Foro de Debate:Foro de Debate:Legislación de Legislación de

Datos Personales Datos Personales en Méxicoen México

Panel: Modelos RegulatoriosPanel: Modelos RegulatoriosDra. Isabel Davara, Dr. Michel ChamlatiDra. Isabel Davara, Dr. Michel ChamlatiMtro. Joel Gómez, Lic. Miguel Ángel FloresMtro. Joel Gómez, Lic. Miguel Ángel Flores

JoelG

omez.m

x

AgendaAgenda�� Joel Gómez TreviñoJoel Gómez Treviño

�� Primeros modelos de protección de Datos Personales.Primeros modelos de protección de Datos Personales.�� Modelos regulatorios actuales para la protección de Datos Personales.Modelos regulatorios actuales para la protección de Datos Personales.�� El modelo sectorial de Estados Unidos.El modelo sectorial de Estados Unidos.

�� Isabel Davara Fernández de MarcosIsabel Davara Fernández de Marcos�� El modelo regulatorio de la Unión Europea.El modelo regulatorio de la Unión Europea.�� Estándar Internacional de Protección de Datos Personales.Estándar Internacional de Protección de Datos Personales.

�� Miguel Ángel Flores GuerreroMiguel Ángel Flores Guerrero�� El Modelo 3G Híbrido propuesto por el Diputado Adolfo Mota en el El Modelo 3G Híbrido propuesto por el Diputado Adolfo Mota en el Congreso de la Unión.Congreso de la Unión.

�� Los retos del poder legislativo ante la inminente regulación de la Los retos del poder legislativo ante la inminente regulación de la protección de los datos personales.protección de los datos personales.

�� Michel Chamlati SalemMichel Chamlati Salem�� Regulación actual de datos personales en México.Regulación actual de datos personales en México.�� Visión y tendencias de la futura regulación mexicanaVisión y tendencias de la futura regulación mexicana

�� Jorge Molet BurgueteJorge Molet Burguete�� Moderación del Debate y Conclusiones.Moderación del Debate y Conclusiones.

JoelG

omez.m

x

Primeros Modelos de Primeros Modelos de Protección de Datos PersonalesProtección de Datos Personales

�� Instrumentos InternacionalesInstrumentos Internacionales�� OCDE (1980)OCDE (1980)

�� Recomendación del Consejo de la OCDE referente a las Recomendación del Consejo de la OCDE referente a las Guías para Regular la Protección a la Privacidad y los Guías para Regular la Protección a la Privacidad y los Flujos Transfronterizos de Datos Personales.Flujos Transfronterizos de Datos Personales.

�� Consejo de Europa (1981)Consejo de Europa (1981)�� Convención del Consejo de Europa para la Protección de Convención del Consejo de Europa para la Protección de las Personas con relación al Tratamiento Automatizado de las Personas con relación al Tratamiento Automatizado de los Datos de Carácter Personal.los Datos de Carácter Personal.

�� Naciones Unidas (1990)Naciones Unidas (1990)�� Guías para la regulación de archivos computarizados de Guías para la regulación de archivos computarizados de datos personales (Resolución de la A.G. A/RES/45/95).datos personales (Resolución de la A.G. A/RES/45/95).

JoelG

omez.m

x

Primeros Modelos de Primeros Modelos de Protección de Datos PersonalesProtección de Datos Personales

�� Instrumentos InternacionalesInstrumentos Internacionales�� APEC (2005)APEC (2005)

�� Marco de Privacidad, contiene principios basados en los Marco de Privacidad, contiene principios basados en los instrumentos de OCDE, el Consejo Europeo y las N.U.instrumentos de OCDE, el Consejo Europeo y las N.U.

�� Red Iberoamericana de Protección de Datos Red Iberoamericana de Protección de Datos Personales (2007)Personales (2007)�� Declaración de Lisboa mediante la cual aprobaron las Declaración de Lisboa mediante la cual aprobaron las Directrices de Armonización de Protección de Datos en la Directrices de Armonización de Protección de Datos en la Comunidad Iberoamericana.Comunidad Iberoamericana.

�� Cumbre Mundial de la Sociedad de la Información Cumbre Mundial de la Sociedad de la Información (Ginebra 2003, Túnez 2005, Foros de Gobernanza (Ginebra 2003, Túnez 2005, Foros de Gobernanza en Internet en Internet [Atenas 2006 y R[Atenas 2006 y Río de Janeiro 2007ío de Janeiro 2007]]))�� Declaración de Principios de Ginebra, la cual considera el Declaración de Principios de Ginebra, la cual considera el tema de la privacidad y de la protección de datos como un tema de la privacidad y de la protección de datos como un elemento fundamental de la cultura global sobre elemento fundamental de la cultura global sobre ciberseguridad.ciberseguridad.

JoelG

omez.m

x

Primeros Modelos de Primeros Modelos de Protección de Datos PersonalesProtección de Datos Personales

�� Instrumentos InternacionalesInstrumentos Internacionales�� UNESCO UNESCO –– eLAC eLAC -- CEPALCEPAL

�� En el ámbito Iberoamericano, deben citarse los En el ámbito Iberoamericano, deben citarse los esfuerzos realizados en el ámbito de la esfuerzos realizados en el ámbito de la Organización de las Naciones Unidas para la Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura (Educación, la Ciencia y la Cultura (UNESCOUNESCO por por sus siglas en inglés) y la Estrategia sus siglas en inglés) y la Estrategia Latinoamericana de la Sociedad de la Latinoamericana de la Sociedad de la Información (Información (eLACeLAC) llevada a cabo en el seno ) llevada a cabo en el seno de la Comisión Económica para América Latina y de la Comisión Económica para América Latina y el Caribe el Caribe -- CEPALCEPAL, con el objeto de , con el objeto de lograr el lograr el diseño de mecanismos de armonización diseño de mecanismos de armonización normativa en el ámbito de la privacidad y normativa en el ámbito de la privacidad y protección de datos personalesprotección de datos personales..

JoelG

omez.m

x

Modelos Regulatorios ActualesModelos Regulatorios Actualespara la P. de Datos Personalespara la P. de Datos Personales

�� Regulación General Regulación General => UNCTAD=> UNCTAD

�� Comprehensive LawsComprehensive Laws => EPIC=> EPIC

�� Modelo Sectorial Modelo Sectorial => UNCTAD=> UNCTAD

�� Sectoral LawsSectoral Laws => EPIC=> EPIC

�� Autorregulación / Corregulación Autorregulación / Corregulación => UNCTAD=> UNCTAD

�� SelfSelf--RegulationRegulation / / CoCo--Regulatory ModelRegulatory Model => EPIC=> EPIC

�� Technologies of PrivacyTechnologies of Privacy => EPIC=> EPIC

JoelG

omez.m

x

Regulación GeneralRegulación General

�� Se edifica esencialmente sobre el modelo de protección universal Se edifica esencialmente sobre el modelo de protección universal del Consejo Europeo. del Consejo Europeo.

�� Requiere de la creación de una ley general que promueva las Requiere de la creación de una ley general que promueva las prácticas lícitas en materia de información.prácticas lícitas en materia de información.

�� Establecimiento de los parámetros para la recolección, uso y Establecimiento de los parámetros para la recolección, uso y diseminación de los datos personales, tanto para el sector público diseminación de los datos personales, tanto para el sector público como para el privado.como para el privado.

�� Derecho del titular a recibir la Derecho del titular a recibir la confirmación sobre los datos que confirmación sobre los datos que sean conservadossean conservados con relación a su persona, así como el con relación a su persona, así como el derecho derecho a rectificarlosa rectificarlos en caso de que sean incorrectos o incompletos.en caso de que sean incorrectos o incompletos.

�� El aspecto más importante del modelo general, es el El aspecto más importante del modelo general, es el requerimiento que señala que antes de la recolección o uso de requerimiento que señala que antes de la recolección o uso de cualquier dato personal, cualquier dato personal, el individuo debe ser notificadoel individuo debe ser notificado acerca acerca de qué datos serán recolectados y cómo serán utilizados.de qué datos serán recolectados y cómo serán utilizados.

�� La meta consiste en proporcionar al individuo un mayor control La meta consiste en proporcionar al individuo un mayor control sobre sus datos personales.sobre sus datos personales.

JoelG

omez.m

x

Regulación GeneralRegulación General

�� DIRECTIVA de PROTECCIÓN DE DATOS PERSONALES DEL CE. DIRECTIVA de PROTECCIÓN DE DATOS PERSONALES DEL CE. �� La supervisión en torno a la instrumentación, cumplimiento La supervisión en torno a la instrumentación, cumplimiento normativo y ejecución de la ley a nivel nacional, debe llevarse a cabo normativo y ejecución de la ley a nivel nacional, debe llevarse a cabo por una autoridad supervisora o por un órgano regulador nacional.por una autoridad supervisora o por un órgano regulador nacional.

�� Obligación de los controladores de datos de registrar ante la Obligación de los controladores de datos de registrar ante la autoridad competente los ficheros con datos personales que serán autoridad competente los ficheros con datos personales que serán tratados.tratados.

�� Se faculta a la autoridad para autorizar o prohibir las transferencias Se faculta a la autoridad para autorizar o prohibir las transferencias de datos internacionales .de datos internacionales .

�� Prohibición de transferencia de datos hacia países que no cuenten Prohibición de transferencia de datos hacia países que no cuenten con el mismo nivel de protección o con un nivel adecuado.con el mismo nivel de protección o con un nivel adecuado.

�� Los trabajos de la Los trabajos de la Red Iberoamericana de Protección de Datos Red Iberoamericana de Protección de Datos PersonalesPersonales apuntan hacia la armonización normativa de los países apuntan hacia la armonización normativa de los países latinoamericanos adoptando el modelo europeo. latinoamericanos adoptando el modelo europeo.

JoelG

omez.m

x

Modelo SectorialModelo Sectorial

�� Rechaza la utilización de una legislación general, y en su lugar, Rechaza la utilización de una legislación general, y en su lugar, adopta una legislación particular y/o autorregulación.adopta una legislación particular y/o autorregulación.

�� La sobreLa sobre--regulación del gobierno inhibirá el crecimiento regulación del gobierno inhibirá el crecimiento económico y la innovación.económico y la innovación.

�� Los mercados deberían hacer posible la autoLos mercados deberían hacer posible la auto--regulación, con una regulación, con una participación del gobierno acotada para proteger ciertas áreas en participación del gobierno acotada para proteger ciertas áreas en las que exista un alto riesgo de que se lesione a los individuos o las que exista un alto riesgo de que se lesione a los individuos o de que los datos sean mal utilizados (sector financiero, salud y de que los datos sean mal utilizados (sector financiero, salud y sector infantil).sector infantil).

�� Se muestra como su propio modelo de protección de datos Se muestra como su propio modelo de protección de datos personales. personales.

�� De acuerdo a la UNCTAD, Estados Unidos, Japón, México, De acuerdo a la UNCTAD, Estados Unidos, Japón, México, Singapur y Barbados han adoptado este modelo.Singapur y Barbados han adoptado este modelo.

JoelG

omez.m

x

Modelo SectorialModelo Sectorial

�� Cuando hay reglas de protección de datos impuestas a Cuando hay reglas de protección de datos impuestas a determinados sectores o industrias, suelen tomarse como base determinados sectores o industrias, suelen tomarse como base los Principios de Privacidad de la OCDE o la Convención del C.E.los Principios de Privacidad de la OCDE o la Convención del C.E.

�� Una de las mayores desventajas de este modelo es que requiere Una de las mayores desventajas de este modelo es que requiere que nueva legislación sea publicada cada vez que haya una que nueva legislación sea publicada cada vez que haya una nueva tecnología, por lo que la protección siempre llega tarde.nueva tecnología, por lo que la protección siempre llega tarde.

�� Otro problema es la ausencia de una agencia supervisora. Ciertas Otro problema es la ausencia de una agencia supervisora. Ciertas áreas de la legislación son encomendadas a un organismo áreas de la legislación son encomendadas a un organismo nacional, mientras que otros organismos tienen a su cargo otras nacional, mientras que otros organismos tienen a su cargo otras áreas.áreas.

JoelG

omez.m

x

Modelo(s) de Modelo(s) de Autorregulación / CorregulaciónAutorregulación / Corregulación

�� Puede ser considerado como un híbrido del modelo general y del Puede ser considerado como un híbrido del modelo general y del modelo sectorial.modelo sectorial.

�� La principal diferencia entre ambos modelos se basa en la forma La principal diferencia entre ambos modelos se basa en la forma en la cual los principios para la protección de datos son en la cual los principios para la protección de datos son instrumentados.instrumentados.�� Corregulación: La creación, instrumentación y ejecución de la Corregulación: La creación, instrumentación y ejecución de la normatividad en materia de PDP incluyen normas, códigos de normatividad en materia de PDP incluyen normas, códigos de conducta y/o legislación que quedan a cargo de las distintas conducta y/o legislación que quedan a cargo de las distintas industrias en particular y que son supervisadas por una agencia industrias en particular y que son supervisadas por una agencia encargada de proteger la privacidad y los datos personales;encargada de proteger la privacidad y los datos personales;

�� Autorregulación: No existe vigilancia gubernamental.Autorregulación: No existe vigilancia gubernamental.

�� El modelo de corregulación, al igual que el general, establece una El modelo de corregulación, al igual que el general, establece una agencia nacional supervisora dotada de suficientes facultades y agencia nacional supervisora dotada de suficientes facultades y autoridad. Difiere con el modelo sectorial (diferentes órganos autoridad. Difiere con el modelo sectorial (diferentes órganos pueden a su cargo diferentes áreas).pueden a su cargo diferentes áreas).

JoelG

omez.m

x

Modelo(s) de Modelo(s) de Autorregulación / CorregulaciónAutorregulación / Corregulación

�� En el modelo de autorregulación / corregulación, los individuos se En el modelo de autorregulación / corregulación, los individuos se encuentran protegidos y sus datos reciben un nivel mínimo de encuentran protegidos y sus datos reciben un nivel mínimo de protección previsto en su legislación nacional, mientras los protección previsto en su legislación nacional, mientras los estándares varían entre las industrias o sectores.estándares varían entre las industrias o sectores.

�� Los códigos de prácticas o códigos de conducta han sido Los códigos de prácticas o códigos de conducta han sido tradicionalmente concebidos como un conjunto de reglas que tradicionalmente concebidos como un conjunto de reglas que proporcionan una guía o que establecen estándares de proporcionan una guía o que establecen estándares de comportamiento sin que tenga que mediar necesariamente una comportamiento sin que tenga que mediar necesariamente una ley. Son de naturaleza completamente voluntaria.ley. Son de naturaleza completamente voluntaria.�� Caso MÉXICO: Sellos de Confianza AMIPCI (adecuación al Marco de Caso MÉXICO: Sellos de Confianza AMIPCI (adecuación al Marco de Privacidad de APEC).Privacidad de APEC).

�� Estos esfuerzos de autorregulación han sido decepcionantes, Estos esfuerzos de autorregulación han sido decepcionantes, particularmente en Estados Unidos, con muy poca evidencia que particularmente en Estados Unidos, con muy poca evidencia que muestre que el objetivo de los códigos sea regularmente muestre que el objetivo de los códigos sea regularmente cumplido. En muchos países, estos códigos han tendido a proveer cumplido. En muchos países, estos códigos han tendido a proveer una protección débil y una falta de ejecución.una protección débil y una falta de ejecución.

JoelG

omez.m

x

Tecnologías de PrivacidadTecnologías de Privacidad

�� La protección de la privacidad se ha movido también a La protección de la privacidad se ha movido también a las manos de los usuarios individuales.las manos de los usuarios individuales.

�� Los usuarios de inteernet y de algunas aplicaciones Los usuarios de inteernet y de algunas aplicaciones físicas pueden emplear una amplia gama de físicas pueden emplear una amplia gama de programas y sistemas que proveen una variedad de programas y sistemas que proveen una variedad de grados de protección a la privacidad y seguridad en grados de protección a la privacidad y seguridad en las comunicaciones.las comunicaciones.�� Encripción, emails anónimos, servidores proxy, dinero digital, Encripción, emails anónimos, servidores proxy, dinero digital, tarjetas inteligentes, etc.tarjetas inteligentes, etc.

JoelG

omez.m

x

El Modelo AmericanoEl Modelo Americano

�� Constitución de los E.U.A.Constitución de los E.U.A.�� La privacidad constitucional se entiende La privacidad constitucional se entiende generalmente como el derecho de las personas a generalmente como el derecho de las personas a estar libres de intromisiones gubernamentales no estar libres de intromisiones gubernamentales no deseadas y no garantizadas.deseadas y no garantizadas.

�� Dos definiciones de “privacidad constitucional” en Dos definiciones de “privacidad constitucional” en los EUA:los EUA:�� Privacidad individual o autonomíaPrivacidad individual o autonomía�� Privacidad de datos o control de la informaciónPrivacidad de datos o control de la información

JoelG

omez.m

x

El Modelo AmericanoEl Modelo Americano

�� Constitución / Privacidad y AutonomíaConstitución / Privacidad y Autonomía�� Ni la constitución ni ninguna de sus enmiendas Ni la constitución ni ninguna de sus enmiendas específicamente menciona el derecho a la específicamente menciona el derecho a la privacidad. La primera, tercera, cuarta y quinta privacidad. La primera, tercera, cuarta y quinta enmiendas contemplan algunos componentes de enmiendas contemplan algunos componentes de privacidad.privacidad.

�� La Suprema Corte no reconoció específicamente La Suprema Corte no reconoció específicamente ningún derecho independiente a la privacidad sino ningún derecho independiente a la privacidad sino hasta la segunda mitad del siglo XX.hasta la segunda mitad del siglo XX.�� Griswold v. Connecticut, landmark case of privacy.Griswold v. Connecticut, landmark case of privacy.�� Roe v. WadeRoe v. Wade�� Bowers v. HardwickBowers v. Hardwick�� Lawrence v. TexasLawrence v. Texas

JoelG

omez.m

x

El Modelo AmericanoEl Modelo Americano

�� Constitución / Privacidad y Control de Constitución / Privacidad y Control de InformaciónInformación�� A pesar de que numerosos promotores de derechos de A pesar de que numerosos promotores de derechos de privacidad han pronunciado fuertes argumentos sobre que la privacidad han pronunciado fuertes argumentos sobre que la Constitución debería ser interpretada para proteger el Constitución debería ser interpretada para proteger el derecho al control de la información, ha habido poco soporte derecho al control de la información, ha habido poco soporte a este derecho por parte de la Suprema Corte.a este derecho por parte de la Suprema Corte.

�� Whalen v. RoeWhalen v. Roe (1977) fue el primer caso en que la Corte (1977) fue el primer caso en que la Corte esbozó someramente si el derecho constitucional a la esbozó someramente si el derecho constitucional a la privacidad incluye la recolección, almacenamiento y privacidad incluye la recolección, almacenamiento y diseminación de información en bases de datos diseminación de información en bases de datos gubernamentales. Fue la primera decisión en que la Corte gubernamentales. Fue la primera decisión en que la Corte reconoció que el derecho constitucional a la privacidad incluye reconoció que el derecho constitucional a la privacidad incluye dos áreas: privacidad de la información y privacidaddos áreas: privacidad de la información y privacidad--autonomía.autonomía.

JoelG

omez.m

x

El Modelo AmericanoEl Modelo Americano

�� Leyes FederalesLeyes Federales�� Debido a la incompleta naturaleza de la Debido a la incompleta naturaleza de la protección constitucional de la privacidad en protección constitucional de la privacidad en los EUA, muchos esquemas de legislación los EUA, muchos esquemas de legislación han sido promulgados para llenar los han sido promulgados para llenar los huecos percibidos en dicha protección.huecos percibidos en dicha protección.

�� Privacidad financiera:Privacidad financiera:�� Bank Secrecy ActBank Secrecy Act�� Fair Credit Reporting ActFair Credit Reporting Act�� Right to Financial Privacy ActRight to Financial Privacy Act��GrammGramm--LeachLeach--Bliley Financial Modernization ActBliley Financial Modernization Act��USA Patriot ActUSA Patriot Act

JoelG

omez.m

x

El Modelo AmericanoEl Modelo Americano

�� Leyes FederalesLeyes Federales�� Privacidad medica:Privacidad medica:

��Health Insurance Portability and Accountability Health Insurance Portability and Accountability ActAct

��Genetic Privacy Bill (H.R. 493)Genetic Privacy Bill (H.R. 493)�� Otra legislación sobre privacidad:Otra legislación sobre privacidad:

�� Privacy Act of 1974Privacy Act of 1974��Drviver’s Privacy Protection ActDrviver’s Privacy Protection Act�� Electronic Communications Privacy Act (ECPA)Electronic Communications Privacy Act (ECPA)�� Children’s Online Privacy Protection Act (COPPA)Children’s Online Privacy Protection Act (COPPA)�� Family Education Rights and Privacy ActFamily Education Rights and Privacy Act�� EE--Government ActGovernment Act

JoelG

omez.m

x

El Modelo AmericanoEl Modelo Americano

�� Federal Trade CommissionFederal Trade Commission�� Comenzó promoviendo mecanismos de autoComenzó promoviendo mecanismos de auto--regulación como la mejor manera de no afectar el regulación como la mejor manera de no afectar el comercio electrónico.comercio electrónico.

�� Después del caso GeoCities, cambiaron de opinión Después del caso GeoCities, cambiaron de opinión y vieron las fallas y debilidades de los mecanismos y vieron las fallas y debilidades de los mecanismos de autode auto--regulación.regulación.

�� Constituciones Estatales que reconocen el Constituciones Estatales que reconocen el derecho a la privacidad: Alaska, Arizona, derecho a la privacidad: Alaska, Arizona, California, Florida, Hawaii, Illinois, Louisiana, California, Florida, Hawaii, Illinois, Louisiana, Montana, South Carolina, Washington.Montana, South Carolina, Washington.

�� Estados con Estados con “Opt“Opt--In Privacy Standards”In Privacy Standards”: : California, Vermont, North Dakota, Alaska, California, Vermont, North Dakota, Alaska, Connecticut, Illinois y Maryland.Connecticut, Illinois y Maryland.