tierra cuando fue expedido el Reglamento de la Ley, cuyo artículo 6 dispone que el Tratamiento de Datos Personales para el cumplimiento de una relación jurídica, como es el caso de las relaciones laborales, no se considera para uso exclusivamente personal.

El caso en comentario ilustra un punto relevante en la práctica de los recursos humanos: el Tratamiento de Datos Personales empieza desde que los mismos son captados, sea mediante correo electrónico, una página Web, telefónicamente o en una entrevista presencial. Sin embargo, también motiva cuestionamientos sobre la interpretación y aplicación de la excepción contenida en la fracción II del artículo 5 del Reglamento, que exceptúa de su aplicación a la información que se “refiera a personas físicas en su calidad de comerciantes y profesionistas”. Partiendo del hecho que las excepciones no pueden ser extendidas a casos que no estén expresamente contemplados en las normas que las establecen, la disposición citada no resultaría aplicable al personal “operativo”, como técnicos o empíricos, sino sólo a los candidatos que tuvieran título, e idealmente cédula profesional con efectos de patente, para el ejercicio de una profesión, y se limitaría a la información relativa a dicho ejercicio profesional, la cual es usualmente materia de las entrevistas en los procesos de selección, y no es sino hasta su contratación que se accede a Datos Personales jurídicos propios de su estado civil, patrimoniales relativos a ingreso pasado o esperado y cuentas bancarias para el depósito de su remuneración, así como sensibles propios de su estado de salud.

Llama la atención que una empresa de Internet hubiera manifestado en el curso de la verificación del IFAI que contaba con 860 registros de clientes, proveedores y empleados, pero que los mismos se encuentran “en un sistema alojado en cómputo en la nube, se intentó acceder a dichos registros, pero nunca se pudo”, y que “se desconoce (si fueron destruidos) y se cree que en algún lugar de la red existen.

En cuanto a las medidas de seguridad aplicadas para el resguardo y protección de los Datos Personales, la Responsable manifestó haber “designado a solo (sic) una empleada… para el manejo y almacenamiento de los datos personales”, lo cual no parece alcanzar para considerar que hubieran estado a debido resguardo, lo cual redundó en la conclusión de que no cumplía con el principio de legalidad.

El IFAI concluyó que las acciones y omisiones de la Responsable fueron intencionales, puesto que el desconocimiento de la Ley no excusa su observancia y cumplimiento, y con base en su capacidad económica, evidenciada por un capital contable del orden de los $270’845,280.00 M.N., resolvió imponer las siguientes multas:

  • $1’619,000.00 (25,000 días de salario mínimo general en el DF) por la infracción del artículo 63, fracción III, de la Ley, al haber delcarado dolosamente la inexistencia de Datos Personales parcial o totalmente presentes en sus bases de datos, que fue considerada como de gravedad alta;
  • $1’295,000.00 (20,000 días de salario mínimo general vigente en el DF) por la infracción del artículo 63, fracción IV, al dar Tratamiento a los Datos Personales contraviniendo los Principios de Responsabilidad, Información y Licitud, considerada como de gravedad media, y
  • $1’165,680.00 (18,000 días de salario mínimo en el DF) por la infracción del artículo 63, fracción V, al omitir en su Aviso de Privacidad las opciones y medios para que los Titulares limiten el uso o divulgación de sus Datos Personales, considerada como de gravedad media.

Es decir que el caso ha tenido para IMM Internet Media México un costo total de $4’079,680.00, que serán cobrados por vía de un crédito fiscal, a fin de que tales cantidades ingresen a la Tesorería de la Federación como aprovechamientos, conforme al Código Fiscal de la Federación.

 

 

 

 

logo-CONDUSEF2 - CopyLa cobranza extrajudicial ha sido un tema muy llevado y traido en México desde hace tiempo, que necesariamente se relaciona con el Tratamiento de Datos Personales y el Principio de Calidad además del Principio de Lealtad que informan a la Ley de la materia, por lo cual empresas como Telcel y la SOFOM de tarjetas de Banamex han sido sancionadas por el IFAI. Se trata de un asunto al que los Responsables deben poner atención, puesto que sus agencias o despachos de cobranza obran como Encargados suyos, por lo que sus actos u omisiones podrían repercutirles, por virtud del Principio de Responsabilidad, dado que por definición un Encargado obra por cuenta y orden del Responsable.

Las prácticas de algunos despachos de cobranza también han representado por mucho tiempo un problema para el público, ya sea porque aquellos recurren a prácticas cuestionables, por decir lo menos, dirigiendo a los domicilios registrados de los acreditados documentos que pretenden hacer pasar por mandamientos judiciales de embargo, o porque ante la falta de actualización de sus bases de datos o directorios (ojo con el Principio de Calidad) insisten en comunicarse, muchas veces a deshoras o con lenguaje agresivo e incluso vulgar, a los números telefónicos que tuvieran registrados para los deudores morosos.

No se había encontrado una solución sólida para estas situaciones, por una parte debido a que la colegiación no es obligatoria en México, por lo que no existe un organismo con facultades para sancionar a los profesionales del derecho que incurran en prácticas como las arriba mencionadas, y por otra dado que la CONDUSEF no contaba con facultades para proceder en contra de tales abusos. La única vía que existía, mencionada en la entrada del 30 de julio del 2013, era la verificación del caso, para determinar si resultaba o no en una violación del Código de Ética de las Obligaciones para con los Deudores y Público en General, pactado por tal Comisión y por la Asociación Mexicana de Profesionales en Cobranza y Servicios Jurídicos, A.C., que al final de cuentas era una solución basada en soft law, por lo que dependía de su adopción voluntaria por el despacho de cobranza y difícilmente era sancionable.

Probablemente las cosas cambien a ese respecto a partir de hoy, pues como lo anunció la CONDUSEF el día de ayer fueron publicadas en el Diario Oficial de la Federación las Disposiciones de carácter general aplicables a las entidades financieras en materia de Despachos de Cobranza, que dicha Comisión expidió con fundamento en las facultades que le fueron conferidas mediante las recientes reformas a la Ley para la Transparencia y Ordenamiento de los Servicios Financieros, Disposiciones que entraron en vigor a partir de hoy, sin perjuicio de los plazos de 90 días que sus Disposiciones Transitorias otorgan para dar cumplimiento a las obligaciones derivadas de las mismas, así como para adecuar, en lo conducente, los contratos que ya deberían tener inscritos ante el Registro de Contratos de Adhesión de dicha Comisión.

Esto decididamente significa un avance en el manejo de estos asuntos, pero en cuanto a protección de datos personales da la impresión que ni ésta ni otras entidades reguladoras “le entran” de lleno a la materia y, por lo tanto, no llevan a cabo la emisión de la regulación secundaria correspondiente a sus sectores. Esto se observa en la fracción VIII de la Disposición Cuarta, que se limita a requerir a las Entidades Financieras a “Tratar los datos personales de conformidad con la normativa aplicable en la materia”, sin disponer de manera más clara al respecto, puesto que sólo hay 2 referencias de relevancia a la LFPDPPP:

  1. En la fracción I de la propia Disposición se hace a las Entidades Financieras responsables de que al contratar Despachos de Cobranza (según dicho término es definido) para realizar gestiones de cobro, negociación o reestructuración de sus créditos, préstamos o financiamientos, se tengan establecidos mecanismos que permitan la plena identificación del Deudor, obligado solidario o aval, antes de establecer el primer contacto, y a que en el primero contacto que establezcan con dicho Deudor (momento en el cual deberían
  2. Último párrafo de la Disposición Sexta, que les requiere observar lo dispuesto en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y, en su caso la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamentalen al convenir la cesión o venta de cartera, lo cual no aporta gran cosa, puesto que dichos ordenamientos son de orden público y observancia general, por lo que no hacía falta que una norma secundaria reiterase su obligatoriedad.

Sin perjuicio de lo anterior, destaca la previsión contenida en la fracción VII, inciso f), de dichas Disposiciones, que  requiere a los Despachos de Cobranza que se abstenga de establecer registros especiales, distintos a los ya existentes, listas negras, cartelones, o anuncios, que hagan del conocimiento del público la negativa de pago de los Deudores. Tales prácticas podrían también ser sancionadas por el IFAI, en virtud de que las obligaciones del Encargado previstas en el artículo 50 del Reglamento de la LFPDPPP: le obligan a:

  • Guardar confidencialidad respecto de los Datos Personales tratados, confidencialidad que sería transgredida por la práctica de colocar cartelones o anuncios que comuniquen a terceros la mora del Deudor;
  • Abstenerse de transferir (por definición a Terceros) los Datos Personales a los que den Tratamiento, lo cual también sería violatorio del antedicho deber de confidencialidad;
  • Tratar los Datos Personales únicamente conforme a las instrucciones del Responsable, y
  • Suprimir los Datos Personales objeto de Tratamiento una vez cumplida la relación jurídica con el responsable o por instrucciones de éste, obligaciones que serían incumplidas si el Despacho de Cobranza mantuviera su propia bases de datos en paralelo a los registros proporcionados o generados por instrucciones de la Entidad Financiera Responsable, más aún si la ofreciera posterioremente a otro de sus clientes.

También obliga a los Despachos de Cobranza a ser inscritos por las Entidades Financieras en el Registro de Despachos de Cobranza que llevará dicha Comisión.

Para el público representan los siguientes beneficios en tanto que los Despachos de Cobranza:

  • Deberán identificarse plenamente en el contacto con el Deudor, y brindarle información suficiente sobre el motivo de su actuación;
  • Deberán comunicarse de manera respetuosa y educada, en un horario de 7:00 a 22:00 horas;
  • No podrán ostentarse como instituciones públicas, utilizar números telefónicos ocultos al identificador de llamadas,
  • Amenazar, ofender o intimidar al Deudor, sus familiares, compañeros de trabajo o cualquier otra persona que no tenga relación con la deuda, realizar gestiones de cobro a terceros, incluidas las referencias personales y beneficiarios, con excepción de Deudores solidarios o avales, ni con menores de edad o adultos mayores, salvo que dichos adultos sean los Deudores, ni enviar documentos que aparenten ser escritos judiciales u ostentarse como representantes de algún órgano jurisdiccional o autoridad.

Para efectos del Principio de Calidad es relevante que también se les ha prohibido realizar las gestiones de cobro, negociación o reestructuración, de los créditos, préstamos o financiamientos, en un domicilio, teléfono o correo electrónico distinto al proporcionado por la Entidad Financiera o el Deudor, obligado solidario o aval, lo cual les obligará a dar un seguimiento más puntual a la ubicación de sus Deudores, avales u obligados solidarios, aunque también podría hacerles recurrir a otros medios para mantener sus bases de datos actualizadas, como la consulta de fuentes de acceso público, lo cual debería verse reflejado en el momento de poner sus Avisos de Privacidad a disposición de aquellos Titulares cuyos Datos Personales hubieran obtenido indirectamente.

Habrá que esperar y ver si la PROFECO expide Disposiciones en similar sentido que resulten aplicables a las Entidades Comerciales que también otorgan créditos, préstamos o financiamientos.

 

Compliance Report

Compliance and Ethics Powered by Advanced Compliance Solutions

TechCrunch

Startup and Technology News

Xavier Ribas

Derecho de las TIC y Compliance

mkaz.com

Marcus Kazmierczak

Take To Task

Analyzing the Nonsense

Business & Money

The latest news and commentary on the economy, the markets, and business

CIDE-Comunicación

Canal de difusión con los medios.

Martha Salamanca Docente

Blog de TICs, Redes Sociales y Multimedia Educativo

Devil's Advocate Crib

Just another WordPress.com site