Infractora: BUHOLEGAL, S. de R.L. de...

$: Infractora: BUHOLEGAL, S. de R.L. de C.V.sontusdatos.org/wp-content/uploads/2014/04/buholegal-exped_ps0016_13... · página web de Búho legal respecto a "Consulta de Cédulas SEP",$
Instituto Federal de Acceso a la 1 nformación y Protección

de Datos

Infractora: BUHOLEGAL, S. de R.L. de C.V.

Expediente: PS.0016/13

Comisionado Ponente: Ángel Trinidad Zaldivar

Visto para resolver en definitiva el procedimiento de imposición de sanciones, cuyo expediente se cita al rubro, se procede a dictar la presente Resolución con base en los siguientes:

ANTECEDENTES

l. El 03 de abril de 2013, el Pleno de este Instituto Federal de Acceso a la Información y Protección de Datos, emitió el Acuerdo número ACTPRIV/03/04/2013.03.01.03, mediante el cual ordenó iniciar de oficio el procedimiento de verificación bajo el expediente IFAI.3S.07.02-006/2013, a la empresa BUHOLEGAL, S. de R.L. de C.V.

Dicho Acuerdo fue notificado a BUHOLEGAL, S. de R. L. de C.V. el 09 de abril de 2013.

11. El 18 de abril de 2013, el Secretario de Protección de Datos Personales de este Instituto, emitió la orden de verificación 38.07.02-006/2013-001/2013 y el oficio de comisión IFAI/8PDP/0116/2013, a efecto de que se realizara la visita de verificación a la presunta infractora en su domicilio ubicado en calle 6 número 8 Altos, colonia Centro, municipio Córdoba, código postal 94500, en México, Veracruz, (sic) señalando como objeto de la misma lo siguiente:

"[ ... )

En acatamiento a lo dispuesto en el artículo 133 del Reglam,ento de la Ley Federal de Protección de Datos Personales en Posesión de Particulares el objeto de la orden de verificación, consiste en:----------------------------------------------------------------------------------

1) Verificar que el tratamiento de los datos personales se apegue a los principios y la legislación en materia de protección de datos personales, de conformidad con lo dispuesto por los artículos 6, 7, y 14 de la LFPDPPP y 1 O de su Reglamento. -------------

2) Verificar que la responsable garantice el derecho a la autodeterminación informativa de las personas, a través del libre ejercicio de los derechos de acceso, rectificación, cancelación y oposición de datos personales, de conformidad con los artículos 1, 22 y 25 de la LFPDPPP, y 87 de su Reglamento.

[ ... ]"

111. El 23 de abril de 2013, el personal designado procedió a dar cumplimiento a la orden de verificación 38.07.02-006/2013-001/2013, levantando el acta respectiva, en la cual quedó asentado que:

Instituto Federal de Acceso a la Info rmación y l'rotccción

de Datos

"[ .. . ]



Comisionado Ponente: Ángel Trinidad Zaldívar

[ .. . ] los verificadores solicitan a la persona que recibe la visita, informe y en su caso acredite con documento idóneo que soporte su dicho, lo siguiente: ---------------------------

1. Informe si cuenta con Aviso de Privacidad, de conformidad con los artículos 3, fracción 1 y 15, de la L FPD P PP.-------------------------------------------------------------------------Si cuenta con aviso de privacidad------------------------------------------------------------------------

2. Indique la forma en que da a conocer a los usuarios de los servicios proporcionados por su empresa el aviso de privacidad y proporcione copia simple del mismo, de conformidad con el artículo 17, de la LFPDPPP y 25 del Reglamento de la LF PO P PP.------------------------------------------------------------------------------------------------------En la página web de Buholegal, S. de R.L. de C.V. se puede consultar el aviso de privacidad, y es la única forma en que lo hace de conocimiento a sus usuarios por que no tiene contacto físico con persona alguna. Se anexa copia del aviso de privacidad como Anexo 7-------------------------------------------------------------------------------------------------

3. Proporcione el documento a través del cual es posible constatar que pone a disposición de los usuarios, el aviso de privacidad, de conformidad con el artículo 31 del Reglamento de la L F PO PP P. -----------------------------------------------------------------------No tiene documento alguno que acredite la puesta a disposición del aviso de privacidad, más que la página web de Buholegal, S. de R. L. de C.V.--------------------------

4. Señale la identidad y domicilio del responsable que recaba los datos personales, de acuerdo al artícu lo 16, fracción 1 de la LFPDPPP y 27, fracción 1, de su R eg 1 a m en t o. ----------------------------------------------------------------------------------------------------La identidad es Buholegal, S. de R.L. de C.V., el domicilio es calle 6, número 8 (ocho) Altos, Colonia Centro, municipio Córdoba, Código Postal 94500, en México, Veracruz---

5. Indique los datos personales que recaba de conformidad con lo señalado en los artículos 12, 15, 16 fracción 11 de la LFPDPPP y 23, 27 fracción 11 , 30 y 40 de su Re g 1 a m e nt o . ----------------------------------------------------------------------------------------------------Si recaba datos personales, de sus clientes recaba su nombre, domicilio, correo electrónico, datos fiscales y aparte de eso, respecto de la base de datos de la SEP recabamos datos públicos no confidenciales, pero que si tiene información personal-----

6 . Señale si recaba datos personales sensibles, con fundamento en el artículo 16, párrafo segundo de la L F P DP PP. ----------------------------------------------------------------------No recaba datos sensibles ni patrimoniales-----------------------------------------------------------

7. Indique si hace del conocimiento a los titulares de los datos personales la información que se recaba de ellos y con qué fines, de conformidad con el artículo 15 de la L F P D P PP. ----------------------------------------------------------------------------------------------La Secretaría de Educación Pública tiene disponible en la web, toda la base de datos de cédulas profesionales , donde ponen a disposición más de ocho millones de registros sobre cédulas profesionales , nosotros descargamos más de ocho millones de registros de cédulas profesionales, entonces es imposible conocer los domicilios de esas personas, además conforme al artículo 1 O de la Ley Federal Protección de Datos Personales en Posesión de los Particulares, no es necesario obtener el consentimiento cuando los datos figuren en una fuente de acceso público . Existe otra manera en que recaba datos personales consistente en dar la posibilidad a las personas de tomar el

2

lnstinuo Federal de Acceso a la Información y Protección

de Datos




control de todo su registro, y agregar datos personales como trabajo actual, experiencia, correo electrónico y teléfono--------------------------------------------------------------

8. ¿De los datos personales que recaba como son trabajo actual, experiencia, correo electrónico y teléfono, hace del conocimiento a los usuarios de los fines de estos?-------

Cuando recabamos los datos que ellos agregan, les damos la facultad de modificar sus datos es voluntario por lo que respecta a trabajo actual, experiencia, correo electrónico y teléfono. Es un servicio como Facebook o Linkedin en el que viene implícita la finalidad que es dar publicidad a sus méritos profesionales sin decírselo de manera di recta-------------------------------------------------------------------------------------------------

9. Describa las finalidades del tratamiento de los datos personales, con fundamento en el artículo 16, fracción 11 de la LFPDPPP? ------------------------------------------------------------

Es un servicio público que evita fraudes y que personas se ostenten como profesionistas cuando no lo son------------------------------------------------------------------------

1 O. ¿Cuenta con medios para limitar el uso o divulgación de los datos personales, en su caso, indique cuales son, de acuerdo a lo previsto en el artículo 16, fracción 111 de la L F PO P P P? ----------------------------------------------------------------------------------------------------

Como son datos públicos, ponemos esos datos a la disposición de cualquier persona y por lo tanto no cuenta con algún medio para limitar el uso o divulgación de los datos personales------------------------------------------------------------------------------------------------------

11 . ¿Tiene establecidos medios para ejercer los derechos de Acceso, Rectificación, Cancelación y Oposición de datos personales, en su caso, indique cuales son, atendiendo lo dispuesto en el artículo 16, fracción IV de la LFPDPPP? --Si tiene establecidos medios para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. Los derechos de acceso, se puede realizar ante nosotros, por lo que respecta a los de rectificación, cancelación y oposición no se pueden ejercer ante Buholegal, S. de R.L. de C.V., se remite la solicitud de estos derechos a la Dirección General de Profesiones de la Secretaría de Educación Pública.-------------------

Por lo que respecta a los datos personales como trabajo actual, experiencia, correo electrónico y teléfono se pueden ejercer ante Buholegal, S. de R.L. de C.V. los derechos de acceso, rectificación, cancelación y oposición---------------------------------------

12. Describa como ha obtenido el consentimiento para el tratamiento de datos personales, en su caso, exhiba el documento que acredite su dicho, según lo señalado en el artículo 8, párrafo primero de la LFPDPPP. ---------------------------------------------------

Por lo que respeta a los datos de las cédulas de las SEP no se obtiene el consentimiento por que está dentro de lo previsto en el artículo 1 O de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Por lo que se refiere a los datos personales que recaba como trabajo actual, experiencia, correo electrónico y teléfono no obtiene el consentimiento de los titulares , en virtud de que ellos lo pueden subir a la página web de Buholegal , S. de R. L. de C.V. de manera voluntaria---------------

13. ¿Transfiere los datos personales que recaba, en su caso, señale el nombre, domicilio y si tiene alguna relación con aquellas a quienes les transfiere estos datos, de conformidad con el artículo 67 del Reglamento de la LFPDPPP?-------------------------------

0 transfiere dato persona 1 a 1 gu n 0----------------------------------------------------------------------

3

J ..

Instituto Federal de Acceso a la Info rmación y Protecció n

de Da tos




14. ¿Cómo notifica a los titulares las transferencias de datos personales que realiza, de acuerdo al artículo 15 de la LFPDPPP? ---------------------------------------------------------------

No aplica en virtud de que no real iza transferencias de datos a personas físicas o morales----------------------------------------------------------------------------------------------------------

15. ¿Cuenta con algún procedimiento para comunicar a los titulares los cambios en el aviso de privacidad de acuerdo a lo previsto en el artículo 16, fracción VI de la L F P D P P P? ----------------------------------------------------------------------------------------------------

A la fecha no se ha presentado la necesidad de hacer un cambio en el aviso de privacidad, por lo tanto no tiene previsto un procedimiento---------------------------------------

16. ¿Establece mecanismos de revocación del consentimiento para el tratamiento de los datos personales, en su caso, indique cuales son éstos, con fundamento en el artículo 8, párrafo qu into de la LFPDPPP? ------------------------------------------------------------

No tiene previsto algún mecanismo de revocación del consentimiento pues manifiesta que está dentro de la hipótesis del artículo 1 O de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares-----------------------------------------------------------

17. Indique como recaba los datos personales que utiliza para prestar el servicio de "Consulta de Cédulas SEP" y con que finalidad brinda el referido servicio, de conformidad con lo dispuesto en el articulo 15 de la LFPDPPP en relación con la fracción 11 del articulo 16, de la misma Ley. ----------------------------------------------------------

Descarga la información de las cédulas profesionales de la pág ina web http://www.cedulaprofesional.sep.gob.mx/cedula/filelist.action , y la f inalidad es para evitar f ra u des --------------------------------------------------------------------------------------------------18. ¿De que manera recaba la base de datos de la SEP que contiene la información que muestra en "Consulta de Cédulas SEP"? --------------------------------------------------------

ta ún ica forma que recaba la información es descargándola de la página web citada con anterioridad-----------------------------------------------------------------------------------------------

19. ¿De que forma lleva a cabo las actualizaciones de la información contenida en la página web de Búho legal respecto a "Consulta de Cédu las SEP", de conformidad con el artícu lo 11 de la LFPDPPP y 1 O de su Reglamento? -------------------------------------------

La actualiza (sic) se realiza descargando los archivos que la SEP pone en su página web sobre cédulas profesionales.-------------------------------------------------------- ---------------

20. ¿Con que periodicidad realiza la actualización de los datos personales que pone a disposición de sus usuarios, en el apartado "Consulta de Cédulas SEP"? -------------------

La actualización se realiza periódicamente cada 3 meses, haciendo un barrido de toda la información, es decir, sobre escribiendo todos los registros encontrados en los veinte archivos que tiene la Dirección General de Profesiones de la SEP en su página web. La última actualización a la base de datos que se muestra en el sitio web de Buholegal, S. de R. L. de C.V. referente a cédulas profesionales se real izó el nueve de nueve (sic) septiembre de dos mil doce. El representante legal entrega impresión de la bitácora de la última actualización de la base de datos de cédulas profesionales SEP y se agrega a la presente actuación como Anexo 8. ------------------------------------------------------------------

21 . ¿Por qué medio obtiene la información para llevar a cabo las actualizaciones de la información contenida en el Registro Nacional de Profesionistas? -----------------------------

4

1 nstinno Federa l de Acceso a la 1 nformación y Protección

de Datos




La información la descarga de la pag1na web http://www.cedulaprofesional.sep.gob.mx/cedula/fileList.action. --------------------------------22. ¿De que forma es posible agregar datos en la página web de Búho legal que contiene la información que muestra en "Consulta de Cédulas SEP" (físico y/o e 1 ect ró n ico)? ---------------------------------------------------------------------------------------------- ----

Las personas deben ingresar al sitio web de Buholegal, S. de R.L. de C.V. y crear una cuenta gratuita, después deben mandar un correo a la dirección electrónica [email protected] con una imagen escaneada de su cédula profesional, después aquí habilitamos su cuenta para que puedan modificar sus datos previamente verificados. Por otra parte, también es posible que la persona acuda a las oficinas para ingresar o agregar datos a la página, siguiendo el mismo procedimiento que se hace vía electrónica-------------------------------------------------------------------------------------------------

23. Explique las acciones que es necesario llevar a cabo para ingresar los siguientes datos: 'Trabajo actual, Experiencia, Correo electrónico, Teléfono", en la página web de Búho legal donde se encuentra "Consulta de Cédulas SEP". ------------------------------------Es el mismo procedimiento que se señala anteriormente------------------------------------(sic)

24. ¿Qué hace con los archivos y con el correo electrónico que envían los usuarios a la página de Búho lega 1 para agregar datos?------------------------------------------------------------

La cédula profesional escaneada y el correo los conserva por aproximadamente tres meses en el buzón del correo electrónico [email protected] ----------------------------

25. ¿Quién es el titular del correo electrónico [email protected]?----------------------EI titular de la cuenta es John Lee Ward y -----------------------------------

26. ¿De que forma es posible borrar datos en la página web de Búho legal que contiene información de las Cédulas Profesionales? -----------------------------------------------El propio usuario puede borrar los datos que agrega en su cédula profesional, previo envío de su cédula profesional escaneada------------------------------------------------------------

27. Explique que datos es posible borrar de la página web de Búho legal donde se encuentran las Cédulas Profesionales. ---------------------------------------------------------------

De la base de datos de Buholegal, S. de R. L. de C. V. se puede borrar año, universidad, estado, experiencia, trabajo actual, correo electrónico y teléfono-------------------------------

28. Cuando los datos de carácter personal han dejado de ser necesarios para el cumplimiento de las finalidades , de conformidad con el artículo 11 de la LFPDPPP ¿ S o n ca n ce 1 a dos? ------------------------------------------------------------------------------------------Considera que los datos personales que utiliza no se cancelan en virtud de que siempre tienen u ti 1 id ad---------------------------------------------------------------------------------------29. Precise el tiempo que resguarda los datos personales y la forma en que se procedería a su total cancelación una vez que éstos han dejado de ser útiles para la relación con sus usuarios, de acuerdo a lo establecido en los artículos 13 y 25 de la LFPDPPP; así como 37 y 38 de su Reglamento. ---------------------------------------------------

Por lo que respecta a la información que recibe por correo electrónico la resguarda para agregar datos en el buzón del correo electrónico [email protected] durante res meses y por lo que se refiere a la información de Cédulas de Profesionales de la

SEP no tiene previsto un tiempo determinado para su cancelación-----------------------------

5

aneliz.vargas

Texto escrito a máquina

Eliminado: nombre de persona física. Artículo 18, fracción II y Artículo 3, fracción II de la LFTAIPG.

aneliz.vargas


aneliz.vargas


aneliz.vargas


aneliz.vargas


aneliz.vargas


Instituto Federal de Acceso a la Info rmación y Protección

de D atos




30. Señale si ha recibido solicitudes para ejercer algún derecho ARCO relativo a datos personales que muestra en su sitio web www.buholegal.com, en el apartado de "Consulta de Cédulas SEP", ¿en qué han consistido dichas solicitudes y de qué forma fueron atendidas, de conformidad con los artículos 16 fracción IV. 32 de la LFPDPPP y 90 de su Reglamento? ----------------------------------------------------------------Si ha recibido solicitudes para el ejercicio de los derechos ARCO, tiene una solicitud por atender y tiene una audiencia. Ha recibido sólo solicitudes de rectificación y ha orientado a los solicitantes para que acudan a ejercer su derecho de rectificación ante la Dirección General de Profesiones de la SEP, para que cuando la SEP actualice su base de datos, también la actualice Buholegal, S. de R.L. de C.V. ----------------------------------------

31. ¿Se integran archivos físicos de las solicitudes presentadas para el ejercicio de los derechos de Acceso, Rectificación, Cancelación u Oposición? ---------------------------------

No se integran expedientes físicos, sólo se conservan los correos electrónicos que llegan a correo [email protected] donde solicitan la rectificación------------------------

32 . ¿Existe la designación de persona o departamento de datos personales para dar trámite a las solicitudes de derechos ARCO, de acuerdo al artículo 30 de la L F P D P P P? -----------------------------------------------------------------------------------------------------

Si, la persona responsable del atender las solicitudes es la c. [ .. . ] ----------------------------

[ .. . ]"

IV. El 06 de mayo de 2013, este Instituto recibió escrito del representante legal de BUHOLEGAL S. de R. L. de C.V., por el que hizo diversas manifestaciones, en ejercicio del derecho concedido en el acta de visita de verificación , señalando en lo conducente que:

"[ .. . ]

Aprovechando de los cinco dias que tengo para manifestar sobre este procedimiento, quiero abrogar (sic) dos temas: 1) el mantenimiento de la base de datos y 2) preceptos del derecho a la información.

Respecto al mantenimiento de la base de datos, manifiesto que la base de datos fue actualizada el 29 de abril y ahora contiene más de 8 millones de registros. Adjunto la bitácora de la carga de los nuevos datos. Estamos por implementar un sistema automatice (sic) para sincronizar con la base de datos de la SEP para la posibi lidad de que un registro fue corregido en la SEP pero no reflejado en Buholegal.

Sin embargo, quiero destacar que nunca hemos recibido una queja alegando que un registro de la SEP haya sido distinto que un registro de Buholegal. En el futuro si existiera un registro no sincronizado, será posible hacer la actualización y corrección de un registro de manera manual sin esperar para una sincronización global de las bases de datos.

Respecto al derecho a la información manifiesto lo siguiente:

6

1 nstituto Federal de Acceso a la 1 nforrnación y Prot.ección

de Datos



Comisionado Ponente: Angel Trinidad Zaldívar

En la legislación de transparencia , existen tres clasificaciones de información: Pública, Confidencial y Reservada. Cuando la información es designada como pública, la difusión de ésta no puede ser regulada, restringida, suprimida o censurada. Tal es una consecuencia lógica del principio de "máxima publicidad" y el reconocimiento de la "titularidad" de la · información pública radica en el Pueblo (dominio público) y no con uno u otro particular.

Artículo 18 de la Ley Federal de Transparencia y Acceso a la Información Pública dice, "Como información confidencial se considerá: .. . Los datos personales que requieren el consentimiento de los individuos para su difusión, distribución o comercialización en los términos de esta Ley". Pero como la base de datos de las Cédulas Profesionales no es confidencial, sino público, no s~ requiere de consentimiento alguno para su difusión y distribución.

En la doctrina y las leyes de información pública, no existe una clasificación legal de información llamada "personal". Como el negocio del gobierno es el "pueblo", es obvio que una gran cantidad de información gubernamental contiene información "personal". Al hacer una ponderación entre el interés de la privacidad de una persona y el interés público de transparencia, la autoridad puede clasificar información gubernamental como "confidencial" para proteger información personal.

En las leyes que protegen la información personal , hay que reconocer que es posible ordenar la supresión o cancelación de toda información personal. Si tal fuera el caso, sería imposible publicar periódicos. Sería imposible hasta publicar el nombre de una persona sin temor de que la tinta que nombra la persona será legalmente sujeta a destrucción.

Es claro que la información gubernamental pública no puede ser censurada. El gobierno, en el momento de designar a la información pública, determina que el interés al público para el libre acceso de cualquier contenido de información "personal" es mayor que el interés de una persona en particular a suprimirlo. En otros casos el opuesto es la determinación y por eso existe la clasificación de datos como "confidencial".

Para demostrar la veracidad de este argumento, ofrezco para su consideración el artículo 1 O de la Ley Federal de Protección de Datos Personales que dice "No es necesario el consentimiento para el tratamiento de los datos personales cuando: .. . Los datos figuren en fuentes de acceso público."

Este artículo dice que la información pública que contiene información "personal", puede ser utilizado sin el consentimiento de la persona. Es decir, ni el gobierno ni un particular puede censurar o suprimir la información legalmente designada como "pública" aunque ésta contenga datos personales. Si un particular se objeta a la difusión de datos personales que son "públicos", debe solicitar a la autoridad que se clasifique a la información como "confidencial"

7




Instituto Federal de Acceso a la Info rmac ió n y Protección

de D atos

Dado a que la información sujeta al procedimiento de IFAI es información pública y no confidencial, el IFAI entabló un procedimiento con el fin de censurar datos públicos. Esto es un atentado que es inconstitucional por violar el derecho a la información y un atentado que viola los preceptos esbozados en el articulo 13 de la Convención Americana sobre Derechos Humanos.

[ ... ]"

V. El 13 de mayo de 2013, el Director General de Verificación emitió con el folio DGV-DI29/2013, un "Dictamen de la información contenida en el sitio web "http://www.cedulaprofesional.sep.gob.mx/cedula", sobre los registros de las cédulas profesionales".

VI. El 01 de octubre de 2013, el Pleno de este Instituto dictó la Resolución ACTPRIV/01/10/2013.03.02.01, en el expediente de verificación IFAI.3S.07.02-006/2013, en la que, en su resolutivo SEGUNDO, ordenó iniciar el procedimiento de imposición de sanciones en términos de lo dispuesto en los considerandos CUARTO y SEXTO de dicha Resolución.

A este respecto, resulta pertinente retomar lo asentado en los considerandos CUARTO y SEXTO de la resolución en comento, en donde se señaló lo siguiente:

"[ . . . ] CONSIDERANDOS

[ ... ]

CUARTO. Uno de los objetivos de la LFPDPPP, es la protección de los datos personales en posesión de los particulares, con la fina lidad de regular su tratamiento legítimo, controlado e informado, a efecto de garantizar la privacidad y

A efecto de verificar si la Responsable ha dado cumplimiento a la normatividad en la materia, se analizarán los elementos del Aviso de Privacidad entregado por la Responsable dentro de la visita de verificación, de fecha veintitrés de abril de dos mil trece, mismo que se reproduce a continuación:

Aviso dirigido a los titulares de datos personales que obran en posesión de Búholegal S. de R.L. de . C. V.: Búholegal S. de R.L. de C. V. (Búholegal), con domicilio en la Calle 6 No. 8 Altos, Colonia Centro, C.P. 94500, en Veracruz, hace de su conocimiento que los datos personales de usted, incluyendo los sensibles, que actualmente o en el futuro obren en nuestras bases de datos, serán tratados y/o utilizados por: Búholegal y/o las empresas controladoras de ésta última y/o nuestras

8

Instituto Federal de Acceso a la 1 nfonnación y Protección

de Datos




empresas filiales y/o subsidiarias y/o aquellos terceros que, por la naturaleza de sus trabajos o funciones tengan la necesidad de tratar y/o utilizar sus datos personales; con el propósito de cumplir aquellas obligaciones que se derivan de la relación jurídica existente entre usted como titular de los datos personales y las empresas antes señaladas. Búholegal podrá transferir los datos personales que obren en sus bases de datos a cualesquiera de las empresas controladoras de ésta última y/o a sus empresas filiales y/o subsidiarias e incluso a terceras personas, nacionales o extranjeras, salvo que los titulares respectivos manifiesten expresamente su oposición, en términos de lo dispuesto por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la Ley). Los titulares podrán ejercer los derechos que les confiere la Ley, a partir del 6 de enero de 2012, mediante una solicitud por escrito, que deberá ser presentada personalmente o por correo en nuestra oficina matriz o por correo electrónico: [email protected]. Todas las solicitudes que sean presentadas a Búholegal, independiente del medio utilizado por los titulares, deberán:

• Incluir el nombre y firma autógrafa del titular, así como un domicilio u otro medio para comunicarle la respuesta a su solicitud.

• Acompañar los documentos oficiales que acrediten la identidad del titular. • Incluir el nombre de usuario de Búholegal y una descripción clara y precisa

de los datos personales respecto de los cuales ejercitará los derechos que les confiere la Ley. En el caso de suprimir los datos de Universidad, Estado y Año en nuestra base de datos de Cédulas Profesionales, basta con una copia de su Cédula Profesional. No es necesario contar con una cuenta de Búholegal.

Respecto a la base de datos de las Cédulas Profesionales, dichos datos son Públicos, esto por determinación de la SEP y el IFAI. Aunque son datos personales, no son de carácter sensible. Por tanto, la publicidad o diseminación de estos datos no son sujetos a la restricción legal contemplada por la Ley. Sin embargo, consideramos que los campos de Universidad, Estado, y Año son de poca utilidad pública y que razonablemente hay personas que quieren restringir la publicidad de estos datos. Por tanto, aunque no es un requerimiento legal, suprimimos la publicidad de estos datos a petición del titular. Búholegal se reserva el derecho de cambiar, modificar, complementar y/o alterar el presente aviso, en cualquier momento, en cuyo caso se hará de su conocimiento a través de cualquiera de los medios que establece la legislación en la materia.

Sobre el particular, resulta importante señalar lo dispuesto por los artículos 15 y 16 de la LFPDPPP, así como el artículo 26 de su Reglamento, que a continuación se transcriben:

Artículo 15.- El responsable tendrá la obligación de informar a los titulares de los datos, la información que se recaba de ellos y con qué fines, a través del aviso de privacidad.

9

Instituto Federal de Acceso a la Información y Protección

de Datos




Arlículo 16.- El aviso de privacidad deberá contener, al menos, la siguiente información: l. La identidad y domicilio del responsable que los recaba; 11. Las finalidades del tratamiento de datos; 111. Las opciones y medios que el responsable ofrezca a los titulares para limitar el uso o divulgación de los datos; IV. Los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición, de conformidad con lo dispuesto en esta Ley; V. En su caso, las transferencias de datos que se efectúen, y VI. El procedimiento y medio por el cual el responsable comunicará a los titulares de cambios al aviso de privacidad, de conformidad con lo previsto en esta Ley. En el caso de datos personales sensibles, el aviso de privacidad deberá señalar expresamente que se trata de este tipo de datos.

Elementos del aviso de privacidad Artículo 26. El aviso de privacidad deberá contener Jos elementos a que se refieren los artículos 8, 15, 16, 33 y 36 de la Ley, así como los que se establezcan en los lineamientos a que se refiere el artículo 43, fracción 111 de la Ley.

Por su parte, los Lineamientos del Aviso de Privacidad, publicados en el Diario Oficial de la Federación el diecisiete de enero de dos mil trece, establecen que en la elaboración del Aviso de Privacidad se deberá observar lo siguiente:

Elementos informativos del aviso de privacidad integral Vigésimo. El aviso de privacidad integral deberá contener, al menos, la siguiente información, de conformidad con lo que establecen los lineamientos de la presente Sección: l. La identidad y domicilio del responsable que trata los datos personales;

Identidad y domicilio del responsable Vigésimo primero. El aviso de privacidad deberá señalar el nombre completo cuando se trate de persona física, o en su caso la denominación o razón social de la persona moral, así como el domicilio completo del responsable, de conformidad con el artículo 16, fracción 1 de la Ley. El domicilio del responsable deberá indicar, al menos, la calle, número, colonia, ciudad, municipio o delegación, código postal y entidad federativa, y deberá corresponder a aquél para oír y recibir notificaciones.

De conformidad con lo anterior y con base en el Aviso de Privacidad de la Responsable , que fue proporcionado a este Instituto el veintitrés de abril de dos mil trece, se advierte que la Responsable señala como domicilio la Calle 6 No. 8 Altos, Colonia Centro, C.P. 94500, en Veracruz, omitiendo señalar, la ciudad así como el municipio en que se encuentra.

10


de Datos




A mayor abundamiento, si bien es cierto que el domicilio de la Responsable es el número 8 Altos, de la calle 6, Colonia Centro, el aviso es omiso en precisar la ciudad y municipio de Córdoba, como aquel en que se encuentra ubicado.

Por lo anterior, debido a que la Responsable no informa en su Aviso de Privacidad la población así como el municipio en que se encuentra su domicilio, presuntamente vulnera lo establecido en la fracción 1 del articulo 16 de la LFPDPPP, así como el 26 del Reglamento de la LFPDPPP, y no ha observado lo previsto en los numerales Vigésimo y Vigésimo primero de los Lineamientos del Aviso de Privacidad.

De igual manera, el Aviso de Privacidad de la Responsable debe senalar las finalidades del tratamiento de los datos, en ese sentido, la fracción 11 , del articulo 16 de la LFPDPPP prevé lo siguiente:

Articulo 16.- El aviso de privacidad deberá contener, al menos, la siguiente información:

11. Las finalidades del tratamiento de datos;

Asimismo, los artículos 26, 40 y 41 del Reglamento de la LFPDPPP, establecen:

Elementos del aviso de privacidad Articulo 26. El aviso de privacidad deberá contener los elementos a que se refieren los artículos 8, 15, 16, 33 y 36 de la Ley, así como los que se establezcan en los lineamientos a que se refiere el articulo 43, fracción 111 de la Ley.

Principio de finalidad Articulo · 40. Los datos personales sólo podrán ser tratados para el cumplimiento de la finalidad o finalidades establecidas en el aviso de privacidad, en términos del artículo 12 de la Ley. Para efectos del párrafo anterior, la finalidad o las finalidades establecidas en el aviso de privacidad deberán ser determinadas, lo cual se logra cuando con claridad, sin lugar a confusión y de manera objetiva se especifica para qué objeto serán tratados los datos personales.

Diferenciación de finalidades Articulo 41. El responsable identificará y distinguirá en el aviso de privacidad entre las finalidades que dieron origen y son necesarias para la relación jurídica entre el responsable y el titular, de aquéllas que no lo son.

En lo relativo a los Lineamientos del Aviso de Privacidad, se prevé que:

Elementos informativos del aviso de privacidad integral

11

Instituto Federal de Acceso a la Información y Protecc ión

de Datos




Vigésimo. El aviso de privacidad integral deberá contener, al menos, la siguiente información, de conformidad con lo que establecen los lineamientos de la presente Sección.

IV. Las finalidades del tratamiento;

Finalidades del tratamiento Vigésimo cuarto. De conformidad con los artículos 16, fracción 11 de la Ley, y 14, 30, 40, 41 y 42 de su Reglamento, el aviso de privacidad deberá describir las finalidades para las cuales se tratarán los datos personales, de acuerdo con los siguientes criterios: l. El listado de finalidades descritas deberá ser completo y no utilizar frases inexactas, ambiguas o vagas, como "entre otras finalidades ", "otros fines análogos" o "por ejemplo"; 11. Las finalidades descritas en el aviso de privacidad deberán ser determinadas, lo cual se logra, de conformidad con el artículo 40, segundo párrafo del Reglamento de la Ley, cuando con claridad, sin lugar a confusión y de manera objetiva se especifica para qué objeto serán tratados los datos personales; 111. En el listado de finalidades se deberán incluir las relativas al tratamiento con fines de mercadotecnia, publicidad o prospección comercial, en caso de que el responsable trate los datos personales para dichos fines; IV. Se deberá identificar y distinguir entre las finalidades que dieron origen y son necesarias para la existencia, mantenimiento y cumplimiento de la relación jurídica entre el responsable y titular, de aquéllas que no lo son, y V. Se deberá informar sobre el mecanismo que el responsable tiene implementado para que el titular pueda manifestar su negativa para el tratamiento de sus datos personales con relación a las finalidades que no son necesarias para la relación jurídica entre el responsable y titular.

De conformidad con los artículos transcritos y con base en el análisis practicado al Aviso de Privacidad de la Responsable , se advierte que en el mismo se omite informar a los titulares de los datos, las finalidades del tratamiento qué da a los datos que recaba, ya que en dicho Aviso de Privacidad, se limita a señalar en su parte consecuente que:

"con el propósito de cumplir aquellas obligaciones que se derivan de la relación jurídica existente entre usted como titular de los datos personales y las empresas antes señaladas."

Con lo que la Responsable presuntamente contraviene lo previsto en la fracción 11 del artículo 16 de la LFPDPPP, así como lo dispuesto en los artículos 26, 40 y 41 del Reglamento de la LFPDPPP, y no ha observado lo contemplado en los numerales Vigésimo y Vigésimo cuarto de los Lineamiento (sic) del Aviso de Privacidad.

12

Instituto Federal de Acceso a la In formación y Protecc ión

de Datos




Por otra parte, durante el desahogo del presente procedimiento de verificación se observó que la Responsable brinda la posibilidad a las personas, de tomar el control de su registro y, a través de la página web www.buholegal.com les permite a los titulares de los datos que divulga en su página de internet referente a cédulas profesionales, agregar datos como trabajo actual, experiencia, correo electrónico y teléfono, y en ese sentido, se concluye que dicho tratamiento tiene la finalidad de publicitar los logros personales y académicos.

Al respecto, este Instituto advierte que la Responsable omite señalar en su Aviso de Privacidad cuál es la finalidad del tratamiento a los datos que recaba cuando los usuarios desean agregar información a la misma, como trabajo actual, experiencia, correo electrónico, y teléfono, con lo cual, presuntamente se contraviene lo previsto en la fracción 11 del artículo 16 de la LFPDPPP, así como lo dispuesto en los artículos 26, 40 y 41 del Reglamento de la LFPDPPP, y no se ha observado lo contemplado en los numerales Vigésimo y Vigésimo cuarto de los Lineamientos del Aviso de Privacidad.

De igual manera, el Aviso de Privacidad, debe contener las opciones y medios que la Responsable ofrezca a los titulares de los datos personales, para limitar el uso o divulgación de los mismos, en términos de la fracción 111 , del artículo 16 de la LFPDPPP, que dispone lo siguiente:

Artículo 16.- El aviso de privacidad deberá contener, al menos, la siguiente información:

111. Las opciones y medios que el responsable ofrezca a los titulares para limitar el uso o divulgación de los datos;

En ese sentido los Lineamientos del Aviso de Privacidad, en sus numerales Vigésimo y Trigésimo, establecen que dichas opciones y medios deberán revestir la siguiente formalidad:

Elementos informativos del aviso de privacidad integral Vigésimo. El aviso de privacidad integral deberá contener, al menos, la siguiente información, de conformidad con lo que establecen los lineamientos de la presente Sección:

X. Las opciones y medios que el responsable ofrece al titular para limitar el uso o divulgación de los datos personales;

Opciones y medios para limitar el uso o divulgación de los datos personales Trigésimo. El aviso de privacidad deberá informar sobre las opciones y medios que, en su caso, el responsable haya instrumentado para que el titular pueda limitar el uso y divulgación de sus datos personales, distintos al ejercicio

13





de Datos

de los derechos ARCO o a la revocación del consentimiento, de conformidad con el artículo 16, fracción 111 de la Ley, como podrán ser, entre otros: ...

Conforme a lo anterior, se observó que la Responsable apunta en su Aviso de Privacidad lo siguiente:

Respecto a la base de datos de las Cédulas Profesionales, dichos datos son Públicos, esto por determinación de la SEP y el IFAI. Aunque son datos personales, no son de carácter sensible. Por tanto, la publicidad o diseminación de estos datos no son sujetos a la restricción legal contemplada por la Ley ...

En ese sentido, el Aviso de Privacidad de la Responsable no establece de manera clara y precisa los medios o mecanismos a través de los cuales los titulares de los datos personales , que utiliza para brindar, entre otros, el servicio de "Consu lta de Cédulas SEP", pueden ejercer ante la Responsable, las opciones para limitar el uso o divulgación de los datos. Por lo que la Responsable presuntamente vulnera lo estipulado en el articulo 16, fracción 111 , de la LFPDPPP, y deja de observar los numerales Vigésimo y Trigésimo de los Lineamientos del Aviso de Privacidad.

Por lo antes expuesto, se determina que existen elementos que permiten presumir, que la conducta realizada por la Responsable consistente en las omisiones de los elementos en su Aviso de Privacidad, presuntamente contraviene lo establecido en la fracción V, del articulo 63 de la LFPDPPP que a la letra establece:

[ .. . ]

Artículo 63.- Constituyen infracciones a esta Ley, las siguientes conductas llevadas a cabo por el responsable:

V. Omitir en el aviso de privacidad, alguno o todos los elementos a que se refiere el artículo 16 de esta Ley;

"SEXTO. Dentro del acuerdo de inicio de verificación de fecha tres de abril de dos mil trece, se determinó, entre otras cosas, que el objeto y alcance de la misma se dirigiría a:

1) verificar que el tratamiento de los datos personales se apegue a los principios y a la legislación en materia de protección de datos personales, de conformidad con lo dispuesto por los artículos 6, 7, y 14 de la LFPDPPP y 1 O de su Reglamento

Al respecto, el articulo 6 de la LFPDPPP, establece lo siguiente:

14

1 nstituto Federal de Acceso a la Información y Protección

de Datos




Artículo 6.- Los responsables en el tratamiento de datos personales, deberán observar los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, previstos en la Ley.

En ese sentido y previo conocimiento de que la Responsable cuenta con Aviso de Privacidad, para hacer un análisis del cumplimiento que ha dado la Responsable, al principio de información, debe precisarse que en términos del artícu lo 15 de la LFPDPPP, este principio es una obligación que implica:


En ese sentido, el Reglamento de la LFPDPPP establece lo siguiente:

Principio de información Artículo 23. El responsable deberá dar a conocer al titular la información relativa a la existencia y características principales del tratamiento a que serán sometidos sus datos personales a través del aviso de privacidad, de conformidad con lo previsto en la Ley y el presente Reglamento.

Los Lineamientos del Aviso de Prívacidad prevén que el principio de información debe cubrir las siguientes características:

Principio de información Sexto. En términos de los artículos 15 de la Ley y 23 de su Reglamento, el principio de información consiste en la obligación del responsable de informar a los titulares sobre la existencia y características principales del tratamiento al que serán sometidos sus datos personales, con objeto de que pueda ejercer sus derechos a la autodeterminación informativa, privacidad y protección de datos personales. Este principio se materializa en la puesta a disposición del aviso de privacidad en las tres modalidades a las que refiere el Decimoctavo de los presentes Lineamientos: integral, simplificado y corto.

Datos personales que se tratarán Vigésimo segundo. El aviso de privacidad deberá indicar los datos personales que el responsable tratará para la consecución de las finalidades para las que los obtiene, tanto los que recaba personal o directamente del titular, como aquéllos que obtiene indirectamente, por medio de fuentes de acceso público o transferencias, en términos del artículo 15 de la Ley. El responsable podrá cumplir con este contenido identificando los datos personales que trata o las categorías de los mismos. El listado de datos personales o en su caso la mención de las categorías no deberá incluir frases inexactas, ambiguas o vagas, como "entre otros datos personales" o "por ejemplo".

15


de Datos




En base a lo anterior, y del análisis practicado a las constancias que integran el presente expediente, se concluye que la Responsable no señala qué tipo o categoría de datos personales utiliza para brindar los servicios que ofrece, por lo que los usuarios desconocen a qué datos personales da tratamiento, en consecuencia se determina que la Responsable presuntamente incumple con los artículos 15 de la LFPDPPP y 23 de su Reglamento , y no ha observado lo previsto en los numerales Sexto y Vigésimo segundo de los Lineamientos del Aviso de Privacidad.

Por lo que respecta al princ1p1o de finalidad , es importante señalar que de conformidad con el artículo 12 de la LFPDPPP, éste implica que el tratamiento de datos personales deberá limitarse al cumplimiento de las finalidades previstas en el Aviso de Privacidad, en los siguientes términos:

Artículo 12.- El tratamiento de datos personales deberá limitarse al cumplimiento de las finalidades previstas en el aviso de privacidad. Si el responsable pretende tratar los datos para un fin distinto que no resulte compatible o análogo a los fines establecidos en aviso de privacidad, se requerirá obtener nuevamente el consentimiento del titular.

En ese sentido, el Reglamento de la LFPDPPP, en su artículo 40, establece lo siguiente :

Principio de finalidad Artículo 40. Los datos personales sólo podrán ser tratados para el cumplimiento de la finalidad o finalidades establecidas en el aviso de privacidad, en términos del artículo 12 de la Ley. Para efectos del párrafo anterior, la finalidad o las finalidades establecidas en el aviso de privacidad deberán ser determinadas, lo cual se logra cuando con claridad, sin lugar a confusión y de manera objetiva se especifica para qué objeto serán tratados los datos personales.

Por lo anterior, se advierte como una obligación de la Responsable informar a los titulares de los datos que trata, de las finalidades de su tratamiento, por medio de su Aviso de Privacidad.

Por lo que hace a la finalidad del tratamiento de los datos que la Responsable recaba cuando los usuarios del sitio web www.buholegal.com desean agregar información a la base de datos que se utiliza para brindar el servicio de "Consulta de Cédulas SEP", como son trabajo actual, experiencia, correo electrón ico, y teléfono, dicha finalidad permite que los usuarios puedan publicitar sus méritos profesionales, en los siguientes términos:

7. Indique si hace del conocimiento a los titulares de los datos personales la información que se recaba de ellos y con qué fines, de conformidad con el artículo 15 de la LFPDPPP. --------------------------------------------------------------------

16

1 nstituto Federal de Acceso a la 1 nfo rmac ión y Protección

de D atos




La Secretaría de Educación Pública tiene disponible en la web, toda la base de datos de cédulas profesionales, donde ponen a disposición más de ocho millones de registros sobre cédulas profesionales, nosotros descargamos más de ocho millones de registros de cédulas profesionales, entonces es imposible conocer los domicilios de esas personas, además conforme al artículo 1 O de la Ley Federal Protección de Datos Personales en Posesión de los Particulares, no es necesario obtener el consentimiento cuando los datos figuren en una fuente de acceso público. Existe otra manera en que recaba datos personales consistente en dar la posibilidad a las personas de tomar el control de todo su registro, y agregar datos personales como trabajo actual, experiencia, correo electrónico y teléfono---------------------------------8. ¿De los datos personales que recaba como son trabajo actual, experiencia, correo electrónico y teléfono, hace del conocimiento a los usuarios de los fines de estos ? -------------------------------------------------------------------------------------------Cuando recabamos los datos que ellos agregan, les damos la facultad de modificar sus datos es voluntario por lo que respecta a trabajo actual, experiencia, correo electrónico y teléfono. Es un servicio como Facebook o Linkedin en el que viene implícita la finalidad que es dar publicidad a sus méritos profesionales sin decírselo de manera directa--------------------------------

En ese sentido, para cumplir con el principio de finalidad, la Responsable tiene la obligación de establecer sin lugar a confusión y de manera objetiva, a través del Aviso de Privacidad, las finalidades del tratamiento de los datos, situación que no acontece ya que la Responsable sólo se limita a señalar en su Aviso de Privacidad lo siguiente:

"con el propósito de cumplir aquellas obligaciones que se derivan de la relación jurídica existente entre usted como titular de los datos personales y las empresas antes señaladas".

Por lo anterior, se presume que la Responsable vulnera el principio de finalidad, debido a que omite especificar las finalidades del tratamiento que da a los datos personales que posee.

De conformidad con lo anterior, en relación con el cumplimiento de la Responsable a los principios de información y finalidad, así como de las evidencias encontradas, se presume que la conducta desplegada por la Responsable probablemente constituye la infracción prevista en la fracción IV del artículo 63 de la LFPDPPP, que se transcribe a continuación:

Artículo 63.- Constituyen infracciones a esta Ley, las siguientes conductas llevadas a cabo por el responsable:

IV. Dar tratamiento a los datos personales en contravención a los principios establecidos en la presente Ley;

17

Instituto Fede ra l de Acceso a la Informació n y P rotección

de Datos




VIl. El 16 de octubre de 2013, con fundamento en los artículos 61 y 62 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y 140 de su Reglamento, el Director General de Sustanciación y Sanción, adscrito a la Secretaría de Protección de Datos Personales de este Instituto, emitió Acuerdo de inicio del procedimiento de imposición de sanciones en contra de la presunta infractora.

En dicho Acuerdo se otorgó a la presunta infractora un término de quince días hábiles, que contarían a partir del día siguiente a aquél en que surtiera efectos su notificación, para que rindiera pruebas y se manifestara respecto de cada uno de los hechos que se le imputaron de manera expresa, afirmándolos, negándolos, señalando que los ignoraba por no ser propios o exponiendo como ocurrieron, según fuera el caso , y presentando los argumentos por medio de los cuales desvirtuara las infracciones que se presumían.

De igual manera y con el propósito de que este Instituto se allegara de los elementos necesarios para cumplir con lo dispuesto en el artículo 65, fracción IV, de la Ley de la materia , en el mismo Acuerdo se le requirió proporcionara documento idóneo que reflejara su situación financiera actual.

VIII. El 22 de octubre de 2013, con fundamento en los artículos 62 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, 140 y 141 de su Reglamento, se notificó a la presunta infractora el Acuerdo anterior, conforme lo disponen los artículos 35, fracción 1, 36 y 38 de la Ley Federal de Procedimiento Administrativo, de aplicación supletoria a la primera Ley en cita, en términos de su artículo 5, segundo párrafo, por lo que el término de quince días hábiles para que rindiera pruebas e hiciera manifestaciones sobre lo que a su derecho conviniera , transcurrió del 23 de octubre al 13 de noviembre de 2013, considerando como inhábiles los días 26 y 27 de octubre y 2, 3, 9 y 1 O de noviembre del mismo año, por corresponder a sábado y domingo, conforme lo dispone el artículo 28 de la Ley Federal de Procedimiento Administrativo; además del 1 de noviembre, por lo dispuesto en el "Acuerdo por el que se señalan los días en que se suspenden labores del Instituto Federal de Acceso a la Información y Protección de Datos", publicado en el Diario Oficial de la Federación el 21 de febrero de 2013.

IX. El 12 de noviembre de 2013, este Instituto recibió en la dirección electrónica [email protected] la cual corresponde a personal adscrito a la

18

Instituto Federal de Acceso a la 1 o formación y Protección

de Datos




Dirección General de Sustanciación y Sanción, comunicación electrónica a la que adjuntó los siguientes archivos "ACUSE DE ACEPTACION_ANUAL 2012.pdf', "ACUSE DE ENVIO_ANUAL 2012.pdf', "CEDULA PROFESIONAL_ .pdf', "Contestacion_IFAI_sancion.pdf', "DECLARACION ANUAL_2012.pdf' y "EDOS_FINANCIEROS_BUHOLEGAL.pdf.

En el archivo denominado "Contestacion_IFAI_sancion.pdf', la presunta infractora, en respuesta al Acuerdo de inicio de fecha 16 de octubre de 2013, manifestó lo siguiente:

"[ ... ]

Manifiesto que estando en tiempo y forma, vengo a dar contestación al Procedimiento de Sanción, instado en contra de mi representada , para lo cual antes de proceder a pronunciarme respecto de cada uno de los hechos que se le imputan a la misma, es necesario exponer los siguientes:

Antecedentes

El Instituto Federal de Acceso a la información (IFAI), entabló un procedimiento de verificación en contra de mi representada, argumentando que la misma tiene en su posesión datos de carácter personal relacionados a las cédulas profesionales, lo cual es un hecho falso. Buholegal únicamente tiene en su poder datos que figuran como de carácter público, de ello deviene la improcedente necesidad de establecer un "Aviso de Privacidad" para datos de carácter público, puesto que estos no pueden ser coartados ni restringidos, toda vez que son a favor y en servicio de la comunidad.

En la legislación de transparencia, existen tres clasificaciones de información: pública, confidencial y reservada. Cuando la información es designada como "pública", la difusión de esta no puede ser restringida o suprimida, pues hacerlo sería ir en contra del principio de "máxima publicidad" y del reconocimiento de que la titularidad de la información pública radica en el pueblo y no con determinado particular.

El artículo 18 de la Ley de Transparencia y Acceso a la Información Pública, dice: "Como información confidencial, se consideran:..... los datos personales que requieran el consentimiento de los individuos para su difusión, distribución o comercialización en los términos de esta ley". La base de datos de las cédulas profesionales no es confidencial, sino públicas, por tanto no requiere de consentimiento alguno para su difusión y menos puede ser coartada su publicación, puesto que está al servicio del pueblo.

En la doctrina y las leyes de información pública, no existe una clasificación legal de información llamada "personal". Sin embargo, como el negocio del gobierno es "el

19

aneliz.vargas



aneliz.vargas


aneliz.vargas



de Datos




pueblo", es obvio que una gran cantidad de información gubernamental contiene información "personal". Al hacer una ponderación entre el interés de privacidad de una persona y el interés público de transparencia , la autoridad puede clasificar información gubernamental como "confidencial" para proteger la esfera íntima de las personas que no afecta a la población en general, por ejemplo: preferencias y hábitos sexuales, número de celular, tipo de sangre, etcétera.

En las leyes que protegen la información personal, hay que reconocer que no es posible suprimir o cancelar toda información personal. Si tal fuera le (sic) caso , sería imposible publicar periódicos, sería imposible publicar el nombre de una persona por temor a que la tinta con la que se escribe el nombre, sea legalmente sujeta a destrucción.

Es claro que la información gubernamental pública no puede ser sujeta a cancelación . El gobierno, al designar la información como "pública", ya ha determinado que el interés del público para el libre acceso de cualquier contenido de índole "personal" es mayor que el interés de una persona particu lar de suprimirlo. En otros casos el opuesto es la determinación y por eso existe la clasificación de datos como "confidencial".

Establecidos los argumentos anteriores, de manera cautelar, procedo ahora a pronunciarme respecto de los hechos que se le imputan a mi representada, contestando los mismos, bajo el supuesto de las leyes y reg lamentos concernientes a datos personales, que se pretenden aplicar de manera errónea a los datos de carácter público que obra en posesión de Buholegal.

Contestación a los hechos

1.- Por lo que respecta al hecho señalado como "CUARTO", procedo a pronunciarme de la siguiente manera, citando en primer término en letra cursiva la infracción que se me imputa (transcribiéndola, tal y como se contiene en la notificación que me fue entregada), para posteriormente argumentar sobre el mismo:

A. . . . . . . debido a que fa responsable no informa en su aviso de privacidad fa población así como el municipio en el que se encuentra su domicilio, presuntamente vulnera lo establecido en fa fracción 1 del artículo 16 de la LFPDPPP, así como el 26 del reglamento de fa LFPDPPP, y no ha observado lo previsto en los numerales Vigésimo y Vigésimo primero de los Lineamientos de aviso de privacidad.

Niego este hecho, pues Buholegal, en su portal web, señalaba lo siguiente : .... . "Búholegal S. de R.L. de C.V. (Búholegal) , con domicilio en la Calle 6 No. 8 Altos, Colonia Centro, C.P. 94500, en Veracruz".

Cumpliendo con esto, con lo señalado en el artículo 16 de la LFPDPPP, que a la letra dice:

20

Instituto Federal de Acceso a la 1 nfo rmación y Protección

de Datos




Artículo 16.- El aviso de privacidad deberá contener, al menos, la siguiente información: l.- La identidad v domicilio del responsable que los recaba;

En la dirección se omite señalar "Córdoba", como municipio, pero esto sucedió por un error humano de la persona encargada de la redacción, sin que mediara dolo o mala fe por parte de la empresa, prueba de ello es que al señalar el Código Postal y el Estado, el municipio es ubicable, aunado a que en el apartado designado en la página como "Contacto" (http://www.buholegal.com/contacto/) siempre ha aparecido la siguiente dirección: Buholegal S. de R.L. de C.V. , Calle 6 No. 8 Altos. Colonia Centro, Córdoba, Veracruz. C.P. 94500.

El mismo IFAI, en su página oficial : http://inicio. ifai.org. mx/catalogs/masterpage/ifai .aspx, solo señala como domicilio: "Insurgentes Sur No. 3211 Col. Insurgentes Cuicuilco, Delegación Coyoacan, C.P. 04530". Sin señalar la Ciudad y el Estado en el que se ubica.

Para que la Conducta de Buholegal encuadrara en lo dispuesto por el artículo 16 y su reglamento, sería necesario que hubiera omitido por completo el domicilio de ubicación , lo cual no ocurrió, por lo que la infracción que se le imputa a mi representada, es falsa .

La falta de la palabra "Córdoba", nunca perjudico al pueblo, causando la imposibilidad de contactamos, por tanto cualquier sanción por esta omisión trivial, será un abuso de autoridad.

B . ... . De conformidad con los artículos transcritos y con base en el análisis practicado el aviso de privacidad de la responsable, se advierte que en el mismo se omite de informar a los titulares de los datos, las finalidades del tratamiento que da a los datos que recaba[. . .]

Niego este hecho, puesto que la información de la que dispone Buholegal en su página, es información de carácter público, por tanto no es necesario establecer la finalidad para la que se recaba y proporciona, pues es obvio que la misma se utiliza con fines públicos de información y conocimiento.

C . ... Al, respecto que este instituto advierte que la responsable omite señalar en su aviso de privacidad cuál es la finalidad del tratamiento a los datos que recaba cuando los usuarios desean agregar información a la misma, como trabajo actual, experiencia, correo electrónico y teléfono, con lo cual, presuntamente se contraviene a lo dispuesto en la fracción 11 del artículo 16 de la LFPDPPP, así como lo dispuesto en los artículos 26, 40 y 41 del reglamento de la LFPDPPP, y no se ha observado lo contemplado en los numerales Vigésimo y Vigésimo cuarto

e los Lineamientos de Aviso de Privacidad.

Niego este hecho. El portal de Buholegal, ofrece la oportunidad a los usuarios de dar a conocer algo de su información profesional. Sin embargo estos datos no son

21


de Datos




resguardados, ni manipulados por la empresa. Es total decisión y responsabilidad de los usuarios el "subir" información al servidor que se encuentra en Estados Unidos. Los usuarios tienen la libertad de darlos a conocer, manipularlos y eliminarlos del mismo, tal y como sucede en paginas como "Facebook" o "Linkedin". Estas páginas no están sujetas a los preceptos legales de privacidad sobre la información que "suben" o "publican" sus usuarios. Buholegal al ser página con características similares, de igual forma tampoco tiene la obligación de tratar la información "subida" como datos sujetos a los derechos ARCO.

D .... el Aviso de Privacidad de la responsable no establece de manera clara y precisa los medios o mecanismos a través de los cuales los titulares de los datos personales, que utiliza para brindar, entre otros, el servicio de "Consulta de Cédulas SEP", pueden ejercer ante la Responsable, las opciones para limitar el uso o divulgación de los datos. Por lo que la Responsable, presuntamente vulnera lo estipulado en el artículo 16, fracción 111, de la LFPDPPP, y deja de observar los numerales Vigésimo y Trigésimo de los Lineamientos de Aviso de Privacidad.

Este es un hecho falso : pues en el aviso de privacidad se contenía lo sigu iente:

Los titulares podrán ejercer los derechos que les confiere la Ley, a partir del 6 de enero de 2012, mediante una solicitud por escrito, que deberá ser presentada personalmente o por correo en nuestra oficina matriz o por correo electrónico: [email protected]. Todas las solicitudes que sean presentadas a Búholegal, independiente del medio utilizado por los titulares, deberán:

• Incluir el nombre y firma autógrafa del titular, así como un domicilio u otro medio para comunicarle la respuesta a su solicitud.

• Acompañar los documentos oficiales que acrediten la identidad del titular.

• Incluir el nombre de usuario de búholegal y una descripción clara y precisa de los datos personales respecto de los cuales ejercitará los derechos que les confiere la Ley. En el caso de suprimir los datos de Universidad, Estado y Año en nuestra base de datos de Cédulas Profesionales, basta con una copia de su Cédula Profesional. No es necesario contar con una cuenta de Buholegal.

Buholegal, estableció la metodología mediante la cual los titulares de los datos en posesión de la citada, podían restringir el uso de estos, mediante la supresión de los datos que no refieren al perfil profesional de su titular tales el año de egreso y la escuela en que estudió , por lo que niego la afirmación de que mi representada vulneró lo contenido en el art 16, fracción 111 de la LFPDPPP.

E.{. .... .} la conducta realizada por la Responsable consistente en las omisiones de los elementos en su Aviso de Privacidad, presuntamente contraviene lo establecido en la fracción V, del artículo 63 de la LFPDPPP.

22


de Datos




Niego este hecho, toda vez que resulta ilógica la necesidad de establecer un "Aviso de Privacidad" para datos de carácter público, puesto que estos no pueden ser coartados ni restringidos , toda vez que son a favor y en servicio de la comunidad.

2.- Por lo que respecta al hecho señalado como "SEXTO", procedo a pronunciarme de la siguiente manera, citando en primer término en letra cursiva la infracción que se me imputa (transcribiéndola, tal y como se contiene en la notificación que me fue entregada), para posteriormente argumentar sobre el mismo:

A. En ese sentido y previo conocimiento de que la responsable cuenta con Aviso de Privacidad, para hacer un análisis del cumplimiento que ha dado la responsable, al principio de información, debe precisarse que en términos del artículo 15 de la LFPDPPP, este principio es una obligación que implica.

{. .. .. .) En base a lo anterior, y del análisis practicado a las constancias que integran el presente expediente, se concluye que la Responsable no señala que tipo o categoría de datos personales utiliza para brindar los servicios que ofrece, por lo que los usuarios desconocen a que datos personales da tratamiento, en consecuencia se determina que la Responsable, presuntamente incumple con los artículos 15 de la LFPOPPP y 23 de su reglamento, y no ha observado lo previsto en los numerales Sexto y Vigésimo segundo de los Lineamientos del Aviso de Privacidad.

Este es un hecho falso, pues Buholegal al contener en página, solo datos que provienen de una fuente de acceso público, por obviedad estos datos son de carácter público. Dada la obviedad de estos, no es necesario estipular de qué tipo de datos se trata.

B. Por lo que respecta al principio de finalidad, es importante señalar que de conformidad con el artículo 12 de la LFPDPPP, este implica que el tratamiento de datos personales deberá limitarse al cumplimiento de las finalidades previstas en el Aviso de Privacidad, en los siguientes términos

{. . .] En ese sentido, el Reglamento de la LFPDPPP, en su artículo 40 establece lo siguiente ...

{. . .]Por lo anterior se advierte como una obligación de la Responsable informar a los titulares de los datos que trata, de las finalidades de su tratamiento, por medio de su A viso de Privacidad.

Por lo que hace a la finalidad del tratamiento de los datos que la Responsable recaba cuando los usuarios del sitio web www. buholegal. com desean agregar información a la base de datos que se utiliza para brindar el servicio de "Consulta de Cédulas SEP", como son trabajo actual, experiencia, correo electrónico,

23


de Datos




teléfono, dicha finalidad permite que los usuarios puedan publicitar sus méritos profesionales, en los siguientes términos:

[. ... ] Por lo anterior, se presume que la Responsable vulnera el principio de finalidad, debido a que omite especificar las finalidades del tratamiento que da a los datos personales que posee.

De conformidad con lo anterior, en relación con el cumplimiento de la Responsable a los principios de información y de finalidad, así como de las evidencias encontradas, se presume que la conducta desplegada por la Responsable, probablemente constituye una infracción prevista en la fracción IV del artículo 63 de la LFPOPPP [. ... ]

Todo lo señalado anteriormente, constituye hechos falsos, puesto que es obvio que la finalidad de los datos públicos es el servicio al pueblo, dar a conocer información que evitara que las personas sean engañadas o defraudas (sic) y ayudar a que otras más sean reconocidas por sus logros académicos. Los datos de las cédulas profesionales , son datos públicos, no confidenciales. EL 1 FAI al parecer, es de la opinión que un dato puedes (sic) ser público y sujeto a ARCO a la misma vez.

Esta opinión es falsa como en su momento procesal oportuno será dirimida y revocada por un Juez o Magistrado Federal, al analizar correctamente los preceptos aplicables del artículo 6 constitucional.

[ ... ]"

Asimismo, la presunta infractora ofreció como medios probatorios los siguientes:

"[ .. . ]

Pruebas

1. Registros.- Que se encuentran en la página publica www.buholegal.com, propiamente en el apartado: http://www.buholegal.com/consultasep/, en el que se puede constatar que los datos contenidos en esta página, constituyen datos públicos. Relaciono esta prueba con todo lo argumentado en cada uno de los hechos.

2. Presuncional Humana.- Cuando una persona libremente publica datos profesionales en una página web con el propósito de difundir esa información, es lógico y coherente que no hay expectación de privacidad. De hecho, lo que busca con estas acciones es la publicidad. "Linkedin" y "Facebook", también facilitan la autopromoción por medio de "datos personales" suministrados por los particu lares. Claramente Facebook y Linkedin , no son sujetos a ser regulados por las disposiciones ARCO, razón por la cual Buholegal tampoco debe serlo.

24

1 nstilulo Federal de Acceso a la Información y Protección

de Datos




Igualmente, en cumplimiento al requerimiento realizado en el punto Cuarto del referido Acuerdo, la presunta infractora manifestó:

"[ ... )

Situación Financiera

Buholegal considera improcedente el procedimiento de verificación que derivó en un procedimiento de sanción en nuestra contra. Sin embargo, consciente de que esta es una controversia que debe dirimirse en otra instancia, esta empresa adjunta al presente la información financiera que requirió este órgano, misma en la que se refleja la situación económica de la misma.

Buholegal, no cuenta con liquidez para solventar una multa que además deviene improcedente. Esta falta de liquidez se puede ver reflejada en el análisis realizado al estado financiero con fecha 30 de Septiembre de 2013 elaborado por el LC. [ ... ) con cedula profesional No. , en el que se plasma la capacidad que tiene la compañía para atender en forma oportuna el pago de las contingencias y obligaciones contraídas a corto y mediano plazo; la interpretación de estos resultados nos dice que por cada $ 1.00 de pasivo a corto plazo, la compañía cuenta con $ 0.95 de respaldo en el activo en el rubro de disponibilidades. En conclusión la compañía no cuenta con suficiente liquidez para hacer frente a contingencias a corto plazo.

Razón Financiera: Disponibilidades= 102,596.00= $ 0.95

Pasivo Circulante 108,153.00

Buholegal es una empresa joven, por lo que aun es bastante pequeña y como se refleja apenas sobrevive con el poco ingreso que tiene. Aunado a ello , esta empresa representa el sostén económico de siete familias, respecto de los siete empleados con los que cuenta Buholegal. Es por esto que solicito de manera encarecida a la persona encargada del análisis financiero de la empresa, para la imposición de la multa correspondiente, tomé en consideración lo aquí señalado.

( ... )"

X. El 14 de noviembre de 2013, con fundamento en los artículos 62, segundo párrafo, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 141 y 142 de su Reglamento; 16, fracción V y 50 de la Ley Federal de Procedimiento Administrativo; 79, 188, 190, fracción 11 y 210-A del Código Federal de Procedimientos Civiles, de aplicación supletoria a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares por disposición de su artículo 5, el Director General de Sustanciación y Sanción emitió Acuerdo de admisión de pruebas el cual fue notificado a la presunta infractora el 15 del mismo mes y año.

25

aneliz.vargas


Eliminado: número de cédula profesional. Artículo 18, fracción II y Artículo 3, fracción II de la LFTAIPG.

aneliz.vargas


aneliz.vargas


aneliz.vargas


aneliz.vargas


1 ns tituto Federal de Acceso a la Información y Protección

de D atos




En el Acuerdo anterior se le hizo saber a la presunta infractora el derecho para que, de considerarlo necesario, presentara sus alegatos dentro de los cinco días hábiles siguientes a la fecha de su notificación, el cual corrió del 19 al 26 de noviembre de 2013.

XI. El 15 de noviembre de 2013, con fundamento en el artículo 41 , fracción IV, del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, el Director de Sanciones, adscrito a la Dirección General de Sustanciación y Sanción de la Secretaría de Protección de Datos Personales del este Instituto, en suplencia por ausencia del Director General de Sustanciación y Sanción , emitió Acuerdo de glosa de documentos, por el que ordenó agregar al expediente en que se actúa la versión impresa de las páginas web www.buholegal.com y http://www.buholegal.com/consultasep/, en cumplimiento a lo ordenado en el Acuerdo de admisión de pruebas y término para alegatos del 14 del mismo mes y año.

XII. El 28 de noviembre de 2013, con fundamento en el artículo 41 , fracción IV, del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, el Director de Sanciones, en suplencia por ausencia del Director General de Sustanciación y Sanción, emitió Acuerdo de glosa de documentos, ordenando agregar al expediente en que se actúa la versión impresa de los portales de internet https://www.facebook.com/about/privacy/ y http://www.linkedin.com/legal/privacy-policy?trk=hb_ft_priv, incluyendo los vínculos relacionados con la "Política de uso de datos" de "Facebook".

XIII. El 02 de diciembre de 2013, el Secretario de Protección de Datos Personales y el Director General de Sustanciación y Sanción, con fundamento en lo dispuesto por los artículos 62 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y 143, segundo párrafo, de su Reglamento, así como el punto Tercero del "Acuerdo por el que se delegan al Secretario de Protección de Datos Personales diversas facultades para dictar, conjuntamente con los directores generales que se indican, diversos acuerdos en los procedimientos de verificación, protección de derechos· e imposición de sanciones", publicado en el Diario Oficial de la Federación el 29 de abril de 2013, emitieron Acuerdo de Ampliación del Plazo para dictar resolución, por un periodo de cincuenta días hábiles más, a computarse una vez fenecido el plazo inicial de 50 días siguientes a la fecha en que inició el procedimiento sancionador.

26

1 nstituto Federa l de Acceso a la Información y Protección

de Datos




El Acuerdo anterior fue notificado a la presunta infractora el 03 de diciembre de 2013.

XIV. El 12 de diciembre de 2013, con fundamento en los artículos 62, último párrafo, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 143 de su Reglamento y 288 del Código Federal de Procedimientos Civiles, el Director General de Sustanciación y Sanción dictó Acuerdo en el que se tuvo por perdido el derecho de la presunta infractora para presentar sus alegatos, toda vez que no presentó promoción alguna dentro del plazo legal concedido para tal efecto, el cual corrió del 19 al 26 de noviembre de 2013, considerando como hábiles los días 19, 21 , 22, 25 y 26 de noviembre del mismo año y como inhábiles el día 16, de conformidad con lo dispuesto en el "Acuerdo por el que se señalan los días en que se suspenden labores del Instituto Federal de Acceso a la Información y Protección de Datos", publicado en el Diario Oficial de la Federación el 21 de febrero de 2013; los días 17, 18, 23 y 24, por corresponder a sábado y domingo y 20, todos del mes de noviembre de 2013, en términos de lo previsto en el artículo 28 de la Ley Federal de Procedimiento Administrativo.

En virtud de lo anterior, en el mismo Acuerdo se ordenó el cierre de instrucción del presente procedimiento de imposición de sanciones.

El Acuerdo anterior fue notificado a la presunta infractora en la misma fecha de su emisión.

CONSIDERAN DOS

Primero. El Pleno del Instituto Federal de Acceso a la Información y Protección de Datos es competente para conocer del presente asunto de conformidad con lo

. ordenado por el artículo 6°, Apartado A, fracción VIII , de la Constitución Política de los Estados Unidos Mexicanos; así como, los artículos transitorios Tercero párrafo segundo, Séptimo y Noveno del Decreto por el que se reforman y adicionan diversas disposiciones de la Constitución Pol ítica de los Estados Unidos Mexicanos, en materia de transparencia, publicado en el Diario Oficial de la Federación el 7 de febrero de 2014; así como los artículos 3, fracción XI , 38, 39, fracción VI y 61 al 65, de la Ley Federal de Protección de Datos Personales en Pos sión de los Particulares, publicada en el Diario Oficial de la Federación el 5 de · de 201 O; 140 al 143, del Reglamento de la Ley Federal de Protección de Datos

27


de Datos




Personales en Posesión de los Particulares, publicado en el Diario Oficial de la Federación el 21 de diciembre de 2011 ; 2, 3, fracciones 1, 11 , 111 , IV y VIl , 4, 5, fracción 1, y 15, fracciones 1 y 111 , del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos, publicado en el Diario Oficial de la Federación el 20 de febrero de 2014.

Segundo. El 03 de abril de 2013, el Pleno de este Instituto emitió el Acuerdo número ACT-PRIV/03/04/2013.03.01.03, mediante el cual ordenó iniciar de oficio el procedimiento de verificación bajo el expediente IFAI.3S.07.02-006/2013 a la empresa BUHOLEGAL, S. de R.L. de C.V. cuyo objeto y alcance estaba dirigido a verificar que el tratamiento de los datos personales se apegara a los principios y a la legislación en materia de protección de datos personales, de conformidad con lo dispuesto por los artículos 6, 7, y 14 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y 1 O de su Reglamento y a verificar que la responsable garantizara el derecho a la autodeterminación informativa de las personas, a través del libre ejercicio de los derechos de acceso, rectificación , cancelación y oposición de datos personales, de conformidad con los artículos 1, 22 y 25 de la citada ley y 87 de su Reglamento.

Con base en la orden de verificación 3S.07.02-006/2013-001 /2013 y el oficio de comisión IFAI/SPDP/0116/2013, el 23 de abril de 2013, personal adscrito a la Dirección General de Verificación practicó visita de verificación a BUHOLEGAL, S. de R.L. de C.V., tal y como se señaló en el antecedente 111 de la presente Resolución, levantando el "Acta de Visita de Verificación" correspondiente, que fue firmada por los que en ella intervinieron.

Derivado de lo anterior, el 01 de octubre de 2013, este Pleno emitió la Resolución ACT-PRIV/01/1 0/2013.03.02.01 , en la que se determinó que BUHOLEGAL, S. de R.L. de C.V., presuntamente incurrió en las conductas previstas en el artículo 63, fracciones IV y V, de Ley Federal de Protección de Datos Personales en Posesión de los Particulares, ordenando el inicio del procedimiento de imposición de sanciones , atendiendo a los elementos que a cor:~tinuación se describen en términos genéricos:

A. Que el Aviso de Privacidad de la Responsable no establece de manera clara y precisa: (i) el domicilio de la Responsable, (ii) las finalidades del tratamiento de datos y (iii) los medios o mecanismos a través de los cuales los titulares de los datos personales, que utiliza para brindar, entre otros, el servicio de "Consulta de Cedulas SEP", pueden ejercer ante la Responsable, las opciones para limitar

28

Ins tituto Federal de Acceso a la 1 nformación y Protección

de Datos




el uso o divulgación de los datos, vulnerando con ello lo dispuesto por el artículo 16, fracciones 1, 11 y 111 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Lo anterior, a su vez, contraviene la Ley de la materia, según lo indica el artículo 63, fracción V, el cual refiere que constituye una infracción el que la responsable omita en el aviso de privacidad, alguno o todos los elementos a que se refiere el artículo 16 de la misma Ley (en el caso concreto, el requisito previsto por las fracciones 1, 11 y 111).

B. Que la Responsable incumple con a los principios de información y finalidad, lo cual se ubica en la hipótesis contenida en el artículo 63 fracción IV de la Ley Federal 'de Protección de Datos Personales en Posesión de Particulares; y que define como infracción a dicho ordenamiento, el que la responsable de tratamiento a los datos personales en contravención a los principios establecidos en la propia Ley. Esto debido a que:

a. Las presuntas conductas atribuibles de infracción por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares consisten en que la presunta responsable omitió señalar qué tipo o categoría de datos personales utiliza para brindar los servicios que ofrece, por lo que los usuarios desconocen a qué datos personales da tratamiento, incumpliendo así lo dispuesto por los artículos 15 de la Ley de la materia y 23 de su Reglamento, en relación con los numerales Sexto y Vigésimo Segundo de los Lineamientos del Aviso de Privacidad; lo cual a su vez, se traduce en una trasgresión al principio de información.

b. En seguimiento a lo anterior, se precisó que la presunta responsable se limita a asentar, respecto de los datos que recaba de manera directa de parte de los usuarios de la página buholegal.com, -como son trabajo actual, experiencia, correo electrónico y teléfono-,que la finalidad del tratamiento de dichos datos será " ... con el propósito de cumplir aquellas obligaciones que se derivan de la relación jurídica existente entre usted como titular de los datos personales y /as empresas antes señaladas"; lo cual lesiona el principio de finalidad previsto en el artículo 12 de la Ley de la materia, en relación con el 40 de su Reglamento, toda vez que la presunta responsable omite especificar las finalidades del tratamiento que da a los datos

rsonales.

29


de Datos




Es por tanto que en fecha 16 de octubre de 2013, en cumplimiento del resolutivo SEGUNDO de la Resolución referida en párrafos pretéritos, el Director General de Sustanciación y Sanción emitió el Acuerdo de inicio del procedimiento de imposición de sanciones. Cabe señalar, que en dicho Acuerdo se le dio a conocer un informe de los hechos constitutivos de las presuntas infracciones y se le otorgó un término de quince días hábiles para que rindiera pruebas e hiciera manifestaciones sobre lo que a su derecho conviniera.

En el mismo acto, se le requirió que proporcionara el documento idóneo que contuviera datos que reflejaran su situación financiera actual. Lo anterior, con el fin de que este Instituto contara con elementos que le permitieran cumplir con lo dispuesto en el artículo 65, fracción IV, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

El 12 de noviembre de 2013, este Instituto recibió en la dirección electrónica guadalupe.santiago@ifai .org.mx la cual corresponde a personal adscrito a la Dirección General de Sustanciación y Sanción , comunicación electrónica, a la que adjuntó los siguientes archivos "ACUSE DE ACEPTACION_ANUAL 2012.pdf' , "ACUSE DE ENVIO_ANUAL 2012.pdf', "CEDULA PROFESIONAL_

.pdf", "Contestacion_IFAI_sancion.pdf' , "DECLARACION ANUAL_2012.pdf' y "EDOS_FINANCIEROS_BUHOLEGAL.pdf.

El 14 de noviembre de 2013, el Director General de Sustanciación y Sanción emitió Acuerdo de admisión de pruebas y término para alegatos, a través del cual se tuvieron por hechas las manifestaciones de la presunta infractora, por admitidos los medios probatorios aportados. En el mismo Acuerdo, se hizo de su conocimiento el derecho que le asistía para que, de considerarlo necesario, formulara alegatos dentro del plazo de cinco días hábiles, contados a partir del día siguiente a aquél en que surtiera efectos la notificación respectiva.

El 12 de diciembre de 2013, una vez transcurrido el plazo concedido a la presunta infractora para formular alegatos, el cual corrió del 19 al 26 de noviembre de 2013, sin que al respecto hubiera presentado promoción alguna, se dictó el Acuerdo en el que se tuvo por perdido el derecho de la presunta infractora para presentarlos, decretándose el cierre de instrucción.

En consecuencia, este Instituto resolverá sobre la presunta infracción consistente en transgredir lo estipulado por el artículo 16, fracciones 1, 11 y 111 , de la Ley Federal

30

aneliz.vargas



aneliz.vargas


aneliz.vargas



de Datos




de Protección de Datos Personales en Posesión de los Particulares, por parte de BUHOLEGAL, S. de R.L. de C.V., siendo ésta la siguiente:

Omitir en el aviso de privacidad, de conformidad con lo previsto en el artículo 16, fracciones 1, 11 y 111, de la ley de la materia, los siguientes elementos:

a) No informó la población así como el municipio en que se encuentra el domicilio de BUHOLEGAL, S. de R.L. de C.V.;

b) Omitió informar a los titulares de los datos, las finalidades del tratamiento que da a los datos que recaba y;

e) No estableció las opciones y medios a través de los cuales los titulares de los datos personales puedan ejercer ante la presunta infractora las opciones para limitar el uso o divulgación de los datos.

La anterior conducta infractora se encuentra contemplada en el artículo 63, fracción V, de la ley en cita, respecto de la cual se determinará la sanción que, en su caso, corresponda de conformidad con el artículo 64, fracción 11 , del mismo ordenamiento jurídico.

Asimismo, se estudiará si las conductas, ya sea de acción u omisión desplegadas por la Responsable, de igual forma se encuentran relacionadas con la contravención a los artículos 15 de la Ley de la materia y 23 de su Reglamento, -principio de información-, así como el artículo 12 de la misma Ley de la materia, en relación con el 40 de su Reglamento- principio de finalidad-.

Ello, en atención a que la referida conducta infractora se encuentra contemplada en el artículo 63, fracción IV, cuyo monto de sanción se encuentra igualmente previsto ene el artículo 64, fracción 11 , del mismo ordenamiento jurídico.

Tercero. Ahora bien, en lo que refiere a las facultades de este Instituto en el presente procedimiento, es de señalar que el artículo 38 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, indica que este Instituto tiene por objeto vigilar la debida observancia de la misma, como se advierte del siguiente texto:

Iculo 38.- El Instituto, para efectos de esta Ley, tendrá por objeto difundir el nocimiento del derecho a la protección de datos personales en la sociedad

mexicana, promover su ejercicio y vigilar por la debida observancia de las disposiciones

31

1 nstituto Federal de Acceso a la Informació n y Protección

de Datos




previstas en la presente Ley y que deriven de la misma; en particu lar aquellas relacionadas con el cumplimiento de obligaciones por parte de los sujetos regulados por este ordenamiento.

Para lograr dicho objeto, este 1 nstituto cuenta, entre otras, con las atribuciones establecidas en el artículo 39, fracciones 1 y VI, de la Ley de la materia que se transcriben:

Artículo 39.- El Instituto tiene las siguientes atribuciones: l. Vigilar y verificar el cumplimiento de las disposiciones contenidas en esta Ley, en el ámbito de su competencia, con las excepciones previstas por la legislación; [ .. . ] VI. Conocer y resolver los procedimientos de protección de derechos y de verificación señalados en esta Ley e imponer las sanciones según corresponda; [ .. . ].

Ahora bien , este Instituto ejercerá las atribuciones a que se refiere el artículo 39, fracciones 1 y VI , de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, a través de los procedimientos de protección de derechos, así como del procedimiento de verificación.

Así, resulta pertinente señalar que el presente Procedimiento de Imposición de Sanciones, deriva de la resolución aprobada por el Pleno de este Instituto al procedimiento previsto en la citada fracción VI del artículo 39 de la Ley, en la segunda de sus vertientes, esto es , del procedimiento de verificación , regulado por los artículos 59 y 60 de la Ley señalada, que señalan lo siguiente:

Artículo 59.- El Instituto verificará el cumplimiento de la presente Ley y de la normatividad que de ésta derive. La verificación podrá iniciarse de oficio o a petición de parte.

La verificación de oficio procederá cuando se dé el incumplimiento a resoluciones dictadas con motivo de procedimientos de protección de derechos a que se refiere el Capítulo anterior o se presuma fundada y motivadamente la existencia de violaciones a la presente Ley.

Artículo 60.- En el procedimiento de verificación el Instituto tendrá acceso a la información y documentación que considere necesarias, de acuerdo a la resolución que lo motive.

Los servidores públicos federales estarán obligados a guardar confidencialidad sobre la información que conozcan derivada de la verificación correspondiente.

El Reglamento desarrollará la forma, términos y plazos en que se sustanciará el procedimiento a que se refiere el presente artículo.

/ 32

1 nstilulo Federal de Acceso a la 1 nfonnación y P rotección

de Datos




La determinación del Pleno será notificada al verificado y al denunciante."

Ahora bien , como se desprende del capítulo de Antecedentes, obran en el expediente que se resuelve, copias certificadas de distintas actuaciones relativas al procedimiento de verificación IFAI.3S.07.02-006/2013, destacando el acta de visita de verificación levantada el día 23 de abril de 2013 y la Resolución emitida por el Pleno de este Instituto, el 01 de octubre de 2013, que ordenó iniciar el procedimiento de imposición de sanciones a la presunta infractora.

En este tenor, cabe señalar que se tomarán como elementos de convicción en el presente procedimiento, tanto la referida "Acta de Visita de Verificación" de fecha 23 de abril de 2013, levantada por personal adscrito a la Dirección General de Verificación de este Instituto, por tratarse de documento público, hace prueba plena, según lo dispuesto en los artículos 79, 123, 129, 130, 200 y 202 del Código Federal de Procedimientos Civiles, que a continuación se transcriben :

Artículo 79. Para conocer la verdad, puede el juzgador valerse de cualquier persona, sea parte o tercero, y de cualquier cosa o documento, ya sea que pertenezca a las partes o a un tercero, sin más limitaciones que las de que las pruebas estén reconocidas por la ley y tengan relación inmediata con los hechos controvertidos. Los tribunales no tienen límites temporales para ordenar la aportación de las pruebas que juzguen indispensables para formar su convicción respecto del contenido de la litis, ni rigen para ellos las limitaciones y prohibiciones, en materia de prueba, establecidas en relación con las partes.

Artículo 123.- Contra la confesión expresa de hechos propios no se admitirá , a la parte que la hubiere hecho, prueba de ninguna clase; a no ser que se trate de demostrar hechos ignorados por ella al producir la confesión , debidamente acreditados, o de hechos posteriores, acreditados en igual forma.

Artículo 129. Son documentos públicos aquellos cuya formación está encomendada por la ley, dentro de los límites de su competencia, a un funcionario público revestido de la fe pública, y los expedidos por funcionarios públicos, en el ejercicio de sus funciones.

La calidad de públicos se demuestra por la existencia regular, sobre los documentos, de los sellos, firmas u otros signos exteriores que, en su caso, prevengan las leyes.

Artículo 130. Los documentos públicos expedidos por autoridades de la Federación, de los Estados, del Distrito Federal y Territorios o de los Municipios, harán fe en el · cío, sin necesidad de legalización."

33

Instituto Fede ra l de Acceso a la Informac ión y Protección

de Da tos




Artículo 200.- Los hechos propios de las partes, aseverados en la demanda, en la contestación o en cualquier otro acto del juicio, harán prueba plena en contra de quien los asevere, sin necesidad de ofrecerlos como prueba.

Artículo 202. Los documentos públicos hacen prueba plena de los hechos legalmente afirmados por la autoridad de que aquéllos procedan; pero, si en ellos se contienen declaraciones de verdad o manifestaciones de hechos de particulares, los documentos sólo prueban plenamente que, ante la autoridad que los expidió, se hicieron tales declaraciones o manifestaciones; pero no prueban la verdad de lo declarado o manifestado.

Las declaraciones o manifestaciones de que se trata prueban plenamente contra quienes las hicieron o asistieron al acto en que fueron hechas, y se manifestaron conformes con ellas ...

[ .. . ].

El Acta en cuestión fue emitida de conformidad con lo dispuesto por los artículos 60, último párrafo, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, así como 135 y 136 de su Reglamento; siendo levantada por verificadores facultados para ello, con base en el oficio de comisión expedido por el Secretario de Protección de Datos Personales de este Instituto, de fecha 18 de abril de 2013, para llevar a cabo la diligencia de verificación y el levantamiento del acta, quienes están dotados de fe pública, en términos del artículo 130 del Reglamento citado.

En tal virtud, el Acta a que se hace referencia, es un medio probatorio idóneo y lo asentado en la misma constituyen hechos ciertos legalmente afirmados por la autoridad que la elaboró. Asimismo, las manifestaciones de hechos propios de la presunta infractora contenidas en el acta, hacen prueba plena en su contra, de conformidad con lo establecido en los artículos 123, 200 y 202 del Código Federal de Procedimientos Civiles.

De igual forma, se tiene que con motivo de la notificación del inicio del presente procedimiento, la presunta infractora compareció, ofreciendo pruebas y manifestando lo que a su derecho convino, como quedó señalado en el antecedente IX de la presente Resolución .

Atento a lo señalado, de conformidad con lo dispuesto por el artículo 62, tercer párrafo, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, este Pleno resolverá analizando la totalidad de las constancias agregadas al expediente aperturado con motivo del presente procedimiento, de donde destacan la ya referida "Acta de Visita de Verificación" del 23 de abril de

34

Instituto Federa l de Acceso a la Información y Protección

de Datos




2013, valorada en la Resolución ACT-PRIV/01/10/2013.03.02.01 , de fecha 1 de octubre de 2013, de la que se desprende la presunta violación a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la resolución de fecha 01 de octubre de 2013 al Procedimiento de Verificación; así como las pruebas aportadas por la presunta infractora; tomando en cuenta sus manifestaciones y demás elementos de convicción que obran en el expediente en que se actúa.

Cuarto. Como primero de los argumentos vertidos por la presunta infractora, se identifica el tocante al agravio que en su consideración, se le generó con el inicio del procedimiento de verificación, señalando al efecto que al dar a conocer en su portal de Internet datos de carácter público, se actualiza el supuesto previsto por el artículo 10, fracción 11 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, el cual dispone que no será necesario el consentimiento para el tratamiento de los datos personales cuando los datos figuren en fuentes de acceso público, precisando al efecto que por tratarse de información obtenida del portal de internet de la Secretaría de Educación Pública, por lo que en su consideración , tampoco requiere contar con un "aviso de Privacidad".

Al efecto, señaló que exhibió como medio de prueba el registro que se encuentra en la página www.buholegal.com, vinculo http://www.buholegal.com/consultasep/, cuya versión impresa corre agregada en los autos del procedimiento que se resuelve, por haber sido glosada mediante Acuerdo del 15 de noviembre de 2013, probanza que fue admitida y desahogada por su propia y especial naturaleza, de conformidad con los artículos 79 y 21 0-A del Código Federal de Procedimientos Civiles, que al efecto se transcriben :

Artículo 79. Para conocer la verdad, puede el juzgador valerse de cualquier persona, sea parte o tercero, y de cualquier cosa o documento, ya sea que pertenezca a las partes o a un tercero, sin más limitaciones que las de que las pruebas estén reconocidas por la ley y tengan relación inmediata con los hechos controvertidos.

Los tribunales no tienen límites temporales para ordenar la aportación de las pruebas que juzguen indispensables para formar su convicción respecto del contenido de la litis, ni rigen para ellos las limitaciones y prohibiciones, en materia de prueba, establecidas en relación con las partes.

rtículo 210-A.- Se reconoce como prueba la información generada o comunicada que conste en medios electrónicos, ópticos o en cualquier otra tecnología.

Para valorar la fuerza probatoria de la información a que se refiere el párrafo anterior, se estimará primordialmente la fiabilidad del método en que haya sido generada,

35




1 ns tilulo Federa l de Acceso a la 1 nfonnación y Pro tección

de Datos

comunicada, recibida o archivada y, en su caso, si es posible atribuir a las personas obligadas el contenido de la información relativa y ser accesible para su ulterior consulta .

Cuando la ley requiera que un documento sea conservado y presentado en su forma original, ese requisito quedará satisfecho si se acredita que la información generada, comunicada, recibida o archivada por medios electrónicos, ópticos o de cualquier otra tecnolog ía, se ha mantenido íntegra e inalterada a partir del momento en que se generó por primera vez en su forma definitiva y ésta pueda ser accesible para su ulterior consulta.

Ahora bien , el oferente afirma que con ese medio probatorio se puede constatar que los datos contenidos en esas páginas constituyen datos públicos; sin embargo, es de hacer notar que de una revisión al contenido de las versiones impresas de los portales de internet www.buholegal.com y http://www.buholegal.com/consultasep/, únicamente se advierte que el sitio web señalado en primer término corresponde a la página de inicio de "Buholegal", a través de la cual ofrece diversos servicios, tales como "Monitorear tus Casos, Recibir Alertas por Email, Consultar Cédulas Profesionales", sin que de dicha documental se desprenda dato personal alguno, tal y como se advierte en la siguiente imagen:

Abogados Asesorra Gratis

.......... o; ... t ...... -...--. ,...,no;..-.f'no<--

Monitorear tus Casos Recibir Alertas por Ematl Consultar Cédulas Profesionales

La información es poder. ,

v· n " · '"

......... ~-~ "'--10' • --C..ru .... --hUdttr»mttl'''t

""UI)Il"''•o.••._.... Reglstrate gratis

~ ............. .._,., .. . ..,.., .,.. .............. ,~.,·· • • ~~.,,. ,_,.. •• !!!.l!l r•· • ' ·' ,.,~, ,.., .,. • ._. ,_,.,. , ~~ " ..,, ....,...

• 1 • 00 ~IO >C:· H·C. o~_., OI I H:ot. o ...... "k.U .. _ I _Cc.t•OD . .. - • .,., , ,. , . ,., ..... ... ... ... ~• oo ~~._,_, "~'"-' .. ,., ,,~. , ... ~

. ,,J xl .... con.-t "'''"' t • olf'' '" .tlt • ~ ;....~ -..--.-~ . ...... • ·&·J~$$51

Por otra parte, en cuanto al vínculo identificado como http://www.buholegal.com/consultasep/, contrario a lo manifestado por la presunta

36




1 ns tituto Federal de Acceso a la f nformación y Protección

de Datos

infractora , del mismo no se advierte que contenga datos personales, ya que para realizar una búsqueda de cédula profesional, se determinan de dos maneras; una por búsqueda general a través del llenado de ciertos campos como son nombre, paterno, materno, Estado, año inicial y año final y, la otra, como búsqueda por cédula, en la que se debe ingresar el número de cédula que se desee consultar, tal y como se aprecia en la siguiente imagen :

P '"" e:l O 8vho'c9•t Con,..,tt. d~ ~~J

1 o

....... - ~.~ ... .. ..._ ..... ........................ ~ -.. c. •• ~. ,..,.,.,._ ..

Búsqueda d« Códyla prof•Jipn al

B ú s q ued a e•n• ral Ul!lnar uno o nw.• CAIIlt:)oO'

eacac~o:

li1-•>c unv o n ••' o,.• m uo• l'kl • • n a <:c " • ••-. ' " • .x.vua ooe d • n•a V>.Oa1.u l ao o ••w•..,;)• <Jc

tno•• • * el,...,,.,...,., d~ le ccduY. q..,t! dc 1.ott! CO""Iwha• \._a c 4 nul• debe (;O,.tc,..c• u n

n•a ,,,no d• a dlootol

)( (.:0. ~te:

reg1s 1rate •

grat1s Llc enc latuta!lo a dtstanctD

\. ·C"C""C'flltiJ<C I lOO"- ~ n ..... . Co n

' '4 CO<"OO<u.., •nlo ofioo a t ~e•

oe:oes nHt,s de slSOOO

Te a .,.M:Ja mot. a ,.q.,.oa r h• d.-uda v re4....ctnC h-CIJ'IC Cf\ ...... S O.,.

.a.ho.na 3 0 • ... co.~ .. • a de .. _ .... <·6ft coo--"'•· tl nKrlto.ea v a •

facebook ,.·

C r e a un Perfl l Face boo k

...

,, o

o

o

Por tanto, las documentales en análisis resultan inconducentes para acreditar la afirmación de su oferente en el sentido de que con ellas se pueda constatar que los datos contenidos en dichas páginas constituyen datos públicos.

Lo anterior, ya que las pruebas deben señalarse en relación con cada uno de los hechos que se pretendan acreditar; situación que no acontece en la especie, ya que la responsable remite a una página de internet en la que no se contiene el elemento que pretende acreditar.

Ahora bien, no obstante tal situación, cabe señalar que tal como se expuso al inicio de este Considerando, la responsable efectuó el señalamiento respecto a su inconformidad con el inicio del procedimiento de verificación; sin embargo, tal como se asentó en el Considerando anterior, el presente procedimiento de imposición de

cienes, aun cuando deriva de un procedimiento de verificación, resulta ser Jeno a la verificación que fue practicada, por lo que pretender desvirtuar las

37

Instituto Federal de Acceso a la Inform ación y Protección

de D atos




razones que dieron lugar a la verificación, resulta ser un argumento que se emite en un momento que no es el adecuado, máxime cuando la responsable se manifestó en su oportunidad cuando se tramitó el procedimiento de verificación.

Luego entonces, el argumento de la responsable tendente a desestimar el inicio del procedimiento de verificación al no guardar relación con el Acuerdo del 16 de octubre de 2013, emitido por el Director General de Sustanciación y Sanción de este Instituto es que resulta ser inoperante.

Ahora bien, suponiendo que la prueba de la responsable referida en párrafos anteriores, condujera a la información que ésta obtiene de la página de Internet de la Secretaría de Educación Pública, "Consulta de Cédulas SEP', se tiene que el señalamiento vertido al efecto, de igual forma en inoperante, toda vez que la presunta infractora sostiene que se encuentra exenta de acatar los principios de la Ley de la materia, ya que se ubica en el supuesto de excepción previsto en el ya referido artículo 1 O, fracción 11 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

No obstante lo anterior, es de hacer notar a la responsable que las presuntas infracciones acontecidas a la Ley de la materia, derivan no de los datos que ésta obtiene de una fuente de acceso público - página de la Secretaría de Educación Pública-, sino de aquellos datos que Buholegal recaba de manera directa de los usuarios de su página de Internet; mismos que indudablemente se encuentran en el ámbito de protección de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y de los cuales, la responsable es Buholegal , lo cual conduce a señalar además que el argumento de ésta por cuanto a que no es necesario contar con un Aviso de Privacidad, igualmente resulta superado, ya que al allegarse de datos personales, desde luego que le resultan obligatorias todas as disposiciones de la Ley de la materia en lo atinente a tales datos.

A mayor abundamiento, como elemento de convicción, esta autoridad puede advertir que para la prestación de los servicios que presta Buholegal, como son: monitorear casos y recibir alertas por email , requiere a los usuarios que se registren, para lo cual es necesario crear un nombre de usuario y contraseña, recabando diversos datos personales como son: nombre, apellido paterno, apellido materno, correo electrónico, usuario y contraseña, tal como se desprende de la versión impresa del portal www.buholegal.com/registrar/ que corre agregada en la copia certificada del expediente IFAI.3S.07.02-006/2013, remitida

38

Institu to Fede ral de Acceso a la Info rmac ió n y Protección

de Datos




por el Director General de Verificación al Director General de Sustanciación y Sanción, a fojas 000026, como a continuación se podrá advertir:

Crea un perfil Facebook

R ecl atrer yo• c yenta wrat:y fta wn Byb gltcel

p-. ,. C:~4!"Ar ., ,.,.., . .. h10)" "''"'' '"9' "' " '"' • ,.., cuenta u••ndo • u No""'b ' "' d~ tJo.uaroo y C onrr a " • "'& ~.no C:oH!I" Il.S c:o n un a cueiU A lle pue d e re oonrar o••t u otaM<I!r\l<t

Además, en las manifestaciones asentadas en el acta de verificación de fecha 23 de abril de 2013, el representante legal de la presunta infractora, en el numeral 5, expresamente reconoció que: 11Si recaba datos personales, de sus clientes recaba su nombre, domicilio, correo electrónico, datos fiscales y aparte de eso, respecto de la base de datos de la SEP recabamos datos públicos no confidenciales, pero que si tiene información personal", lo cual hace prueba plena en su contra, toda vez que la confesión expresa de hechos propios no admite en contrario, a la parte que la hubiere hecho, prueba de ninguna clase, de conformidad con lo dispuesto en los artículos 123, 200 y 202 del Código Federal de Procedimientos Civiles, anteriormente transcritos. Por ello, con dicho reconocimiento se hace evidente que sí es un sujeto regulado por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y, por tanto, se encuentra obligado a cumplirla en términos de lo dispuesto en su artículo 2.

Sirven de apoyo a lo anteriormente señalado la jurisprudencia y tesis aislada que a continuación se transcriben:

is: 1.1 o .T. J/34 anario Judicial de la Federación y su Gaceta

ovena Época

39

Instituto Fe de ra l de Acceso a la Info rmación y Protección

de D atos

196523 1 de 1




PRIMER TRIBUNAL COLEGIADO EN MATERIA DE TRABAJO DEL PRIMER CIRCUITO Tomo VIl, Abril de 1998 Pag. 669 Jurisprudencia (Común)

PRUEBA CONFESIONAL. ALCANZA PLENO VALOR CUANDO ES CLARA Y PRECISA. Si bien es cierto que la prueba confesional puede decidir una controversia y ser bastante para resolverla, haciendo inútil el estudio de otros medios de convicción , esto sólo es admisible cuando la confesión es expresa, clara y perfectamente referida a los términos de la controversia, de manera que, sin lugar a dudas, implique el reconocimiento de la pretensión o bien de la excepción opuesta.

PRIMER TRIBUNAL COLEGIADO EN MATERIA DE TRABAJO DEL PRIMER CIRCUITO"

"No. Registro: 2,011 Aislada Época: Segunda Instancia: Sala Fuente: R.T.F.F. Segunda Epoca. Nos. 16 y 17. Tomo 11 . Enero- Mayo 1981 . Tesis: 11-TASS-2219 Página: 440

CONFESION.- HACE PRUEBA PLENA EN CUANTO PERJUDICA AL QUE LA HACE.- De acuerdo con lo previsto en los artículos 96 y 199 del Código Federal de Procedimientos Civiles, la confesión hace prueba plena en cuanto perjudica al que la hace; por lo tanto, si en la fase administrativa del procedimiento la actora presenta un escrito en que confiesa que omitió ingresos y expresa su deseo de regularizarse, ya no procede que después, en el juicio fiscal, pretenda negar cualquier omisión a su cargo; máxime si ofrece la prueba pericial y al desahogarse por los peritos de las partes, sus resultados le son del todo adversos; ya que en dicho caso las pruebas confesional y pericial son coincidentes por lo que procede darles valor probatorio pleno para acreditar la omisión de ingresos determinada por la autoridad.(79)

Revisión No. 464/80.- Resuelta en sesión de 31 de marzo de 1981, por unanimidad de 6 votos.- Magistrado Ponente: Mariano Azuela Güitrón.- Secretaria : Lic. Diana Berna! Ladrón de Guevara."

Por lo anterior, el medio probatorio ofrecido por BUHOLEGAL, S. de R.L. de C.V. en estudio resulta insuficiente para desvirtuar la supuesta excepción de contar con un Aviso de Privacidad, en tanto que no se actualiza el supuesto previsto en el artículo 10, fracción 11 de la Ley de la materia por lo que refiere a los datos que la responsable recaba de los usuarios de su página de Internet, con lo cual se mantiene la presunta irregularidad que se le atribuyó, en virtud de que su aviso de

40

lns lituto Federal de Acceso a la 1 nformación y P rotección

de Datos




privacidad no cumple con lo previsto en el artículo 16, fracciones 1, 11 y 111 , del citado ordenamiento legal.

Ahora bien, respecto de la anterior conducta infractora, la responsable ofreció adicionalmente la prueba "presuncional humana" que hizo consistir en "Cuando una persona libremente publica datos profesionales en una página web con el propósito de difundir esa información, es lógico y coherente que no hay expectación de privacidad. De hecho, lo que busca con estas acciones es la publicidad. "Linkedin" y "Facebook", también facilitan la autopromoción por medio de "datos personales" suministrados por los particulares. Claramente Facebook y Linkedin, no son sujetos a ser regulados por las disposiciones ARCO, razón por la cual Buholegal tampoco debe serlo". Probanza que fue admitida y desahogada por su propia y especial naturaleza, de conformidad con lo previsto en el artículo 190, fracción 11 , del Código Federal de Procedimientos Civiles.

Al respecto, la prueba antes señalada, así como su argumento, resultan insuficientes para desvirtuar la conducta presuntamente infractora que nos ocupa, en virtud de que, contrario a sus manifestaciones, en los autos del expediente en que se actúa, obra el Acuerdo de glosa de documentos de fecha 28 de noviembre de 2013, por el que se integraron al expediente las versiones impresas de las páginas web https://www.facebook.com/about/privacy/ y http://www.linkedin.com/legal/privacy-policy?trk=hb_ft_priv, de cuyo contenido se advierte que existe un vínculo denominado "privacidad", a través del cual informan a sus usuarios cómo recaban y protegen sus datos personales que de ellos obtienen, lo que contrario a lo afirmado por la presunta infractora sí implica una expectativa de privacidad .

Más aun, inclusive cuando no se hubiese accedido a este apartado, es de hacer notar que lo que la responsable identifica como una ausencia de expectación de privacidad , en forma alguna puede validarse, ya que como se concluyó en párrafos anteriores al analizar la primera de las probanzas aportadas por la responsable, al momento de recabar datos personales de particulares, se ubica en el marco normativo regulador en la materia de protección a los datos personales, esto es, le resultan aplicables y obligatorios la Ley Federal de Protección de datos Personales en Posesión de los Particulares, su Reglamento y demás disposiciones normativas que este Instituto en ejercicio de sus facultades expida al efecto.

to, la "expectación de privacidad" deviene no de una relación contractual en las partes pueden libremente definir los alcances de sus derechos y

41

Instituto Federal de Acceso a la Informació n y P ro tecció n

de D atos




obligaciones, sino que deriva de una disposición legal que por tanto , en forma alguna puede ser negociable como para buscar indicar que los usuarios del servicio libremente se exponen sin que sea necesaria la protección de sus datos personales, lo cual se contrapone con el artículo 1 de la Ley de la materia.

Luego entonces, toda vez que ha quedado acreditado que la responsable además de los datos personales que obtiene de una fuente de acceso público, también, en la prestación de diversos servicios, da tratamiento a datos distintos a los obtenidos de la fuente de acceso público, como se desprende de la imagen del portal www.buholegal.com/registrar/, inserta en la página anterior de la presente Resolución; es que los medios probatorios aportados por la presunta infractora resultan insuficientes para desvirtuar la conducta en que incurrió consistente en:

Omitir en el aviso de privacidad, de conformidad con lo previsto en el artículo 16, fracciones 1, 11 y 111, de la ley de la materia, los siguientes elementos:

a) No informó la población así como el municipio en que se encuentra el domicilio de BUHOLEGAL, S. de R.L. de C.V.;

b) Omitió informar a los titulares de los datos, las finalidades del tratamiento que da a los datos que recaba y;

e) No estableció las opciones y medios a través de los cuales los titulares de los datos personales puedan ejercer ante la presunta infractora las opciones para limitar el uso o divulgación de los datos.

Asimismo, se observa de manera particular que los incisos b) y e) , encuentran estrecha relación con la contravención a los artículos 15 de la Ley de la materia y 23 de su Reglamento, -principio de información- , así como el artículo 12 de la misma Ley de la materia, en relación con el 40 de su Reglamento - principio de finalidad-.

Quinto. En el presente considerando se analiza la conducta infractora, para lo cual se iniciará con el estudio correspondiente al presunto incumplimiento a lo previsto en el artículo 16, fracción 1, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

42

Instituto Federal de Acceso a la 1 nfonnación y Protección

de Datos




A este respecto, el artículo 16 de Ley Federal de Protección de Datos Personales en Posesión de los Particulares, establece la obligación de la presunta infractora de proporcionar a los titulares de datos personales, a través del aviso de privacidad, un mínimo de información, señalando en la parte conducente que:

Artículo 16.- El aviso de privacidad deberá contener, al menos, la siguiente información: l. La identidad y domicilio del responsable que los recaba;

E relación con la referida conducta, se tiene que la infractora, a través del escrito señalado en el antecedente IX de la presente Resolución, denominado "Contestacion_IFAI_sancion.pdf', manifestó, entre otras cosas que:

a) Con relación al incumplimiento a lo dispuesto en la fracción 1, del artículo 16 de la ley de la materia, "Niego este hecho, pues Buholegal, en su portal web, señalaba lo siguiente: .... . "Búholegal S. de R.L. de C. V. (Búholegal), con domicilio en Calle 6 No. 8 Altos, Colonia Centro, C. P. 94500, en Veracruz ". [. . .] En la dirección se omite señalar "Córdoba", como municipio, pero esto sucedió por un error humano de la persona encargada de la redacción, sin que mediara dolo o mala fe por parte de la empresa, prueba de ello es que al señalar el Código Postal y el Estado, el municipio es ubicable, aunado a que en el apartado designado en la página como "Contacto" (http:llwww.buholegal. com/contacto/) siempre ha aparecido la siguiente dirección: buholegal S. de R.L. de C. V. , Calle 6 No . .8 altos. Colonia Centro, Córdoba, Veracruz. C.P. 94500".

Al respecto, se desestima dicha manifestación en virtud de que el artículo 16, fracción 1, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, anteriormente trascrito, impone a la infractora la obligación de que en su aviso de privacidad se precise la identidad y el domicilio del responsable que recaba los datos personales.

En seguimiento a lo anterior, para efectos de claridad, es de hacer notar que en términos de lo dispuesto por el artículo 43, fracción 1 de la propia Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la Secretaría de Economía emitió los Lineamientos del Aviso de Privacidad, publicados en el Diario Oficial de la Federación el17 de enero de 2013, que en su numeral Vigésimo primero, segundo párrafo, permiten identificar con toda claridad lo que la ley de la materia refiere como domicilio, toda vez que precisan que el domicilio del

esponsable deberá indicar, al menos, la calle, número, colonia, ciudad, municipio o delegación, código postal y entidad federativa.

43 /

Institu to Federa l de Acceso a la Información y Protección

de Datos



Comisionado Ponente : Ángel Trinidad Zaldívar

Luego entonces, contrario a lo aducido por la responsable en el sentido de que cumplió con lo dispuesto por la norma en comento, es de hacer notar que de una interpretación armónica a las disposiciones antes referidas, es que este Instituto advierte que al estar definido el concepto de domicilio, no puede cobrar validez lo referido por le particular en el sentido de que a partir de los elementos que éste publica, pueden inferirse los datos completos del domicilio, ya que existe disposición normativa expresa que establece que el domicilio incluye ciudad y municipio.

De lo anteriormente señalado se advierte que la normativa debe interpretarse en un sentido que permita a los particulares maximizar el ejercicio de sus derechos fundamentales , y toda vez que la protección a los datos personales se ubica en este supuesto, desde luego que exige la máxima tutela, que es precisamente lo que se prevé con la emisión de las diversas normativas que complementan y definen los alcances de los preceptos legales.

Así pues, debe sostenerse que entre los elementos que debe contener el aviso de privacidad , se ubica el domicilio, siendo en el caso particular que la infractora omitió cumplir con señalar de manera el referido elemento de manera completa , al no indicar la Ciudad y el Municipio en que se encuentra , tal y como se desprende de la constancia de su aviso de privacidad que como anexo 7 se agregó al Acta de verificación de fecha 23 de abril de 2013, analizada en el Cuarto considerando de la Resolución ACT-PRIV/01/1 0/2013.03 .02.01 , emitida por este Pleno el 1 de octubre de 2013, en el expediente IFAI.3S.07.02-006/2013.

Robustece lo anterior, lo manifestado por el representante legal de BUHOLEGAL S. de R.L. de C.V., mediante correo electrónico enviado a este Instituto el 12 de noviembre de 2013, particularmente en su escrito denominado "Contestacion_IFAI_sancion.pdf' , que en la parte conducente ha quedado transcrito en líneas anteriores, en el que reconoció expresamente que por un "error humano" omitió señalar "Córdoba", como municipio, en su domicilio, lo cual hace prueba plena en su contra, toda vez que la confes ión expresa de hechos propios no admite en contrario , a la parte que la hubiere hecho, prueba de ninguna clase, de conformidad con lo dispuesto en los artículos 123, 200 y 202 del Código Federal de Procedimientos Civiles, transcritos en el considerando Cuarto de la presente Resolución .

44


de Datos




Con lo cual queda en evidencia que resulta insuficiente el argumento vertido por la responsable en el sentido de que al haber señalado en su aviso de privacidad el Código postal y el Estado, el municipio es ubicable, ya que la normativa aplicable impone a los Responsables del tratamiento de datos personales la obligación de señalar con precisión su domicilio, dentro del cual se comprende la calle, número, colonia, ciudad, municipio o delegación, código postal y entidad federativa, sin que sea factible obviar ninguno, por lo que al no indicar en su aviso de privacidad la Ciudad y el Municipio en que se encuentra su domicilio, es claro que con su conducta infringió lo previsto en la fracción 1, del artículo 16 de la ley de la materia.

Resultando irrelevante en consecuencia el siguiente señalamiento de la infractora en el sentido de que en el apartado designado en la página como "contacto" siempre ha aparecido la siguiente dirección: "buholegal S. de R.L. de C. V., Calle 6 No. 8 altos. Colonia Centro, Córdoba, Veracruz. C.P. 94500", puesto que la información correspondiente a su domicilio debe establecerse en su aviso de privacidad, siendo éste el único medio reconocido por la ley de la materia para tales efectos.

En consecuencia se continúa con el estudio correspondiente a las presuntas infracciones en que incurrió la responsable, retomando al efecto lo previamente asentado, en el sentido de que el artículo 16 de Ley Federal de Protección de Datos Personales en Posesión de los Particulares, establece la obligación de la presunta infractora de proporcionar a los titulares de datos personales, a través del aviso de privacidad, un mínimo de información, señalando en la parte conducente que:

Artículo 16.- El aviso de privacidad deberá contener, al menos, la siguiente información: [ ... ] 11. Las finalidades del tratamiento de datos;

En relación con el posible incumplimiento a lo previsto en la citada fracción 11, del artículo 16, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la infractora manifestó "Niego este hecho, puesto que la información de la que dispone Buholegal en su página, es información de carácter público, por tanto no es necesario establecer la finalidad para la que se recaba y proporciona, pues es obvio que la misma se utiliza con fines públicos de información y conocimiento"

45

Instituto Federal de Acceso a la Informac ión y Protección

de Datos



Comisionado Ponente: Ángel Trin idad Zaldívar

Asimismo, señaló "Niego este hecho. El portal de Buholegal, ofrece la oportunidad a los usuarios de dar a conocer algo de su información profesional. Sin embargo estos datos no son resguardados, ni manipulados por la empresa. Es total decisión y responsabilidad de los usuarios el "subir'' información al servidor que se encuentra en Estados Unidos. Los usuarios tienen la libertad de darlos a conocer, manipularlos y eliminarlos del mismo, tal y como sucede en paginas como "Facebook" o "Linkedin". Estas páginas no están sujetas a los preceptos legales de privacidad sobre la información que "suben" o "publican" sus usuarios. Buholegal al ser página con características similares, de igual forma tampoco tiene la obligación de tratar la información "subida" como datos sujetos a los derechos ARCO".

En concatenación con este numeral 16, fracción 11 de la Ley de la materia , el artículo 12 del mismo ordenamiento legal en comento, refiere lo siguiente:

Artículo 12.- El tratamiento de datos personales deberá limitarse al cumplimiento de las finalidades previstas en el aviso de privacidad . Si el responsable pretende tratar los datos para un fin distinto que no resulte compatible o análogo a los fines establecidos en aviso de privacidad, se req uerirá obtener nuevamente el consentimiento del titular.

En ese sentido, se advierte de nueva cuenta la inoperancia de los argumentos de la presunta infractora por un parte y por la otra, la insuficiencia para alcanzar a sostener al legalidad de sus actos respecto de aquellos datos que recaba y por los cuales se encuentra obligado a cumplir con las disposiciones de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Así , retomando la primera de las vertientes hechas valer por la responsable, se insiste en cuanto a que la verificación efectuada por este Instituto consistió en identificar los datos personales que trata la empresa y además, conocer si se les brinda o no el debido resguardo y posibilidades de ejercicio sobre estos hacia sus titulares.

Por tanto, si bien se tiene que por una parte están los datos que Buholegal obtiene de la página de Internet de la Secretaría de Educación Pública, por otra, están todos aquellos datos que los usuarios de la página de internet de la presunta infractora, ingresan a dicho sistema y respecto de los cuales se ha acreditado con anterioridad que éstos quedan protegidos por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y por tanto, ubican a la responsable en una situación de obligatoriedad de acato a la norma.

46

Instituto Fede ral de Acceso a la 1 nfo rrnación y Protección

de Datos



Comisionado Ponente: Ángel Trin idad Zaldívar

Atento a lo anterior, el sostener como lo pretende la responsable que por tratarse de datos personales que se ubican en una fuente de acceso público, no es necesario dar a conocer a los particulares la finalidad para la que serán tratados, resulta ser un argumento que no controvierte el presente procedimiento.

Ahora, en lo atinente a la segunda vertiente del señalamiento de la responsable, se verifica que resulta insuficiente para desvirtuar la infracción que se analiza, en virtud de que como ha quedado acreditado en autos, con lo asentado en el acta de verificación del 23 de abril de 2013, para la prestación de diversos servicios que ofrece, da tratamiento a datos personales de sus usuarios, distintos a los obtenidos de dicha fuente de acceso público; de ahí la obligación de informar a sus titulares sobre la finalidad que dará a su tratamiento, en términos de lo previsto en los citados artículos 12, 16, fracción 11 , de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 26, 40 y 41 de su Reglamento y numerales Vigésimo, fracción IV y Vigésimo cuarto de los Lineamientos del Aviso de Privacidad, lo cual no ocurrió en el caso concreto.

Por lo anterior, la infractora incumplió con lo dispuesto en el artículo 16, fracción 11, de la ley de la materia, dejando de observar el principio de finalidad contemplado en los artículos 6 y 12 de la ley en cita, ya que debió establecer sin lugar a confusión y de manera objetiva, a través de su Aviso de Privacidad, las finalidades del tratamiento de los datos, sin que en la especie así lo hubiere hecho.

Finalmente, se procede al estudio correspondiente a las presuntas infracciones en que incurrió la responsable, por lo que corresponde al artículo 16, fracción 111 de Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que señala en la parte conducente lo siguiente:

Artículo 16.- El aviso de privacidad deberá contener, al menos, la siguiente información: [ ... ) 111. Las opciones y medios que el responsable ofrezca a los titulares para limitar el uso o divulgación de los datos;

Como se observa, el precepto en cita refiere que uno de los elementos que deben contenerse en el Aviso de Privacidad , está el correspondiente a informar las opciones y medios a través de los cuales los titulares de los datos personales podían ejercer ante la Responsable las opciones y medios para limitar el uso o

ivulgación de los datos.

47

Instituto Federal de Acceso a la 1 nformación y Pro tección

de Datos




Sobre este punto en lo particular, la infractora manifestó:

"Este es un hecho falso: pues en el aviso de privacidad se contenía lo siguiente:

Los titulares podrán ejercer los derechos que les confiere la Ley, a partir del 6 de enero de 2012, mediante una solicitud por escrito, que deberá ser presentada personalmente o por correo en nuestra oficina matriz o por correo electrónico: [email protected]. Todas las solicitudes que sean presentadas a Búholegal, independiente del medio utilizado por los titulares, deberán:

• Incluir el nombre y firma autógrafa del titular, así como un domicilio u otro medio para comunicarle la respuesta a su solicitud. • Acompañar los documentos oficiales que acrediten la identidad del titular. • Incluir el nombre de usuario de búholegal y una descripción clara y precisa de los datos personales respecto de los cuales ejercitará los derechos que les confiere la Ley. En el caso de suprimir los datos de Universidad, Estado y Año en nuestra base de datos de Cédulas Profesionales, basta con una copia de su Cédula Profesional. No es necesario contar con una cuenta de Buholegal.

Buholegal , estableció la metodología mediante la cual los titulares de los datos en posesión de la citada, podían restringir el uso de estos, mediante la supresión de los datos que no refieren al perfil profesional de su titular tales el año de egreso y la escuela en que estudió, por lo que niego la afirmación de que mi representada vulneró lo contenido en el art 16, fracción 111 de la LFPDPPP."

Ahora bien, el referido artículo 16, fracción 111, se complementa además con lo dispuesto por el artículo 15 de la misma Ley de la materia, que indica lo siguiente:


Como se observa, los particulares titulares de sus datos personales tienen el derecho de conocer las opciones y medios que el responsable ofrezca a éstos para limitar el uso o divulgación de los datos; lo cual se traduce desde luego en una obligación para la responsable de informar sobre tales elementos a través de su aviso de privacidad.

Es por tanto que se advierte la inoperancia de lo aseverado por la presunta infractora, ya que de conformidad con lo previsto en la citada fracción 111 , del artículo 16, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, adminiculado con lo señalado en los numerales Vigésimo y Trigésimo de los Lineamientos del Aviso de Privacidad, en dicho instrumento se

48

Instituto Federa l de Acceso a la Info rmació n y Pro tección

de Datos




deben contener las opciones y medios que el responsable ofrezca a los titulares para limitar el uso o divulgación de los datos, distintos al ejercicio de los derechos ARCO o a la revocación del consentimiento.

Sin embargo, en el caso concreto, del análisis al aviso de privacidad integrado al Acta de verificación de fecha 23 de abril de 2013, como anexo 7, se advierte que la responsable no cumple con dicho requisito. Robustece lo anterior, la manifestación asentada en el numeral 1 O de la referida Acta de verificación, en la que el representante legal de la infractora señaló que: " ... Como son datos públicos, ponemos esos datos a la disposición de cualquier persona y por lo tanto no cuenta con algún medio para limitar el uso o divulgación de los datos personales", con lo que reconoce expresamente que su aviso de privacidad no establece las opciones o medios para limitar el uso o divulgación de los datos personales, lo cual hace prueba plena en su contra, toda vez que la confesión expresa de hechos propios no admite en contrario, a la parte que la hubiere hecho, prueba de ninguna clase, de conformidad con lo dispuesto en los artículos 123, 200 y 202 del Código Federal de Procedimientos Civiles, anteriormente transcritos y la jurisprudencia y tesis aislada antes señaladas, siendo de explorado derecho que a "confesión de parte, relevo de prueba".

Consecuentemente, la infractora contravino lo dispuesto en la fracción 111, del artículo 16, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, al omitir establecer las opciones y medios a través de los cuales los titulares de los datos personales que utilizan, entre otros, el servicio de "Consulta de Cédulas SEP"-y que ingresan en el portal de la responsable sus propios datos-, podían ejercer ante BUHOLEGAL, S. de R. L. de C.V. , para limitar el uso o divulgación de sus datos personales, apartándose, igualmente, del principio de información contemplado en los artículos 6 y 15 de la citada ley, ya que omitió señalar qué tipo o categoría de datos personales utiliza para brindar los servicios que ofrece, por lo que los usuarios desconocen a qué datos personales da tratamiento.

Por todo lo anterior, es que este Instituto advierte que en el caso a estudio se acredita la comisión de la conducta infractora prevista por el artículo 63, fracción V, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares , al contravenirse lo dispuesto por el artículo 16, fracciones 1, 11 y 111, del mismo ordenamiento legal.

49

Instituto Federal de Acceso a la Info rm ación y Protección

de Da tos




Cabe señalar que si bien en el Considerando segundo de la presente resolución se expuso que en su caso, también hay una posible infracción a lo dispuesto en el artículo 63, fracción IV de la misma Ley de la materia, lo cierto es que conforme al estudio normativo, adminiculado con las constancias que integran el expediente, se advierte que la comisión de las conductas sancionables, aun cuando tuvieron relación con los numerales 12 y 15 de la Ley de la materia , lo cierto es que quedaron subsumidas en las omisiones en que incurrió la responsable al inobservar lo dispuesto por el artículo 16, fracciones 1, 11 y 111 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Sexto. Ahora bien, a efecto de por lo que corresponde a la cuantía de la multa a imponer al haberse acreditado la infracción al artículo 64, fracción V de la Ley de la materia, es que este Instituto analizará cada uno de los elementos previstos por el artículo 65 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; el cual dispone que el Instituto fundará y motivará sus resoluciones considerando los siguientes elementos:

a) La naturaleza del dato

En el caso a estudio, resulta inaplicable en virtud de que las conductas que son materia de infracción, no tienen que ver con la naturaleza del dato.

b) La notoria improcedencia de la negativa del responsable, para realizar los actos solicitados por el titular, en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares

No se toma en cuenta para la imposición de la multa, ya que la conducta infractora materia de la presente Resolución no tiene su origen en la negativa de un Responsable a realizar lo solicitado por un Titular de datos personales a través del ejercicio de los derechos de acceso, rectificación , cancelación y oposición.

e) El carácter intencional o no, de la acción u omisión constitutiva de la infracción

En cuanto al presente elemento, es preciso resaltar que de conformidad con lo dispuesto en el artículo 1 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, ésta es de orden público y de observancia general en toda la República y tiene por objeto la protección de los datos personales en posesión de los particulares, por lo que tutela derechos fundamentales, de

50

Instituto Federal de Acceso a la 1 nfo rmación y Protección

de Datos



Comisionado Ponente: Angel Trinidad Zaldívar

conformidad con lo dispuesto por el artículo 16, segundo párrafo, de la Constitución Política de los Estados Unidos Mexicanos, favoreciendo en todo tiempo a las personas la protección más amplia.

Por lo que al haber sido expedida por el Congreso de la Unión y publicada en el Diario Oficial de la Federación el 5 de julio de 201 O, por el Presidente de la República en uso de la facultad establecida en el artículo 89, fracción 1, de la Constitución Política de los Estados Unidos Mexicanos, habiendo entrado en vigor al día siguiente de su publicación, tales circunstancias obligan a la infractora a su cumplimiento, por tratarse de un sujeto regulado por la misma, al llevar a cabo el tratamiento de datos personales.

Esto es así, ya que el artículo 2 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares establece que:

Artículo 2.- Son sujetos regulados por esta Ley, los particulares sean personas físicas o morales de carácter privado que lleven a cabo el tratamiento de datos personales, ... [ ... ]

Asimismo, según su artículo 3, para los efectos de la Ley antes citada, se entiende por tratamiento de datos:

[ ... ) XVIII. Tratamiento: La obtención, uso, divulgación o almacenamiento de datos personales, por cualquier medio. El uso abarca cualquier acción de acceso, manejo, aprovechamiento, transferencia o disposición de datos personales. [ ... )

Como ha quedado acreditado, la infractora contravino lo dispuesto por el artículo 16, fracciones 1, 11 y 111, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, ya que aun conociendo las obligaciones que en dicho precepto se establecen y al ser sujeto obligado del mencionado ordenamiento. omitió observarlo, por lo que su conducta se considera intencional, ya que con conocimiento de causa incurrió en dicha violación, en virtud de que:

• En su aviso de privacidad dejó de cumplir con los elementos establecidos en el artículo 16, fracciones 1, 11 y 111 , de la ley de la materia, al omitir:

a) Informar la Ciudad, así como el Municipio en que se encuentra el domicilio de BUHOLEGAL, S. de R.L. de C.V.;

51


de Datos




b) Informar a los titulares de los datos, las finalidades del tratamiento que da a los datos que recaba , lo que se aparta del principio de finalidad contemplado en los artículos 6 y 12 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y;

e) Establecer las opciones y medios a través de los cuales los titulares de los datos personales puedan, ante la infractora, limitar el uso o divulgación de los datos, lo que deja de observar el principio de información previsto en los artículos 6 y 15 de la ley en cita.

Por ello, el incumplimiento a las disposiciones legales antes mencionadas, constituye la infracción que se encuentra prevista en el artículo 63, fracción V, de la ley en cita, que fue cometida intencionalmente por la infractora, porque con conoci.miento de causa incurrió en dichas violaciones, sin que esto influyera en su ánimo para abstenerse de realizarla.

d) La capacidad económica del infractor

Con relación a este punto, es importante señalar que a efecto de contar con elementos sobre la capacidad económica de la infractora, en el Acuerdo de inicio del presente procedimiento de imposición de sanciones, se le solicitó documentación que reflejara su situación financiera actual; razón por la cual , envió por correo electrónico a este Instituto los siguientes archivos: "ACUSE DE ACEPTACION_ANUAL 2012.pdf' , "ACUSE DE ENVIO_ANUAL 2012.pdf', "CEDULA PROFESIONAL_ .pdf', "DECLARACION ANUAL_2012.pdf' y "EDOS_FINANCIEROS_BUHOLEGAL.pdf'.

En este sentido, del Balance General al 30 de septiembre de 2013, suscrito por el contador general y el representante legal de la infractora, se advierte como cantidad total de sus activos la suma de $203,798.00 (doscientos tres mil setecientos noventa y ocho pesos 00/1 00 m.n.).

El anterior elemento de convicción se considerará respecto de la capacidad económica de la infractora, de conformidad con lo previsto en el artículo 65, fracción IV, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

52

aneliz.vargas



aneliz.vargas


aneliz.vargas


Ins tituto Federal de Acceso a la 1 nfonnación y Protección

de Datos

e) La reincidencia




El supuesto en análisis no se actualiza, en virtud de que no existe ningún otro procedimiento iniciado a la infractora, en el que haya resultado sancionado por las mismas conductas infractoras atribuidas en el presente procedimiento, en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Por lo anterior, la reincidencia no deberá considerarse para efectos de agravar o incrementar la sanción a imponer.

En otro orden de ideas, con el objeto de abundar en las razones y motivos que esta autoridad toma en cuenta para determinar la multa a imponerse a la infractora, es oportuno hacer referencia a la finalidad de sancionar las conductas ilícitas, cuya naturaleza estriba en lograr un efecto disuasivo en la comisión de éstas, inhibiendo futuras infracciones a la ley. Dicha finalidad no se alcanzaría cuando por idénticas infracciones, se impusieran multas semejantes a infractores con una distinta capacidad económica, es decir, que la sanción debe imponerse de acuerdo a la capacidad económica de cada caso en particular.

Así lo ha considerado el Primer Tribunal Colegiado en Materia Administrativa del Primer Circuito en la tesis aislada que a continuación se trascribe:

MULTA, CUANTIFICACIÓN DE LA. CAPACIDAD ECONÓMICA DEL INFRACTOR. Al imponerse una sanción pecuniaria, como no se trata de cobrar una prestación debida a título de impuesto o derecho, sino de sancionar una conducta ilícita prevista en la ley, en principio es lícito que las autoridades tomen en cuenta la situación económica del infractor para cuantificar la multa dentro de las condiciones relativas a su levedad o gravedad, pues si la intención del legislador al imponer las multas es castigar al infractor y disuadir a los causantes de cometer infracciones, es claro que esa finalidad no se alcanza correctamente si por infracciones semejantes se imponen multas semejantes a causantes con una notoria diferencia en su capacidad económica, pues la sanción resultaría más onerosa para el infractor económicamente débil. Por lo demás, en este aspecto, deberán razonarse cuidadosamente, no sólo las multas que se impongan sino también los argumentos mediante los cuales se impugne el monto de una multa que, a primera vista, no resulte desproporcionada a la capacidad económica del causante, dentro de los límites mínimo y máximo de la sanción, atentas las circunstancias de la infracción.

Séptima Época, Registro: 256146, Instancia: Tribunales Colegiados de Circuito, Tesis Aislada , Fuente: Semanario Judicial de la Federación, 46 Sexta Parte, Materia(s): Administrativa , Tesis: Página: 67

PRIMER TRIBUNAL COLEGIADO EN MATERIA ADMINISTRATIVA DEL PRIMER CIRCUITO.

53


de D atos



Comisionado Ponente: Ángel Trinidad Zald ívar

Amparo directo 270/72. Concretos Premezclados, S.A. 18 de octubre de 1972. Unanimidad de votos. Ponente: Gu illermo Guzmán Orozco.

Séptimo. Una vez analizados y valorados en su conjunto, los elementos de convicción con que se cuenta en el expediente PS.0016/13, este cuerpo colegiado concluye que la infractora, con las pruebas y argumentos que hizo valer en su defensa, no desvirtuó las imputaciones hechas en su contra dentro del procedimiento de imposición de sanciones que nos ocupa.

Por tanto, la infracción cometida por BUHOLEGAL, S. de R.L. de C.V., es la prevista en el artículo 63, fracción V, de la Ley Federal. de Protección de Datos Personales en Posesión de los Particulares, transcrita en el Considerando Tercero de la presente Resolución.

Por lo razonado y expuesto, ha quedado acreditado que la infractora contravino lo establecido en el artículo 16, fracciones 1, 11 y 111 , de la ley de la materia, en virtud de que su aviso de privacidad no cumple con los elementos establecidos en dichas fracciones , conducta que se considera de gravedad media, en virtud de que ello ocasiona que los Titulares de los datos personales desconozcan el domicilio exacto de BUHOLEGAL, S. de R.L. de C.V. ; las finalidades en el tratamiento de los datos personales que le proporcionen; así como, las opciones y medios que aquélla ofrece para limitar el uso o divulgación de sus datos.

Razón por la cual , una vez comprobada la comisión de la conducta infractora y para efectos de determinar la cuantía de la multa a imponer, han sido considerados los elementos de intencionalidad de la infractora así como su capacidad económica, además de la gravedad de la conducta, por lo que con fundamento en lo dispuesto por el artículo 64, fracción 11 , de la ley de la materia, se sanciona a BUHOLEGAL, S. de R.L. de C.V. , con una multa de $20,399.00 (veinte mil trescientos noventa y nueve pesos 00/100 m.n.), equivalente a 315 días de salario mínimo vigente en el Distrito Federal en la fecha en que ocurrieron los hechos motivo de la sanción , es decir, en el año 2013, en términos de la Resolución que fija los salarios mínimos generales y profesionales vigentes a partir del 1 de enero de 2013, publicada en el Diario Oficial de la Federación el 21 de diciembre de 2012, correspondiente a $64.76.

La multa impuesta se considera proporcional a la capacidad econom1ca de la infractora, por lo que no se pone en riesgo el desarrollo normal de sus actividades.

54

í

Instituto Fede ra l de Acceso a la Informac ión y Protección

de Datos




Por lo expuesto y fundado, este Pleno:

RESUELVE

PRIMERO. De conformidad con el artículo 63, fracción V, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y por los motivos expuestos en los considerandos Quinto a Séptimo de la presente Resolución, se impone a BUHOLEGAL, S. de R.L. de C.V., una multa de $20,399.00 (veinte mil trescientos noventa y nueve pesos 00/100 m.n.), con fundamento en el artículo 64, fracción 11 , de la ley de la materia.

SEGUNDO. En su oportunidad, túrnese original de la presente resolución a la autoridad fiscal competente, a efecto de que haga efectiva la multa impuesta.

TERCERO. Notifíquese.

De conformidad con el artículo 57 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la presente resolución será susceptible de difundirse públicamente, en versión pública, eliminando aquellas referencias al titular de los datos que lo identifiquen o lo hagan identificab le.

Contra la resolución que pone fin a este procedimiento la infractora podrá promover el juicio de nulidad ante el Tribunal Federal de Justicia Fiscal y Administrativa, en términos de lo dispuesto por el artículo 144 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Así lo resolvieron los comisionados del Instituto Federal de Acceso a la lnformació~ y Protección de Datos, Organismo Autónomo, Gerardo Laveaga Rendón , Sigrid Arzt Colunga y Ángel Trinidad Zaldívar, siendo ponente el último de lo ·

?J.·onados, en sesión celebrada el 02 e abril de 2014 e ec etario de ción de Datos ersonales, Alfons

/ ~

55

Infractora: BUHOLEGAL, S. de R.L. de...

Documents

Transcript of Infractora: BUHOLEGAL, S. de R.L. de...