ANTECEDENTES DE LA PROTECCIÓN DE LOS DATOS PERSONALES EN MÉXICO

En primer lugar, se debe hacer mención de dos reformas constitucionales, que fue- ron parteaguas en materia de datos personales. Así, en el año 2007, el Artículo 6o.

constitucional fue objeto de una reforma que, entre otras cosas, sería la primera in- clusión en la Carta Magna (hasta ese entonces como garantía individual), respecto de la protección de datos en los siguientes términos¹⁴⁵:

A…

II. La información que se refiere a la vida privada y los datos personales será protegida en los términos y con las excepciones que fijen las leyes.

III. Toda persona, sin necesidad de acreditar interés alguno o justificar su ac- tualización, tendrá acceso gratuito a la información pública, a sus datos per- sonales o a la rectificación de éstos.

…

Tanto en la fracción segunda como en la tercera del Artículo citado, por pri- mera vez se estableció la mención expresa de la protección a la vida privada y los datos personales, e incluso se garantizó a cualquier persona el acceso y rectifica- ción de los mismos¹⁴⁶. Cabe señalar que esta primera mención incluyó dentro del Artículo que fijaba las bases para el ejercicio del derecho de acceso a la información.

Posteriormente, durante el año 2009 se presentaron dos reformas constitucio- nales que impactaron de manera amplia en el desarrollo del DPDP en nuestro país.

145 Decreto por el que se reforma la fracción X del Artículo 73 de la Constitución Política de los Esta- dos Unidos Mexicanos, en el Diario Oficial de la Federación el 20 de julio de 2017, Artículo Único, http://www.diputados.gob.mx/LeyesBiblio/ref/dof/CPEUM_ref_174_20jul07_ima.pdf.

146 En palabras de la Dra. Puente de la Mora, Ximena, Comisionada del inai, con dicha reforma constitucional, además de reconocer formalmente el reconocimiento de derecho a la protección de datos personales en México, también se trató de “unificar algunas disposiciones existentes en algunas constituciones de entidades federativas en la República Mexicana, como las de los estados de Colima, Guanajuato, Tlaxcala, Morelos, Oaxaca, México y Coahuila, puesto que cada uno de ellos hasta la fecha, conceptualizan este derecho en términos, con condiciones y alcances diferentes”.

Comunicado de Prensa del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales: Sin precedente, la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, ^inai, INAI/015/17, 26 de enero de 2017, http://inicio.ifai.org.mx/

Comunicados/Comunicado%20INAI-015-17.pdf.

156 Guillermo A. Tenorio Cueto (Coordinador)

La primera ocurrió el 30 de abril, en la que se modificó el Artículo 73 constitucional, con la cual se le otorgó al Congreso de la Unión, la facultad exclusiva de “legislar en materia de protección de datos personales en posesión de particulares”¹⁴⁷.

La segunda reforma constitucional en materia de protección de datos per- sonales en 2009, se publicó en el Diario Oficial de la Federación el 1 de junio y fue respecto al Artículo 16, estableciéndose en su segundo párrafo lo siguiente:

Toda persona tiene derecho a la protección de sus datos personales, al acceso, recti- ficación y cancelación de los mismos, así como a manifestar su oposición, en los términos que fije la ley, la cual establecerá los supuestos de excepción a los prin- cipios que rijan el tratamiento de datos, por razones de seguridad nacional, disposiciones de orden público, seguridad y salud pública o para proteger los derechos de terceros.

…

Con el conjunto de reformas mencionadas, se obtuvo un grado de protección altísimo al derecho fundamental a la protección de datos personales en el marco jurídico mexicano, pues con ello se garantiza la Constitución, el ejercicio de los de- rechos ARCO (acceso, rectificación, cancelación y oposición) previa acreditación de la personalidad de su titular o la de su representante legal¹⁴⁸.

Pero a pesar de que tal protección se formalizó constitucionalmente hasta el año 2009, ello no impidió que el ejercicio de los derechos de acceso, corrección (rectificación), ya se hubiera contemplado en legislación secundaria a nivel federal

147 Decreto por el que se adiciona la fracción XXIX-O al Artículo 73 constitucional, publicado en el Diario Oficial de la Federación el 30 de abril de 2009, Artículo Único, http://www.diputados.gob.

mx/LeyesBiblio/ref/dof/CPEUM_ref_185_30abr09.pdf.

148 No se óbice hacer referencia a la reforma constitucional del 10 de junio de 2011, por la que se modificó, entre otras cosas, su Título Primero, sustituyendo el término “garantías individuales”

por el de “derechos humanos”, con lo que se dio entrada a la cláusula de interpretación conforme y control de convencionalidad, introduciéndose el principio pro persona. Lo anterior tuvo como consecuencia, que hasta la fecha cualquier autoridad deba aplicar los derechos humanos conte- nidos en tratados internacionales ratificados por nuestro país, ya que cuentan con un nivel de protección constitucional, favoreciendo en todo tiempo a las personas, la protección más amplia.

Decreto por el que se modifica la denominación del Capítulo I del Título Primero y reforma diversos artículos de la Constitución Política de los Estados Unidos Mexicanos, publicado en el Diario Oficial de la Federación, el 10 de junio de 2011, Artículo Único, http://www.diputados.gob.

mx/LeyesBiblio/ref/dof/CPEUM_ref_194_10jun11.pdf.

desde el año 2002, como fue el caso de la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental (LFTAIPG) publicada en el Diario Oficial de la Federación el 11 de junio de ese mismo año.

En concordancia con ello, en la LFTAIPG se establecieron los procedimientos y se sensibilizó sobre las características y la importancia del DPDP, de tal manera que, ante la convergencia de ese derecho, con el derecho de acceso a la información, se pretendió garantizar la protección de los datos personales en el sector público. No obstante, se dejó fuera de su ámbito de aplicación a la protección, los datos perso- nales en poder de particulares. Para reglamentar tal derecho en el Diario Oficial de la Federación el 5 de julio de 2010, se publicó la Ley Federal de Protección de Datos Personales en Posesión de los Particulares que se encuentra vigente actualmente.

En notable resaltar la relación que existe entre ambos derechos, pues la pro- tección de datos personales se constituyó como un límite al derecho de acceso a la información, a través de su clasificación como información confidencial con el objeto de proteger la privacidad de cualquier persona.

Además, derivado de la reforma constitucional de 2011 en materia de dere- chos humanos, ambos derechos, dejaron de ser garantías individuales, para elevar la protección a nivel de derechos fundamentales, lo cual nos lleva a la siguiente relación, en la que se encuentra la realización de un análisis de ponderación para su ejercicio, como lo manifestó el Ministro Gutiérrez Ortiz Mena: “No puede ejer- cerse un derecho fundamental en perjuicio de otro derecho si no media una causa proporcionada idónea que así lo justifique”¹⁴⁹.

Esto es, debe existir un equilibrio o ponderación entre ambos, que justifique conocer la información que se clasificó como confidencial y, por lo tanto, sea accesi- ble para quien la haya solicitado, por así convenir al interés público que prevalece frente al deber de cuidado de la información confidencial. Esta responsabilidad re- cae con mayor peso en las entidades gubernamentales que realizan el tratamiento de datos personales debido a que es su obligación transparentar y rendir cuentas

149 Reflexiones sobre el Derecho de Acceso a la Información y la Iniciativa de Ley General de Transparencia, México, Centro de Análisis e Investigación FUNDAR, 2015, p. 10, http://www.senado.gob.mx/co- misiones/estudios_legislativos2/docs/transparencia/Reflexiones_FUNDAR.pdf.

158 Guillermo A. Tenorio Cueto (Coordinador)

de lo que sin menoscabar los derechos fundamentales de quienes debe proteger conforme a la Ley.

A través de la LFTAIPG se garantizó la protección de los datos personales en el sector público federal, en posesión de los sujetos obligados¹⁵⁰. Cualquier persona comenzó a ejercer principalmente los derechos de acceso y corrección (rectifica- ción), de manera formal por así estar contemplados en la Ley indicada, a sus datos personales en posesión de cualquier dependencia o entidad federal, otorgando al entonces Instituto Federal de Acceso a la Información (ifai) la competencia para garantizar ese derecho.

En su capítulo IV, denominado “Protección de Datos Personales”, que com- prende de los Artículos 20 a 26, se establecieron las diversas obligaciones para los denominados sujetos obligados¹⁵¹ como lo fue, primeramente, el establecimiento de un marco regulatorio para su tratamiento.

Poco a poco se adoptaron los procedimientos adecuados para la tramitación de solicitudes de acceso y corrección de datos personales, capacitar a los servido- res públicos, tratar los datos personales, capacitar a los pertinentes y no excesivos en relación con los propósitos para los cuales se hubiese obtenido (por cualquier motivo), e informando a sus titulares los propósitos para su tratamiento. Se pro- curó que fueran exactos y actualizados, se adoptaron las medidas necesarias que garantizaran la seguridad de los datos personales y evitaran su alteración, pérdida, transmisión y acceso no autorizado.

Es claro que los particulares tienen múltiples causas por las que comparten sus datos personales con las entidades y dependencias del gobierno federal, tales como trámites, pago de impuestos, solicitudes de apoyo, entre otros. De ahí que

150 Artículo 4o., fracción III de la LFTAIPG: III. Garantizar la protección de los datos personales en posesión de los sujetos obligados.

151 Conforme al Artículo 3o., fracción XIV de la LFTAIPG, se estableció como sujeto obligado:

a) El Poder Ejecutivo, la Administración Pública Federal y la Procuraduría General de la Repú- blica; b) El Poder Legislativo, integrado por la Cámara de Diputados y la Cámara de Senadores, la Comisión Permanente y cualquiera de sus órganos; c) El Poder Judicial de la Federación y el Consejo de la Judicatura Federal; d) Los órganos constitucionales autónomos; e) Los tribunales administrativos federales, y f) Cualquier otro órgano federal.

los interesados, con fundamento en la LFTAIPG, y en el ejercicio de sus derechos ARCO, accedían y corregían sus datos personales cuando resulten inexactos o in- completos¹⁵² (Artículo 24), dentro del sector público y verificaban que los sujetos obligados, durante su tratamiento, cumplieran con la finalidad con la que los ha- bían obtenido, así como ha ocurrido en otros países, como es el caso de España¹⁵³. Por su parte, además de lo establecido en su Capítulo IV, el Artículo 61 de la LFTAIPG dispuso que el Poder Legislativo Federal, a través de la Cámara de Sena- dores y la Cámara de Diputados, la Comisión Permanente y la Auditoría Superior de la Federación; el Poder Judicial de la Federación mediante la Suprema Corte de Justicia de la Nación, el Consejo de la Judicatura Federal y la Comisión de Admi- nistración del Tribunal Federal Electoral; los órganos constitucionales autónomos y los tribunales administrativos, en el ámbito de sus respectivas competencias, de- bían emitir reglamentos o acuerdos de carácter general, así como los órganos, crite- rios y procedimientos institucionales para proporcionar a los particulares el acceso a la información, de conformidad con los principios y plazos establecidos en dicha Ley y en el ejercicio de los “procedimientos de acceso y rectificación de datos per- sonales a los que se refiere el Artículo 24 y 25” de la LFTAIPG¹⁵⁴.

152 Derecho de Rectificación, Madrid, Agencia Española de Protección de Datos Personales, 2014, http://www.agpd.es/portalwebAGPD/CanalDelCiudadano/derechos/principales_derchos/rectificacion- ides-idphp.php.

153 Derecho de Acceso, Madrid, Agencia Española de Protección de Datos Personales, 2014, http://

www.agpd.es/portalwebAGPD/CanalDelCiudadano/derechos/principales_derchos/acceso-ides-idphp.

php.

154 Además de lo establecido en la LFTAIPG, la Administración Pública Federal debía aplicar lo contenido en el Capítulo XIII, De los procedimientos de acceso y corrección de los datos perso- nales, de su Reglamento, así como los Lineamientos que deberán observar las dependencias y entidades de la Administración Pública Federal en la recepción, procedimiento, trámite, resolu- ción y notificación de las solicitudes de corrección de dichos datos, los últimos tres emitidos por el entonces Instituto Federal de Acceso a la Información Pública, motivo por el cual los sujetos obligados debían aplicar varios cuerpos normativos para cumplir con el derecho a la protección de datos personales en nuestro país.

http://www.diputados.gob.mx/LeyesBiblio/regley/Reg_LFTAIPG.pdf.

http://inicio.ifai.org.mx/MarcoNormativoDocumentos/250803.pdf.

http://inicio.ifai.org.mx/MarcoNormativoDocumentos/dof060404.pdf.

http://inicio.ifai.org.mx/MarcoNormativoDocumentos/lineamientos_protdaper.pdf.

160 Guillermo A. Tenorio Cueto (Coordinador)

El procedimiento iniciaba a partir de una solicitud hecha por el particular ante el sujeto obligado de su interés, acreditando previamente su personalidad o la de su representante legal. La unidad de enlace correspondiente, comunicaba a la unidad administrativa competente dentro del sujeto obligado, del contenido de la solicitud de datos personales, para que en el plazo de 10 a 30 días hábiles improrrogables, en- tregara el documento que contuviera los datos personales solicitados o bien llevara a cabo su modificación cuando así procediera, para que ésta la hiciera del conocimiento del solicitante.

Asimismo, en los casos en los que no resultara procedente el acceso a la co- rrección de los datos personales debido a su inexistencia dentro de los archivos del sujeto obligado, su Comité de Información debía analizar el informe remitido por la unidad administrativa en el que se fundaran y motivaran las razones por las que la información no se había localizado, de tal manera que dicho Comité debía emitir una resolución, igualmente, fundada y motivada a través de la cual confirmara su inexistencia. En casi de que la información si estuviese pero que no procediera su corrección, el Comité también debía pronunciarse respecto a la improcedencia total o parcial de las correcciones solicitadas, misma que se le notificaban al particular.

Por lo que el particular desde el momento en que tenía conocimiento de la respuesta del sujeto obligado y estuviera inconforme con la misma, o bien hubiera transcurrido el plazo para su emisión (10 o 30 días hábiles) sin haberla recibido, contaba con un plazo de 15 días hábiles para la interposición del recurso de revisión, por sí mismo o a través de su representante legal previa acreditación de su personalidad.

En ese caso, el entonces ifai en su carácter de organismo garante del DPDP a nivel federal, debía emitir una resolución dentro de los siguientes 50 días hábiles, prorrogables hasta por otro tanto igual, en la que se podría desechar o sobreseer el recurso de revisión, o en su caso confirmar, revocar o modificar la respuesta del sujeto obligado¹⁵⁵.

155 Como se indicó líneas arriba, en los casos relativos a los sujetos obligados distintos a la Admi- nistración Pública Federal, indicados en el Artículo 61 de la LFTAIPG, también denominados

“Otros Sujetos Obligados” (OSO’s), el ^ifai no era competente para sustanciar medios de impug-

Ahora bien, después de la referencia hecha a algunos antecedentes normativos y de procedimientos en nuestro país, donde establecieron el inicio a la regulación para la protección del DPDP, se continuará con el análisis del procedimiento del ejer- cicio de los derechos ARCO ante los sujetos obligados del orden federal, conforme a la recién vigente Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO) y demás normativa relacionada con la misma.

III. LEGISLACIÓN VIGENTE EN MATERIA DE