Instituto de la Infraestructura Física Educativa del Estado de Chiapas

Las leyes los definen como cualquier información concerniente a una persona física identificada o identificable. Se considera que una persona es identificable cuando su identidad pueda determinarse directa o indirectamente a través de cualquier información como puede ser su nombre, número de identificación, datos de localización o uno o varios elementos de la identidad física, fisiológica, genética, psíquica, patrimonial, económica, cultural o social de la persona. Los datos personales pueden estar expresados de forma alfabética (letras), numérica (números), alfanumérica (letras y números), gráfica (imágenes), acústica (sonido), etc.; como, por ejemplo: nombres y apellidos, edad, CURP o RFC, rostro y voz, entre otros.

De manera enunciativa, más no limitativa:

• Datos de identificación: nombre, CURP, RFC, nacionalidad, sexo, género, fecha de nacimiento, edad, firma, etc.
• Datos de contacto: domicilio particular, número telefónico fijo o móvil personal, cuenta de correo electrónico personal, etc.
• Datos laborales: experiencia laboral, puesto y domicilio, número telefónico y cuenta de correo electrónico del trabajo, entre otros.
• Datos académicos: educación, escolaridad o formación académica y número de cédula profesional.
• Datos patrimoniales: número de cuenta bancaria, CLABE interbancaria, historial crediticio, etc.
• Datos sobre salud física y mental: enfermedades o padecimientos y resultados de pruebas de laboratorio.
• Datos biométricos: rostro, huella digital o dactilar, iris, retina, geometría de la mano y del árbol de las venas del dedo, etc.
• Datos sensibles: origen étnico o racial, creencia religiosa, opiniones políticas, preferencia sexual, etc.
• Datos de naturaleza pública: nombre y domicilio, número telefónico y cuenta de correo electrónico oficial o institucional de personas servidoras públicas.

Es un derecho humano y fundamental de rango constitucional que tienen todas las personas para disponer y controlar sus datos de carácter personal, pudiendo decidir cuáles proporcionan a otras personas, así como conocer quién posee esos datos y para qué, y oponerse a esa posesión o tratamiento; el cual es un derecho autónomo e independiente del derecho de acceso a la información.

Son las personas físicas a quienes corresponden los datos personales, a ellas pertenecen.

En el sector público son los "sujetos obligados" de las leyes de transparencia y acceso a la información (cualquier autoridad, dependencia, entidad, organismo u órgano de los poderes Ejecutivo, Legislativo y Judicial, así como los organismos u órganos autónomos, los fideicomisos y fondos públicos y los partidos políticos), excepto los sindicatos y las personas físicas y morales que reciban y ejerzan recursos públicos o que realicen o ejerzan actos de autoridad, quienes son responsables de conformidad con la normatividad aplicable a los particulares; mientras que en el sector privado son los llamados "sujetos regulados" (personas físicas y morales de carácter privado), excepto las sociedades de información crediticia en determinados supuestos y las personas físicas que lleven a cabo la recolección y almacenamiento de datos personales para uso exclusivamente personal y sin fines de divulgación o utilización comercial.

Es un conjunto de operaciones realizadas con los datos personales para la consecución de ciertos fines que persigue el responsable; concretamente, consiste en ejecutar distintas operaciones durante el ciclo de vida de los datos personales, desde el momento de su obtención, pasando por su explotación o aprovechamiento, hasta su supresión o eliminación.

A manera de referencia enunciativa, no limitativa, un tratamiento se distingue por efectuar cualquier operación o conjunto de operaciones mediante procedimientos manuales o automatizados aplicados a los datos personales, relacionadas a partir de la obtención, uso, registro, organización, conservación, elaboración, utilización, comunicación, difusión, almacenamiento, posesión, acceso, manejo, aprovechamiento, divulgación, transferencia, remisión o disposición de datos personales.

Son un pilar fundamental que garantizan a la persona titular de los datos personales ese poder de decisión y control sobre la información que le concierne y que se traducen en obligaciones de hacer o no hacer a cargo del responsable, en cualquier tratamiento que efectúe; los cuales son:

• Calidad: los datos personales deben ser ciertos, exactos, completos, pertinentes, correctos y actualizados, en relación con la finalidad para la que fueron recabados.
• Consentimiento: toda manifestación previa, de voluntad libre, específica, informada e inequívoca por la que la persona titular acepta, mediante declaración o acción afirmativa, el tratamiento de sus datos personales.
• Finalidad: el responsable está obligado a determinar las finalidades concretas, lícitas, explícitas y legítimas que motivan cada tratamiento de datos personales que efectúe, las cuales deberán ser acordes con las atribuciones, facultades y funciones que la normatividad aplicable le confiere y también deberán estar previstas en el aviso de privacidad que ponga a disposición de la persona titular.
• Información: el responsable deberá informar a la persona titular sobre la existencia y las características principales del tratamiento al que serán sometidos sus datos personales, a través del aviso de privacidad, a fin de que pueda tomar decisiones informadas al respecto.
• Lealtad: el tratamiento se realizará sin que medie dolo, engaño o medios fraudulentos. En todo momento el responsable debe privilegiar la protección de los intereses de la persona titular y la expectativa razonable de privacidad, así como no vulnerar su confianza.
• Licitud: todo tratamiento debe sujetarse a las atribuciones, facultades y funciones que la normativa aplicable ha conferido, con apego y cumplimiento a la legislación mexicana y el derecho internacional.
• Proporcionalidad: el responsable tratará sólo aquellos datos personales que resulten necesarios, adecuados y relevantes en relación con las finalidades para las cuales se obtuvieron y que se encuentren previstas en el aviso de privacidad, limitando el periodo de tratamiento al mínimo indispensable.
• Responsabilidad: el responsable está obligado a implementar los mecanismos que considere convenientes para acreditar el cumplimiento de los principios rectores, deberes y obligaciones establecidas en la Ley, así como rendir cuentas sobre el tratamiento de datos personales en su posesión.

Además de los principios rectores, se reconocen dos deberes que también establecen obligaciones concretas a quienes traten datos personales; los cuales son:

Confidencialidad: el responsable deberá establecer controles o mecanismos que permitan que todas las personas que intervengan en cualquier fase del tratamiento de los datos personales guarden confidencialidad respecto de éstos, obligación que subsistirá aún después de que dichas personas finalicen su relación con el responsable. En cualquier caso, se deberá garantizar la secrecía y la no difusión de los datos personales sometidos a tratamiento.

Es importante considerar que este deber no debe confundirse con el secreto profesional al que están sometidas determinadas personas en función de la profesión que ejercen, ya que el deber de confidencialidad es genérico y alcanza a cualquier persona que intervenga en el tratamiento de los datos personales.

Seguridad: el responsable deberá establecer y mantener las medidas de seguridad de carácter administrativo, físico y técnico para la protección de los datos personales, que permitan protegerlos contra daño, pérdida, alteración, destrucción o su uso, acceso o tratamiento no autorizado, así como garantizar su confidencialidad, integridad y disponibilidad.