Privacidad y Protección de Datos Personales en México

Inicio » Datos sensibles » CASO UIC, UNIVERSIDAD INTERCONTINENTAL, A.C. (SEPTIEMBRE 2013)

CASO UIC, UNIVERSIDAD INTERCONTINENTAL, A.C. (SEPTIEMBRE 2013)

SÍNTESIS EJECUTIVA

INFRACTOR: UIC, UNIVERSIDAD INTERCONTINENTAL, A.C. (“UIC”)

SECTOR: Educación

AUTORIDAD: IFAI

ANTECEDENTES:

• El 24 de octubre de 2012 el IFAI recibió una denuncia en contra del Infractor por publicar datos personales sensibles del titular en Internet consistentes en reportes de las sesiones de psicoterapia psicoanalítica a las que asistió en las instalaciones del Infractor.
• El 6 de noviembre de ese mismo año el IFAI requirió información al Infractor, quien dio respuesta a dicho requerimiento con fecha 22 de noviembre de 2012 mediante correo electrónico; días después presentó una ampliación de respuesta.
• El 6 de marzo de 2013 se ordenó iniciar el procedimiento de verificación al Infractor.
• El 8 de mayo se ordenó iniciar el procedimiento de imposición de sanciones.

PUNTOS CONTROVERTIDOS EN EL PROCEDIMIENTO DE IMPOSICIÓN DE SANCIÓN:

• Si el Infractor contravino o no los principios de licitud, lealtad y responsabilidad.
• Si el aviso de privacidad del Infractor contaba o no con información respecto a las opciones y medios para que los titulares limitaran el uso o divulgación de los datos personales.
• Si el Infractor incumplió o no el deber de confidencialidad.

ARGUMENTOS DE DEFENSA DEL INFRACTOR:

Entre otros argumentos señaló:
• Que era falso que cualquier dependiente, estudiante o profesor hubiera divulgado cualquier dato sensible del titular, lo cual se desprende de las declaraciones de quien recabó el dato; así mismo argumenta el Infractor que al momento de percatarse de la existencia de estas publicaciones solicitó la cancelación de las mismas.
• Que aunque no se lleva un proceso de disociación, todos los estudiantes y profesores del Infractor que tengan acceso a este tipo de información, deben de guardar la debida confidencialidad a efecto de proteger los datos de todos los titulares de acuerdo a lo previsto en el texto del Aviso de Privacidad que cualquiera puede consultar en la página web del Infractor.

RESOLUCIÓN:

• Contravino los principios de licitud, lealtad y responsabilidad:

Principio de licitud: No tomó las medidas necesarias para evitar que se grabaran, transcribieran y se subieran al sitio web scribd.com, los reportes de las sesiones de psicoterapia psicoanalítica a las que asistió el titular en las instalaciones del Infractor, haciendo públicos los datos personales y datos personales sensibles del titular, tales como los relativos a su estado de salud emocional, vulnerando su esfera privada e íntima, en virtud de que no llevó a cabo un proceso de disociación, a fin de que no pudieran asociarse a su titular.

Principio de lealtad: “incumplió dicho principio al vulnerar la expectativa razonable de privacidad en perjuicio del Titular, ya que se realizaron transcripciones literales de las sesiones de psicoterapia del denunciante, mismas que fueron colocadas en una fuente de acceso público, como lo es el sitio web scribd.com, sin haber tomado las medidas necesarias para garantizar la confidencialidad del tratamiento de tales datos, como lo sería el llevar a cabo un proceso de disociación, mediante el cual los datos personales no pudieran asociarse al denunciante ni permitir, por su estructura, contenido o grado de desagregación, la identificación del mismo, cuestión que no aconteció.”

Principio de responsabilidad: La Infractora “tenía la obligación de guardar y velar por la confidencialidad de los datos personales del denunciante, lo cual implicaba vigilar, asegurarse y, en su caso, implementar las medidas de seguridad físicas, técnicas y administrativas, para que todas aquellas personas que intervinieran en cualquier fase del tratamiento de los datos personales y datos personales sensibles del denunciante, guardaran y velaran por la confidencialidad de dichos datos, situación que en la especie no aconteció, toda vez que existió una indebida publicación de los datos personales sensibles del denunciante en el sitio web scribd.com.”

• En lo relativo a la omisión en el aviso de privacidad sobre las opciones y medios para que los titulares limitaran el uso o divulgación de los datos personales, el Infractor a través de un escrito reconoció haber incurrido en la infracción.

• En relación al incumplimiento del deber de confidencialidad de la revisión al aviso de privacidad se advierte que en ningún momento se hace del conocimiento de los “prospectos de alumnos, de alumnos, personal administrativo y exalumnos” que al intervenir en el tratamiento de datos personales, estén obligados a guardar la confidencialidad sobre los mismos, máxime que el Infractor no aportó prueba alguna que lo acreditara.

• Por tratarse de datos sensibles se incrementó la sanción en un 100%.

SANCIÓN: $5,298,050.00 M.N.


Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión /  Cambiar )

Google photo

Estás comentando usando tu cuenta de Google. Cerrar sesión /  Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión /  Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión /  Cambiar )

Conectando a %s

A %d blogueros les gusta esto: