1 Legislación en Materia de Protección de Datos PersonalesAvances y retos en la Legislación en Materia de Protección de Datos Personales Avances y retos en la Legislación en Materia de Protección de Datos Personales. Dr. Alfredo A. Reyes Krafft 2009

2 Protección de Datos PersonalesEn nuestra legislación federal encontramos disposiciones, hoy vigentes, sobre la materia, por ejemplo las contenidas en: Ley Federal de Protección al consumidor Ley de Instituciones de Crédito Ley para regular las Sociedades de Información Crediticia. La Ley Federal del Derecho de Autor, en su articulado prevé la protección jurídica a las bases de datos Código Civil y Código de Comercio en lo relativo a Registro Público

3 Por otro lado tenemos disposiciones jurídicas que regulan, por ejemplo, a las distintas entidades del sector financiero, que establecen la obligación de recolectar, procesar y conservar ciertos datos personales de su clientela para prevenir la comisión de algunos delitos en particular, tales como el lavado de dinero o el financiamiento al terrorismo.

4 Requerimos de una ley especial?Adecuada y efectiva protección al ciudadano Respeto a Convenios Internacionales y compromisos suscritos por México No limitación al libre flujo comercial nacional e internacional Medios de defensa y protección (judiciales o administrativos) La legislación, debe contemplar: Autoridad autónoma e imparcial … Federal…? LEY DE PROTECCIÓN DE DATOS PERSONALES DEL ESTADO DE COLIMA Y TLAXCALA, REFORMAS AL CODIGO CIVIL EN JALISCO

5 Modelos Regulatorios para la Protección de Datos Personales

6 Regulación General para la protección de datos personalesP. ej., Unión Europea Regulación Sectorial P. ej., E.E.U.U.,

7 Modelo General Alcance para el sector público y privadoProtección universal de los datos personales Requiere de una ley general Notificación previa para la recolección de datos personales Aplicación específica de los principios para el tratamiento legal con solo ciertas excepciones Certidumbre jurídica: mismas reglas para todos los jugadores Los individuos tienen mayor control sobre sus datos Prohibición al flujo transfronterizo, si no hay regulación al menos equivalente en el País receptor Si no hay una ley, deben buscarse otros esquemas de protección – contratos – Safe Harbor Autoridad supervisora nacional

8 Centrado en “el dato” Modelo GeneralAlcance para el sector público y privado Protección universal de los datos personales Requiere de una ley general Notificación previa para la recolección de datos personales Aplicación específica de los principios para el tratamiento legal con solo ciertas excepciones Certidumbre jurídica: mismas reglas para todos los jugadores Los individuos tienen mayor control sobre sus datos Prohibición al flujo transfronterizo, si no hay regulación al menos equivalente en el País receptor Si no hay una ley, deben buscarse otros esquemas de protección – contratos – Safe Harbor Autoridad supervisora nacional Centrado en “el dato”

9 Modelo Sectorial Subyace la teoría de que se debe evitar la sobre-regulación Los mercados se deben autorregular Estado debe intervenir únicamente en ciertos casos para proteger a determinadas personas e industrias (financieros, salud, niños) Es posible la aplicación limitada de ciertos principios Resulta factible la supervisión sectorial: diferentes autoridades De otra manera, la autorregulación voluntaria debe darse como una respuesta a las demandas del mercado Posible responsabilidad por una falsa representación Capacidad para limitar los principios que aplicará

10 Centrado en “la persona”Modelo Sectorial Subyace la teoría de que se debe evitar la sobre-regulación Los mercados se deben autorregular Estado debe intervenir únicamente en ciertos casos para proteger a determinadas personas e industrias (financieros, salud, niños) Es posible la aplicación limitada de ciertos principios Resulta factible la supervisión sectorial: diferentes autoridades De otra manera, la autorregulación voluntaria debe darse como una respuesta a las demandas del mercado Posible responsabilidad por una falsa representación Capacidad para limitar los principios que aplicará Centrado en “la persona”

11 Modelo Híbrido (Tercera Generación)Establece derechos, principios y procedimientos de protección Permite a la industria auto-regularse con base en las mejores prácticas a nivel internacional Supervisados por una autoridad centralizada y con aplicación general Complementada por prácticas propuestas por sectores específicos de la economía Asegura un determinado nivel de protección establecido en ley, pero los estándares varían de sector a sector, Posibilidad de confeccionar la protección conforme a los requerimientos de las prácticas de la industria Sin perder en ningún caso la protección al titular de los datos. TERCERA GENERACION basada en principios generales en un mundo global (considerando que la primera generación esta basada en protección a las personas, la segunda generación basado en principios y procedimientos y la tercera atendiendo a la globalización). Privacidad local Flujo mundial Obligaciones universales Retoma experiencias positivas y elimina lo negativo o poco útil (ej. Registros) Nuevas herramientas y sistemas, nuevas formas de comunicarnos Conceptos cambiantes Cloud Computing Modelos regulatorios que aseguren adaptabilidad y accountability (confiabilidad) Modelos que aseguran la privacidad (intercambio de información libre, responsable y segura) Modelos que atiendan a la base económica (presunción de protección legal razonable)

12 Iniciativas de Reforma ConstitucionalIniciativa de Reforma al Art. 16 Constitucional. Aprobada por el por el pleno del Senado en sesión del 4 de diciembre de 2008 y por el de la Cámara de Diputados el 11 de diciembre : PRIVACIDAD COMO UNA GARANTÍA CONSTITUCIONAL Iniciativa de Reforma al Art. 73 Constitucional en Materia de Datos Personales presentada el 27/03/2007 aprobada en la Cámara de Diputados. El 5 de Diciembre del 2008: se aprobó en el Senado. Pasando a legislaturas estatales. . FACULTAD FEDERAL PARA LEGISLAR EN MATERIA DE DATOS PERSONALES EN POSESIÓN DE PARTICULARES. 12

13 Iniciativa de adición al artículo 16 de la Constitución que presentaron los Senadores Santiago Creel Miranda y Alejandro González Alcocer del Partido Acción Nacional; Pablo Gómez Álvarez integrante del Partido de la Revolución Democrática y Pedro Joaquín Coldwell integrante del Partido Revolucionario Institucional .La reforma consistió en añadir un segundo párrafo que a la letra dice: “Toda persona tiene derecho a la protección de sus datos personales, al acceso, rectificación y cancelación de los mismos, así como a manifestar su oposición, en los términos que fije la ley, la cual establecerá los supuestos de excepción a los principios que rijan el tratamiento de datos, por razones de seguridad nacional, disposiciones de orden público, seguridad y salud públicas o para proteger los derechos de terceros”. El proyecto fue aprobado por el pleno del Senado en sesión del 4 de diciembre de 2008 y por el de la Cámara de Diputados el 11 de diciembre. Se envió a las legislaturas locales para continuar el trámite de aprobación a reformas constitucionales y actualmente se cuenta con el voto aprobatorio de Chiapas y Aguascalientes. El día 4 de abril esta iniciativa

14 INICIATIVA QUE REFORMA EL ARTÍCULO 73 DE LA CONSTITUCIÓN POLÍTICA DE LOS ESTADOS UNIDOS MEXICANOS, SUSCRITA POR DIPUTADOS DEL GRUPO PARLAMENTARIO DEL PAN (27/03/2007) Artículo Único. Se adiciona el inciso N) a la fracción XXIX del artículo 73 de la Constitución Política de los Estados Unidos Mexicanos, para quedar como sigue: Artículo 73. El Congreso tiene facultad: I. a XXVIII. ... XXIX. a XXIX-M. ... XXIX-N. Para legislar en materia de protección datos personales en posesión de particulares. XXX ... Artículos Transitorios Primero. El presente decreto entrará en vigor al día siguiente de su publicación en el Diario Oficial de la Federación. Segundo. El Congreso de la Unión cuenta con un plazo de un año contado a partir de la entrada en vigor de esta reforma, para expedir la ley respectiva. Tercero. En tanto el Congreso de la Unión expide la ley relativa a la facultad que se otorga en este decreto, continuarán vigentes las disposiciones que sobre la materia hayan dictado las legislaturas de las entidades federativas, en tratándose de datos personales en posesión de particulares. Al igual que con la Reforma al artículo 16, queda pendiente la aprobación por parte de las legislaturas locales de la reforma aprobada al artículo 73. A la fecha, únicamente se tiene registrada la aprobación por parte de Chiapas. Luis Gustavo Parra Noriega, María del Pilar Ortega Martínez, Rogelio Carbajal Tejada, Dora Alicia Martínez Valero, Esmeralda Cárdenas Sánchez y Jesús de León Tello

15 Propuestas de LFDP Hoy existen por lo menos 6 Iniciativas de Ley de Datos Personales en Cámara de Diputados: Modelo General (Europeo) Iniciativa del Dip. Luis Miguel Gerónimo Barbosa Huerta (PRD). Presentada en Septiembre 06, 2001. Iniciativa del Dip. Jesús Emilio Martínez Álvarez (Convergencia). Presentada en Diciembre 1, 2005. Iniciativa de Ley Federal de Protección de datos personales en posesión de particulares presentada el 7 de octubre del 2008 por el diputado Luis Gustavo Parra Noriega del PAN Modelo Sectorial (Americano) Iniciativa de la Dip. Sheila Aragón (PAN) Presentada el 22 de Marzo de 2006. Iniciativa del Dip. David Hernández Pérez (PRI). Presentada en Febrero 23, 2006 Modelo Híbrido (de tercera Generación) Iniciativa de Ley Federal de Protección de datos personales en posesión de particulares presentada el 11 de diciembre del 2008 por el diputado Adolfo Mota Hernandez del PRI La legislación federal debe procurar la protección de los datos personales y fomentar el desarrollo de la industria. TERCERA GENERACION basada en principios generales en un mundo global (considerando que la primera generación esta basada en protección a las personas, la segunda generación basado en principios y procedimientos y la tercera atendiendo a la globalización). Privacidad local Flujo mundial Obligaciones universales 15

16 Iniciativa con proyecto de Decreto que expide la Ley Federal de Protección de Datos Personales. Dip. Luis Miguel Gerónimo Barbosa Huerta (PRD). Fecha de presentación ante el Pleno: Septiembre 06, 2001. Fecha de Publicación en la Gaceta Parlamentaria: Septiembre 07, 2001. Turno a Comisión:Gobernación y Seguridad Pública. El 30 de abril del 2002 se amplía el turno a la Comisión de Comercio y Fomento Industrial Fecha de aprobación en la Cámara de Diputados: Pendiente. Fecha de aprobación en la Cámara de Senadores:Pendiente. Fecha de Publicación en el Diario Oficial de la Federación: Pendiente. Sinopsis:      Tiene por objeto la protección integral de los datos personales asentados en archivos, registros, bancos de datos, u otros medios técnicos de tratamiento de datos destinados a dar informes, sean estos públicos o privados. Opt In, Prohibición de flujo transfronterizo de datos personales, registro de bases de datos, etc...

17 Iniciativa con proyecto de Decreto por el que se crea la Ley Federal de Protección de Datos Personales . Dip. Jesús Emilio Martínez Álvarez diputado federal a la LIX Legislatura, integrante del grupo parlamentario de Convergencia. Gaceta Parlamentaria, número 1895-I, jueves 1 de diciembre de Se turnó a la Comisión de Gobernación para su dictamen Fecha de aprobación en la Cámara de Diputados: Pendiente. Fecha de aprobación en la Cámara de Senadores:Pendiente. Fecha de Publicación en el Diario Oficial de la Federación: Pendiente. Sinopsis:      Aplicable a los datos de las personas jurídicas. Establece la obligación de inscribir archivos, registros y bancos de datos destinados a proporcionar informes e en el Registro que al efecto habilite el Instituto ( un órgano dentro del IFAI con 3 Comisionados ) encargado de controlar, organizar, estructurar, evaluar y vigilar la protección de los datos personales, así como a los responsables de los mismos. La acción de protección de los datos personales instituyendo que los titulares podrán ejercerla, para conocer los datos personales almacenados, así como la finalidad de aquellos y para solicitar la rectificación, supresión, confidencialidad o actualización de los datos personales en los casos en que se presuma la falsedad, inexactitud, desactualización de la información de que se trata, o el tratamiento de datos cuyo registro se encuentre prohibido.

18 Iniciativa con proyecto de Decreto por el que se crea la LEY FEDERAL DE PROTECCIÓN DE DATOS PERSONALES, A CARGO DE LA DIPUTADA SHEYLA FABIOLA ARAGÓN CORTÉS, DEL GRUPO PARLAMENTARIO DEL PAN Gaceta Parlamentaria, 22 de marzo del 2006. Se turnó a la Comisión de Economía para su dictamen Fecha de aprobación en la Cámara de Diputados: Pendiente. Fecha de aprobación en la Cámara de Senadores:Pendiente. Fecha de Publicación en el Diario Oficial de la Federación: Pendiente. Sinopsis:      La iniciativa propone una regulación más estricta respecto de los datos sensitivos sobre los meros datos de identificación. Se prevé la distinción elemental entre fines primarios y fines secundarios de uso de la información. En el desarrollo de la ley propuesta, los usos secundarios están necesariamente más regulados y exigen, en términos generales, una mayor acción positiva por parte de los responsables de la información para su manejo. La orientación de la iniciativa se concentra, preponderantemente, en la regulación de conductas -el tratamiento de datos personales-, y de ninguna manera versa sobre el registro o regulación de bases de datos como tales. Conforme a las premisas básicas de OCDE y APECse establece la obligación de toda entidad de proporcionar un aviso de privacidad. En todos los eventos, se reconoce a las personas con su prerrogativa de manifestar su voluntad contraria al uso subsecuente que se haga de su información, independientemente de la causa que hubiera dado origen a la recolección o uso originales (opt out).

19 Iniciativa con proyecto de Decreto por el que se crea la LEY FEDERAL DE PROTECCIÓN DE DATOS PERSONALES, A CARGO DEL DIPUTADO DAVID HERNÁNDEZ PÉREZ, DEL GRUPO PARLAMENTARIO DEL PRI . Gaceta Parlamentaria, 26 de febrero del 2006. Se turnó a la Comisión de Gobernación para su dictamen Fecha de aprobación en la Cámara de Diputados: Pendiente. Fecha de aprobación en la Cámara de Senadores: Pendiente. Fecha de Publicación en el Diario Oficial de la Federación: Pendiente. Sinopsis:      Parte y complementa la iniciativa de la diputada Sheyla Fabiola Aragón además pretende regular las conductas de terceros en relación con los datos personales de los individuos, permitiendo a éstos, el derecho inalienable de decidir como proveer y controlar el acceso y uso de su información personal. Deja en el ámbito de los particulares (persona física o moral) la responsabilidad del tratamiento de datos personales, mismos quienes serán los que atenderán en primera instancia la solicitud de los titulares para tramitar la rectificación, actualización o cancelación de sus datos, quienes tendrán derecho a acudir en segunda instancia al Instituto.

20 Iniciativa de Ley Federal de Protección de datos personales en posesión de particulares presentada el 7 de octubre del 2008 por el diputado Luis Gustavo Parra Noriega del PAN Objeto, la protección de datos personales contenidos en bases de datos en posesión de particulares, con la finalidad de garantizar el derecho al honor, imagen y vida privada de las personas. Excepciones: Sociedades de Información Crediticia y a las personas que lleven a cabo la recolección y almacenamiento de datos personales, que sea para uso exclusivamente personal y sin fines de divulgación o utilización comercial.   Se define el concepto de datos personales, entendiéndose como la información concerniente a una persona identificada o identificable.  Se distinguen los datos personales sensibles (incluyendo datos financieros, claves y contraseñas) y de identificación   Otros conceptos importantes son los relativos al tratamiento y disociación. No estarán protegidos por la ley, los datos relativos al nombre, puesto, dirección y teléfonos de trabajo de un empleado en una organización o empresa, ni la información obtenida de forma lícita de registros públicos u otras fuentes legítimas.  Todas las bases de datos sensibles deberán inscribirse en un Registro que será administrado por la Comisión Nacional de Protección de Datos Personales.   Obligación de proporcionar Aviso de Privacidad Las sanciones van desde la obligación para el particular de dar cumplimiento a los actos solicitados por el titular de los datos hasta multa de 5 mil días de salario mínimo vigente en el Distrito Federal. Establece que la ley tendrá por objeto, la protección de datos personales contenidos en bases de datos en posesión de particulares, con la finalidad de garantizar el derecho al honor, imagen y vida privada de las personas. Capítulo I. “Disposiciones Generales” Se exceptúa del cumplimiento de la Ley, a las Sociedades de Información Crediticia que hayan sido autorizadas por la Secretaría de Hacienda y Crédito Público para operar con ese carácter y a las personas que lleven a cabo la recolección y almacenamiento de datos personales, que sea para uso exclusivamente personal y sin fines de divulgación o utilización comercial. Se define el concepto de datos personales, entendiéndose como la información concerniente a una persona identificada o identificable. Tal concepto, se divide a su vez, en datos personales sensibles y datos personales de identificación. Se considera como dato personal sensible, cualquier información que permita acceder o conocer balances o saldos de cuentas o estados financieros del titular, o en general, datos relativos al conocimiento de claves o números de identificación personal de cuentas o tarjetas bancarias, de inversión, títulos u otros instrumentos de crédito. Asimismo, se considera a la información relacionada con aspectos genéticos, huella digital o medios de reconocimiento biométrico, así como con la condición médica o de salud, de origen racial o étnico, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas o preferencia sexual del titular. Dentro del concepto de datos personales de identificación, se incluye a la información relativa al nombre completo, domicilio completo, correo electrónico, número telefónico o facsímil y claves de identificación de documentos oficiales (RFC, cédula profesional, IFE, pasaporte y CURP). Otros conceptos importantes son los relativos al tratamiento y disociación de los datos personales. Se entiende como tratamiento, cualquier operación efectuada mediante procedimientos automatizados o físicos, aplicada a datos personales como la obtención, registro, organización, conservación, elaboración, modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma, que facilite el acceso a los datos personales, su cotejo o interconexión, así como su cancelación. Se entiende por disociación el procedimiento mediante el cual los datos personales no pueden asociarse al titular ni permitir por su estructura, contenido o grado de desagregación, la identificación del mismo. No estarán protegidos por la ley, los datos relativos al nombre, puesto, dirección y teléfonos de trabajo de un empleado en una organización o empresa, ni la información obtenida de forma lícita de registros públicos u otras fuentes legítimas. Todas las bases de datos deberán inscribirse en un Registro que será administrado por la Comisión Nacional de Protección de Datos Personales. También se prevé la obligación de los particulares que posean bases de datos personales, de proporcionar un aviso de privacidad, el cual en forma clara y entendible deberá hacer del conocimiento de los titulares de datos personales, sus prácticas y políticas por lo que respecta al tratamiento de dichos datos. Prevé aquellas conductas que constituyen infracciones a la ley, así como las sanciones a que se harán acreedores aquellas personas que la infrinjan. Las sanciones van desde la obligación para el particular de dar cumplimiento a los actos solicitados por el titular de los datos hasta multa de 5 mil días de salario mínimo vigente en el Distrito Federal.

21 Iniciativa de Ley Federal de Protección de datos personales en posesión de particulares presentada el 11 de diciembre del 2008 por el diputado Adolfo Mota Hernandez del PRI Objeto, regular el derecho a la autodeterminación informativa de las personas que permita, por una parte, la transferencia legítima, controlada e informada de los datos personales y por otra, la protección a la privacidad cuando se trate de datos sensibles, así como regular su tratamiento. Excepciones: Sociedades de Información Crediticia, Sindicatos, las Asociaciones Religiosas y las insitituciones, órganos o entidades de naturaleza pública que se encuentre regulada por leyes o disposiciones específicas .   Se define el concepto de datos personales, entendiéndose como la información concerniente a una persona identificada o identificable.  Se distinguen los datos personales y datos sensibles así como los fines primarios y secundarios No estarán protegidos por la ley, los datos relativos al nombre, puesto, dirección y teléfonos de trabajo de un empleado en una organización o empresa, ni la información obtenida de forma lícita de registros públicos u otras fuentes legítimas, así como datos que obran o se utilizan para el ejercicio de actividades personales o domésticas Obligación de proporcionar Aviso de Privacidad (Autorregulación) Solicitud ante el Responsable y en segunda instancia frente al Instituto Respeto a Principios Internacionales Reglas para imposición de sanciones en LFPA Instituto: Escisión SE Dirección General de Economía Digital Ley de Protección de Datos Personales: Cumplimientos con los Principios Internacionales Reconocidos APEC PrincipioArtículos que lo incluyen o cumplenPrevención del DañoArt. 7 – Principio de licitudArt. 9 – Limitaciones a la recolecciónArt. 10 – Principio de AvisoArt Principio de ConsentimientoArt. 23 – Seguridad y CustodiaArt Principio de CalidadArt. 26 – Principios de Acceso y CorrecciónArt. 30 – CancelaciónArt. 31 – Principio de InformaciónAvisoArt. 10 – Principio de AvisoArt. 11 – Contenido del aviso de privacidadArt. 12 – Disponibilidad del Aviso de PrivacidadArt. 13 – Fines Secundarios en Aviso de Priv.Limitaciones a la recolecciónArt. 7 – Principio de licitudArt. 10 – Principio de AvisoArt Principio de ConsentimientoUsos de la información personalArt. 15 – ConsentimientoArt. 17 – Excepciones al consentimientoArt. 20 – Excepciones al tratamientoElecciónArt. 5 – Exclusión de datos públicosArt. 10 – Principio de AvisoArt. 31 – Principio de InformaciónIntegridad de la informaciónArt Principio de CalidadArt. 26 – Principios de Acceso y CorrecciónArt. 28 – Corrección ParcialArt. 29 – Excepciones a correcciónArt. 30 – CancelaciónArt. 33 – Solicitud de acceso, corrección y cancelaciónMedidas de SeguridadArt. 23 – Principio de Seguridad y custodiaAcceso y correcciónArt. 26 – Principios de Acceso y CorrecciónArt. 28 – Corrección ParcialArt. 29 – Excepciones a correcciónArt. 30 – CancelaciónArt. 31 – Principio de InformaciónArt. 33 – Solicitud de acceso, corrección y cancelaciónResponsabilidadArt. 18 – Divulgación a tercerosArt. 19 – Restricciones de divulgación a tercerosArt. 20. – Excepciones a divulgación a terceros OCDE PrincipioArtículos que lo incluyen o cumplenLimitación a la recolecciónArt. 7 – Principio de licitudArt. 9 – Limitaciones a la recolecciónPrincipio de CalidadArt Principio de CalidadArt. 26 – Principios de Acceso y CorrecciónArt. 28 – Corrección ParcialArt. 29 – Excepciones a correcciónEspecificidad de PropósitoArt. 10 – Principio de AvisoArt. 11 – Contenido del aviso de privacidadArt. 12 – Disponibilidad del Aviso de PrivacidadArt. 13 – Fines Secundarios en Aviso de Priv.Limitaciones de UsoArt. 11 – Contenido del aviso de privacidadArt. 13 – Fines Secundarios en Aviso de Priv.Art. 18 – Divulgación a tercerosArt. 19 – Restricciones de divulgación a tercerosArt. 20. – Excepciones a divulgación a tercerosSeguridadArt. 23 – Principio de Seguridad y custodiaAperturaArt. 10 – Principio de AvisoArt. 11 – Contenido del aviso de privacidadArt. 25- Responsable de la informaciónArt. 31 – Principio de InformaciónArt. 33 – Solicitud de acceso, corrección y cancelaciónParticipación individualArt. 25- Responsable de la informaciónArt. 31 – Principio de InformaciónArt. 34 – comunicación con el responsableArt. 35 Cumplimiento con las obligaciones de acceso,Art. 36 – Respuesta a la solicitudResponsabilidad (accountability) Cap. 5 Proceso ante el InstitutoCap. 6 Sanciones Unión Europea (WP29) PrincipioArtículos que lo incluyen o cumplenLimitación del PropósitoArt. 10 – Principio de AvisoArt Principio de ConsentimientoCalidad y ProporcionalidadArt Principio de CalidadArt. 26 – Principios de Acceso y CorrecciónTransparenciaArt. 10 – Principio de AvisoArt. 11 – Contenido del aviso de privacidadArt. 12 – Disponibilidad del Aviso de PrivacidadArt. 13 – Fines Secundarios en Aviso de Priv.Art. 31 – Principio de InformaciónSeguridadArt. 23 – Principio de Seguridad y custodiaAcceso rectificación y oposiciónArt Principio de CalidadArt. 26 – Principios de Acceso y CorrecciónArt. 30 – CancelaciónRestricciones de divulgación a tercerosArt. 11 – Contenido del aviso de privacidadArt. 13 – Fines Secundarios en Aviso de Priv.Art. 18 – Divulgación a tercerosArt. 19 – Restricciones de divulgación a tercerosArt. 20. – Excepciones a divulgación a tercerosDatos SensiblesArt. 4.III – Datos sensiblesArt. 16 – Consentimiento previo para datos sensiblesArt. 17 – Excepciones a la recolección y divulgación de datos sensiblesMarketing Directo (opt-out)Art. 13 .II– mecanismos para excluir utilización en fin secundarioArt. 30 – Cancelación de DatosProcedimientos y cumplimiento (cumplimiento, asistencia a los titulares y reparación [redress])Cap. 4 Del InstitutoCap. 5 Proceso ante el institutoArt. 45 – Acceso a tribunalesCap 6 . Sanciones 21

22 Iniciativas de Reforma PenalIniciativa de reformas a diversas disposiciones del Código Penal presentada en la Cámara de Senadores por Leticia Burgos Ochoa (PRD) el 7 de diciembre del 2004 La revelación del secreto no se sancionará si existe consentimiento ante autoridad ministerial o judicial correspondiente Iniciativa de reformas a diversas leyes en materia de delitos cibernéticos presentada en la Cámara de Diputados por la Lic. Sheyla Fabiola Aragón Cortés (PAN) el 12 de abril del 2005 Transmitir datos personales de terceros sin su consentimiento Iniciativa de reforma al Código Penal presentada por la Dip. Cristina Portillo Ayala (PRD) del 29 de Junio del Turnada a Comisión de Justicia y Derechos Humanos. Insertar o hacer insertar datos falsos en un archivo de datos personales Iniciativa de reforma al Código Penal presentada por Sen. Oscar Cruz López el 24 de Noviembre del Turnada a la Comisión de Justicia y e Estudios Legislativos. Acceso, transferencia o manipulación de datos personales Iniciativa de reforma al Código Penal presentada por el Senador Alfredo Rodríguez y Pacheco del PAN el 2 de febrero del 2007 Envío de comunicaciones publicitarias que previamente no hubieren sido solicitadas o expresamente autorizadas 22

23 INICIATIVA DE REFORMAS A DIVERSAS DISPOSICIONES DEL CÓDIGO PENAL PRESENTADA EN LA CÁMARA DE SENADORES POR LA C. LETICIA BURGOS OCHOA (PRD) EL 7 DE DICIEMBRE DEL 2004 TÍTULO NOVENO DELITOS CONTRA LA VIDA PRIVADA, LA INVIOLABILIDAD DEL SECRETO Y ACCESO ILÍCITO A SISTEMAS DE EQUIPOS DE INFORMÁTICA CAPÍTULO PRIMERO DELITOS CONTRA LA VIDA PRIVADA Y LA INVIOLABILIDAD DEL SECRETO Artículo 210. Al que sin consentimiento de quien tenga derecho a otorgarlo y en perjuicio de éste o de terceros, revele un secreto o comunicación reservada, que por cualquier forma haya conocido o se le haya confiado, se le impondrá prisión de seis meses a dos años y multa de 200 a 350 salarios mínimos vigentes en el Distrito Federal... ... No se sancionará a aquellas personas que hagan uso de la información con el consentimiento de quien deba darlo, siempre y cuando dicho consentimiento sea otorgado en presencia de la autoridad ministerial o judicial correspondiente. PENDIENTE EN LAS COMISIONES UNIDAS DE JUSTICIA Y DE ESTUDIOS LEGISLATIVOS SEGUNDA POR ACUERDO DE LA JUNTA DE COORDINACION POLITICA. ENLISTADA EN LA RELACION DE ASUNTOS PENDIENTES PARA LA LX LEGISLATURA. INICIATIVA DE REFORMAS A DIVERSAS DISPOSICIONES DEL CÓDIGO PENAL PRESENTADA EN LA CÁMARA DE SENADORES POR LA C. LETICIA BURGOS OCHOA (PRD) EL 7 DE DICIEMBRE DEL 2004 TÍTULO NOVENO DELITOS CONTRA LA VIDA PRIVADA, LA INVIOLABILIDAD DEL SECRETO Y ACCESO ILÍCITO A SISTEMAS DE EQUIPOS DE INFORMÁTICA CAPÍTULO PRIMERO DELITOS CONTRA LA VIDA PRIVADA Y LA INVIOLABILIDAD DEL SECRETO Artículo 210. Al que sin consentimiento de quien tenga derecho a otorgarlo y en perjuicio de éste o de terceros, revele un secreto o comunicación reservada, que por cualquier forma haya conocido o se le haya confiado, se le impondrá prisión de seis meses a dos años y multa de 200 a 350 salarios mínimos vigentes en el Distrito Federal. La prisión se aumentará hasta en una mitad y se le suspenderá de seis meses a tres años en el ejercicio de su profesión, arte u oficio, a quien conoció, entregó, proporcionó, enajenó, cedió, reveló, difundió, sustrajo o reprodujo indebidamente información, secreto o comunicación reservada con motivo de su empleo, cargo, o comisión; o si el secreto fuere de carácter científico o tecnológico. Cuando la falta sea cometida por un servidor público, se le impondrá, además, destitución e inhabilitación de seis meses a tres años. No se sancionará a aquellas personas que hagan uso de la información con el consentimiento de quien deba darlo, siempre y cuando dicho consentimiento sea otorgado en presencia de la autoridad ministerial o judicial correspondiente. Artículo 334 Bis.- El personal médico y administrativo de las instituciones o centros de salud, públicos o privados que intervengan directa o indirectamente en la práctica de un aborto no punible, así como en la elaboración, manejo y resguardo de las bases de datos, archivos o expedientes que contengan información relativa a las mujeres que se les ha practicado, están obligados a guardar absoluta confidencialidad y secrecía respecto de la misma. A quien en contravención de lo dispuesto en el párrafo anterior, entregue, proporcione, enajene, ceda, revele, difunda, sustraiga o reproduzca indebidamente información relativa a los casos de aborto no punible, contenida en las bases de datos, archivos, o expedientes de las mujeres a las que se haya practicado, se le aplicarán las sanciones a las que hace referencia el artículo 210 de este Ordenamiento.

24 Acceso no Autorizado a Sistemas o Equipos Informáticos. INICIATIVA DE REFORMAS A DIVERSAS LEYES EN MATERIA DE DELITOS CIBERNÉTICOS PRESENTADA EN LA CÁMARA DE DIPUTADOS POR LA LIC. SHEYLA FABIOLA ARAGÓN CORTES (PAN) EL 12 DE ABRIL DEL 2005 Capítulo II Acceso no Autorizado a Sistemas o Equipos Informáticos. Artículo Comete el delito de acceso no autorizado a sistemas o equipos informáticos o programas de computación, la persona que sin derecho: ... VII. Obtenga sin consentimiento, o mediante engaños, datos personales de individuos para usarlos para cometer cualquier actividad ilícita; VIII. Transmita, distribuya o haga disponible a través de sistemas o equipos informáticos datos personales de terceros sin su consentimiento; PENDIENTE DE DICTAMINAR EN LAS COMISIONES UNIDAS DE JUSTICIA Y DE SEGURIDAD PÚBLICA INICIATIVA DE REFORMAS A DIVERSAS LEYES EN MATERIA DE DELITOS CIBERNÉTICOS PRESENTADA EN LA CÁMARA DE DIPUTADOS POR LA LIC. SHEYLA FABIOLA ARAGÓN CORTES (PAN) EL 12 DE ABRIL DEL 2005

25 PENDIENTE DE DICTAMINAR EN LA COMISION DE JUSTICIACapítulo IV Inserción y Divulgación de Datos Personales Falsos Artículo 359 Bis. Al que insertara o hiciera insertar a sabiendas datos falsos en un archivo de datos personales, se le impondrán de seis meses a tres años de prisión y de cien a quinientos días de multa. Artículo 359 Bis 1. Al que proporcionara a un tercero a sabiendas información falsa contenida en un archivo de datos personales, se le impondrán de uno a cinco años de prisión y de quinientos a mil días de multa. Artículo 359 Bis 2. Las penas previstas en los dos artículos precedentes se incrementarán en un tercio cuando del hecho se derive perjuicio a alguna persona o cuando el autor o responsable del ilícito sea funcionario público en ejercicio de sus funciones. PENDIENTE DE DICTAMINAR EN LA COMISION DE JUSTICIA

26 PENDIENTE EN LAS COMISIONES UNIDAS DE JUSTICIA Y DE ESTUDIOS LEGISLATIVOS POR ACUERDO DE LA JUNTA DE COORDINACION POLITICA. ENLISTADA EN LA RELACION DE ASUNTOS PENDIENTES PARA LA LX LEGISLATURA.

27 INICIATIVA CON PROYECTO DE DECRETO QUE REFORMA LOS ARTÍCULOS 202, 203, 211 Y SE ADICIONAN LOS ARTÍCULOS 211 TER, 211 QUÁTER, 211 QUINQUIES, 284 BIS Y CON UNA FRACCIÓN XXII AL ARTÍCULO 388 TODOS DEL CÓDIGO PENAL FEDERAL Artículo 211 Quinquies Se sancionará de seis meses a dos años de prisión y multa de 500 a 5000 días de salario mínimo a quien envíe comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente, que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. Proyecto de Decreto Articulo primero Se reforma los artículos 202, 203 y 211 del Código Penal Federal, para quedar como sigue: Articulo 202 .... ..... Se entenderá como imágenes sexuales simuladas a los dibujos, caricaturas, retratos o efigies difundidos por medios electrónicos que representen a menores de dieciocho años o personas que no tengan la capacidad de comprender los hechos en actos de connotación sexual. Artículo 203 Al que promueva, traslade, financie, publicite, invite, facilite o gestione por cualquier medio que una o más personas viajen al interior o exterior del territorio nacional con la finalidad de realizar cualquier tipo de actos sexuales reales o simulados con una o varias personas menores de dieciocho años de edad, o con una o varias personas que no tienen capacidad para comprender el significado del hecho o con una o varias personas que no tienen capacidad para resistirlo. Al autor de este delito se le impondrá una pena de siete a doce años de prisión y de ochocientos a dos mil días multa. Artículo 211 La sanción será de uno a cinco años de prisión, multa de cincuenta a quinientos pesos y suspensión de profesión en su caso, de dos meses a un año, cuando la revelación punible hecha por persona que presta servicios profesionales o técnicos o por funcionario o empleado público o cuando el secreto revelado o publicado sea de carácter industrial. Artículo Segundo Se adicionan los artículos 211 Ter, 211 Quáter, 211 Quinquies, 284 bis y con una fracción XXII al artículo 388, todos del Código Penal Federal para quedar como sigue: Artículo 211 Ter Se sancionará de dos a cinco años de prisión y multa de 50 a 500 días de salario mínimo, a quien sin autorización del titular acceda por cualquier medio a correos o cuentas electrónicas. Artículo 211 Quáter La sanción señalada en el artículo anterior aumentará en una tercera parte si quien cometiese el delito, revela divulga o utiliza de manera indebida información confidencial que pueda afectar al ofendido. Artículo 211 Quinquies Se sancionará de seis meses a dos años de prisión y multa de 500 a 5000 días de salario mínimo a quien envíe comunicaciones publicitarias o promociónales por correo electrónico u otro medio de comunicación electrónica equivalente, que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. Artículo 284 Bis Se sancionará de tres días a un año de prisión y multa de 180 a 360 días de salario mínimo al que por medios electrónicos o usando sistemas informáticos, hostigue, intimide, amedrente o atemorice a una persona física y este hecho perturbe la tranquilidad del ánimo de la víctima o que produzcan zozobra o perturbación psíquica en la misma, por el temor de que se le cause un mal futuro. Articulo 388 ...... XXII Quien utilizando medios electrónicos o sistemas informáticos engañe a una persona física para alcanzar un lucro indebido Transitorio: Único el presente decreto entrara en vigor al día siguiente de su publicación en el Diario Oficial de la Federación. Senado de la República, 2 de febrero de 2007 Sen. Alfredo Rodríguez y Pacheco Presentada por el Senador Sen. Alfredo Rodríguez y Pacheco del PAN el 2 de febrero del 2007 PENDIENTE EN LAS COMISIONES UNIDAS DE JUSTICIA Y DE ESTUDIOS LEGISLATIVOS.

28 Protección de Datos PersonalesDr. Alfredo A. Reyes Krafft 2009