archivo

Archivo de la etiqueta: credencial para votar

INECONVMC

Unos 26 meses atrás, los días 7 y 9 de noviembre de 2013, escribí sobre la nota que publicó Reforma sobre el presunto tráfico ilícito de copias del Padrón Electoral en el mercado negro. Dicho medio recién dio a conocer que la Comisión de Quejas y Denuncias del Instituto Nacional Electoral había resuelto sancionar al partido político Movimiento Ciudadano (antes “Convergencia“) con una multa de $76MDP por tal fuga de datos del padrón electoral, hecho que se consumó ayer en la sesión del Consejo General del Instituto Electoral.

El 2 de junio del 2013 Reforma reportó que uno de sus reporteros habría logrado adquirir datos personales provenientes del Padrón Electoral, instrumento al que los institutos políticos tienen acceso y del que reciben copias en medios magnéticos para cumplir ciertas obligaciones y ejercer determinadas facultades conforme a la Ley General de Instituciones y Procedimientos Electorales. Hace 3 meses Mexican Times publicó una nota que escribí sobre el tema de la seguridad de la información contenida en dicho Padrón con motivo de la inminente liquidación de los Partidos Humanista y del Trabajo, procedimiento en el que se le estaba prestando más atención a los carros, pesos y centavos que al destino de nuestros datos.

En ella referí no sólo el incentivo perverso que ha convertido a la mica electoral en la identificación preeminente en México, derivado de que la Ley General de Partidos Políticos prevé que los partidos políticos nacionales gozarán de financiamiento público para sostener sus actividades ordinarias permanentes, el cual es determinado mediante una fórmula basada en el número total de ciudadanos inscritos en el Padrón Electoral federal en julio de cada año; también aludo a la normatividad propia del INE para proveer a la mayor seguridad del Padrón.

Dicha normatividad incluye los Lineamientos para el Acceso, Verificación y Entrega de los Datos Personales en Posesión del RFE por los Integrantes de los consejos General, Locales y Distritales, las Comisiones de Vigilancia del RFE, los Particos Políticos y los Organismos Electorales Locales, así como un Procedimiento de entrega de la Lista Nominal de Electores para Revisión a los Representantes de los Partidos Políticos, instrumentos que prevén que el Padrón y la Lista Nominal que se entreguen a los representantes de los partidos tendrán elementos distintivos únicos para identificar las que hubieran sido objeto de uso indebido, además de que las impresiones que se generen deberán ostentar advertencias sobre el manejo de los datos que contienen.

En términos muy generales el INE ordena que los procedimientos de generación y entrega de la Lista Nominal deberían asegurar que sólo el usuario autorizado pueda acceder a la base de datos; que la información no pueda ser descargada ni transmitida, los representantes autorizados reciban solo una copia, además de asegurar la integridad de dicha información.Que sean observadas o no naturalmente es un tema de discusión entre el ser y el deber ser; en cualquier caso convendría que además de emprender acciones punitivas el INE implemente medidas preventivas, puesto que una de las acciones más obvias y lógicas tras una vulneración de seguridad es procurar cerrar las brechas que permitieron que tal evento tuviera lugar.

Tal es la exigencia para los Responsables del Tratamiento de Datos Personales en Posesión de los Particulares (art. 62, fracciones III y/o IV, según fuere el caso); sin embargo no existe una obligación correlativa para los Sujetos Obligados en la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental que aún rige el tratamiento de datos personales por parte de entidades públicas. Sin embargo la iniciativa de Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, impulsada por el INAI y que desde el año pasado está siendo dictaminada en el Senado, prevé en su artículo 41 que de que ocurra una vulneración a la seguridad, el responsable deberá analizar las causas por las cuales se presentó e implementar en su plan de trabajo las acciones preventivas y correctivas para adecuar las medidas de seguridad y el tratamientode los datos personales si fuese el caso.

Bajo cualquier metodología de análisis de riesgo éste guardará una proporción directa entre el volúmen de datos y la variedad de estos. La accesibilidad, es decir, la cantidad de personas que pueden acceder a esos datos eleva el nivel de riesgo al que podrían estar expuestos los datos en un momento dado, y el entorno o medios de acceso a ellos puede exacerbar el riesgo. Pensemos así en una base de datos como el Padrón electoral, que contiene datos de identificación (nombre y fotografía), autenticación (firma y huella dactilar) y biométricos (huella dactilar); el riesgo para esa base de datos es elevadísimo y se incrementa exponencialmente al considerar su circulación a través de medios magnéticos para ser puesta en manos de N personas al interior de cada uno de los múltiples institutos políticos que pululan en este país.

Para concluir este apunte postulo la fundamental importancia de que en un momento en el que el robo de identidad alcanza niveles de alarma en México se adopte una política de Estado en materia de identificación personal. Este reciente pico en la incidencia del robo de identidad demuestra que la política de Estado que ha sido seguida hasta la fecha está por demás errada. Dicha política se ha orientado, por los perversos incentivos políticos arriba mencionados, a que la credencial para votar expedida por el INE sea la identificación preemienente en este país; así lo demuestra la afirmación siguiente, tomada de la Estrategia Programática del Ramo 22 (Instituto Nacional Electoral) del Tomo II (Ramos Autónomos) del Presupuesto de Egresos de la Federación para 2016:

Líneas Estratégicas. Fortalecer los procesos registrales electorales. Para mantener la credencial del INE, como medio principal de identificación…”

 

Centrar las facultades de identificación de los ciudadanos mexicanos en una mica expedida por un Instituto cuyo Padrón debe, por Ley, ser puesto a disposición de un gran número de sujetos es un error tanto como la atomización de los medios de identificación en este país es, sin lugar a dudas, un elemento que contribuye al riesgo por el robo de identidad. Las Disposiciones de Carácter General para prevenir e identificar operaciones con recursos de procedencia ilícita en diversos ámbitos prevén como medios para que una persona acredite su identidad a la credencial para votar del INE y a cualquier identificación vigente con fotografía y firma emitida por autoridades federales, estatales y municipales y las demás que, en su caso, apruebe la UIF. Entre más medios haya para acreditar la identidad de una persona mayores serán los riesgos a los que esa identidad esté expuesta; es lógica elemental.

La política de Estado que México tiene a la fecha en materia de identificación abona al riesgo al que nuestros datos están expuestos. Hubo un intento por hacerlo durante la administración del Presidente Calderón por instituir una Cédula de Identidad Personal, pero no prosperó. Las flamantes “Bases de colaboración para inhibir la suplantación de identidad a través del sistema financiero en Méxicosuscritas por el INAI, SHCP, INE, PRODECON y ABM prevén una serie de acciones, como protocolos de atención y actuación; mecanismos de intercambio de información; difusión, educación y capacitación al público, que de poco servirán mientras no se consideren los orígenes y factores que facilitan el robo de identidad.

Los medios de identificación deben ser más limitados y debidamente controlados para mitigar la contingencia de la usurpación de la identidad de los ciudadanos mexicanos, y sin importar los elevados estándares de seguridad con los que la nueva credencial para votar del INE es producida actualmente, dar preponderancia a una identificación expedida por una autoridad que está legalmente obligaa a poner sus bases de datos a disposición de un gran número de personas es, bajo cualquier métrica o metodología, un gran error.

 

 

Nota Reforma 19-01-14Una nota publicada el día de ayer en la primera plana de la sección “Nacional” del diario “REFORMA” intitulada “Usa el IFE Datos sin Autorización”, en la que se refiere que el Instituto Federal Electoral habría hecho uso de los datos de Mabel Ivonne Castañaers Leyva en la presentación a los medios en diciembre pasado del nuevo diseño de la credencial para votar con fotografía elaborada por Giesecke y Devrient, superponiendo la fotografía de quien sería empleada de ésta última a la credencial emitida por dicho Instituto a favor de la antedicha ciudadana da oportunidad para comentar sobre la dicotomía que existe en la regulación de la protección de datos personales en posesión de las entidades del sector público y las del sector privado.

En tanto que la nota de referencia cita los artículos 9 y 12 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la “LFPDPPP”),

  1. Debería haber citado la Ley Federal para la Transparencia y Acceso a la Información Pública Gubernamental (la “LFTAIPG”), y
  2. Tratándose del Principio del Consentimiento en aquélla debería haber citado el artículo 8, que contiene las reglas generales del consentimiento para el Tratamiento de Datos Personales, toda vez que la credencial para votar no contiene datos personales que la LFPDPPP considere sensibles.

Esto último debido a que de acuerdo con su artículo 3, fracción VI, son considerados como sensibles “aquellos datos personales que afecten a la esfera más íntima de su titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste. En particular, se consideran sensibles aquellos que puedan revelar aspectos como origen racial o étnico, estado de salud presente y futuro, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, preferencia sexual”. Si esa mica contuviera datos como grupo y RH sanguíne que, por ejemplo, son visibles en las licencias de conducir de los EE.UU.A., para el caso de una emergencia por un siniestro de tránsito, la referencia al artículo 9 de la LFPDPPP hubiera sido correcta, pero no es el caso; la referencia tendría que haber sido a su artículo 8, que contiene las reglas generales del consentimiento para los datos personales que no son considerados como sensibles.

Pero el aspecto más fundamental respecto de la materia de la nota deriva de la referencia a la LFPDPPP, cuando debería haber sido hecha a la LFTAIPG. Ello debido a que de acuerdo con el artículo 2 de la primera Ley referida, son sujetos regulados por aquélla Ley, los particulares sean personas físicas o morales de carácter privado que lleven a cabo el tratamiento de datos personales, en tanto que de acuerdo con la fracción V del artículo 41 de la Constitución Política de los Estados Unidos Mexicanos, “la organización de las elecciones federales es una función estatal que se realiza a través de un organismo público autónomo denominado Instituto Federal Electoral, dotado de personaldiad jurídica y patrimonio propios”, y que el artículo 106(1) del Código Federal de Instituciones y Procedimientos Electorales, “el Instituto Federal Electoral es un organismo público autónomo, de carácter permanente, independiente en sus decisiones y funcionamiento, con personalidad jurídica y patrimonio propios”.
De un simple silogismo formado con lo anterior podemos concluir que la LFPDPPP no es aplicable al IFE:
  1. PREMISA MAYOR: La LFPDPPP es aplicable a los particulares o personas de carácter privado.
  2. PREMISA MENOR: El IFE no es un particular ni de carácter privado.
  3. CONCLUSIÓN:        La LFPDPPP no le resulta aplicable al IFE.
El estatuto que debió haber sido consultado al respecto es la LFTAIPG, toda vez que de acuerdo con su artículo 1, ésta “…tiene como finalidad proveer lo necesario para garantizar el acceso de toda persona a la información en posesión de los Poderes de la Unión, los órganos constitucionales autónomos o con autonomía legal, y cualquier otra entidad federal”, incluyéndose entre los objetivos de dicha Ley dispuestos en su artículo 4, fracción III, “garantizar la protección de los datos personales en posesión de los sujetos obligados”, estos últimos definidos como en la fracción XIV de su artículo 3 de manera tal que incluye a los “órganos constitucionales autónomos”.
Para tales efectos y otros como los que son materia de la nota a que se ha hecho referencia, el Capítulo IV de la LFTAIPG versa sobre “La Protección de Datos Personales”, y la disposición citada con relación al caso planteado debería haber sido su artículo 21, de acuerdo con el cual “los sujetos obligados no podrán difundir, distribuir o comercializar los datos personales contenidos en los sistemas de información, desarrollados en el ejercicio de sus funciones, salvo que haya mediado el consentimiento expreso, por escrito o por un medio de autenticación similar, de los individuos a que haga referencia la información”.
Además es importante señalar que el Aviso de Privacidad previsto en la LFPDPPP no resulta aplicable para el Tratamiento de Datos Personales en posesión de instituciones del sector público; en ese caso lo que el Sujeto Obligado debe poner a disposición de los individuos un documento en que establezca los propósitos del Tratamiento de sus Datos Personales a partir del momento en el cual los recabe, de acuerdo con los Lineamientos establecidos por su propio Comité de Información. El Reglamento del IFE en materia de Transparencia y Acceso a la Información Pública Gubernamental puede ser consultado en el siguiente enlace: http://bit.ly/1dH0lRh.
Finalmente, conviene mencionar que, de acuerdo con el artículo 18, fracción II, de la LFTAIPG, se considerará como información confidencial a “los datos personales que requieran el  consentimiento de los individuos para su difusión, distribución o comercialización” en los términos de esa Ley, salvo que “…se halle en los registros públicos o en fuentes de acceso público”, excepción que no se surte en el caso reportado por REFORMA, toda vez que conforme al artículo 171(3) del Código Federal Instituciones y Procedimientos Electorales, “los documentos, datos e informes que los ciudadanos proporcionen al Registro Federal de Electores, en cumplimiento de las obligaciones que les impone la Constitución y este Código, serán estrictamente confidenciales y no podrán comunicarse o darse a conocer, salvo cuando se trate de juicios, recursos o procedimientos en que el Instituto Federal Electoral fuese parte, para cumplir con las obligaciones previstas por este Código en materia electoral y por la Ley General de Población en lo referente al Registro Nacional Ciudadano o por mandato de juez competente”.
Nota Reforma 20-01-14photo-3
Compliance Report

Compliance and Ethics Powered by Advanced Compliance Solutions

TechCrunch

Startup and Technology News

Xavier Ribas

Derecho de las TIC y Compliance

mkaz.com

Marcus Kazmierczak

Take To Task

Analyzing the Nonsense

Business & Money

The latest news and commentary on the economy, the markets, and business

CIDE-Comunicación

Canal de difusión con los medios.

Martha Salamanca Docente

Blog de TICs, Redes Sociales y Multimedia Educativo

Devil's Advocate Crib

Just another WordPress.com site