archivo

Archivos Mensuales: diciembre 2014

Liverpool-567x425-567x400 - CopyEn un año que ha destacado por las vulneracoines a la seguridad de los sistemas de grandes cadenas comerciales en los EE.UU.A., tales como Target, Home Depot, Staples, JP Morgan Chase, y empresas como Apple (Re. “#CelebGate“), Snapchat (Re: “#Snappening“) y Sony Pictures, una pregunta en la mente de varios de quienes ejercemos en materia de protección de datos personales había sido ¿cómo es que en México no se dan casos así? Las respuestas podrían ser varias. Tal vez a pesar de ser un mercado creciente, muy aspiracional y orientado al lujo, los Responsables (del Tratamiento de Datos Personales) en nuestro país no eran un blanco atractivo para ataques como aquellos. ¿O sus sistemas son tan robustos?

Como para probar que la cuestión no es si una empresa será víctima de un ataque, sino cuándo lo será, en víspera de Nochebuena (a las 13.29 del 24 de diciembre, para ser exactos) la Bolsa Mexicana de Valores difundió a través de su página Web el comunicado de evento relevante que El Puerto de Liverpool, S.A.B., presentó en cumplimiento a sus obligaciones como emisora de valores para dar a conocer que fue “…víctima de un intento de extorsión…” que busca dañar su reputación; el ataque habría consistido en una intrusión en correos de su personal, y habrían también logrado obtener información de algunos clientes, según se indica en la misiva, que también señala que estos hechos delictivos fueron denunciados ante las autoridades correspondientes, estimando que el riesgo derivado de dicha intrusión es bajo, no obstante lo cual están tomando medidas adicionales para reforzar la protección de la información de sus clientes y fortalecer sus sistemas, prácticas y procedimientos, por ser la seguridad de la información que le confían sus clientes es una prioridad, procurando salvaguardar los datos personales y cumplir cabalmente con las leyes de protección de datos.

Dado que el evento fue difundido justo cuando casi todo México se ocupaba más de los preparativos para la cena navideña, los medios dieron cuenta del mismo con sólo la información extraída de dicho comunicado; hoy la sección de Negocios de Reforma informa al respecto con algunos comentarios del suscrito.

La vulneración a JP Morgan, que afectó a 76 millones de cuentahabientes, fue dada a conocer precisamente así, por un “filing” que dicho banco tuvo que hacer ante la Securities and Exchange Commission en EE.UU.A. En tal sentido es preciso destacar la responsabilidad con la que Liverpool ha actuado al notificar del hecho al mercado bursátil (coloca valores en los mercados de capital y deuda), en vez pretender “ocultarlo bajo el tapete” muy disimuladamente. Sin duda el manejo que Liverpool haga del caso sentará un precedente importante en la práctica de protección de datos personales y seguridad informática, por lo cual motivará la atención de todo el medio.

Con tan solo 4 renglones los términos del comunicado a la BMV llevan a pensar en varias cosas:

  1. “Los criminales lograron una intrusión en correos de nuestro personal y también obtuvieron información de algunos clientes.” Esto hace pensar en un ataque por “phishing” o “spear-phishing“; de ser el caso será importante que Liverpool revise la Política de Privacidad con la que está obligada a contar, de acuerdo con el artículo 48 del Reglamento de la Ley, y refuerce la capacitación a su personal para evitar que vuelvan a ser víctimas de este tipo de ataques de ingeniería social. Tal mención no descartaría otro tipo de ataques, como uno de “brute force“.
  2. “Liverpool lamenta informar que ha sido víctima de un intento de extorsión que busca dañar nuestra reputación”. Probablemente ésta sea la oración del comunicado que más hace pensar. Los casos en los que además del ataque mismo se lleva a cabo otra conducta delictiva como la extorsión son comunes. Hace tiempo se sabe de casos en los cuales los atacantes bloquean el acceso al equipo o sistema atacado y exigen un pago a cambio de reestablecerlo o no suprimir definitivamente la información del mismo. En el caso del ataque a Sony, hubieron reportes sobre mensajes de extorsión que ejecutivos de la empresa habrían recibido previo al ataque mismo. Sería interesante saber si la referencia al daño de la reputación de Liverpool se debe al solo hecho de haber sido víctima del ataque o a amenazas concretas sobre la información que los atacantes pudieran haber obtenido y del uso que le pretendan dar los atacantes.
  3. “La empresa ya denunció estos hechos delictivos ante las autoridades correspondientes”. Un ataque como el reportado por Liverpool podría configurar el ilícito previsto en el Capítulo II, Título IX, Libro Segundo del Código Penal Federal: “Acceso Ilícito a Sistemas y Equipos de Informática”. En términos generales sus artículos 211 bis 1 al 5 disponen penas privativas de la libertad que van de los 6 meses hasta los 8 años y diversas multas, penas y multas cuya magnitud varía dependiendo de si los sistemas atacados son o no del Estado, correspondientes a seguridad pública o de instituciones financieras, a quien(es):
  • …sin autorización modifique, destruya o provoque pérdida de información contenida en sistemas o equipos de informática protegidos por algún mecanismo de seguridad, y
  • …sin autorización conozca o copie información contenida en sistemas o equipos de informática protegidos por algún mecanismo de seguridad, se le impondrán de tres meses a un año de prisión y de cincuenta a ciento cincuenta días multa.

La estadística de la Procuraduría General de la República por tales delitos entre el 1 de septiembre del 2013 y el 30 de septiembre del presente año arroja que de 66 indagatorias iniciadas sólo 1 fue consignada ante la autoridad judicial, en tanto que 21 fueron enviadas a la reserva, en 6 se resolvió el “no-ejercicio” de la acción penal, y tiene en trámite 70, incluyendo otras iniciadas en años anteriores al periodo consultado.

Estadística PGR Acceso Ilícito2 - CopySerá muy interesante ver el empeño con el que Liverpool impulsa el perfeccionamiento de sus indagatorias y la eficacia con la que la representación social federal logra integrarlas para llevar ante la justicia a los responsables. En cualquier caso es un hecho que Liverpool deberá realizar ajustes en su Sistema de Gestión de Datos Personales y medidas de seguridad, pues el artículo 60 del Reglamento prevé entre los elementos para determinarlas a las vulnerabilidades previas ocurridas en los sistemas de tratamiento, además de que de acuerdo con la fracción III de su artículo 62 en tanto Responsable del Tratamiento de Datos Personales Liverpool deberá actualizar la relación de sus medidas de seguridad, cuando ocurran, entre otros eventos, la vulneración de sus sistemas de Tratamiento.

El citado Reglamento también ordena, en su artículo 66, que cuando ocurra una vulneración a los Datos Personales, como fue el caso, el Responsable deberá analizar las causas por las cuales se presentó e implementar las acciones correctivas, preventivas y de mejora para adecuar las medidas de seguridad correspondientes, a efecto de evitar que la vulneración se repita, lo cual es algo en lo que Liverpool manifiesta ya estar trabajando, o haber trabajado.

ReformaNeg20141612 - Copy

greetingcard - CopyComo siempre el fin del año motiva a reflexionar sobre el camino andado durante los días, semanas y meses que han transcurrido; lecciones aprendidas; éxitos alcanzados y objetivos planteados. 2013 fue el año que nos vio empezar, pero en si 2014 fue el año de arranque. Ahora miramos a 2015 como un año que será de crecimiento y consolidación.

Parte de esas reflexiones exigen ser agradecido con todos quienes han colaborado con nosotros, pero especialmente con nuestros amigos, colegas y clientes, quienes han depositado su confianza en nosotros para la debida atención de sus asuntos en un mercado cada vez más competitivo, en un nicho tan cerrado como el de regulación financiera y tan especializado como el de protección de datos personales.

A tod@s les deseamos lo mejor, hoy y siempre, personal y profesionalmente, y les estamos agradecidos por su confianza en nuestro trabajo y/o por su interés en el material publicado en este blog.

As always the end of the year call for reflection upon the road traveled over the days, weeks and months that have lapsed; lessons learned; success attained and objective put forth. 2013 was the year that saw us launch, but 2014 was really the year of starting up. Now we look to 2015 as a year of growth and consolidation.

Part of such reflections demand gratefulness with all who have collaborated with us, but specially to our friends, colleagues and clients, who have deposited their trust in us for the due care of their cases in an ever more competitive market, in a niche so closed as financial regulation and as specialized as privacy.

We wish you all the best, today and always, personally and professionally, and appreciate your trust in our work and/or interest in the materials published in this blog.

 

ofis - CopyEn los 18 meses de haber escrito por este medio 96 entradas sobre mis áreas de práctica han habido 4 entradas (derechos ARCO, multa a SOFOM Banamex, multa a TELCEL y reglas de CONDUSEF para despachos de cobranza) relativas tanto a los aspectos de regulación financiera como de protección de datos en la actividad de cobranza extrajudicial. El tema es complejo no sólo por aspectos jurídicos que fueron considerados en la “miscelánea de garantías” del 2003 como en la “reforma financiera” de este año, sino probablemente también por la ideosincrasia y experiencia nacionales en materia de recuperación de adeudos, de la que son parte las lamentablemente consabidas prácticas de los despachos de cobranza contratados por instituciones financieras y “gestoras de activos” que adquieren a descuento su cartera vencida.

El tema cobra relevancia de nuevo por la presentación de la Guía para orientar el debido tratamiento de datos personales en la actividad de cobranza extrajudicial del IFAI y CONDUSEF, elaborada por el primero con la opinión técnica de la segunda y concebida como “…una herramienta que permite a las entidades financieras y despachos de cobranza cumplir con los principios y deberes de la LeyFederal de Protección de Datos Personales en Posesión de los Particulares”, que “…representará un importante referente para orientar el debido tratamiento de los datos personales en laactividad de cobranza extrajudicial, sin invadir la privacidad de las personas ni violar las disposiciones en materia de datos personales vigentes en el país.”

Sin duda el documento contribuirá en gran medida al mejor entendimiento de la práctica en materia de protección de datos personales dentro del marco de la cobranza extrajudicial, facilitando discenir los casos en que un despacho trata los datos personales de los deudores de aquéllas entidades financieras que contratan sus servicios como Engargado y, por lo tanto, mediante la remisión de los mismos, de aquellos en los que dicho tratamiento deriva de la transferencia de tales datos y, por lo tanto, el despacho de cobranza o gestora de activos que hubiera adquirido la cartera de que se trate es, en si y por si, un ulterior Responsable de dichos datos (vid. pág. 37).

Para ello son particularmente importantes las siguientes indicaciones:

  • Es importante tener en cuenta que la comunicación de datos personales a Despachos de Cobranza, cuando éstos no sean dueños de la cartera, sino que presten el servicio de cobranza a nombre y por cuenta de la Entidad que otorgó el crédito, préstamo o financiamiento, no se considera transferencia, sino remisión, por lo que no existe obligación de informarla en el aviso de privacidad, ni de obtener elconsentimiento del Titular para que ésta ocurra.
  • En cambio, cuando hay una comunicación de datos personales entre la Entidad y un Despacho de Cobranza, con motivo de una venta de cartera a este último, dicha comunicación se considera una transferencia, por lo que es necesario informarla en el aviso de privacidad y cumplir con las obligacionesprevistas en esta sección (pág. 37).
  • En materia de Cobranza Extrajudicial, el tema del Encargado del tratamiento tiene especial relevancia, ya que la figura se utiliza de manera recurrente entre los acreedores y los Despachos de Cobranza, cuando éstos últimos NO son dueños de la cartera de crédito, préstamo o  financiamiento, y actúan a nombre y cuenta de la Entidad responsable de los datos personales (pág 40).
    .

Sin embargo la Guía es sólo y precisamente eso: un documento que orienta, pero no obliga en forma alguna a las Entidades Financieras ni a sus despachos de cobranza, por lo que dista de ser una instancia de regulación por parte de la CONDUSEF armonizada con la normatividad del IFAI y la Secretaría de Economía en materia de protección de datos personales, como prevé el artículo 40 de la Ley Federal de Protección de Datos Personales, y fue presentada más de 2 meses después de la expedición de las Disposiciones de carácter general aplicables a las entidades financieras en materia de Despachos de Cobranza de dicha Comisión, que lacónicamente refieren en el último párrafo de su Disposición Sexta, que se deberá observar lo dispuesto en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y, en su caso la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamentalen al convenir la cesión o venta de cartera. Lo deseable hubiera sido que ambas autoridades hubieran realizado este esfuerzo de coordinación antes de que la CONDUSEF expidiera las citadas Reglas, a fin de que dicho instrumento normativo contuviera disposiciones vinculantes para la debida protección de los datos personales de los deudores de las Entidades Financieras. Sin embargo, y sin duda, es un avance hacia la armonización normativa de la regulación general en materia de protección de datos personales con la de las múltiples materias que se relacionan con ella.

Precisamente en materia de cobranza extrajudicial, tan sólo 6 días antes de la presentación de la citada Guía el Pleno del IFAI votó la sanción impuesta a Corporativo Especializado en Recuperación de Cartera, justo por un caso derivado de ello, que asciende a un total de $2’169,460.00, por las siguientes infracciones:

  1. Contravenir los Principios de Licitud y Lealtad: $259,040.00
  2. Incumplir el deber de confidencialidad: $777,120.00
  3. Cambiar sustancialmente la finalidad del tratamiento de los datos: $679,980.00
  4. Tratamiento de datos financieros y patrimoniales: $453,320.00

Lo anterior atendiendo tanto a la intencionalidad de las conductas infractoras, como a la capacidad económica de la Integra Capital, determinada con base en sus estados financieros al 31 de diciembre y 31 de julio de 2014, que arrojaban un capital de $29’078,700.00.

El asunto se originó con la contratación de un crédito “Autoestrena Banorte” en el año de 2011 por quien parece ser (o haber sido) empleado del gobierno del Estado de Nuevo León y habría incurrido en atraso en sus pagos, lo cual motivó que empezara a recibir correos electrónicos de Integra Capital, con copia para sus compañeros de trabajo, por lo cual el Titular denunciante adujo la indebida transferencia de sus datos personales por parte de Banorte a la empresa referida, en tanto que el IFAI planteó:

  • La vulneración a su expectativa razonable de privacidad;
  • El incumplimiento al deber de confidencialidad por la divulgación del nombre, número de crédito y saldo del adeudo del Titular, violando con ello su privacidad y derecho a la autodeterminación informativa;
  • Varió sustancialmente la finalidad del tratamiento de los datos arriba mencionados, y
  • Divulgó tales datos a terceros sin consentimiento del referido Titular.

Tema importante en el caso: precisamente de acuerdo con el expediente y según la Guía, Integra Capital es un Encargado de Banorte, pero a diferencia del caso de Banamex y Revoware, el Banco Responsable no fue sancionado por los hechos y omisiones de su Encargado. ¿En qué radica la distinción que le evitó a Banorte ser multado en esta ocasión? La respuesta está en el párrafo tercero del Considerando Sexto, en donde de expone que Integra Capital adquirió el carácter de Responsable en si y por si al variar sustancialmente las finalidades de tratamiento de los datos personales que Banorte le habría remitido. Sin embargo, salvo por la cláusula de confidencialidad, en el expediente de sanción se omite analizar el texto del contrato de prestación de servicios suscrito entre Banorte en Integra Capital, de manera que no resulta del mismo un criterio sobre el cumplimiento con u omisión respecto de los requisitos que disponen los artículos 50 y 51 del Reglamento de la Ley tratándose de la relación entre el Responsable y el Encargado del tratamiento de los datos personales que interesan.

 

 

 

El mes pasado Forbes México publicó una nota de mi autoría sobre los aspectos que se deben cubrir para implementar debidamente el cumplimiento normativo en materia de protección de datos personales que todos quienes traten tal información están obligados a observar. A lo largo de más de 4 años de trabajar con responsables en sectores de servicios financieros, de salud, educación, hospitalidad y restauración, etc., he tenido ocasión de ver el valor que se le asigna a la protección de datos, no solamente como otro requisito a cumplir para evitar una sanción onerosa, sino como medio para transmitir una imagen positiva de la empresa, lo mismo que escuchar referencias al tema como una burocracia adicional que no aporta al negocio.

Comunicar lo primero para cambiar lo segundo fue parte del objetivo de los “Roadshows” que ProSoft 3.0, el IFAI y NYCE llevaron a cabo entre noviembre y los primeros días de noviembre desde Tijuana hasta Mérida, en los que nuestro despacho fue invitado para exponer los aspectos jurídicos y prácticos de los esquemas de autorregulación vinculante que empezarán a operar el año entrante, sobre lo cual a continuación se encuentran algunas de las láminas que exponen cómo y por qué la confianza que la protección de datos personales genera es fundamental para el éxito de un negocio.

Lam1

Las reformas constitucionales de 2009 en materia de privacidad, la Ley del 2010, el Reglamento del 2011 y los Lineamientos del 2013 se inscriben en un proyecto mayor y de más importancia para impulsar la competitividad de las empresas y los negocios en México, que en el beve plazo de 4.5 años de vigencia de la Ley Federal de Protección de Datos Personales ya se ha logrado colocar en el #9 del “Top 10” de países líderes en protección de datos de acuerdo con el Global Data Protection Index de EMC Corporation, lo cual es muy meritorio, considerando lo mucho que falta por hacer por parte del amplísimo universo de Responsables que hay en el país, y el desconocimiento de la materia que aún existe entre ellos, los Titulares e incluso profesionales del derecho.

Sea como fuere, tal posicionamiento de México es sumamente positivo pero todavía deja camino por andar.

stack-image 1

 

Compliance Report

Compliance and Ethics Powered by Advanced Compliance Solutions

TechCrunch

Startup and Technology News

Xavier Ribas

Derecho de las TIC y Compliance

mkaz.com

Marcus Kazmierczak

Take To Task

Analyzing the Nonsense

Business & Money

The latest news and commentary on the economy, the markets, and business

CIDE-Comunicación

Canal de difusión con los medios.

Martha Salamanca Docente

Blog de TICs, Redes Sociales y Multimedia Educativo

Devil's Advocate Crib

Just another WordPress.com site