instituto nacional de transparencia, acceso a...

$: INSTITUTO NACIONAL DE TRANSPARENCIA, ACCESO A …corpusiurispdp.inai.org.mx/iberoamericano/Criterios/03S 02-001-201… · Sucursal de Responsable\rArtículos 116 de\rla LGTAIP y 113,$
INSTITUTO NACIONAL DE TRANSPARENCIA, ACCESO A LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES

SECRETARIA DE PROTECCIÓN DE DATOS PERSONALES

DIRECCIÓN GENERAL DE INVESTIGACIÓN Y VERIFICACIÓN Instituto Nacional de Transparencia,

Acceso a la Información y Protección de Datos Personales RESPONSABLE:

EXPEDIENTE DE VERIFICACIÓN: INAl.3S.07.02-001/2017.

RESOLUCIÓN: ACT-PRIV/22 /03/2017 .02.01.05

Fecha de clasificación: 08/03/2017

Unidad Administrativa: Dirección General de Investigación y Verificación.

Periodo de reserva: 3 meses~

Fundamento Legal: Artículo 110, fracciones XI y XIII de la

Ley Federal de Transparencia y Acceso a la Información Pública

Rúbrica del Titular de la Unidad Administrativa

Vistos los autos del expediente de verificación número INAl.3S .07.02-001/2017, se procede a dictar la presente Resolución en razón de los siguientes :

ANTECEDENTES

l. El veintiuno de octubre del dos mil dieciséis se recibió en la Oficialía de Partes de este Instituto, la denuncia presentada por el C.

-en lo subsecuente, el Titular-, en contra de -en adelante, la Responsable- , de cuyo contenido se desprende el siguiente

señalamiento:

" ... me inscribí el pasado 31 de agosto de 2016 en el plantel ubicado en para ello les proporcioné mi correo electrónico , número de teléfono,

dirección e hice el pago con mi tarjeta de crédito y el 15 de sept iembre empecé a recib ir mensaj es de Whatsapp del número [. . .] preguntándome si yo era [. . .], contesté que sí y pregunté quién me escribía no quiso darme su identidad , sólo me dijo que era una mujer y siguió escribiéndome , yo ignoré los mensajes, me escr ibió nuevamente el 16 de sept iembre por la noche y entonces le dije que si no daba su ident idad no me escribiera, entonces la bloqueé en Whatsapp . EL juev es 22 de septiembre recibí una llamada de este número , contesté y me colgaron , entonces llamé para saber quién era y me contesto . una persona que se identificó como [. . .] y me dijo que no me pod ía decir de dónde me conocía así que bloqueé el núm ero para llamadas.

1

carmen.vigil

Cuadro de texto

Razón social de Responsable Artículos 116 de la LGTAIP y 113, fracción I, de la LFTAIP

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto

Sucursal de Responsable Artículos 116 de la LGTAIP y 113, fracción I, de la LFTAIP

carmen.vigil

Cuadro de texto

Nombre del denunciante Artículos 116 de la LGTAIP y 113, fracción I, de la LFTAIP

Instituto Nacional de Transparencia, Acceso a la Información y

Protección de Datos Personales



DIRECCIÓN VERIFICACIÓN

GENERAL DE INVESTIGACIÓN Y

RESPONSABLE:


RESOLUCIÓN: ACT-PRIV /22/03/2017 .02.01.05

El día 27 de septiembre me empieza a escribir el [. . .] en el chat de Gmail, para decirme que sólo me quiere conocer, yo le dije que mis datos que ella estaba usando eran confidenciales y que lo que estaba haciendo era acoso.

Adjunto evidencias (3 hojas)

Solicito su valioso apoyo para que se verifique el uso que le están haciendo a mis datos personales en esta empresa." (sic)

[Énfasis añadido]

A la denuncia de mérito, adjuntó la siguiente documentación:

•Copia simple de la versión pública del comprobante de ingreso a [ ... ], del treinta y uno de agosto del dos mil dieciséis, a nombre del denunciante.

• Impresión de pantalla de llamadas recibidas a un teléfono celular, del que se advierten tres llamadas telefónicas provenientes del número [ ... ]; mismo al que alude el denunciante en el escrito citado en párrafos pretéritos.

• Impresión de conversación a través de la aplicación de mensajería instantánea Hangouts de Google, del cuatro de agosto.

11. El veinticinco de octubre del dos mil dieciséis, mediante oficio INAI/CPDP/DGIV/2719/16, de fecha veinticuatro del mismo mes y año, con fundamento en lo dispuesto por los artículos 39, fracción I de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, 129 y 131 de su Reglamento; 5, fracción VII, inciso n) y 39 fracciones 1, VI y VII , se informó al denunciante que la Dirección General de Investigación y Verificación procedería a realizar un análisis de su denuncia, con la finalidad de determinar su intervención, en términos de la normativa aplicable.

111. El veinticinco de octubre del dos mil dieciséis, mediante oficio INAI/CPDP/DGIV/2722/16, de fecha veinticuatro del mismo mes y año, con fundamento en los artículos 3, fracción XI, 38 y 39, fracción I de la Ley Federal de

2

carmen.vigil

Cuadro de texto







GENERAL DE INVESTIGACIÓN

RESPONSABLE:


RESOLUCIÓN: ACT-PRIV/22/03/2017 .02.01.05

Protección de Datos Personales en Posesión de los Particulares; 131 último párrafo de su Reglamento; 5, fracción VII, inciso n) y 39, fracciones 1, VI y VII , del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, 5, 51, 52 y 54, fracción 111 de los Lineamientos de los Procedimientos de Protección de Derechos, de Investigación y Verificación, y de Imposición de Sanciones , se notificó un Acuerdo de prevención al denunciante para que en un término de 5 (cinco) días hábiles, proporcionara la siguiente información:

1. Indique que tipo de relación guarda la Responsable con [la persona quien lo contactó], de contar con documentales mediante las cuales pruebe su dicho, se solicita sean remitidas las mismas.

2. Acredite la titularidad de la línea telefónica correspondiente al número celular al cual recibió los mensajes y/o llamadas a que hace referencia en su escrito de denuncia.

3. Proporcione el correo electrónico presuntamente de [fa persona quien lo contactó], mismo del que remitió los mensajes de chat, así como los mensajes remitidos vía WhatsApp a los que se refiere en su escrito de denuncia.

4. Además de lo que manifiesta en su denuncia, proporcione los elementos probatorios que estime pertinentes, mediante los cuales permita a esta Autoridad determinar fa existencia de presuntas violaciones a los principios de protección de datos personales establecidos en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

IV. El veintiséis de octubre del dos mil dieciséis, en atención al ofic io a que se refiere el Antecedente que precede, la Dirección General de Investigación y Verificación de este Instituto recibió dos correos electrónicos por parte del denunciante a través del cual informó lo siguiente :

3

y

carmen.vigil

Cuadro de texto








RESPONSABLE:



1. La relación que guarda {la Responsable] con {la persona quien lo contactó] es laboral, ya que ella trabaja en la escuela, en el área de ventas, ubicada en [. . .] (no cuento con documentos que lo prueben)

2. Se adjunta documento que prueba la titularidad de la línea telefónica

3. El correo electrónico del que recibí los mensajes es {. . .], en cuanto a los mensajes de Whatsapp ya no cuento con ellos porque los borré.

4. En el momento en el que me inscribí en {la Responsable] sólo proporcioné mis datos con fines de contacto con la empresa para temas escolares y los descritos en su página [. . .], sin embargo mis datos fueron utilizados por uno de sus empleados con nombre [la persona quien lo contactó] para contactarme por temas personales ya que cuando pregunté cuál era su intención al escribirme la respuesta fue: "Conocerte". Por ello quiero asegurarme que el trato que le están dando a mi información personal sea el adecuado y que se tomen las medidas necesarias para que mi información sea solamente utilizada para fines académicos.

En alcance al correo anterior le comento que llamé a la escuela y el nombre completo que me dieron de la empleada es [nombre completo de la persona quien lo contactó].

... " (sic)

Adjunto al correo electrónico del denunciante, anexó copia simple en versión pública del Estado de Cuenta de su línea telefónica.

V. El treinta y uno de octubre del dos mil dieciséis, mediante oficio INAI/CPDP/DGIV/2755/16, de fecha veintiséis del mismo mes y año, con fundamento en los artículos 3, fracción XI, 38 y 39, fracciones I y VI, 59 y 60 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; Octavo Transitorio de la Ley Federal de Acceso a la Información Pública; 5 y 55

4

y

carmen.vigil

Cuadro de texto






DIRECCIÓN GENERAL DE INVESTIGACIÓN VERIFICAC IÓN

RESPONSABLE:

EXPEDIENTE DE VERIFICACIÓN: INAl.3S.07 .02-001/2017.


de los Lineamientos de los Procedimientos de Protección de Derechos, de Investigación y Verificación, y de Imposición de Sanciones; 128 al 139 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 5, fracción VII, inciso n), 25, fracción XII, 39, fracciones 1, VI y VII del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, se notificó a la Responsable para que en un término de 5 (cinco) días hábiles, proporcionara la siguiente información:

1. Señale cuál es la relación jurídica que guarda o guardó su representada con el hoy denunciante y proporcione copia con la que acredite su dicho;

2. Señale detalladamente la información que su representada obtuvo, usa o almacena del denunciante indicando las fechas, anexando copia simple de los documentos que reflejan dicha información, en términos de los artículos 2 primer párrafo y 3 fracción XVIII de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

3. Indique cuál es el tratamiento que su representada, por sí o a través de un tercero, proporciona a los datos personales del hoy denunciante, en cumplimiento a los artículos 6, 7, 11, 12, 13, 14 y 19 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

4. Acredite la forma en que el denunciante otorgó el consentimiento para que sus datos personales fueran utilizados por su representada, en términos del artículo 8 de la Ley adjetiva de la materia, en relación con los diversos 11 y 12 de su Reglamento;

5. Acredite la forma en que su representada dio a conocer al denunciante el Aviso de Privacidad correspondiente, proporcionando copia simple del mismo, conforme a los artículos 15, 16, 17 y Transitorio TERCERO de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

6. Manifieste si transfirió los datos personales del denunciante a un tercero, de ser el caso, precise la fecha en que realizó dicha transferencia, a quién la realizó, el medio, así como el motivo por el que se realizó la transferencia y acredite tal situación con documenta/es que prueben su dicho, de conformidad con los

5

y

carmen.vigil

Cuadro de texto








RESPONSABLE:


RESOLUCIÓN: ACT-PRIV/22/03/2017.02.01.05

artfculos 36 y 37 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, 67, 68, 69, 7 4 y 75 de su Reglamento;

7. Proporcione instrumento jurfdico o documento por el cual su representada contrató a la C. [persona quien contactó al Titular] asimismo, señale el cargo que ocupa(ó) dentro de su empresa, para lo cual deberá anexar las documentales mediante las cuales se describan las funciones que realiza(ó), así como los datos personales de sus clientes a los cuales tiene acceso derivado de sus funciones; de conformidad con el artículo 131, último párrafo del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

8. Señale si su representada capacita o capacitó a su personal, en especial a la C. [persona quien contactó al Titular], sobre las obligaciones en materia de protección de datos personales, adjunte documentos para acreditar lo anterior, de conformidad con el artículo 48, fracción II del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

9. Señale si su representada designó a persona o departamento de datos personales , de ser el caso, adjunte documento que acredite lo anterior, de conformidad con el artículo 30 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

1 O. Señale si el número telefónico [. . .] pertenece a su representada, de ser el caso, anexe la documental que pruebe su dicho,

11. Proporcione copia certificada del documento con el cual acredite su carácter de apoderado legal de [la Responsable], de conformidad con los artículos 15-A fracciones I, 11 y 19 de la Ley Federal de Procedimiento Administrativo.

12. Señale lo que a su derecho convenga en relación con las manifestaciones realizadas en la denuncia de mérito, y

VI. El ocho de noviembre del dos mil dieciséis, se recibió en la Oficialía de Partes de este Instituto, escrito del siete de noviembre del presente año, mediante el cual la Responsable, manifestó medularmente lo siguiente:

6

y

carmen.vigil

Cuadro de texto








RESPONSABLE:

EXPEDIENTE DE VERIFICACIÓN: INAl.3S.07.02-00112017.

RESOLUCIÓN: ACT-PRIVl22 10312017.02.01.05

1. Según consta en los registros de [la Responsable], el C. [Titular] es alumno del Instituto de [la Responsable], (ubicada en[. . .]).

2. Tal y como consta en los documentos que actualmente integran el expediente del C. [Titular] , .. . mi representada obtuvo el pasado 31 de agosto de 2016 los siguientes datos personales del ahora denunciante:

• DA TOS DE CARÁCTER IDENTIF ICA TIVO:

o Nombre y apellidos

o Domicilio particular

o Correo electrónico

o Teléfono celular

o Firma

o Registro Federal de Contribuyentes

o Copia de identificació n

• DA TOS DE CARACTERÍSTICAS PERSONALES:

o Género

o Fecha de nacimiento

o Estado civil

o Edad

• DA TOS ECONÓMINO / FINANCIEROS:

o Datos de tarjeta de crédito/débito

7

y

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto





GENERAL DE INVESTIGACIÓN Instituto Nacional de Transparencia,



RESOLUCIÓN: ACT-PRIVl2210312017 .02.01.05

• DA TOS ACADÉMICOS

o Nivel de inglés (conforme a valoración de [la Responsable])

o Cursos y asistencias

3. [la Responsable] trata por sí los datos personales identificados en el inciso inmediato anterior, para las finalidades establecidas en nuestro Aviso de Privacidad Integral CUENTES Y ALUMNOS, disponible a través de la siguiente dirección de internet: [. . .].

El Aviso de Privacidad Integral de referencia establece, en la sección conducente:

D. Finalidades del tratamiento

a. Finalidades originarias y necesarias:

1. Contratación de los servicios prestados por [la Responsable], en sus modalidades presencial y online.

2. Gestión, control, administración y actualización de la información relacionada con clientes y alumnos para la prestación de los servicios contratados.

3. Gestión, control, administración y actualización de información de personas físicas que actúan como representantes legales o contactos designados de personas morales, que contratan servicios prestados por el Responsable.

4. Gestión, control y administración de las comunicaciones entre el Responsable y los alumnos y clientes.

5. Facturación de los servicios y productos proporcionados, así como su cobro judi cial o extrajudicial.

6. lmpartición, evaluación y seguimiento de los cursos educativos impartidos por [la Responsable], incluyendo la realización de pruebas de nivel sobre el conocimiento y uso de idiomas.

8

y

carmen.vigil

Cuadro de texto


INSTITUTO NACIONAL DE TRANSPARENCIA, ACCESO A LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSO NALES






RESPONSABLE:

EXPEDIENTE DE VERIFICACIÓN: INAl.3S.07.02-001/2017 .


7. En su caso, comunicac ión de los resultados sobre aprovecham iento y pruebas de nivel de los alumnos, hacia aquellas personas que han contratado los servicios del Responsable o hacia autoridades administrativas que legalmente deban conocerlos.

8. Monitorizac ión electrónica del aprovechamiento de los cursos impartidos por el Responsable .

9. Atención a alumnos y clientes a través de medios electrónicos .

10. Estadística y registro histórico de alumnos y clientes .

b. Finalidades adicionales

1. Envío de información y ofertas comerciales sobre productos y/o servicios comercializados por el Responsable .

En todo momento, usted podrá revocar su consentimiento para el tratamiento de sus datos personales en relación con las finalidades adicionales indicadas, mediante los mecanismos previstos en este Aviso de Privacidad y de conformidad con la legislación vigente.

4. [la Responsab le] recabó datos personales del C. [Titular] y obtuvo el consentimiento necesario para su tratamiento a través del pago de los servicios contratados y mediante la firma del anverso y reverso del Recibo de Cobro 273-21211 de fecha 31 de agosto de 2016.

Sin perjuicio de la formalidad a que hace referencia el párrafo inmediato anterior, los datos personales del ahora denunciante son tratados por [. . .] bajo el supuesto previsto en la fracción IV del artículo 1 O de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares ("LFPD 'J.

5. [la Responsable]dio a conocer el Aviso de Privacidad Integral CLIENTES Y ALUMNOS al C. [Titular] a través de:

a. El tótem informativo dispuesto en las instalaciones y zona de contratación del Instituto de [la Responsable] , en el que consta y puede consultarse el contenido del Aviso de Privacidad Integral CLIEN TES Y ALUMNOS , de [la Responsable];

9

y

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto






DIRECCIÓN GENERAL DE INVESTIGACIÓN VERIFICACIÓN

RESPONSABLE:

EXPEDIENTE DE VERIFICACIÓ N: INAl.3S.07.02-001/2017.


b. Las leyendas informativas que aparecen en el anverso y reverso del Recibo de Cobro 273-21211 de fecha 31 de agosto de 2016 que forma parte del expediente del ahora denunciante ...

c. A través del sitio web de {la Responsable], Sección "Avisos de Privacidad" [. . .].

6. [la Responsable] no ha transferido a ningún tercero los datos personales del C. [Titular].

7. Se adjunta al presente escrito, ... copia simple del contrato laboral por tiempo determinado celebrado entre {la Responsable] y la C. [persona quien contactó al Titular], de fecha 11 de Julio de 2016.

[La persona quien contactó al Titular] ocupa el puesto de Asistente Administrativo en el Instituto de [la Responsable] de Toluca. Los empleados de [la Responsable] que realizan funciones idénticas o similares en dicho puesto, tienen acceso a datos de contacto de nuestros alumnos y reciben la información contenida en los documentos: (a) Carta Aceptación de Aviso de Confidencialidad, (b) Carta de Protección de Datos y Redes Sociales, y (c) Carta Descripción de actividades y protección de datos ...

8. Se adjunta al presente escrito, . . . copia simple del "Kit de Bienvenida a [la Responsable]" y documentos relacionados, dentro de los cuales se incluye:

a. Carta de Aceptación de A viso de Confidencialidad

b. Carta de Descripción de actividades y protección de datos

c. Carta RIT y CDE

d. Carta de Protección de Datos y Redes Sociales

e. Autorización de envío de comprobantes

f. Carta lnfonavit

g. Carta aceptación de polít icas

10

y

carmen.vigil

Cuadro de texto







EXPEDIENTE DE VERIFICACIÓN: INAl.3$.07.02-001/2017.


De dicha información se deduce que, en el momento de su contratación, [la Responsable] pone en conocimiento de todos sus empleados la existencia de Políticas de Confidencialidad de la Información, con especial atención en el manejo de datos personales de nuestros clientes y colaboradores.

En concreto, a través de la documentación e información proporcionada en el "Kit de Bienvenida a [la Responsable]", el Responsable informa a todos sus empleados:

a. Que ha sido publicada la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

b. Que como empleados podrán llegar a tratar datos personales de nuestros alumnos, consistentes en (i) nombre, (ii) nacionalidad, (iii) teléfono celular, de trabajo o casa, (iv) correo electrónico, (v) nivel de inglés, (vi) datos de lugar de trabajo;

c. Que dichos datos deben ser tratados como información confidencial propiedad de [la Responsable];

d. Que no pueden divulgar, transmitir, vender o por cualquier otro medio comercializarlos, compartir dichos datos personales, ni usarlos con fines distintos para /os cuales [la Responsable]los recaba;

e. Que /as obligaciones indicadas subsisten aun cuando ya no exista una relación obrero-patronal o de subordinación con [la Responsable];

f. Que, tratándose especfficamente del uso de redes sociales o páginas de internet, tampoco pueden divulgar, transmitir, vender o comercializar, por dichos medios, los datos personales a los que hayan tenido acceso;

g. Que no están autorizados para realizar comentarios, posteos o cualquier otra actividad dentro del perfi l de Facebook de [la Responsable] que impliquen la divulgación de información personal , académica tanto de empleados como de los estudiantes y clientes de [la Responsable].

De todo lo anterior se deduce que [la Responsable], desde la propia contratación de sus empleados, informa y concientiza a su personal sobre la existencia de una legislación orientada a la protección de /os datos

11

y

carmen.vigil

Cuadro de texto




DIRECCIÓN GENERAL DE INVESTIGACIÓN VERIFICACIÓN Instituto Nacional de Transparencia,




persona les, de la conf idencial idad con que deben tratar dicha inform ación y de las acciones expresamente prohibidas por [la Respo nsable] , que pueden poner en riesgo la confidencialidad de dicha información .

9. Tal y como consta en la información proporcionada por [la Responsable] en el inciso G de su Aviso de Privacidad Integral CLIENTES Y ALUMNOS , existe un Departamento de Datos Personales encargado de atender , entre otros asun tos relacionados con datos personales, solic itudes de ejercicio de los derechos ARCO .

10. El número telefónico[. . .] no pertenece a [la Responsable].

Según se desprende de la Solicitud de Empleo de la C. persona quien contactó al Titular], de fecha 5 de julio de 2016 .. . dicho número telefónico correspondería a dicha persona .

Cabe señalar que, en la solicitud de referencia , la C. [persona quien contactó al Titular] indicó que el cliente de su cuenta de correo es "Hotmail" ("Microsoft ') .

11. Tal y como ha sido indicado en el encabezado de este escrito , se adjunta como Anexo A copia certificada de la Escritura Pública de fecha 12 de Agosto de 2015 ante la fe del Lic. Marco Antonio Ruiz Aguirre, Notario Público No. 229 en la Ciudad de México.

12. Resulta procedente indicar a ese H. Institu to, como información y circunstancias adiciona/es a las previstas en el requerimiento que se contesta , relacionadas también con /as manifestaciones realizadas en la denuncia que dio origen al presente procedimiento , lo siguiente :

(i) Existen elementos para definir y concluir que, en el caso concreto que nos ocupa , [la Responsable] ha informado y advertido adecuadamente a la empleada persona quien contactó al Titular], sobre sus obligaciones de confidencialidad en relación con el tratamiento de datos personales de nuestros alumnos , desde el momento mismo de su contratación , el pasado 11 de julio de 2016.

12

y

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto

Número de instrumento notarial Artículos 116 de la LGTAIP y 113, fracción I, de la LFTAIP







(ii) Que conforme a la información que será expuesta a continuación, es necesario subrayar que [la Responsable]ha sufrido una violación de sus políticas de protección de datos personales, por parte de una persona que, aun siendo cuestionada directamente al respecto, ha mentido sobre la forma en que usó información de uno de nuestros alumnos.

(iii) Sobre lo anterior, debe indicarse a ese H. Instituto que con motivo de la reclamación dirigida por el C. [Titular] a nuestro Corporativo, el día 10 de octubre de 2016 mi representada levantó un Acta Circunstancia de Hechos ... en presencia de la C. [persona quien contactó al Titular].

(iv) A tales efectos, se informó a la C. [persona quien contactó al Titular] que [la Responsable] había recibido una queja en la que se alegaba el uso incorrecto de información de contacto del C. [Titular] (sin contar, a tales efectos, con copia de las comunicaciones descritas por el ahora denunciante).

(v) Cuestionada directamente si había incurrido en las faltas comunicadas, nuestra empleada manifestó por escrito que: "No se contacto (sic) a la persona mencionada para otra situación que no fuera de índole de asesorías (sic)"

(vi) Tras el levantamiento del acta de referencia, [la Responsable] dispuso del seguimiento de la queja presentada por el C. [Titular], aunque dicho seguimiento se ha visto interrumpido por la notificación del oficio que se contesta.

(vii) [la Responsable] desconocía y desconoce la existencia de las comunicaciones (de fecha indeterminada) supuestamente realizadas por "[la persona quien contactó al Titular]", a través del sistema de mensajería "Hangouts" de "Google".

De hecho, [la Responsable] desconoce si [la persona quien contactó al Titular] cuenta con una cuenta personal de correo "Gmail" (Google), dado que sólo tenla conocimiento, a través de su Solicitud de Empleo, de una cuenta "Hotmail".

(viii) Finalmente, indicar que mi representada queda a disposición de ese H. Instituto para proporcionar información adicional, pertinente y en su poder,

13

carmen.vigil

Cuadro de texto








. . . "( sic).


con el objeto de aclarar los hechos denunciados en beneficio del propio denunciante y del Responsable, con independencia de las acciones legales que [la Responsable] pudiera adoptar en defensa de sus intereses .

Al escrito de mérito, la Responsable anexó la siguiente documentación :

• Copia certificada del Instrumento Notarial del doce de agosto del dos mil quince, emitido por el Notario Público número 229 (doscientos veintinueve) del Distrito Federal.

• Dos copias simples de recibo de cobro del treinta y uno de agosto del dos mil dieciséis, a nombre del denunciante.

• Copia simple de documento intitulado REM-01, mismo que contiene datos personales del denunciante, del treinta y uno de agosto del dos mil dieciséis .

• Copia simple de credencial con fotografía, expedida por el Instituto de Seguridad Social del Estado de México y Municipios , a nombre del denunciante .

• Tres copias simples de facturas expedidas por la Responsable del catorce de septiembre del dos mil dieciséis , a nombre del denunciante.

• Copia simple de dos listas de asistencia del seis y veintidós de octubre del dos mil dieciséis, misma que contiene el nombre completo del denunciante.

• Impresión del Aviso de Privacidad Integral "CLIENTES Y ALUMNOS " de la Responsable con última fecha de actualización del veinticuatro de junio del dos mil dieciséis.

14

y

carmen.vigil

Cuadro de texto






DIRECCIÓN GENERAL DE INVESTIGACIÓN Y VERIFICACIÓN

RESPONSA BLE:



• Copia simple de contrato individual de trabajo por tiempo determinado, celebrado entre la Responsable y la empleada de la Responsable, el once de julio del dos mil dieciséis.

• Copia simple de "Carta de Aceptación del Aviso de confidencialidad", del cinco de julio del dos mil dieciséis, signado por la empleada de la Responsable.

• Copia simple de "Carta de Protección de Datos y Redes Sociales", del cinco de julio del dos mil dieciséis, signado por la empleada de la Responsable.

• Carta de Descripción de actividades y protección de datos, del once de julio del dos mil dieciséis, signado por la empleada de la Responsable.

• Copia simple de solicitud de empleo del cinco de julio del dos mil dieciséis, misma que contiene datos personales de la empleada de la Responsable.

• Copia simple del Acta circunstanciada de hechos, de fecha diez de octubre del dos mil dieciséis, levantada con motivo de presuntas faltas cometidas por la empleada de la Responsable.

VII. El nueve de noviembre del dos mil dieciséis, mediante oficio INAI/CPDP/DGIV/2868/16, de la misma fecha, con fundamento en los artículos 3, fracción XI, 38 y 39, fracciones I de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 32, 35 y 38 de la Ley Federal de procedimiento administrativo de aplicación supletoria, 131 último párrafo del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; así como 5 fracción VII, inciso n) y 39, fracciones 1, VI y VII del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, se notificó al denunciante la vista con la respuesta proporcionada por la Responsable , para que en un término de 5 (cinco) días hábiles , manifestara lo que a su derecho conviniera.

15

carmen.vigil

Cuadro de texto









VIII. El quince y dieciséis de noviembre del dos mil dieciséis, en atención a la vista a que se refiere el Antecedente que precede, se recibieron dos correos electrónicos en la cuenta de la Dirección General de Investigación y Verificación de este Instituto, en los que el denunciante manifestó lo siguiente:

- En respuesta al punto número 12 inciso vii en la página 7, se adjunta imagen del mensaje de correo electrónico enviado a [. . .] que comprueba que les fue notificado el día 28 de septiembre sobre lo que estaba sucediendo incluyendo la fecha (27 de septiembre) y el medio (chat de Gmail) por el que me contactó [la persona quien contactó al Titular].

- Quiero aclarar que el aviso de confidencialidad (ANEXO B) que me lo hicieron llegar y que firme tiene fecha 29 de septiembre , un día después de haber enviado el correo a[. . .]

- Solicito se me haga saber qué medidas tomó y tomará [la Responsable] para corroborar que esta información no fue utilizada por alguna otra persona y que en un futuro no volverá a ser utilizada para otros fines que no sean académicos dado a que a quien le entregué mis datos personales fue a la empresa [la Responsable] y es directamente responsable del uso que se haga de ellos.

Deseo añadir que el correo que envié a [la Responsable] el 28 de septiembre no recibe respuesta alguna .

... " (sic)

IX. El dieciocho de noviembre del dos mil dieciséis, mediante oficio INAI/CPDP/DGIV/2936/16 , de fecha diecisiete del mismo mes y año, con fundamento en los artículos 3, fracción XI, 38 y 39, fracciones I y VI, 59 y 60 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; Octavo Transitorio de la Ley Federal de Acceso a la Información Pública; 5 y 55

16

y

carmen.vigil

Cuadro de texto







RESPONSABLE:



de los Lineamientos de los Procedimientos de Protección de Derechos, de Investigación y Verificación , y de Imposición de Sanciones ; 128 al 139 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares ; 5, fracción VII, inciso n), 25, fracción XII, 39, fracciones 1, VI y VII del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, se requirió a la Responsable para que en un término de 5 (cinco) días hábiles, proporcionara la siguiente información:

1. Señale el (los) número(s) telefónico(s) así como la(s) cuenta(s) de correo electrónico a través de las cuales su representada establece comunicación con sus clientes para los fines establecidos en su A viso de Privacidad;

2. Remita la respuesta proporcionada al denunciante, respecto de la atención a su queja presentada a través del correo electrónico [. . .] el pasado 28 de septiembre del presente año, remitiendo para ello las documentales que prueben su dicho;

3. Describa minuciosamente y remita las documentales que acrediten las medidas establecidas por su representada para garantizar el debido tratamiento de los datos personales , lo anterior, en términos de lo establecido en los artículos 14 y 48 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

X. El diecisiete de noviembre del dos mil dieciséis, con fundamento en los artículos 5, 38 y 39, fracción I de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 79 y 90 del Código Federal de Procedimientos Civiles; 5, fracción VII , inciso n) y 39, fracciones 1, VI y VI del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos; el Director General de Investigación y Verificación de este Instituto, emitió Acuerdo por el que se tiene por tercero interesado a la empleada de la Responsable, mismo que fue notificado el veinticuatro del mismo mes y año, mediante el diverso INAI/CPDP /DG IV/2941/16.

17

y

carmen.vigil

Cuadro de texto








RESPONSABLE:



XI. El veinticuatro de noviembre del dos mil dieciséis, mediante oficio INAI/CPDP/DGIV/2937/16 , de fecha diecisiete del mismo mes y año, con fundamento en los artículos 3, fracción XI, 38 y 39, fracciones I y VI, 59 y 60 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; Octavo Transitorio de la Ley Federal de Acceso a la Información Pública; 5 y 55 de los Lineamientos de los Procedimientos de Protección de Derechos, de Investigación y Verificación, y de Imposición de Sanciones; 128 al 139 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares ; 5, fracción VII, inciso n), 25, fracción XII , 39, fracciones 1, VI y VII del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, se notificó un requerimiento a la empleada de la Responsable, para que en un término de 5 (cinco) días hábiles, proporcionara la siguiente información:

1. Señale cuál es la relación jurfdica que guarda o guardó con el hoy denunciante y proporcione copia con la que acredite su dicho;

2. Señale detalladamente la información que obtuvo, usa o almacena del denunciante, en su caso, proporcione copia simple de los documentos que reflejan dicha información , en términos de los artículos 2 primer párrafo y 3 fracción XVIII de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

3. Señale cómo obtuvo los datos personales del denunciante, acreditando su dicho en términos del artículo 7 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

4. Mencione si el correo electrónico [. . .] le pertenece , de ser el caso, señala si se comunicó con el denunciante a través del servicio de mensajería.

5. Acredite la forma en que el denunciante otorgó el consentimiento para que sus datos personales fueran utilizados por usted, en términos del artículo 8 de la Ley adjetiva de la materia, en relación con los diversos 11 y 12 de su Reglamento;

18

y

carmen.vigil

Cuadro de texto







RESOLUCIÓN: ACT-PRIV/22 /03/2017 .02.01.05

6. Señale lo que a su derecho convenga en relación con las manifestaciones realizadas en la denuncia de mérito , y

XII. El veintiocho de noviembre del dos mil dieciséis, la Responsable atendió el requerimiento a que se refiere el Antecedente que precede a través de un correo electrónico manifestando lo siguiente:

1. Los números telefónicos y cuentas de correo de atención a clientes del de [la Responsable] , son los siguientes:

Teléfonos: [. .. ]

Correos electrónicos: [ ... ]

2. Debido a que el ahora denuncian te utilizó la cuenta de correo [. . .] en luga r de la cuenta de correo establecida en el Aviso de Privacidad Integra l CLIEN TES Y ALUMNOS [. . .], su comunicación de fecha 28 de sept iembre de 20 16 no fue respond ida dentro de un plazo legal o término previamente establec ido; además , se suspendió cualquier respuesta al ahora denunciante desde el momento en que [la Responsable ] fue notificado del Oficio INAl!CPDP!DGIV/2755116 emit ido por ese H. Instituto.

3. La base electrón ica de datos persona /es de CLIENTES Y ALUMNOS de [la Responsable] es resguardada en terminales con un sistema de identificac ión y autenticación ]"Active Directory " de Windows y Cifrado MD5, además de contar con un manual de "Web contacts " en donde se señalan los pasos en que se deben establecer contacto con los alumnos . ...

El ingreso a dicha base de datos se realiza a través de la plataforma "lntelisis " [. . .] a la que sólo se puede accederse con una cuenta de usuar io definida por un perfi l, dependiendo del puesto del colaborador de [la Responsable] (vendedor , director , coordinador , entre otros).

19

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto








RESPONSABLE:

EXPEDIENTE DE VERIFICACIÓN: INAl.35.07.02-001/2017.


Los datos personales recabados son almacenados en dicha plataforma y sólo se utilizan para los fines establecidos en el Aviso de Privacidad CLIENTES Y ALUMNOS de [la Responsable] ([. . .]).

Por otro lado, en el momento de su contratación, el personal de [la Responsable] firma como parte de su "Kit de Contratación" lo documentos que lo hacen conocedor de las obligaciones y posibles sanciones al tener acceso a datos personales de Clientes u otros titulares de datos personales, con motivo de sus funciones. También se les hace sabedores de estas obligaciones mediante el Código de Ética de [la Responsable]. .. Estos (y otros) documentos originales son resguardados por el área de Recursos Humanos de [la Responsable].

Adicionalmente , [la Responsable] cuenta con Políticas de Redes Sociales y Uso de Correo e Internet en donde se insta y se hace del conocimiento de los colaboradores la importancia que tiene el uso adecuado de dichas herramientas para salvaguardar la confidencialidad de la información en posesión de la empresa. Se cuenta, además, con un procedimiento establecido para Alta e Inscripción de Alumnos, en el que se detalla el curso que debe seguir el tratamiento de la información de dichas personas.

En apoyo a todo lo anterior, adjunto al presente escrito la siguiente documentación interna de [la Responsable]:

a) Política de Redes Sociales - POL - MK - 202 - 01 .. .

b) Política de Uso de Correo Electrónico y Acceso a Internet - POL - TI - 802 - 01

e) Procedimiento de Alta e Inscripción de Alumnos - PRO - OP - 401 - 02 ...

A partir del contenido y alcance de dicha documentación, cabe señalar ante ese H. Instituto que, en ningún momento, ni bajo ninguna circunstancia, [la Responsable] prevé ni autoriza el uso de "WhatsApp" o "Hangouts" como medios de comunicación o de contacto de nuestros colaboradores con nuestros clientes o alumnos.

20

y

carmen.vigil

Cuadro de texto







RESPONSABLE:



Por lo anterior, el uso de dichos medios electrónicos de comunicación es responsabilidad directa de aquellas personas que los utilizan en violación de nuestras políticas corporativas de seguridad de la Información .

.. . " (sic)

Al escrito de mérito, la Responsable anexó la siguiente documentación:

• Política de la Responsable denominada "Código de Ética", con fecha de última actualización del nueve de febrero del dos mil once.

• Política de la Responsable denominada "Redes Sociales", con fecha de última actualización del uno de octubre del dos mil doce.

• Política de la Responsable denominada "Uso del Correo Electrónico y Acceso a Internet", con fecha de última actualización del dos de julio del dos mil doce.

• Procedimiento denominado "Alta e Inscripción de Alumnos" del Manual de Políticas y Procedimientos de la Responsable, con fecha de emisión del once de diciembre del dos mil trece.

• Política "Prospección y Ventas Alumnos Retail" del Manual Uso de Sistema Web Contacts de la Responsable.

XIII. El treinta de noviembre del dos mil dieciséis, con fundamento en lo dispuesto en los artículos 28 y 30 de la Ley Federal de Procedimiento Administrativo y 130 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, personal adscrito a la Dirección General de Investigación y Verificación hizo constar que el término de 5 (cinco) hábiles otorgados a la Responsable para desahogar el requerimiento a que se refiere el Antecedente XI, transcurrió del veintidós al veintiocho de noviembre del dos mil dieciséis , por lo que el plazo señalado para el desahogo correspondiente venció el veintiocho de noviembre del dos mil dieciséis.

21

carmen.vigil

Cuadro de texto






DIRECCIÓ N GENERAL DE INVESTIGACIÓN VERIFICACIÓN

RESPONSABLE:



XIV. El uno de diciembre del dos mil dieciséis , se recibió correo electrónico por medio del cual la Tercero Interesado, desahogó el requerimiento formulado mediante el diverso INAI/CPDP/DGIV/2937/16 identificado en el antecedente XIII del presente Acuerdo, en los siguientes términos:

1. La relación que existe entre el denunciante y la suscrita es de Empleada-Alumno , esto es así ya que la hoy denunciante realizó su inscripción en la Institución Educativa para la cual presto mis servicios laborales, fuera de dicha relación no existe vínculo alguno que una a la suscrita con el denunciante.

2. La información que obtuvo la suscrita del hoy denunciante es: (i) Nombre, (ii) teléfono celular y (iii) correo electrónico.

3. Los datos fueron obtenidos de la plataforma denominada INTELISIS (herramienta que utilizo para realizar mis labores mediante el usuario y contraseña que me son proporcionados y con el único fin de desempeñar mis actividades). Siendo de mi conocimiento que todos los datos ahí contenidos deben ser tratados con absoluta confidencialidad respetando en todo momento las políticas establecidas por la empresa para la cual laboro.

4. El correo señalado es mi cuenta personal de Gmail, y se estableció contacto con el hoy denunciante a través del servicio de mensajería denominado "Google Hangouts", realizándose únicamente el envío de los mensajes que el hoy denunciante presenta en su escrito de queja.

5. El hoy denunciante no me otorgó su consentimiento para utilizar sus datos personales ni establecer contacto con él para fines diversos, es de mi conocimiento que únicamente otorgó su consentimiento para los fines establecidos en el A viso de Privacidad de la empresa para la cual laboro.

6. Cabe señalar que el contacto que realizo la suscrita con el hoy denunciante fue proporcionar al mismo información referente con el curso al cual se inscribió, ya que es de mi conocimiento que la información que me sea puesta a mi disposición con motivo de mi labor debe ser mantenida y tratada con confidencialidad y que la misma no puede ser usada para fines distintos a los establecidos en mi contrato y en la descripción de mi puesto, en caso contrario soy consciente del perjuicio que

22

y

carmen.vigil

Cuadro de texto







RESPONSABLE:

EXPEDIENTE DE VERIFICACIÓN: INAl.3S.07 .02-001 /2017.


con dicha acción pudiera causar a la empresa para la cual presto mis servicios laborales, y de las sanciones a las que me hago acreedora en caso de actuar de forma diversa a lo que me ha sido encomendado.

Me permito indicar que se reconozco que no debí haber establecido contacto con el hoy denunciante a través de mi cuenta de correo electrónico y número telefónico personal , ya que con esta acción se pudo haber causado afectación al hoy denunciante y a la empresa para la cual laboro ya que la misma ha hecho de mi conocimiento en todo momento las poffticas que rigen la protección de datos que sean puestos a mi disposición con motivo de mi labor .

... " (sic) .

XV. De conformidad con el punto PRIMERO del Acuerdo por el que se delegan al Secretario de Protección de Datos Personales diversas facultades para dictar, conjuntamente con los Directores Generales que se indican, diversos acuerdos en los procedimientos de verificación, protección de derechos e imposición de sanciones1, el dieciséis de enero del dos mil diecisiete, el entonces Coordinador de Protección de Datos Personales y el Director General de Investigación y Verificación2 de este Instituto, acordaron iniciar el Procedimiento de Verificación en contra de [la Responsable], derivado del análisis realizado a las actuaciones y documentales integradas al expediente de las que se desprenden elementos suficientes que motivan la causa legal para iniciar el procedimiento de verificación a la Responsable por presuntas violaciones a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento, cuyo objeto y alcance está dirigido a: 1) verificar que los datos personales del denunciante hayan sido tratados conforme a los principios de protección de datos personales, 2) verificar que el Aviso de Privacidad de la Responsable cumpla con

1 Publicado en el Diario Oficial de la Federación el cuatro de marzo del dos mil catorce. 2 En funciones de Secretario de Protección de Datos Personales y de Director General de Verificación, en tanto se reforme el Reglamento Interior de este Instituto vigente, publicado en el Diario Oficial de la Federación el veinte de febrero del dos mil catorce; de conformidad con lo dispuesto en el considerando 23, inciso f), vilieta tercera del Acuerdo mediante el cual se aprueban las modificaciones a la Estructura Orgánica del Instituto Nacional de Transparencia , Acceso a la Información y Protección de Datos Personales.

23

y

carmen.vigil

Cuadro de texto







RESPONSABLE:



los elementos establecidos en la normatividad de la materia, 3) Verificar la manera en que recaba los datos personales y 4) Verificar las medidas de seguridad administrativas, técnicas y físicas implementadas que le permitan proteger los datos personales que recaba.

XVI. El dieciocho de enero del dos mil diecisiete, mediante oficio INAI/CPDP/DGIV/0166/17, del diecisiete del mismo mes y año, con fundamento en lo dispuesto en los artículos 3, fracción XI, 38 y 39, fracciones I y VI , 59 y 60 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 128 al 139 de su Reglamento; 5, fracciones 1, VI y VII, inciso n), 14, 24, fracciones XX y XXV, 25, fracción XII y 39, fracciones II y VIII del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos; Séptimo Transitorio del Decreto por el que se reforman y adicionan diversas disposiciones de la Constitución Política de los Estados Unidos Mexicanos en materia de transparencia; 3, fracción XIII y Tercero Transitorio de la Ley General de Transparencia y Acceso a la Información Pública; y el punto PRIMERO del Acuerdo por el que se delegan al Secretario de Protección de Datos Personales diversas facultades para dictar conjuntamente con los Directores Generales que se indican, diversos acuerdos en los procedimientos de verificación, protección de derechos e imposición de sanciones , se notificó al denunciante mediante la cuenta de correo electrónico de la Dirección General de Investigación y Verificación de este Instituto, el Acuerdo de Inicio de Procedimiento de Verificación, referido en el Antecedente que precede.

XVII. El veinticinco de enero del dos mil diecisiete , mediante oficio INAI/CPDP/DGIV/0168/17, del diecisiete del mismo mes y año, con fundamento en lo dispuesto en los artículos 3, fra_cción XI, 38 y 39, fracciones I y VI , 59 y 60 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 128 al 139 de su Reglamento; 5, fracciones 1, VI y VII, inciso n), 14, 24, fracciones XX y XXV, 25, fracción XII y 39, fracciones 11 y VIII del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos; Séptimo Transitorio del Decreto por el que se reforman y adicionan diversas

24

carmen.vigil

Cuadro de texto


INSTITUTO NACIONAL DE TRANSPARENCIA , ACCESO A LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES




EXPEDIENTE DE VERIFICACIÓN: INAl.3S.07.02-001 /2017.

RESOLUCIÓ N: ACT-PRIV /22/03/2017 .02.01.05

disposiciones de la Constitución Política de los Estados Unidos Mexicanos en materia de transparencia; 3, fracción XIII y Tercero Transitorio de la Ley General de Transparencia y Acceso a la Información Pública; y el punto PRIMERO del Acuerdo por el que se delegan al Secretario de Protección de Datos Personales diversas facultades para dictar conjuntamente con los Directores Generales que se indican, diversos acuerdos en los procedimientos de verificación, protección de derechos e imposición de sanciones, se notificó a la Responsable el Acuerdo de Inicio de Procedimiento de Verificación, referido en el Antecedente XVII.

XVIII. El veinticinco de enero del dos mil diecisiete, mediante oficio INAI/SPDP/DGIV/026/17, del veintitrés del mismo mes y año, en atención al Acuerdo de Inicio de Procedimiento de Verificación, con fundamento en lo dispuesto en los artículos 3 fracción XI, 38 y 39 fracciones 1, 11 y VI, 59 y 60 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 128 a 138 de su Reglamento; 5 fracción VII inciso n) y 39 fracciones 11, VI y VIII del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, la Dirección General de Investigación y Verificación de este Instituto, notificó un requerimiento a la Responsable para que en un término de 5 (cinco) días hábiles, presentara la siguiente información:

1. Señale cuál es la relación ju rídica que guarda o guardó su representada con el hoy denunciante y proporcione copia con la que acredite su dicho;

2. Señale detalladamente la información que su representada obtuvo, usa o almacena del denunciante indicando las fechas, anexando copia simple de los documentos que reflejan dicha información, en términos de los artículos 2 primer párrafo y 3 fracción XVIII de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

3. Indique cuál es el tratamiento que su representada, por sf o a través de un tercero, proporciona a los datos personales del hoy denunciante, en cumplimiento a los artículos 6, 7, 11, 12, 13, 14 y 19 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

25

carmen.vigil

Cuadro de texto



SECRETA RIA DE PROTECCIÓN DE DATOS PERSONALES



DIRECCIÓ N GENERAL DE INVESTIGACIÓN VERIFICACIÓN

RESPONSABLE:

EXPEDI ENTE DE VERIFICACIÓN: INAl.35.07.02-001/2017.


4. Acredite la forma en que el denunciante otorgó el consentimiento para que sus datos personales fueran utilizados por su representada, en términos del articulo 8 de la Ley adjetiva de la materia, en relación con los diversos 11 y 12 de su Reglamento;

5. Acredite la forma en que su representada dio a conocer al denunciante el Aviso de Privacidad correspondiente, proporcionando copia simple del mismo, conforme a los artículos 15, 16, 17 y Transitorio TERCERO de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

6. Aclare el motivo por el cual el recibo de cobro del treinta y uno de agosto del dos mil dieciséis contiene firma de recibido por el Titular del dos de septiembre del dos mil dieciséis y en el anverso la firma la aceptación del Aviso de confidencialidad corresponde al veintinueve de septiembre del dos mil dieciséis.

7. Manifieste sí transfirió los datos personales del denunciante a un tercero, de ser el caso, precise la fecha en que realizó dicha transferencia, a quién la realizó, el medio, así como el motivo por el que se realizó la transferencia y acredite tal situación con documentales que prueben su dicho, de conformidad con los artículos 36 y 37 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, 67, 68, 69, 74 y 75 de su Reglamento;

8. Proporcione instrumento jurídi co o documento por el cual su representada contrató a la C. [persona quien contactó al Titular], asimismo, señale la relación juri dica que actualmente guarda, el cargo que ocupa(ó) dentro de su empresa, para lo cual deberá anexar las documentales mediante las cuales se describan las funciones que realiza(ó), así como los datos personales de sus clientes a los cuales tiene acceso derivado de sus funciones; de conformidad con el artículo 131, último párrafo del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

9. Señale si su representada capacita o capacitó a su personal, en especial a la C. [persona quien contactó al Titular], sobre las obligaciones en materia de protección de datos personales, adjunte documentos para acreditar lo anterior, de conformidad con el artículo 48, fracción II del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

26

y

carmen.vigil

Cuadro de texto







RESPONSABLE :



1 O. Señale si su representada designó a persona o departamento de datos personales, de ser el caso, adjunte documento que acredite lo anterior, de conformidad con el artículo 30 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

11. Señale si el número telefónico [. . .] y el correo electrónico [. . .] pertenecen a su representada, de ser el caso, anexe la documental que pruebe su dicho,

12. Señale el (los) número(s) telefónico(s) así como la(s) cuenta(s) de correo electrónico a través de las cuales su representada de manera oficial establece comunicac ión con sus clientes para los fines establecidos en su Aviso de Privacidad;

13. Remita la respuesta proporcionada al denunciante, respecto de la atención a su queja presentada a través del correo electrónico [. . .] el pasado 28 de septiembre del presente año, remitiendo para ello las documentales que prueben su dicho;

14. Describa minuciosamente y remita las documentales que acrediten las medidas establecidas por su representada para garantizar el debido tratamiento de los datos personales , lo anterior, en términos de lo establecido en los artículos 14 y 48 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

15. Proporcione copia certificada del documento con el cual acredite su carácter de apoderado legal de [la Responsable], de conformidad con los artículos 15-A fracciones /, 11 y 19 de la Ley Federal de Procedimiento Administrativo.

16. Señale Jo que a su derecho convenga en relación con las manifestaciones realizadas en la denuncia de mérito, y

XIX. El uno de febrero del dos mil diecisiete, mediante escrito presentado en la Oficialía de Partes de este Instituto y el dos de febrero del dos mil diecisiete a través del correo electrónico de este Instituto, la Responsable atendió el requerimiento a que se refiere el Antecedente que precede, en los siguientes términos:

27

y

carmen.vigil

Cuadro de texto








En relación con la información solicitada a través del Oficio Número INAIISPDPIDGIV/0026117 que se contesta, corresponde responder en el correlativo orden en que ésta fue solicitada, de la siguiente forma:

1. Según consta en los registros de [la Responsable], el C. [Titular] es alumno del Instituto [la Responsable] , sucursal Toluca (ubicada en [. . .]).

Tal y como consta en la Documentación Previa A I Anexo B que obra en poder de ese Instituto (Expediente de Investigación INAl.3S.08.02-0243/2016), mi representada ha acreditado la relación jurí dica existente entre {la Responsable] y el C. [Titular], mediante copia simple del Recibo de Cobro 273-21211 de fecha 31 de agosto de 2016 a través del cual el C. [Titular] formalizó la contratación de los servicios de [la Responsable] , en su calidad de cliente y estudiante.

2. Tal y como consta en los documentos que integran el expediente del C. [Titular], cuya copia simple consta en la Documentación Previa A I Anexo C que obra en poder de ese Instituto, mi representada obtuvo el pasado 31 de agosto de 2016 los siguientes datos personales del ahora denunciante:

• DA TOS DE CARÁCTER IDENTIFICAT/VO:

o Nombre y Apellidos

o Domicilio particular

o Correo electrónico

o Teléfono celular

o Firma

o Registro Federal de Contribuyentes

o Copia de Identificación

•DATOS DE CARACTERÍSTICAS PERSONALES:

o Género

28

y

carmen.vigil

Cuadro de texto




DIRECCIÓN GENERAL DE INVESTIGACIÓN Instituto Nacional de Transparencia,

Acceso a la Información y Protección de Datos Personales

VERI FICACIÓN

RESPO NSABLE:



o Fecha de nacimiento

o Edad

• DA TOS ECONÓMICO/ FINA NCIEROS:

o Datos de tarjeta de crédito/débito

• DATOS ACADÉMICOS

o Nivel de inglés (conforme a valoración de[. . .]),

o Cursos y asistencias

3. Tal y como fue indicado durante la tramitación del Expediente de Investigació n INAl.3S.08.02-0243!2016, [la Responsable] trata por sí los datos persona les identificados en el inciso inmediato anterior, para las finalidades establecidas en nuestro Aviso de Privacidad Integral CLIENTES Y ALUMNOS , disponible a través de la siguiente dirección de internet: [. . .].

El Aviso de Privacidad Integral de referencia establece, en la sección conducente:




2. Gestión, control, adminis tración y actualización de la información relacionada con clientes y alumnos para la prestación de los servic ios contratados.

3. Gestión, control, administración y actualización de información de personas físicos que actúan como representantes legales o contactos designados de personas morales, que contratan servicios prestados por el Responsable .


29

y

carmen.vigil

Cuadro de texto







RESPONSABLE:



5. Facturación de los servicios y productos proporcionados, así como su cobra judic ial o extrajudicial.

6. lmpartición, evaluación y seguimiento de los cursos educativos impartidos por [la Responsable], incluyendo la realización de pruebas de nivel sobre el conocimiento y uso de idiomas.

7. En su caso, comunicación de los resultados sobre aprovechamiento y pruebas de nivel de los alumnos, hacia aquellas personas que han contratado los servicios del Responsable o hacia autoridades administrativas que legalmente deban conocerlos.

B. Monitorización electrónica del aprovechamiento de los cursos impartidos por el Responsable.

9. Atención a alumnos y clientes a través de medios electrónicos.

10. Estadística y registro histórico de alumnos y clientes.


1. Envío de información y ofertas comercia/es sobre productos y/o servicios comercializados por el Responsable.

En todo momento, usted podrá revocar su consentimiento para el tratamiento de sus datos personales en relación con las finalidades adicionales indicadas, mediante los mecanismos previs tos en este A viso de Privacidad y de conformidad con la legislación vigente.

4. [la Responsable] recabó datos personales del C. [Titular] y obtuvo el consentimiento necesario para su tratamiento a través del pago de los servicios contratados y mediante la firma del anverso y reverso del Recibo de Cobro 273-21211 de fecha 31 de agosto de 2016.

Sin perjuicio de la formalidad a que hace referencia el párrafo inmediato anterior, y tal y como ha sido establecido durante la tramitación del Expediente de Investigación INAl.3S.08.02-0243!2016, los datos personales del ahora denunciante son tratados por [la Responsable] bajo el supuesto previsto en la fracción IV del

30

y

carmen.vigil

Cuadro de texto







RESPONSABLE:



artículo 1 O de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares ("LFPD'J .

5. [la Responsable] dio a conocer el Aviso de Privacidad Integra l CLIENTES Y ALUMNOS al C. [Titular] a través de:

a. El tótem informativo dispuesto en las instalaciones y zona de contratación del [la Responsable] en el que consta y puede consultarse el contenido del Aviso de Privacidad Integral CLIENTES Y ALUMNOS , de [la Responsable]:

[Imagen insertada]

b. Las leyendas informativas que aparecen en el anverso y reverso del Recibo de Cobro 273-21211 de fecha 31 de agosto de 2016 , que consta en la Documentación Previa A que obra en poder de ese Instituto (Expediente de Investigación INAl.3S .08.02-0243/2016), y

c. A través del sitio web de [la Responsable] , Sección "Avisos de Privacidad" ([. . .]).

Obra en poder de ese H. Instituto , como parte de la Documentación Previa A I Anexo D, impresión del Aviso de Privacidad Integral CLIENTES Y ALUMNOS de [la Responsable].

6. Conforme a información actualmente disponible , proveniente de la Dirección del {la Responsable] , sucursal Toluca, la diferencia de las fechas de las firmas a que se refiere el numeral correlativo , se origina porque el C. [Titular] sólo firmó el anverso del Recibo de Cobro 273-21211 , el día dos de septiembre de dos mil dieciséis, por motivos personales que le hicieron concluir su proceso de inscripción de forma apresurada, indicando que firmaría el resto de documentación en cuanto tuviera una nueva oportunidad .

El resto de documentos de inscripc ión, incluido el anverso del Recibo de Cobro 273-21211, los firmó el dfa veintinueve de septiembre de dos mil dieciséis, tal y como advierte ese Instituto.

31

y

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto


INSTITUTO NACIONAL DE TRANSPARENCIA , ACCESO A LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES





RESPONSABLE:



7. Tal y como ya ha sido aclarado en autos del Expediente de Investigación INAl.3S.08.02-0243!2016, [la Responsable} no ha transferido a ningún tercero los datos personales del C. [Titular].

8. Tal y como consta en la Documentación Previa A I Anexo E que obra en poder de ese Instituto (autos del Expediente de Investigación INAl.3S.OS.02-0243!2016) , entre [la Responsable] y la C. [persona quien contactó al Titular] existe una relación laboral, documentada a través del contrato laboral por tiempo determinado celebrado el pasado once de julio de dos mil dieciséis.

[la persona quien contactó al Titular] ocupa actualmente el puesto de Asistente Administrativo en el [la Responsable] Los empleados de [la Responsable] que realizan funciones idénticas o similares en dicho puesto, tiene acceso a datos de contacto de nuestros alumnos y reciben la información contenida en los documentos: (a) Carta Aceptación de Aviso de Confidencialidad , (b) Carta de Protección de Datos y Redes Sociales, y (c) Carta Descripción de actividades y protección de datos, que forman parte del "Kit de Bienvenida a [la Responsable]", que forma parte de la Documentación Previa A !Anexo F que obra en poder de ese Instituto (Expediente de Investigación INAl.3S.08.02-0243!2016).

9. Consta en la Documentación Previa A I Anexo F que obra en poder de ese Instituto (Expediente de Investigación INAl .3S.OS.02-0243!2016) una copia simple del "Kit de Bienvenida a [la Responsable]" y documentos relacionados, dentro de los cuales se incluye:

a. Carta Aceptación de A viso de Confidencialidad

b. Carta Descripción de actividades y protección de datos

c. Carta R/Ty CDE

d. Carta de Protección de Datos y Redes Sociales

e. Autorización de envío de comprobantes

f. Carta lnfonavit

g. Carta aceptación de políticas

32

y

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto







EXPEDIENTE DE VERIFICACIÓN: INAl.3S.07.02-00 112017.

RESOLUCIÓN: ACT-PRIVl22 10312017 .02.01.05

De dicha información se deduce que, en el momento de su contratación, [la Responsable] pone en conocimiento de todos sus empleados la existencia de Políticas de Confidencialidad de la Información, con especial atención en el manejo de datos persona les de nuestros clientes y colaboradores.

En concreto, a través de la documentación e información proporcionada en el "Kit de Bienvenida a [la Responsable]", el Responsable informa a todos sus empleados:

a. Que ha sido publicada la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

b. Que como empleados podrán llegar a tratar datos personales de nuestros alumnos, consistentes en (i) nombre, (ii) nacionalidad, (iii) teléfono celular, de trabajo o casa, (iv) correo electrónico, (v) nivel de inglés, (vi) datos de lugar de trabaj o;

c. Que dichos datos deben ser tratados como información confidencial propiedad de [la Responsable];

d. Que no pueden divulgar, transmitir, vender o por cualquier otro medio comercializarlos, compartir dichos datos personales, ni usarlos con fines distintos para los cuales [la Responsable] los recaba;

e. Que las obligaciones indicadas subsisten aun cuando ya no exista una relación obrero-patronal o de subordinación con [la Responsable];

f. Que, tratándose específicamente del uso de redes sociales o pagmas de internet, tampoco pueden divulgar, transmitir, vender o comercializar, por dichos medios, los datos personales a los que hayan tenido acceso;

g. Que no están autorizados para realizar comentarios, posteos o cualquier otra actividad dentro del perfil de Facebook de [la Responsable] que impliquen la divulgación de información personal, académica tanto de empleados como de los estudiantes y clientes de [la Responsable].

Conforme a lo anterior, consta que [la Responsable], desde el momento de la contratación la C. [persona quien contactó al Titular], le informó amplia y documentalmente sobre la existencia de una legislación orientada a la protección de los datos personales, de la confidencialidad con que debe tratar dicha información y

33

y

carmen.vigil

Cuadro de texto




DIRECCIÓN GENERAL DE INVESTIGACIÓ N VERIFICACIÓN Instituto Nacional de Transparencia,




de las acciones expresamente prohibidas por {la Responsable], que pueden poner en riesgo la confidencialidad de dicha información.

10. Tal y como consta en la información proporcionada por [la Responsable] en el inciso G de su Aviso de Privacidad Integral CLIENTES Y ALUMNOS, existe un Departamento de Datos Personales encargado de atender, entre otros asuntos relacionados con datos personales, solicitudes de ejercicio de los derechos ARCO.

Existen, además, modelos de solicitud de derecho ARCO, cuyo uso es optativo para los titulares de datos personales que desean ejercer alguno de dichos derechos. Puede accederse a dichos modelos a través de la siguiente dirección de internet: [. . .].

Adicionalmente, y como parte de la organización de nuestro Departamento de Datos Personales, existe una cuenta de correo dedicada, identificada en el Aviso de referencia como [. . .]

11. El número telefónico y la cuenta de correo indicados en el correlativo numeral del oficio que se contesta, no pertenecen a [la Responsable].

12. Tal y como ya ha sido aclarado en autos del Expediente de Investigación INAl.3S.08.02-0243/2016 (Documentación Previa B), los números telefónicos y cuentas de correo de atención a clientes del [la Responsable], son los siguientes:

Teléfonos: [. . .]

Correos electrónicos: [. . .]

13. Debido a que el ahora denunciante utilizó la cuenta de correo [. . .], en lugar de la cuenta de correo establecida en el Aviso de Privacidad Integral CLIENTES Y ALUMNOS ([. . .]), su queja de fecha 28 de septiembre de 2016 no fue respondida dentro de un plazo legal o término previamente establecido; además, [la Responsable] suspendió cualquier respuesta al ahora denunciante desde el momento en que [la Responsable] fue notificado del Oficio INAIICPDPIDGIV/2755116 y de la apertura del Expediente de Investigación INAl.3S.08. 02-0243/2016.

14. Tal y como consta en la Documentación Previa By en autos del Expediente de Investigación INAl.3S.08.02-0243/20 16, la base electrónica de datos personales

34

y

carmen.vigil

Cuadro de texto



SECRETA RIA DE PROTECCIÓN DE DATOS PERSONALES


Acceso a la Información y Protección de Datos Personales RESPO NSABLE:

EXPED IENTE DE VERIFICACIÓN: INAl.3S.07.02-001/2017.

RESOLUCIÓN: ACT-PRIV/22 /03/2017.02.01.05

de CLIENTES Y ALUMNOS de [la Responsable] es resguardada en terminales con un sistema de identificación y autenticación "Active Directory" de Windows y Cifrado MDS, además de contar con un manual de "Web contacts" en donde se señalan los pasos en que se debe establecer contacto con los alumnos (Documentación Previa B I Anexo AJ.

El ingreso a dicha base de datos se realiza a través de la plataforma "lntelisis" a la que sólo puede accederse con una cuenta de usuario definida

por un perfil, dependiendo del puesto del colaborador de [la Responsable] (vendedor, director, coordinador, entre otros).

Los datos personales recabados son almacenados en dicha plataforma y sólo se utilizan para los fines establecidos en el Aviso de Privacidad CLIENTES Y ALUMNOS de [la Responsable]([. . .]).

Por otro lado, en el momento de su contratación, el personal de [la Responsable] firma como parte de su "Kit de Contratación" lo documentos que lo hacen conocedor de las obligaciones y posibles sanciones al tener acceso a datos personales de Clientes u otros titulares de datos personales, con motivo de sus funciones. También se les hace sabedores de estas obligaciones mediante el Código de Ética de [la Responsable] (Documentación Previa B / Anexo BJ. Estos (y otros) documentos originales son resguardados por el área de Recursos Humanos de [la Responsable].

Adicionalmente, [la Responsable] cuenta con Políticas de Redes Sociales y Uso de Correo e Internet en donde se insta y se hace del conocimiento de los colaboradores la importancia que tiene el uso adecuado de dichas herramientas para salvaguardar la confidencialidad de la información en posesión de la empresa. Se cuenta, además, con un procedimiento establecido para Alta e Inscripción de Alumnos, en el que se detalla el curso que debe seguir el tratamiento de la información de dichas personas.

En apoyo a todo lo anterior, mi representada entregó el pasado veintiocho de noviembre de dos mil dieciséis la Documentación Previa B, identificada como documentación interna de [la Responsable]:

a) Política de Redes Sociales - POL-MK-202-01 (Documentación Previa B I Anexo C);

35

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto

Dirección electrónica de Responsable Artículos 116 de la LGTAIP y 113, fracción I, de la LFTAIP







RESPONSABLE:



b) Política de Uso de Correo Electrónico y Acceso a Internet - POL-Tl-802-01 (Documentación Previa B I Anexo D), y

c) Procedimiento de Alta e Inscripción de Alumnos - PRO-OP-401-02 (Documentación Previa B Anexo E).

A partir del contenido y alcance de dicha documentación , cabe señalar ante ese Instituto que, en ningún momento, ni bajo ninguna circunstancia , [la Responsable] prevé ni autoriza el uso de "WhatsApp" o "Hangouts" como medios de comunicación o de contacto de nuestros colaboradores con nuestros clientes o alumnos.

Por lo anterior, resulta claro que el uso de dichos medios electrónicos para contactar con nuestros alumnos para cuestiones ajenas a su relación con [la Responsable], no forma parte de las funciones, tareas o encargos de nuestros empleados. y que hacerlo constituye una violación de nuestras políticas corporativas de seguridad de la información, cuyo control se efectúa por [la Responsable] hasta niveles razonables. que de ninguna forma van más allá del horario laboral y sobre dispositivos electrónicos corporativos. Todo lo anterior, desde luego, no es calificable como acción u omisión negligente atribuible a mi representada.

15. La personalidad del suscrito ha quedado acreditada y reconocida por ese Instituto, en términos de la copia certificada de la Escritura Pública No. de fecha 12 de agosto de 2015, otorgada ante la fe del Lic. Marco Antonio Ruiz Aquirre Notario Público No. 229 en la Ciudad de México (Documentación Previa A / Anexo A -Expediente de Investigación INAl.3S.08.02-0243/2016).

16. En adición a todo lo anteriormente informado , manifestado, razonado y documentado en contestación del Oficio Número INAIISPDPIDGIV/0026117, resulta procedente señalar a ese Instituto, además:

a. Que no son ciertos los hechos y consideraciones que contenidos en el ACUERDO DE INICIO DE PROCEDIMIENTO DE VERIFICACIÓN INAl.3S.07.02-001!2017 , de fecha dieciséis de enero de dos mil diecisiete, según los cuales:

[Imagen insertada]

36

y

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto






VERIFICACIÓN

RESPONSABLE:



Lo anterior es así, ya que según consta en la Fe de Hechos de fecha veintisiete de enero de dos mil diecisiete, levantada ante la fe del Notario Público Número 242 de la Ciudad de México, y que se acompaña al presente escrito marcada como Anexo A, existe constancia documental y electrónica que acredita :

i. Que con fecha veintiocho de noviembre de dos mil dieciséis, se remitió un correo electrónico desde la cuenta de correo [. . .}; dirigida a las siguientes cuentas de correo: [email protected]. [. . .]y[. . .]:

ii. Que el asunto del correo indicaba: Re: Se notifica oficio INAIICPDPIDGIV/2396116;

iii. Que el cuerpo del correo indicaba:

·~ quien corresponda,

Adjunto al presente sírvase encontrar la respuesta al oficio INAIICPDPIDGIV/2396116 con sus correspondientes anexos.

Saludos "

iv. Que el correo electrónico de referencia llevaba anexos seis documentos electrónicos, en formato PDF.

v. Que el nombre de cada uno de los seis archivos PDF de referencia , es:

- Contestación Oficio /NA/. CPDP.DGIV.2936. 16,

- ANEXO A, MANUAL Uso de Web Contacts,

- ANEXO B Codigo de Ética,

- ANEXO C POLITICA Uso de Redes Sociales

- ANEXO D Uso Correo Electrónico y Acceso Internet

- ANEXO E. PROCEDIM IENTO DE ALTA E INSCRIPCIÓN DE ALUMNOS

A mayor abundamiento, es necesario indicar a ese Instituto que la versión MIME de la cabecera del correo electrónico enviado desde la cuenta [. . .] el pasado

37

y

carmen.vigil

Cuadro de texto








veintiocho de noviembre de dos mil dieciséis, permite determinar claramente que éste fue recibido en la fecha indicada, como respuesta a otro enviado desde una cuenta de correo de ese Instituto y, precisamente, hacia la cuenta de correo [email protected]:

[Imagen insertada]

Siendo todo lo anterior, lo cierto es que mi representada sí atendió en tiempo y forma al requerimiento efectuado por ese Instituto mediante el Oficio Número INAIICPDPIDGIV/2936/16 y, por lo tanto, todos los elementos, documentos, información y consideraciones aportados y efectuados por [la Responsable] en cumplimiento del requerimiento de mérito, debieron ser tomados en cuenta por ese Instituto, antes de haber emitido el ACUERDO DE INICIO DE PROCEDIMIENTO DE VERIFICACIÓN INAl.3$.07.02-001/2017, de fecha dieciséis de enero de dos mil diecisiete, so pena de incurrir en nulidad de todo el procedimiento en que se actúa, al haber dejado de tomar en consideración elementos objetivos que acreditan que mi representada no ha vulnerado los principios relativos al tratamiento de protección de datos personales, como consecuencia o con motivo de la conducta de una de sus empleadas.

b. Por otro lado, es necesario indicar que resulta improcedente concluir (como indebidamente concluye ese Instituto) que mi representada debe asumir la responsabilidad aquiliana de los actos que realizó nuestra empleada [la persona quien contactó al Titular}, simple y sencillamente porque éstos no constituyen funciones o labores propias o relacionadas con el puesto de trabajo de esa persona, ni para las cuales haya sido contratada, lo cual, en todo caso, ha quedado ampliamente acreditado por mi representada, y ha sido reconocido expresamente por dicha persona, llamada al Procedimiento de Investigación INA/.3S.08.02-0243/2016 como "tercero interesado". Dicha persona actuó, lisa y llanamente, en contravención a las instrucciones manuales, políticas y procedimientos vigentes en {la Responsablel, relacionados con el uso, seguridad y confidencialidad de los datos personales de nuestros alumnos.

Tampoco es asumible dicha responsabilidad aquilina, debido a que no consta prueba que acredite que las conductas que le son atribuidas a la C. [persona quien contactó al Titular], y que fueron por ella misma reconocidas, las hubiese realizado o cometido dentro de su horario laboral, precisamente en cumplimiento de funciones laborales asociadas a su puesto de trabajo; antes,

38

y

carmen.vigil

Cuadro de texto







RESOLUCIÓN: ACT-PRIVl22103/2017 .02.01.05

ocurre prec isamente lo contrario, pues [la Responsable] ha acreditado fehacientemente que sus empleados tienen prohibido utilizar la información de nuestros alumnos para finalidades que no estén relacionadas con la prestación del servicio que estos últimos contratan.

En este orden de idea, es proceden te citar de manera integral el artículo 1924 del Código Civil Federal , para resaltar que dicho numeral prevé expresame nte que:

Articulo 1924.- Los patrones y los dueños de establecim ientos mercantiles están obligados a responder de los daños y perjuicios causados por sus obreros a dependientes , en el ejercicio de sus funciones. Esta responsabilidad cesa si demuestran que en la comisión del daño no se les puede imputar ninguna culpa o negligencia.

Conforme al sentido literal del artfculo citado por ese Instituto, y en términos de la tesis aislada en que éste basa su razonamiento , lo cierto es que en el caso concreto que nos ocupa, no puede definirse o extraerse la existencia de ninguna responsabilidad aquiliana a cargo de [la Responsable], simplemente porque los actos cometidos por [la persona quien contactó al Titular] no se encuentran comprendidos dentro de sus funciones como Asistente Administrativo en el Instituto [de la Responsable] puesto que dichos actos fueron efectuados , precisamente , en contravención a las instrucciones, órdenes y políticas de su empleador, las cuales le fueron debidamente comunicadas desde el momento de su contratación , tal y como se ha hecho consta r a ese Instituto durante la investigación prev ia a este proced imiento de verificación y, ahora también, en desahogo del mismo.

Además, es imposible atribuir una responsabilidad del tipo aqui/iana a mi representada, porque no se ha demostrado que los actos atribuidos a [la persona quien contactó al Titular], consistentes en el contacto al C. [Titular] a través de las aplicaciones WhatsApp y Hangouts, los hubiese efectuado dentro de su horario laboral, precisamente cumpliendo con funciones laborales propias de su puesto de trabajo.

De hecho, nada prueba en contra de la posibilidad de que la Tercero Interesado hubiese efectuado las comunicaciones que les son atribuidas , fuera de su horario laboral, en cuyo caso tendríamos que aceptar, contra toda lógica iuridica, que [la Responsab le], como Responsable de Datos Personales, debe vigilar, supervisar y/o fiscalizar el comport amiento o conducta de sus empleados , incluso fuera de su horario

39

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto






VERIFICACIÓN

RESPONSABLE:



laboral, cuando actúan en contra de sus instrucciones, fuera de sus funciones laborales, contraviniendo las políticas corporativas de la empresa.

Finalmente, debe indicarse que "a lo imposible nadie está obligado" y precisamente por esta razón el artículo 1924 del Código Civil Federal establece en su parte final que la responsabilidad aquiliana ~ si los patrones demuestran que en la comisión del daño no se les puede imputar ninguna culpa o negligencia, lo cual ocurre en el caso concreto, al haber demostrado [la Responsable] que ha adoptado medidas de seguridad adecuadas y suficientes para proteger la confidencialidad, integridad y disponibilidad de los datos personales de sus CLIENTES Y ALUMNOS, sin que a tales efectos la conducta desplegada por su empleada [persona quien contactó al Titular] pueda considerarse una "falta de cuidado en las personas que de [la Responsable] dependen", precisamente porque mi representada adoptó las medidas pertinentes y legalmente exigibles, no sólo desde el punto de vista técnico, sino además desde el punto de vista administrativo al haber informado y capacitado adecuadamente a esa empleada, sobre la obligación de confidencialidad con la que debe tratar los datos de nuestros alumnos, y haberla informado sobre los procedimientos específicos que debe seguir para tratar dicha información; todo lo cual no obsta para que esa persona pueda contravenir dichas instrucciones, a pesar de haber adoptado mi representada las medidas que han sido acreditadas, es decir, a pesar de haber actuado [la Responsable] con la diligencia adecuada, sin culpa ni negligencia de por medio, que haya sido en todo caso acreditada por ese Instituto .

.. . " (sic).

Al escrito de mérito, la Responsable anexó la siguiente documentación :

• Copia certificada de Testimonio del Acta de Fe de Hechos del veintisiete de enero del dos mil diecisiete, mediante la cual el Notario Público número doscientos cuarenta y dos, actuando como asociado en protocolo del Notario Público número doscientos veintinueve, da fe del envío y contenido de un correo electrónico .

En virtud de los antecedentes expuestos y analizados , así como las documentales aportadas se tienen los siguientes:

40

y

carmen.vigil

Cuadro de texto


INSTITUTO NACIONAL DE TRANSPARENCIA, ACCESO A LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSO NALES



GENERAL DE INVESTI GACIÓN Instituto Nacional de Transparencia,


EXPEDIENTE DE VERIFICA CIÓN: INAl.3S.07.02-001/2017.


CONSIDERANDOS

PRIMERO. El Pleno del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales es competente para conocer y resolver el presente procedimiento de verificación conforme a lo previsto en los artículos 6, apartado A fracción VIII, 14 y 16 de la Constitución Política de los Estados Unidos Mexicanos; Séptimo Transitorio del Decreto por el que se reforman y adicionan diversas disposiciones de la Constitución Política de los Estados Unidos Mexicanos, en materia de transparencia3; 3, fracción XIII y Tercero Transitorio del Decreto por el que se expide la Ley General de Transparencia y Acceso a la Información Pública4 ; Octavo Transitorio de la Ley Federal de Transparencia y Acceso a la Información Pública5; 1, 3, fracción Xl6 ,

5, 38, 39, fracciones I y VI, 59 y 60 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares7; 62 y 69 de la Ley Federal de Procedimiento Administrativoª, de aplicación supletoria a la ley de la materia; 128, 129, 132 y 137 del Reglamento de la Ley Federal de Protección de Datos

3 Publicado en el Diario Oficial de la Federación el siete de febrero del dos mil catorce. 4 Publicado en el Diario Oficial de la Federación el cuatro de mayo del dos mil quince . 5 Publicada en el Diario Oficial de la Federación el nueve de mayo del dos mil dieciséis . 6 De conformidad con el artículo 6º, Apa rtado A, fracción VIII, de la Constitución Política de los Estados Unidos Mexicanos, la Federación contará con un organismo garante que se regirá por la ley en materia de transparenc ia y acceso a la información pública y protección de datos personales en posesión de sujetos obligados, siendo este el Instituto Federal de Acceso a la Información y Protección de Datos. Ahora bien, el cuatro de mayo del dos mil quince, se publicó en el Diario Oficial de la Federación el Decreto por el que se expidió la Ley Genera l de Transparencia y Acceso a la Información Pública, misma que en su artículo 3, fracción XIII, refiere que el órgano garante será denominado como Instituto Nacional de Transparencia , Acceso a la Información y Protección de Datos Personales. En consecuenc ia y atendiendo a lo señalado por el artículo segundo transitorio de la Ley Genera l de Transparencia y Acceso a la Información Pública, la denominación de Instituto Federal de Acceso a la Información y Protección de Datos, a que se refiere el artículo 3, fracción XI, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, cambia a Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. 7 Publicada en el Diario Oficial de la Federación el cinco de julio del dos mil diez. 8 Últimas reformas fueron publicadas en el Diario Oficial de la Federación el nueve de abril del dos mil doce.

41

y

carmen.vigil

Cuadro de texto







GENERAL DE INVESTIGACIÓN Y

RESPONSABLE:



Personales en Posesión de los Particulares9; 1, 2 y 3, fracción XVII de los Lineamientos de los Procedimientos de Protección de Derechos, de Investigación y Verificación y de Imposición de Sanciones1º; 5 fracciones 1, VI y VII inciso n), 6, 8, 9, 10, 15, fracción I y 21, fracción 111 del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos11; y los numerales Primero, Segundo, Sexto y Octavo del Acuerdo mediante el cual se aprueban las modificaciones a la Estructura Orgánica del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales12.

SEGUNDO. El veintiuno de octubre del dos mil dieciséis, el denunciante hizo del conocimiento de este Instituto diversos hechos probablemente constitutivos de incumplimiento a lo previsto en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares por parte de mismos que consisten esencialmente en que hizo un tratamiento indebido de sus datos personales, toda vez que presuntamente una de sus empleadas lo contactó vía teléfono celular y a través de la mensajería instantánea de Hangouts, para fines distintos a los establecidos en el Aviso de Privacidad.

Con el fin de acreditar su dicho, el denunciante adjuntó a su denuncia y, posteriormente en la atención a la prevención formulada por esta Autoridad proporcionó la siguiente documentación:

• Copia simple de la versión pública del comprobante de pago emitido con fecha del treinta y uno de agosto del dos mil dieciséis por la Responsable.

• Impresión de pantalla de llamadas recibidas al teléfono celular del denunciante, del que se advierte la recepción de tres llamadas telefónicas correspondientes al número señalado por el denunciante.

9 Publicado en el Diario Oficial de la Federación el veintiuno de diciembre del dos mil once. 10 Publicados en el Diario Oficial de la Federación el nueve de diciembre del dos mil quince. 11 Publicado en el Diario Oficial de la Federación el veinte de febrero del dos mil catorce. 12 Publicada en el Diario Oficial de la Federación el uno de julio del dos mil quince.

42

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto







RESPONSABLE:



• Impresión de conversación a través de la aplicación de mensajería instantánea Hangouts de Google, del cuatro de agosto.

• Versión pública de estado de cuenta de teléfono celular, a nombre del denunciante.

• Nombre completo de la empleada de la Responsable quien presuntamente lo contactó a través de los medios señalados en los párrafos que anteceden.

En ese sentido, este Instituto a través de la Dirección General de Investigación y Verificación integró el expediente de investigación INAl.3S.08.02-0243/2016, por lo que a efecto de dilucidar los hechos expuestos, mediante los oficios INAI/CPDP/DGIV/2755/16 del veintiséis de octubre e INAI/CPDP/DGIV/2936/16 del diecisiete de noviembre, ambos del dos mil dieciséis, requirió diversa información a la Responsable a fin de corroborar los hechos denunciados y, en su caso, proporcionar elementos que permitieran determinar las presuntas violaciones a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento.

De las respuestas proporcionadas, así como de los elementos aportados por la Responsable, mismos a que se refieren los Antecedentes VI y XII de la presente Resolución, se desprende medularmente lo siguiente:

• El treinta y uno de agosto del dos mil dieciséis, el Titular y la Responsable formalizaron una relación jurídica de carácter educativo, para lo cual, esta última recabó sus datos personales, entre los cuales se encuentran el número telefónico y correo electrónico.

• La Responsable puso a disposición del denunciante su Aviso de Privacidad a través de un tótem informativo colocado en sus instalaciones, mediante leyendas en el reverso del recibo de cobro, así como su sitio web.

43

carmen.vigil

Cuadro de texto







RESPONSABLE:



• Dentro de las finalidades descritas en el Aviso de Privacidad de la Responsable no se encuentra la comunicación de carácter personal entre empleados de la Responsable y sus Clientes.

• El once de julio del dos mil dieciséis, la Responsable contrató como asistente administrativo a la empleada que presuntamente se comunicó con el denunciante.

• La empleada de la Responsable firmó diversas cartas de aceptación en las que se le dio a conocer el tratamiento que debía dar a datos personales de los Clientes.

• Derivado de su puesto como asistente administrativo, la empleada de la Responsable tiene entre otras funciones, el realizar contacto con los alumnos exclusivamente para informar promociones, descuentos y/o programas de la Responsable.

• Los números telefónicos y correos electrónicos a través de los cuales la Responsable establece de manera oficial comunicación con sus clientes para los fines establecidos en su Aviso de Privacidad, no corresponden a aquellos de los que el denunciante recibió comunicación por parte de la empleada de ésta.

• A través de la plataforma "INTELISJS" usuarios autorizados por la Responsable ingresan a la base de datos electrónica de sus Clientes.

• La Responsable cuenta con políticas de uso de redes sociales, correo electrónico y acceso a internet y un procedimiento de alta e inscripción de alumnos.

• De la Solicitud de empleo de la empleada de la Responsable se advierte que las llamadas telefónicas recibidas por el denunciante a su celular, corresponden al número telefónico de aquélla.

44

y

carmen.vigil

Cuadro de texto







RESPONSABLE:



• La Responsable manifestó haber sufrido una violación de sus políticas de protección de datos personales, asimismo señaló que no prevé ni autoriza el uso de WhatsApp o Hangouts como medios de comunicación o contacto con sus clientes o alumnos .

Asimismo, mediante Acuerdo del diecisiete de noviembre del dos mil dieciséis, se tuvo como tercero interesado a la empleada de la Responsable por lo cual, a través del diverso INAI/CPDP/DGIV/2937/16 se le requirió diversa información, con motivo de lo cual manifestó medularmente lo siguiente:

•A través de la plataforma "INTELISIS", herramienta que utiliza en su trabajo, obtuvo los datos personales del hoy denunciante consistentes en nombre, teléfono celular y correo electrónico .

• Haciendo uso de su correo electrónico personal estableció contacto con el denunciante sin contar con su consentimiento para la utilización de sus datos personales para finalidades distintas a las previstas en el Aviso de Privacidad de la Responsable.

Derivado de la investigación efectuada y de las documentales que obran en el expediente en que se actúa, se determinó que existían elementos suficientes para iniciar Procedimiento de Verificación en contra de la Responsable, por lo que el dieciséis de enero del dos mil diecisiete , el Coordinador de Protección de Datos Personales y el Director General de Investigación y Verificación, ambos de este Instituto , emitieron el Acuerdo respectivo en los términos precisados en el . Antecedente XV de esta Resolución, mismo que fue notificado el veinticinco de enero del dos mil diecisiete.

En consecuencia, mediante oficio INAI/SPDP/DGIV/0026/17 del veintitrés de enero del dos mil diecisiete, mismo a que se refiere el Antecedente XVIII , se requirió a la Responsable diversa información a fin de recabar los elementos necesarios para emitir la presente Resolución; el cual fue desahogado mediante el escrito presentado en este Instituto el uno de febrero del año en curso y del que

45

carmen.vigil

Cuadro de texto






EXPEDIENTE DE VERIFICACIÓN: INAl.3S.07.02--001/2017.

RESOLUCIÓN: ACT-PRIV 12210312017 .02.01.05

adicionalmente a lo manifestado en su escrito recibido el uno de febrero del presente año, señaló lo siguiente:

• No es responsable por los actos realizados indebidamente por su empleada ya que los mismos no constituyen funciones o labores propias o relacionadas con su puesto de trabajo, por lo que la misma actuó lisa y llanamente en contravención a sus instrucciones, manuales, política y procedimientos.

• No existe prueba que acredite que su empleada realizó dichas conductas dentro de su horario laboral.

• La responsabilidad aquiliana cesa si los patrones demuestran que en la comisión del daño no existe culpa o negligencia.

TERCERO. Ahora bien, de conformidad con los artículos 38, 39, fracciones I y VI , 59 y 60 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 128 de su Reglamento ; 32 y 38 de la Ley Federal de Procedimiento Administrativo , de aplicación supletoria a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, se establece lo siguiente:

"Ley Federal de Protección de Datos Personales en Posesión de los Particulares

Articulo 38.- El Instituto, para efectos de esta Ley, tendrá por objeto difundir el conocimiento del derecho a la protección de datos personales en la sociedad mexicana, promover su ejercicio y vigilar por la debida observancia de las disposiciones previstas en la presente Ley y que deriven de la misma; en particular aquellas relacionadas con el cumplimiento de obligaciones por parte de los sujetos regulados por este ordenamiento.

Articulo 39.- El Instituto tiene las siguientes atribuciones:

l. Vigilar y verificar el cumplimiento de las disposiciones contenidas en esta Ley, en el ámbito de su competencia, con las excepciones previstas por la legislación;

46

y

carmen.vigil

Cuadro de texto


INSTITUTO NACIONAL DE TRANSPARENCIA, ACCES,o A LA INFORMACIÓN. y PROTECCIÓN DE O.A.ro s PERSO NALES




DIRECCIÓN VERIF ICACIÓN

GENERAL DE INVESTIGACIÓ

RESPONSABLE:

EXPEDIENTE DE VERIFICACIÓN: _ INAl.35.07.02-001 12017. ,' .~ ..


VI. Conocer y resolver los procedimientos de protección de derechos y de verificación señalados en esta Ley e imponer las sanciones según corresponda;

Artículo 59.- El Instituto verificará el cumplimiento de la presente Ley y de la normatividad que de ésta derive. La verificación podrá iniciarse de oficio o a petición de parte.

Artículo 60.- En el procedimiento de verificación el Instituto tendrá acceso a la información y documentac ión que considere necesarias, de acuerdo a la resolución que lo motive.

Los servidores públicos federales estarán obligados a guardar confidencialidad sobre la información que conozcan derivada de la verificación correspondiente.

El Reglamento desarrollará la forma, términos y plazos en que se sustanciará el procedimiento a que se refiere el presente artículo.

Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares

Artículo 128. El Instituto, con el objeto de comprobar el cumplimienfü de las disposiciones previstas en la Ley o en la regulación que de ella derive; ppdrá iniciar el procedimiento .de verificación, requiriendo al responsable la documentación necesaria o realizando las visitas en el establecimiento en donde se encuentren las bases de datos respectivas ".

[Énfasis añadido]

De lo anterior se desprende que:

• El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, es la autoridad encargada de verificar el

47

y

carmen.vigil

Cuadro de texto







RESPONSABLE:


RESOLUCIÓN: ACT-PRIVl2210312017.02.01.05

cumplimiento de la normatividad en materia de protección de datos personales en posesión de los particulares.

• Para ello, podrá iniciar el procedimiento de verificación respectivo, requiriendo a la Responsable la información y/o documentación necesaria o realizando las visitas en el establecimiento en donde se encuentren las bases de datos respectivas, con el fin de allegarse de los elementos de convicción necesarios para emitir la Resolución correspondiente .

En virtud de lo anterior, así como de los Antecedentes señalados, se desprenden presuntos incumplimientos a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y normatividad de la materia, competencia de este Instituto, por parte de la Responsable, toda vez que el motivo de la denuncia formulada estriba en cuanto a que presuntamente una de las empleadas de dicha Responsable contactó al denunciante vía teléfono celular y a través de la mensajería instantánea Hangouts para fines distintos establecidos en el Aviso de Privacidad.

CUARTO. Previo al estudio de fondo del caso que nos ocupa, esta Autoridad considera relevante señalar que el presente procedimiento se centra en la presunta irregularidad cometida por la Responsable consistente en el uso inadecuado de los datos personales del denunciante en virtud de que presuntamer¡te una de sus empleadas contactó al denunciante vía teléfono celular y a través de la mensajería instantánea Hangouts para fines distintos establecidos en el Aviso de Privacidad.

En ese sentido, no deben de pasar desapercibidos los argumentos vertidos por la Responsable a que se refiere el Antecedente XIX de la presente Resolución, en el sentido de que:

Además, es imposible atribuir una responsabilidad del tipo aquiliana a mi representada, porque no se ha demostrado que los actos atribuidos a [. . .],

48

y

carmen.vigil

Cuadro de texto







RESOLUCIÓN : ACT-PRIV /22/03/2017 .02.01.05

consistentes en el contacto al C. [. . .] a través de las aplicaciones WhatsApp y Hangouts, los hubiese efectuado dentro de su horario laboral, precisamente cumpliendo con funciones laborales propias de su puesto de trabajo.

De hecho, nada prueba en contra de la posibilidad de que la Tercero Interesado hubiese efectuado las comunicaciones que les son atribuidas, fuera de su horario laboral. en cuyo caso tendríamos que aceptar, contra toda lógica jurídica, que [. . .], como Responsable de Datos Personales, debe vigilar, supervisar y/o fiscalizar el comportamiento o conducta de sus empleados, incluso fuera de su horario laboral, cuando actúan en contra de sus instrucciones , fuera de sus funciones laborales, contraviniendo las polít icas corporativas de la empresa.

Al respecto, de las documentales que obran en el expediente en que se actúa se advierte la documental privada ofrecida por el denunciante en su escrito primigenio, consistente en la comunicación sostenida a través del servicio de mensajería instantánea Hangouts para fines distintos establecidos en el Aviso de Privacidad, de la que se desprende que la empleada de la Responsable manifestó que se encontraba laborando en el momento de establecer la conversación con el denunciante (se inserta imagen para pronta referencia).

Hola

Como estas

Si y tu

Hola

muy bien y lu? estás trabaJatido?

en dónde 1rabe1as?

Haces muellas pregunta&

Y eso rne agobia

Exacto Jaja¡ajaüa

trenes miedo de que te corran por tomar datos confidencrales en lu traba¡o para acosar a las personas?

49

y

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto

Nombre del denunciante Artículos 116 de la LGTAIP y 113, fracción I, de la LFTAIP








Asimismo, la Responsable señala:

Finalmente, debe indicarse que "a lo imposible nadie está obligado" y precisamente por esta razón el artículo 1924 del Código Civil Federal establece en su parte final que la responsabilidad aquiliana ~ si los patrones demuestran que en la comisión del daño no se les puede imputar ninguna culpa o negligencia, lo cual ocurre en el caso concreto , al haber demostrado [. . .] que ha adoptado medidas de seguridad adecuadas y suficientes para prot eger la confidencialidad , integridad y disponibilidad de los datos personales de sus CLIENTES Y ALUMNOS , sin que a tales efectos la conducta desplegada por su empleada [. . .] pueda considerarse una "falta de cuidado en las personas que de[ ... ] dependen", pre cisamente porque mi representada adoptó las medidas pert inentes y legalment e exigibles , no sólo desde el punto de vista técnico, sino además desde el punto de vista administrativo al haber informado y capacitado adecuadamente a esa empleada ...

... " (sic).

Dicho precepto normativo referido establece lo siguiente:

"Articulo 1924. Los patrones y los dueños de establecimientos mercantiles están obligados a responder de los daños y perjuicios causados por sus obreros a dependientes , en el ejercicio de sus funciones . Esta responsabilidad cesa si demuestran que en la comisión del daño no se les puede imputar ninguna culpa o negligencia."

Al respecto, se debe aclarar que la Responsabilidad Aquiliana impone la obligación del patrón de responder por los daños ocasionados por sus empleados, en virtud de la relación laboral existente entre estos por lo que el elemento de la culpabilidad se acredita con la falta de cuidado en las personas que dependen de él y que, en consecuencia, causara un daño (se transcribe Tesis para pronta referencia):

"RESPONSABILIDAD CIVIL POR HECHOS PROPIOS, AQUILIANA Y OBJETIVA. DIFERENCIAS . Los hechos lícitos y los ilfcitos generan obligaciones; y así, es regla que la conducta de una persona le es imputabl e a ella; por esto, a la responsabilida d

50

y

carmen.vigil

Cuadro de texto






VERIFICACIÓN

RESPONSABLE:



proveniente de la conducta de una persona, sea que esa conducta sea lícita o ilícita, se le llama subjetiva porque implica el elemento culpa. Como excepción a dicha regla, se establece que la conducta de terceros también sea imputable a otras personas, a ésta se le llama responsabilidad aquiliana en razón del jurisconsulto romano que creó la fórmula; en esta figura el elemento culpa se encuentra desvanecido, porque se reconoce que la conducta que causó un daño, es ajena a quien resulta obligado, pero aun así, se estima que tiene una culpa por falta de cuidado en las personas que de él dependen y cuya conducta causara el daño, que a su vez, generara una obligación, no a quien lo cometió, sino a la persona de quien dependiera. Por ello, incurren en tal responsabilidad los padres respecto de sus hijos, los mentores respecto de sus pupilos dentro del recinto educativo, los hoteleros respecto de sus empleados, los patrones respecto de sus trabajadores y el Estado respecto de sus servidores. Diversa excepción es la que resulta aún ante la ausencia de conducta, por el solo hecho de ser dueño de una cosa que por sí misma causa un daño. Aquí, no hay conducta y por lo mismo no hay culpa, por eso, a esta responsabilidad se le llama objetiva en ausencia del elemento subjetivo culpa. "13

En ese sentido, tal y como ha quedado acreditado, la empleada de la Responsable indicó en la conversación sostenida con el denunciante que se encontraba laborando, asimismo, tal y como se desprende del Antecedente XIV de la presente Resolución, manifestó de manera expresa que:

a. Los datos personales del denunciante los obtuvo de la plataforma denominada "lntelis ", es decir, de la base de datos de la Responsable.

b. La cuenta de correo electrónico y teléfono celular a través de los cuales sostuvo comunicación de carácter personal con el denunciante, son de uso personal.

c. El denunciante no le otorgó su consentimiento para utilizar sus datos personales para un tratamiento diverso al establecido en el Aviso de Privacidad.

13 Tesis aislada ll.1º .C.T.85C, emitida por los Tribunales Colegiados de Circuito , publicada en el Semanar io Judicial de la Federación y su Gaceta , Novena Época, Registro 201002 , Tomo IV, NOVIEMBRE DE 1996, p. 512.

51

y

carmen.vigil

Cuadro de texto







RESPONSABLE:



En virtud de lo anterior, se tiene que la empleada de la Responsable en horario laboral, obtuvo de la plataforma de la Responsable los datos personales del hoy denunciante, mismos que utilizó para entablar una conversación de carácter personal con éste, en contravención de lo acordado en el Aviso de Privacidad; lo anterior, sin que haya sido advertido por la Responsable.

Ahora bien, la Responsable aduce no haber incurrido en una irregularidad en virtud de haber adoptado las medidas técnicas y administrativas para la seguridad de datos personales, así como informar y capacitar adecuadamente a su empleada. Al respecto, si bien es cierto que el ocho de noviembre del año próximo pasado, ésta remitió las documentales consistentes en los formatos denominados "Carta de Aceptación del Aviso de confidencialidad ", "Carta Protección de Datos y Redes Sociales " y "Carta Descripción de actividades y protección de datos"; mismos que se encuentran debidamente firmados por su empleada, también lo es que la firma de conocimiento de dichos formatos no acredita que esta haya adoptado las medidas necesarias para garantizar el debido tratamiento de los datos personales.

Asimismo, de la documentación presentada por la Responsable el veintiocho de noviembre del dos mil dieciséis, en atención al requerimiento formulado respecto de las medidas implementadas para garantizar el debido tratamiento de datos personales, esta remitió de manera impresa y sin firmas los procesos denominados: Código de Ética, Políticas de Redes Sociales; uso de correo electrónico y acceso a intemet; y procedimiento de Alta e Inscripción de Alumnos ; de los cuales no se advierte que estos se hayan hecho del conocimiento general de sus empleados.

Finalmente, de las manifestaciones vertidas así como de las documentales ofrecidas por la Responsable en el presente procedimiento, no se advierte alguna medida para garantizar el debido tratamiento de datos personales en la que se acredite el establecimiento de un sistema de supervis ión y vigilancia interna, para comprobar el cumplimie nto de las políticas de privacida~ que tiene implementadas.

52

carmen.vigil

Cuadro de texto

Razón social de Responsable Artículos 116 de la LGTAIP y 113, fracción I de la LFTAIP





DIRECC IÓN GENERAL DE INVESTIGACIÓN Y VERIFICACIÓN

RESPONSABLE:



De lo anterior, se concluye que la Responsable se encuentra obligada a responder por los daños causados por su empleada en virtud de la falta de supervisión de las actividades de su empleada en su centro de trabajo, lo que conllevó a un uso inadecuado de los datos personales del denunciante.

Por otra parte, de las manifestaciones vertidas por la Responsable respecto al envío oportuno de la atención al requerimiento de información INAI/SPDP/DGIV/0026/17 , es preciso señalar que, derivado de una revisión minuciosa en los correos electrónicos recibidos en esta unidad administrativa, se constató que efectivamente el veintiocho de noviembre del dos mil dieciséis, se recibió dicha información.

Ahora bien, con independencia de la recepción oportuna de la respuesta otorgada por la Responsable, lo cierto es que el estudio a desplegar se efectúa en función de los hechos acontecidos en el cuerpo de la denuncia y, toda vez que su desahogo atañe a elementos accesorios, lo cierto es que no redundan en perjuicio alguno para la Responsable, máxime que la omisión de la respuesta oportuna, en ninguna forma constituyó un elemento determinante para el inicio del presente procedimiento de verificación, aunado a que durante la tramitación del asunto que deriva la presente Resolución, los argumentos esgrimidos en su respuesta del ocho de noviembre del dos mil dieciséis, así como en el escrito de referencia del veintiocho de noviembre del mismo año por la Responsable, corresponden a la respuesta efectuada por la empleada de la Responsable; reforzando la presunción de esta Autoridad para iniciar la verificación correspondiente.

Ahora bien, los artículos 5 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, 79 y 90 del Código Federal de Procedimientos Civiles, establecen lo siguiente:

53

carmen.vigil

Cuadro de texto







RESPONSABLE:

EXPEDIENTE DE VERIFICACIÓN: INAl.3S.07.02-001 /2017.



Artículo 5.- A falta de disposición expresa en esta Ley, se aplicarán de manera supletoria las disposiciones del Código Federal de Procedimientos Civiles y de la Ley Federal de Procedimiento Administrativo.

Código Federal de Procedimientos Civiles

Artículo 79.- Para conocer la verdad, puede el juzgador valerse de cualquier persona, sea parte o tercero, y de cualquier cosa o documento, ya sea que pertenezca a las partes o a un tercero, sin más limitaciones que las de que las pruebas estén reconocidas por la ley y tengan relación inmediata con los hechos controvertidos.

Artículo 90.- Los terceros están obligados, en todo tiempo, a prestar auxilio a los tribunales, en las averiguaciones de la verdad. Deben, sin demora, exhibir documentos y cosas que tengan en su poder, cuando para ello fueren requeridos.

De los preceptos legales reproducidos , en concatenación con las constancias que integran el exped iente que nos ocupa, particularmente el escrito presentado por la Responsable el veintiocho de noviembre del dos mil dieciséis y el escrito presentado por la empleada de ésta el dos de diciembre del dos mil dieciséis , se desprende que :

• Con el fin de conocer la verdad de un hecho controvertido, el juzgador puede valerse de terceros.

• Los terceros se encuentran obligados a auxiliar al juzgador en la búsqueda de la verdad de hechos controvertidos .

54

y

carmen.vigil

Cuadro de texto








RESPONSABLE:



Al respecto, es de advertirse que las manifestaciones vertidas en sendos escritos, son complementarias y reafirman el presunto uso indebido de los datos personales del denunciante, de tal manera que no solo no afectan el objeto de la presente verificación sino que la reafirman en el sentido más amplio.

QUINTO. Ahora bien, una vez asentado en el Considerando inmediato anterior el por qué se considera que la conducta que presuntamente implica alguna transgresión a la Ley de la materia y demás normativa que de ésta deriva es imputable a la persona jurídica en contra de quien se enderezó la denuncia correspondiente, resulta pertinente citar los artículos 1, 2 y 3 fracción XIV de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, mismos que disponen lo siguiente:


Artículo 1.- La presente Ley es de orden público y de observancia general en toda la República y tiene por objeto la protección de los datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado, a efecto de garantizar la privacidad y el derecho a la autodeterminación informativa de las personas.

Artículo 2.- Son sujetos regulados por esta Ley, los particulares sean personas físicas o morales de carácter privado que lleven a cabo el tratamiento de datos personales, con excepción de:

l. Las sociedades de información crediticia en los supuestos de la Ley para Regular las Sociedades de Información Crediticia y demás disposiciones aplicables, y

/l. Las personas que lleven a cabo la recolección y almacenamiento de datos personales, que sea para uso exclusivamente personal, y sin fines de divulgación o utilización comercial.

Artículo 3.- Para los efectos de esta Ley, se entenderá por:

55

y

carmen.vigil

Cuadro de texto





GENERAL DE INVESTIGACIÓN Y Instituto Nacional de Transparencia,

Acceso a la Información y Protección de Datos Personales RESPONSABLE :


RESOLUCIÓ N: ACT-PRIV/22/03/2017 .02.01.05

XIV. Responsable: Persona física o moral de carácter privado que decide sobre el tratamiento de datos personales;

De los preceptos legales en cita se deriva que el objeto de la Ley de la materia es la protección de los datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado y así garantizar la privacidad y el derecho a la autodeterminación informativa de las personas; asimismo, son sujetos regulados por dicha ley, los particulares, personas físicas o morales de carácter privado que lleven a cabo el tratamiento de datos personales.

En ese orden de ideas, el artículo 25, fracción VI del Código Civil Federal, establece lo siguiente:

"Código Civil Federal

Artículo 25.- Son personas morales:

VI. Las asociaciones distintas de las enumeradas que se propongan fines polfticos, científicos, artísticos, de recreo o cualquiera otro fin lícito, siempre que no fueren desconocidas por la ley;

De la normativa transcrita, se advierte que son personas morales, las asociaciones con fines lícitos, reconocidas por la normativa, toda vez que la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, establece que son sujetos regulados las personas físicas o morales de carácter privado que llevan a cabo el tratamiento de datos personales y en virtud de que la Responsable se encuentra constituida como Asociación Civil, tal y como se acreditó con el Instrumento Notarial Número del once de enero del dos mil once, se considera persona moral de carácter privado y por tanto, sujeto obligado

56

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto



SEC RETARIA DE PROTECCIÓN DE DATOS PERSONALES

DIRECCIÓN GENERAL DE INVESTIGACIÓN Y VERIFICACIÓ N Instituto Nacional de Transparencia,

Acceso a la Información y Protección de Datos Personales RES PONSABLE:



al cumplimiento de la Ley de la materia y a los principios de protección de datos personales establecidos en la misma.

SEXTO. SOBRE EL CAMBIO DE FINALIDAD EN EL TRATAMIENTO DE LOS DATOS PERSONALES.

Una vez precisado lo anterior, se procede a analizar si la Responsable incurrió en probables violaciones a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento, para lo cual se estima conveniente citar el contenido de los siguientes preceptos normativos:


Artículo 12.- El tratamiento de datos personales deberá limitarse al cumplimiento de las finalidades previstas en el aviso de privacidad . Si el responsable pretende tratar los datos para un fin distinto que no resulte compatible o análogo a los fines establecidos en aviso de privacidad, se requerirá obtener nuevamente el consentimiento del titular.


Artículo 40. Los datos personales sólo podrán ser tratados para el cumplimiento de la finalidad o finalidades establecidas en el aviso de privacidad , en términos del articulo 12 de la Ley.

Para efectos del párrafo anterior, la finalidad o las finalidades establecidas en el aviso de privacidad deberán ser determinadas , lo cual se logra cuando con claridad, sin lugar a confusión y de manera objetiva se especifica para qué obj eto serán tratados los datos personales.

Artículo 43. El responsable no podrá llevar a cabo tratamientos para finalidades distintas que no resulten compatibles o análogas con aquéllas para las que hubiese recabado de origen los datos persona les y que hayan sido previstas en el aviso de privacidad, a menos que:

l. Lo permita de forma explícita una ley o reglamento, o

57

carmen.vigil

Cuadro de texto







RESPONSABLE:



JI. El responsable haya obtenido el consentimiento para el nuevo tratamiento ".

[Énfasis añadido].

De la normativa transcrita se desprende que los datos personales sólo podrán ser tratados para el cumplimiento de las finalidad es previstas en el Aviso de Privacidad correspondiente, mismas que deberán ser determinadas, lo cual se logra cuando con claridad, sin lugar a confusión y de manera objetiva, se especifica para qué objeto serán tratados. Asimismo, se desprende que en caso de que el Responsable pretenda tratar los datos personales para un fin distinto a los establecidos en el Aviso de Privacidad, se requerirá obtener nuevamente el consentimiento del Titular.

Ahora bien, en la especie, la Responsable señaló en su Aviso de Privacidad, así como en los escritos recibidos el ocho y veintiocho de noviembre del dos mil dieciséis y uno de febrero del dos mil diecisiete, que las finalidades a las que serán sometidos los datos personales que trata de sus clientes son las siguientes:




2. Gestión, control, administración y actualización de la información relacionada con clientes y alumnos para la prestación de los servicios contratados.

3. Gestión, control, administración y actualización de información de personas físicas que actúan como representantes legales o contactos designados de personas morales, que contratan servicios prestados por el Responsable .

58

y

carmen.vigil

Cuadro de texto










5. Facturación de los servicios y productos proporcionados , así como su cobra judicial o extrajudicial .

6. /mpartición, evaluación y seguimiento de los cursos educativos impartidos por {. . .], incluyendo la realización de pruebas de nivel sobre el conocimiento y uso de idiomas.

7. En su caso, comunicación de los resultados sobre aprovechamiento y pruebas de nivel de los alumnos, hacia aquellas personas que han contratado los servicios del Responsable o hacia autoridades administrativas que legalmente deban conocerlos.

B. Monitorización electrónica del aprovechamiento de los cursos impartidos por el Responsable .

9. Atención a alumnos y clientes a través de medios electrónicos.

10. Estadística y registro histórico de alumnos y clientes.


1. Envío de información y ofertas comercia/es sobre productos y/o servicios comercializados por el Responsable.

En todo momento, usted podrá revocar su consentimiento para el tratamiento de sus datos personales en relación con las finalidades adicionales indicadas, mediante los mecanismos previstos en este Aviso de Privacidad y de conformidad con la legislación vigente.

" ( . ,\ ... SIC¡

En este orden de ideas, mediante correo electrónico recibido el dos de diciembre del dos mil dieciséis, la empleada de la Responsable manifestó lo siguiente:

59

y

carmen.vigil

Cuadro de texto






EXPEDIENTE DE VERIFICACIÓ N: INAl.3S .07.02-001/2017.


"El hoy denunciante no me otorgó su consentimiento para utilizar sus datos personales ni establecer contacto con él para fines diverso, es de mi conocimiento que únicamente otorgó su consentimiento para los fines establecidos en el Aviso de Privacidad de la empresa para la cual laboro .

.. . " (sic)

Dicho reconocimiento, apoya los razonamientos expuestos en la Jurisprudencia l.1oT.J/37 , con número de registro 196523, sustentada por el Poder Judicial de la Federación, misma que en su página 669 establece lo siguiente:

"PRUEBA CONFESIONAL. ALCANZA PLENO VALOR CUANDO ES CLARA Y PRECISA. Si bien es cierto que la prueba confesional puede decidir una controversia y ser bastante para resolverla, haciendo inútil el estudio de otros medios de convicción, esto sólo es admisible cuando la confesión es expresa, clara y perfectamente referida a los términos dé la controversia, de manera que, sin lugar a dudas, implique el reconocimiento de la pretensión o bien de la excepción opuesta 14."

De esta forma, la empleada de la Responsable fue expresa , clara y refirió perfectamente no contar con el consentim iento del Titular para utilizar sus datos personales con fines diversos a los establecidos en el Aviso de Privacidad, razón por la cual , dicho reconocimiento alcanza pleno valor probatorio en el presente asunto.

Robustece lo anterior, la conversación remitida por el denunciante en su escrito primigenio de la cual se advierte lo siguiente:

14 PRIMER TRIBUNAL COLEGIADO EN MATERIA DE TRABAJO DEL PRIMER CIRCUITO. Amparo directo 10381/96. Martín Fuentes Rodríguez. 31 de octubre de 1996. Unanimidad de votos. Ponente: Horacio Cardoso Ligarte. Secretaria: Teresa Sánchez Medellín. Amparo directo 141/97. Eloísa Ramírez Romero. 20 de febrero de 1997. Unanimidad de votos. Ponente: Horacio Cardoso Ligarte. Secretario: José Manuel Rodríguez Puerto. Amparo directo 641/97. Karina Gabriela García Martínez. 20 de febrero de 1997. Unanimidad de votos. Ponente: Rubén Pedrero Rodríguez. Secretario: Ángel Salazar Torres. Amparo directo 8981/97. Ramón Rodríguez Mora. 21 de agosto de 1997. Unanimidad de votos. Ponente: Rubén Pedrero Rodríguez. Secretario: José Francisco Becerril Mendoza. Amparo Directo 1481/98. ldilberto González García. 5 de marzo 1998. Unanimidad de votos. Ponente: Ricardo Rivas Pérez. Secretario: Carlos Gregorio Ortiz García

60

y

carmen.vigil

Cuadro de texto




c,mocerte

No es laaaan r1a o

O si




RESPONSABLE:


RESOLUCIÓN: ACT-PRIV/22/03/2017 .02.01 .05

dime como e llama a ro gue 11= s

? o cuál es tu ínte~ció'l de escribirme'>

Bci,no bueno, No erel hleraaaaa tan maloo hacerlo ni cre1 o fueru a tomafl(l as,

Pues nadll 'ltas

En este orden de ideas, del Aviso de Privacidad se desprende que el tratamiento de los datos personales obtenidos por el hoy denunciante no tenían como finalidad establecer comunicación de carácter personal con su Titular, no obstante, la Responsable presuntamente incumplió con la finalidad para la cual fueron obtenidos los datos personales, toda vez sin previo consentimiento del mismo, fueron utilizados por parte de una de sus empleadas para establecer comunicación de carácter personal, por lo cual, este Instituto cuenta con elementos que hacen presumir que incumplió con la finalidad para la cual fueron recabados, lo anterior, en contravención a lo dispuesto en el artículo 12 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, así como el artículo 40 de su Reglamento, pues de la documentación que obra en el expediente en que se actúa, no se desprende que se haya solicitado al Titular su consentimiento, para que sus datos personales fueran utilizados para dicho fin, sino por el contrario, se advierte el reconocimiento de su uso para fines distintos a los establecidos en el Aviso de Privacidad.

En este orden de ideas, la Responsable presuntamente dio tratamiento a los datos personales del Titular para finalidades distintas y que no resultan compatibles o análogas con aquéllas para las que se recabaron de origen los datos personales y que no fueron previstos en el Aviso de Privacidad, asimismo,

61

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto

Imagen de tercero Artículos 116 de la LGTAIP y 113, fracción I, de la LFTAIP





DIRECCIÓ N GENERAL DE INVESTIGACIÓN Y VERIFICACIÓN

RESPONSABLE:



no se advierte disposición normativa que exceptúe del consentimiento en este cambio de finalidad, ni consentimiento del hoy denunciante para dicho tratamiento.

Por lo tanto, cambiar sustancialmente la finalidad originaria del tratamiento de los datos personales sin observar lo dispuesto por el multicitado artículo 12 de la Ley de la materia, constituye una posible infracción a dicho ordenamiento legal, de tal forma que la conducta de la Responsable, consistente en establecer comunicación de carácter personal sin el consentimiento del Titular, no corresponde a lo previsto en el referido ordenamiento. En conclu~ión, la Responsable, presuntamente se coloca en el supuesto de infracción contenido en la fracción IX del artículo 63 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que a la letra establece:


Artículo 63.- Constituyen infracciones a esta Ley, las siguientes conductas llevadas a cabo por el responsable :

IX. Cambiar sustancialmente la finalidad originaria del tratamiento de los datos, sin observar lo dispuesto por el artículo 12;


Como se puede advertir, el cambio sustancial de la finalidad originaria del tratamiento de los datos personales de la titular, ubica presuntamente a la Responsable en la hipótesis de infracción señalada en el artículo citado anteriormente.

62

carmen.vigil

Cuadro de texto






VERIFICACIÓN

RESPONSABLE:



SEPTIMO. SOBRE EL TRATAMIENTO A LOS DATOS PERSONALES EN POSIBLE CONTRAVENCIÓN A LOS PRINCIPIOS ESTABLECIDOS EN LA LEY FEDERAL DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE LOS PARTICULARES.

Por lo que se refiere a los princ1p1os de licitud, consentimiento, lealtad y responsabilidad en materia de protección de datos personales, los artículos 6 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; y 9 de su Reglamento, establecen lo siguiente:


Artículo 6. Los responsables en el tratamiento de datos personales, deberán observar los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, previstos en la Ley.


Articulo 9. De acuerdo con lo previsto en el artículo 6 de la Ley, los responsables deben cumplir con los siguientes principios rectores de la protección de datos personales:

l. Licitud;

JI. Consentimiento;

VI. Lealtad ;

VIII. Responsabilidad .

63

y

carmen.vigil

Cuadro de texto







EXPEDIENTE DE VERIFICACIÓN: INAl.3S .07.02-00112017.


De la normativa antes señalada , se deriva la obligación de la Responsable de tratar los datos personales recabados con pleno cumplimiento a los principios de lealtad, responsabilidad y licitud.

Por lo que se refiere al PRINCIPIO DE CONSENTIMIENTO , los artículos 3 fracción IV y 8 párrafos primero de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en relación con los diversos 11, 12, 15 fracción IV, 19 y 20 de su Reglamento, en su parte conducente señalan:



IV. Consentimiento: Manifestación de la voluntad del titular de los datos mediante la cual se efectúa el tratamiento de los mismos.

Artículo 8. Todo tratamiento de datos personales estará sujeto al consentimiento de su titular, salvo las excepciones previstas por la presente Ley.


Artículo 11. El responsable deberá obtener el consentimiento para el tratamiento de los datos personales, a menos que no sea exigible con arreglo a lo previsto en el artículo 1 O de la Ley. La solicitud del consentimiento deberá ir referida a una finalidad o finalidades determinadas previstas en el aviso de privacidad.

Cuando los datos personales se obtengan personalmente o de manera directa de su titular, el consentimiento deberá ser previo tratamiento.

Artículo 12. La obtención del consentimiento tácito o expreso deberá ser:

64

y

carmen.vigil

Cuadro de texto


INSTITUTO NACIONAL DE TRANSPARENCIA, ACCESO A LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONAL ES




EXPEDI ENTE DE VERIFICACIÓN: INAl.3S.07 .02-001/2017.

RESOLUCIÓN : ACT-PRIV/22/03/2017 .02.01.05

l. Libre: sin que medie error, mala fe, violencia o dolo que pue dan afec tar la manifestación de voluntad del titular ;

11. Específica : refer ida a una o varias finalidades determinadas que just ifiquen el tratamiento, y

111. Informada: que el titular tenga conocimiento del aviso de privacidad previo al tratamie nto a que serán somet idos sus datos personales y las consecuencias de otorgar el consentim iento.

Artículo 20. Para efectos de demost rar la obtención del consentimiento , la carga de la prueba recaerá, en todos los casos, en el responsable ."

[Énfasis propio].

Asimismo , resulta relevante citar el contenido de los artículos 16, fracción II de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y 40 y 43 de su Reglamento, que dispo nen lo siguiente:


Artículo 16.- El aviso de privacidad deberá contener , al menos , la siguiente informac ión:

11. Las finalidades del tratamiento de datos;


Artículo 40. Los datos personales sólo podrán ser tratados para el cumplimiento de la finalidad o finalidades establecida s en el aviso de privacidad , en términos del artículo 12 de la Ley.

65

carmen.vigil

Cuadro de texto








Para efectos del párrafo anterior, la finalidad o las finalidades establecidas en el aviso de privacidad deberán ser determinadas, lo cual se logra cuando con claridad, sin lugar a confusión y de manera objetiva se especifica para qué objeto serán tratados los datos personales.

Artículo 43. El responsable no podrá llevar a cabo tratamientos para finalidades distintas que no resulten compatibles o análogas con aquéllas para las que hubiese recabado de origen los datos personales y que hayan sido previstas en el aviso de privacidad, a menos que:

l. Lo permita de forma explícita una ley o reglamento, o

11. El responsable haya obtenido el consentimiento para el nuevo tratamiento.

De la normativa en cita se desprende que:

• El principio de consentimiento establece que todo tratamiento de datos personales se encuentra sujeto al consentimiento de su Titular, entendido como la manifestación de la voluntad mediante la cual se efectúa el tratamiento de los datos personales.

• La carga de la prueba para demostrar que el consentimiento se obtuvo, recaerá en todos los casos en el Responsable.

• El Aviso de Privacidad debe contener las finalidades del tratamiento de datos, así como las opciones y medios que el Responsable ofrezca a los titulares para limitar el uso o divulgación de sus datos.

• Los Titulares de los datos personales pueden negar su consentimiento u oponerse al tratamiento de sus datos para finalidades distintas a aquéllas que son necesarias para la relación jurídica contraída con el Responsable.

• La Responsable deberá obtener nuevamente el consentimiento del Titular en caso de dar tratamiento para finalidades distintas a las señaladas en su Aviso de Privacidad.

66

y

carmen.vigil

Cuadro de texto




DIRECCIÓN VE RIFICACIÓN



EXPEDIENTE DE VERIFICACIÓN: INAl.3S .07.02-00 1/2017.


En este sentido, resulta necesario retomar las manifestaciones de la empleada de la Responsable a través de los escritos recibidos en este Instituto el pasado ocho de noviembre y dos de diciembre, ambos del dos mil dieciséis, en el sentido de que:

4 .... Recabó datos personales del C. [Titular] y obtuvo el consentimiento necesar io para su tratamiento a través del pago de los servicios contratados y mediante la firma del anverso y reverso del Recibo de cobreo 273-2121 1 de fecha 31 de agosto de 2016.

Sin perju icio de la formalidad a que hace referencia el párrafo inmediato anterior, los datos personales del ahora denunciante son tratados por [la Responsable] bajo el supuesto prev isto en la fracción IV del artículo 1 O de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares ... "

5. El hoy denunciante no me otorgó su consentimiento para utilizar sus datos personales ni establecer contacto con él para fines divers o, es de mi conocimiento que únicamente otorgó su consen timiento para los fines establecidos en el Aviso de Privacidad de la empresa para la cual laboro .

... " (sic)

Al respecto, es menester referir lo previsto en el artículo 3, fracciones IV y XVIII de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; el cual señala lo siguiente:


IV. Consentimiento : Manifestación de la voluntad del titular de los datos mediante la cual se efectúa el tratamiento de los mismos.

67

y

carmen.vigil

Cuadro de texto








XVIII. Tratamiento: La obtención, uso, divulgación o almacenamiento de datos personales, por cualquier medio. El uso abarca cualquier acción de acceso, manejo, aprovechamiento, transferencia o disposición de datos personales.

En este sentido, se verifica que el tratamiento de los datos personales implica desde su obtención, uso, divulgación o almacenamiento y el mismo debe estar imperiosamente sujeto al consentimiento por parte de su Titular.

Luego entonces, la Responsable hace valer la causal prevista en el artículo 1 O, fracción IV de la Ley de la materia como una excepción para cumplir con el principio de consentimiento , dispensando con ello el uso de los datos personales del denunc iante para que, en cumplimiento de la relación jurídica formalizada , estableciera contacto con el mismo, con la finalidad de brindarle información respecto de los productos y servicios que proporciona la Responsable; sin embargo , se ha acreditado que el tratam iento referido atiende a una situación no prevista en el Aviso de Privacidad de la Responsable, la cual se traduce en un uso indebido, toda vez que el denunciante no otorgó su consentimiento para que se estableciera con el mismo comunicación de carácter personal , razón por la cual, la Responsable se encontraba obligada a obtener el consentimiento de parte del Titular para dicha finalidad .

Asimismo, y toda vez que el referido artículo 20 de la Ley de la materia indica que para efectos de demostrar la obtención del consentimiento, la carga de la prueba recaerá, en todós los casos, en el Responsable y en virtud de que ésta no sólo no acreditó no haber obtenido el mismo, sino que señaló expresamente no contar con el consentimiento del Titular para fines diversos a los establecidos en el Aviso de Privacidad, es que este Instituto advierte una presunta actuación en contravenció n a este principio.

Conforme al PRINCIPIO DE LEAL TAO, este Instituto considera importante citar los artículos 7 párrafo tercero de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y 44, fracción II de su Reglamento que establecen lo siguiente :

68

y

carmen.vigil

Cuadro de texto



SECRETAR IA DE PROTECCIÓN DE DATOS PERSONALES




EXPEDIENTE DE VERIFICAC IÓN: INAl.3S.07.02-001/2017.

RESOLUC IÓN: ACT-PRIV/22/03/2017 .02.01.05


Articulo 7 . ...

En todo tratamiento de datos personales, se presume que existe la expectativa razonable de privacidad, entendida como la confianza que deposita cualquier persona en otra, respecto de que los datos personales proporcionados entre ellos serán tratados conforme a lo que acordaron las partes en los términos establecidos por esta Ley.


Articulo 44. El principio de lealtad establece la obligación de tratar los datos personales privilegiando la protección de los intereses del titular y la expectativa razonable de privacidad, en los términos establecidos en el artículo 7 de la Ley.

No se podrán utilizar medios engañosos o fraudulentos para recabar y tratar datos personales. Existe una actuación fraudulenta o engañosa cuando:

11. Se vulnere la expectativa razonable de privacidad del titular a la que refiere el artículo 7 de la Ley, o


De los artículos transcritos, se desprende que en cumplimiento del principio de lealtad, los responsables deben garantizar la expectativa razonable de privacidad, entendida como la confianza que deposita una persona en otra, respecto de que los datos personales proporcionados entre ellos, serán tratados conforme a lo que acordaron y en los términos establecidos por la Ley de la materia .

69

y

carmen.vigil

Cuadro de texto








RESPONSABLE:



En ese sentido, de conformidad con lo estipulado en el Aviso de Privacidad, el denunciante otorgó su consentim iento para que la Responsable llevara a cabo el tratamiento de sus datos personales con la finalidad de establecer contacto para temas escolares; es decir, en ejercicio de su derecho de autodeterminación informativa, de manera autónoma otorgó su consentimiento y autorizó el acceso , uso y tratamiento de sus datos personales para las finalidades que en el momento de establecer la relación jurídica con la Responsable, le dio a conocer.

De acuerdo a lo analizado, se advierte un incumplimiento al mencionado principio, toda vez que al no guardar las medidas necesarias para la protección de datos personales del denunciante, en virtud consistente en que la Responsable estableció comunicación de carácter personal con este, actuando en contravención a lo que lo que acordaron las partes al momento de recabar los referidos datos personales .

En conclusión , se tiene por acreditado que la Responsable incumplió la expectativa razonable de privacidad al no actuar de conformidad con la normativa establecida, así como a lo acordado en el Aviso de Privacidad, por lo que su conducta actualiza el incumplimiento al principio de lealtad señalado en los artículos 6 y 7 párrafo tercero de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 9 fracción VI y 44 fracción 11 de su Reglamento.

Por lo que se refiere al PRINCIPIO DE RESPONSABILIDAD establecido en los artículos 14 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 47 y 48 de su Reglamento, mismos que señalan lo siguiente:


Artículo 14.- El responsable velará por el cumplimiento de los principios de protección de datos personales establecidos por esta Ley, debiendo adoptar las medidas necesarias para su aplicación ...

70

y

carmen.vigil

Cuadro de texto










Artículo 47. En términos de los artículos 6 y 14 de la Ley, el responsable tiene la obligación de velar y responder por el tratamiento de los datos personales que se encuentren bajo su custodia o posesión, o por aquéllos que haya comunicado a un encargado, ya sea que este último se encuentre o no en territorio mexicano.

Para cumplir con esta obligación, el responsable podrá valerse de estándares, mejores prácticas internacionales, políticas corporativas, esquemas de autorregulaci6n o cualquier otro mecanismo que determine adecuado para tales fines.

Artículo 48. En términos del artículo 14 de la Ley, el responsable deberá adoptar medidas para garantizar el debido tratamiento, privilegiando los intereses del titular y la expectativa razonable de privacidad .

[Énfasis añadidos]

De los preceptos legales y reglamentarios en cita, se desprenden las siguientes obligaciones a cargo de la Responsable:

• Velar y responder por el cumplimiento de los principios de protección de los datos personales que se encuentran bajo su custodia o posesión, de conformidad a la normatividad establecida en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

• Garantizar el debido tratamiento de los datos personales a los que les dé tratamiento.

En ese orden de ideas, si bien es cierto que la Responsable adjuntó en su escrito presentado en este Instituto el veintiocho de noviembre del presente año, documentación mediante la cual señala que las medidas implementadas para

71

y

carmen.vigil

Cuadro de texto







RESPONSABLE:



garantizar el debido tratamiento de datos personales se encuentran establecidas en su Código de Ética , Políticas de Redes Sociales; uso de correo electrónico y acceso a internet; y procedimiento de Alta e Inscripción de Alumnos; sin acreditar que las mismas son del conocimiento de sus empleados, también lo es que en su escrito recibido el ocho de noviembre del presente año, indicó desconocer la existencia de las comunicaciones realizadas por su empleada a través del sistema de mensajería Hagouts , manifestación que pone en evidenc ia ante este Instituto que la Responsable no cuenta con un sistema de supervisión y vigilancia interna que permita verificar el cumplimiento de sus políticas de privacidad.

Finalmente , la Responsable reconoció haber sufrido una transgresión a sus políticas de seguridad establecidas para el tratamiento de los datos personales, a saber :

(ii) .. . es necesario subrayar que [. . .] ha sufrido una violación de sus politicas de protección de datos personales, por parte de una persona que, aun siendo cuestionada directamente al respecto, ha mentido sobre la forma en que usó información de uno de nuestros alumnos.

Por lo anterior, este Instituto considera que la Responsable no tomó las debidas previsiones que le permitieran velar y responder por el tratamiento de los datos personales que se encuentren bajo su custodia o posesión, con lo que presuntamente incumplió con el principio de responsabilidad , establecido en los artículos 6 y 14 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 9 fracción VIII; 47 y 48 primer párrafo de su Reglamento.

Por lo que hace al PRINCIPIO DE LICITUD, los artículos 7 párrafo primero de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y 1 O de su Reglamento establecen lo siguiente:

72

carmen.vigil

Cuadro de texto







RESPONSABLE:




Artículo 7.- Los datos personales deberán recabarse y tratarse de manera lícita conforme a las disposiciones establecidas por esta Ley y demás normatividad aplicable.


Artículo 1 O. El principio de licitud obliga al responsable a que el tratamiento sea con apego y cumplimiento a lo dispuesto por la legislación mexicana y el derecho internacional."

De los preceptos legales transcritos, se deriva lo siguiente:

• Todo Responsable se encuentra obligado a recabar y tratar los datos personales conforme a la ley, así como con apego y cumplimiento a lo establecido en la normatividad de la materia, la legislación mexicana y el derecho internacional, en atención al principio de licitud.

En esa tesitura, como se señaló en los párrafos que preceden, la Responsable no logró acreditar que el tratamiento de los datos personales del denunciante hubieren sido tratados en apego a lo previsto por el marco normativo conducente, habida cuenta que de las constancias de autos quedó acreditado el tratamiento de los datos personales, sin las consecuentes acciones tendientes a garantizar su debida protección y consecuente sujeción a las disposiciones jurídicas vigentes y de plena aplicación en la materia es decir, en contravención al principio de licitud que todo Responsable del tratamiento de datos personales se encuentra obligado a observar en términos de los artículos 6 y 7 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 9 fracción I y 1 O de su Reglamento.

73

y

carmen.vigil

Cuadro de texto


"






RESPONSABLE:

EXPEDIE NTE DE VERIFICACIÓN: INAl.3S.07.02-001/2017.


Visto lo anterior, en el presente caso se violentó lo establecido en el principio de licitud, ya que no obstante de encontrarse reguladas dichas obligaciones en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento, la Responsable no las observó al momento de dar tratamiento a los datos personales del denunciante, violentando lo establecido en la Ley de la materia.

En términos de lo expuesto a lo largo de la presente Resolución, se estima que la Responsable presuntamente vulneró la seguridad de los datos personales del denunciante que tenía bajo su resguardo, a efecto de dar cumplimiento a los principios de protección de datos personales relativos a consentimiento, lealtad, responsabilidad y licitud establecidos en la citada Ley, razón por la cual se advierte que no se apegó a las disposiciones establecidas en los artículos 19 y 20 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 9 fracciones 1, VI y VIII y último párrafo, 10, 44, 47, 48 párrafo primero, 57, 59, 61, 62 y 63 fracción II de su Reglamento.

En consecuencia, este Instituto considera que la conducta de resulta presuntamente violatoria al principio de licitud

establecido en los artículos 6 y 7 párrafo primero de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 9 fracción I y 1 O de su Reglamento, por cuya virtud está obligada a que el tratamiento de los datos personales sea con apego y cumplimiento a lo dispuesto por la legislación mexicana y el derecho internacional.

Por lo anteriormente expuesto, conviene señalar que el artículo 63, fracción IV de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, dispone lo siguiente:


Artículo 63.- Constituyen infracciones a esta Ley, /as siguientes conductas llevadas a cabo por el responsable:

74

y

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto







RESPONSABLE:



IV. Dar tratamiento a los datos personales en contravención a los principios establecidos en la presente Ley;

Por lo antes expuesto, una vez concluido el análisis de las documentales que obran en el presente expediente, este Pleno:

RESUELVE

PRIMERO. Con fundamento en los artículos 61 y 63, fracciones IV y XI de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 137, párrafo segundo y 140 de su Reglamento; 66 y 68 de los Lineamientos de los Procedimientos de Protección de Derechos, de Investigación y Verificación y de Imposición de Sanciones se ordena iniciar el procedimiento de imposición de sanciones, toda vez que toda vez que llevó a cabo el tratamiento de los datos personales del denunciante para una finalidad distinta a las establecidas en su Aviso de Privacidad e incumplió con los principios de consentimiento, lealtad, responsabilidad y licitud, en términos de lo dispuesto en los Considerandos QUINTO, SEXTO y SEPTIMO de la presente Resolución.

SEGUNDO. Túrnese el presente expediente a la Secretaría de Protección de Datos Personales a efecto de que se dé inicio al procedimiento señalado en el Resolutivo PRIMERO .

TERCERO. De conformidad con los artículos 57 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y 12, fracción XXXVI del Estatuto Orgánico del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos, la presente Resolución se hará pública, por lo cual se instruye a la Secretaría de Protección de Datos Personales de este Instituto para que elabore la versión pública respectiva, eliminando aquella información clasificada por ser información que identifique o haga identificable a las personas físicas y la confidencial de las personas morales, en términos de los

75

carmen.vigil

Cuadro de texto


carmen.vigil

Cuadro de texto







RESPONSABLE:



artículos 113 y 116 de la Ley General de Transparencia y Acceso a la Información Pública, y 11 O y 113 de la Ley Federal de Transparencia y Acceso a la Información Pública; y una vez hecho lo anterior, dicha resolución sea remitida a la Secretaría Técnica del Pleno para que, previa revisión, se publique en la página de internet del Instituto .

CUARTO. Con fundamento en los artículos 39, fracción XII de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y 24, fracción XVII del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, se instruye a la Secretaría de Protección de Datos Personales de este Instituto, a que dé seguimiento al cumplimiento de la presente Resolución .

QUINTO. Se hace del conocimiento de la Responsable que con fundamento en el artículo 138 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; y 67 de los Lineamientos de los Procedimientos de Protección de Derechos, de Investigación y Verificación y de Imposición de Sanciones, en contra de la Resoluc ión al procedimiento de verificación, podrá interponer juicio de nulidad ante el Tribunal Federal de Justicia Administrativa.

SEXTO. El presente expediente puede ser consultado en el domicilio del Instituto ubicado en Avenida Insurgentes Sur, 3211 (tres mil doscientos once) , Segundo Piso, Colonia Insurgentes Cuicuilco, Delegación Coyoacán, Código Postal 04530 (cero, cuatro, cinco, tres, cero), en la Ciudad de México, en la Dirección General de Investigación y Verificación.

SEPTIMO. Notifíquese la presente Resolución por conducto de la Secretaría de Protección de Datos Personales a la denunciante y a la Responsable en los medios señalados para tales efectos, con fundamento en el artículo 137, último párrafo del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; y 66 de los Lineamientos de los Procedim ientos de Protección de Derechos, de Investigación y Verificación y de Imposición de Sanciones.

76

carmen.vigil

Cuadro de texto








RESPONSABLE:

EXPED IENTE DE VERIFICACIÓN: INAl.3S.07.02-001/2017 .


Así lo resolvieron, por unanimidad, los Comisionados presentes del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, en sesión celebrada el v intidós de marzo del dos mil diecisiete, ante el Secretario Técnico del Pleno el Secretario de Protección de Datos Personales, de este Instituto.

ente de la Mora da Presidenta

y

//:-~1/~' Rosa María Barcena Canuas

Directora General de Atención al Pleno

~~-;;::¿/=- t:#== ~_, Luis Gustavo arr Noriega

Secretario de Protección de Datos Personales

En suplencia por ausenc ia del Secretar io Técnico del Pleno . de conformidad con el artícu lo 29, fracción XXXV II y el art ículo 53 del Estatuto Orgánico del Instituto Nacional de Transparencia , Acceso a

la Información y Protección de Datos Personales . publicado en el Diario Oficial de la Federac ión el 17 de enero de 20 17.

77

carmen.vigil

Cuadro de texto


instituto nacional de transparencia, acceso a...

Documents