Cuando El IFAI Llame A Su Puerta

Cuando el IFAI llame a su puerta, ¿sabe cómo responderle y qué le va a pedir?
Un gran amigo inicia sus presentaciones sobre Protección de Datos Personales hablando de la historia de Casandra, hija de Hécuba y Príamo –reyes de Troya– quien tenía el don de la profecía y la adivinación. Pero era una habilidad maldita, pues como Casandra rechazó el amor del dios Apolo, este en castigo le escupió ala adivinadora en la boca, permitiendo que conservara su don para predecir el futuro pero quitándole cualquier credibilidad posible. Una simple loca a los ojos de los comunes.

Aunque la metáfora requiere un poco de imaginación, creo que el mito griego puede verse hoy reflejado, si se analizan con detenimiento los detalles y retos, dentro de los parámetros de la Ley Federal de Protección de DatosPersonales en Posesión de Particulares (LFPDPPP).
En innumerables ocasiones he comentado que la ley fue publicada hace ya casi dos años y desde entonces decenas de voces han clamado a los cielos todo lo que le podría pasar a las empresas si no cumplen con la regulación, pero ha pasado tanto tiempo sin que se sepa de alguna compañía que haya enfrentado alguna consecuencia derivada de unincumplimiento con la ley o el reglamento, que muchos nos sentimos como Casandra o el mismo Pedrito, del cuento infantil de Pedro y el lobo: sabemos que algo malo va a suceder –y lo hemos advertido– pero como lo hemos repetido tantas veces ya nadie cree que realmente pase.
Pues les tengo buenas y malas noticias. La buena es que aquellos Casandros y Pedros que tanto predecían y advertían, no están del todolocos; la mala es que al parecer el lobo ya está aquí y parece que viene acompañado.

Hace un par de semanas llegaron a mis manos una serie de cartas y documentos en los que el IFAI hace requerimientos a empresas, principalmente del sector de servicios de comunicaciones y servicios de video, en los que les solicita varios elementos para corroborar la forma en la que la empresa actuó antepeticiones particulares de ejercicios de derechos ARCO (ya usted bien sabe cuáles son estos derechos), que fueron reportados al Instituto por los titulares y que, al parecer, no se apegaron a los términos establecidos por la ley.
Para complementar la información el IFAI solicita varios elementos, que trataré de resumir a continuación:
Copia de los documentos donde se recaba el consentimiento expresocuando se trata de datos sensibles.
La política de confidencialidad de la empresa según lo que expresa el Artículo 21 de la Ley.
El aviso de privacidad y la forma en la que se da a conocer a los titulares de los datos.
Hasta aquí suenan fáciles todas las peticiones que hace la autoridad, pero la siguiente parte puede ser un golpe para muchas organizaciones, porque el IFAI solicita:
La forma en laque se garantiza la confidencialidad de los datos personales (hablando ya de garantizar, por lo que dependiendo del volumen y sensibilidad de los datos, habrá que contar con controles de seguridad que puedan asegurarnos su confidencialidad).
Informar si han tenido o sufrido vulnerabilidad a la seguridad de sus sistemas y datos. Esto bajo los términos de la Ley y el Reglamento, los cuales puedendeberse a varias razones y tomando en cuenta que alguien reportó al IFAI una anomalía, es probable que aunque usted no lo quiera aceptar, sí haya existido dicha vulneración.
Manifestar qué personal de la organización tiene acceso a lo datos personales y de qué manera han sido concientizados sobre la importancia de los datos que manejan. Tratándose de empresas con un buen número de empleados, esto yano es labor de un par de días, el programa de concientización y capacitación debe hacerse extensivo a prácticamente a todo el personal, desde los que reciben identificaciones en la puerta, los vendedores, hasta el personal que atiende a los clientes.
Informar sobre las medidas físicas, técnicas o administrativas que ha implementado para tratar los datos personales y en particular los que sean...