El deber de seguridad de los datos personales: qué medidas exige la ley y cómo probarlas

01Qué exige la norma

El deber gene­ral. Todo res­pon­sa­ble debe esta­ble­cer y man­te­ner medi­das de segu­ri­dad admi­nis­tra­ti­vas, téc­ni­cas y físi­cas que pro­te­jan los datos per­so­na­les contra daño, pér­dida, alte­ra­ción, des­truc­ción o el uso, acceso o tra­ta­miento no auto­ri­zado (artículo 18 de la Ley Fede­ral de Pro­tec­ción de Datos Per­so­na­les en Pose­sión de los Par­ti­cu­la­res).

Los dos cri­te­rios de medida. El mismo artículo fija dos reglas. La pri­mera impide al res­pon­sa­ble adop­tar medi­das meno­res a las que man­tiene para el manejo de su propia infor­ma­ción: si la empresa cifra sus esta­dos finan­cie­ros, no puede dejar sin cifrar la base de datos de sus clien­tes. La segunda lo obliga a tomar en cuenta el riesgo exis­tente, las posi­bles con­se­cuen­cias para los titu­la­res, la sen­si­bi­li­dad de los datos y el desa­rro­llo tec­no­ló­gico, de modo que una base con datos de salud o finan­cie­ros exige más que un direc­to­rio de pro­vee­do­res.

Las tres dimen­sio­nes. Entre las medi­das admi­nis­tra­ti­vas están las polí­ti­cas, la asig­na­ción de res­pon­sa­bi­li­da­des, la capa­ci­ta­ción y el con­trol de pro­vee­do­res. Las téc­ni­cas abar­can con­trol de acce­sos, auten­ti­ca­ción, cifrado, res­pal­dos, regis­tros de acti­vi­dad y actua­li­za­ción de sis­te­mas; las físi­cas, el acceso a ins­ta­la­cio­nes, el res­guardo de equi­pos y archi­vos en papel y la des­truc­ción segura de sopor­tes. Como la ley no enu­mera con­tro­les con­cre­tos, esta cla­si­fi­ca­ción es la que per­mite demos­trar, dimen­sión por dimen­sión, que la empresa con­si­deró cada riesgo.

La con­fi­den­cia­li­dad de las per­so­nas. El res­pon­sa­ble debe esta­ble­cer con­tro­les para que todas las per­so­nas que inter­vie­nen en el tra­ta­miento guar­den con­fi­den­cia­li­dad, obli­ga­ción que sub­siste des­pués de ter­mi­nar su rela­ción con la empresa (artículo 20). El deber com­prende a emplea­dos, pres­ta­do­res de ser­vi­cios y pro­vee­do­res.

El prin­ci­pio de res­pon­sa­bi­li­dad. El res­pon­sa­ble debe velar por el cum­pli­miento de los prin­ci­pios de pro­tec­ción de datos y adop­tar las medi­das nece­sa­rias para apli­car­los (artícu­los 5o. y 13). De ahí que la carga de demos­trar que las medi­das exis­tían recaiga en la empresa.

Lo que no es exi­gen­cia legal. La ley no impone una cer­ti­fi­ca­ción espe­cí­fica ni una norma téc­nica inter­na­cio­nal. Adop­tar un marco reco­no­cido de segu­ri­dad de la infor­ma­ción es una buena prác­tica que faci­lita demos­trar pro­por­cio­na­li­dad, aunque no sus­ti­tuye el aná­li­sis propio del riesgo de cada tra­ta­miento.