DEL GOBIERNO DEL ESTADO
PODER LEGISLATIVO
DECRETO nº 356
SE APRUEBA LA LEY DE PROTECCIÓN DE DATOS PERSONALES DEL ESTADO DE COLIMA
FERNANDO MORENO PEÑA, Gobernador Constitucional del Estado Libre y Soberano de Colima, a sus habitantes sabed:
Que el Honorable Congreso del Estado me ha dirigido para su publicación el siguiente
DECRETO
LEY DE PROTECCIÓN DE DATOS PERSONALES DEL ESTADO DE COLIMA
EL HONORABLE CONGRESO CONSTITUCIONAL DEL ESTADO LIBRE Y SOBERANO DE COLIMA, EN EJERCICIO DE LAS FACULTADES QUE LE CONFIEREN LOS ARTÍCULOS 33 FRACCIÓN II Y 39 DE LA CONSTITUCIÓN POLÍTICA DEL ESTADO LIBRE Y SOBERANO DE COLIMA, EN NOMBRE DEL PUEBLO, Y
C O N S I D E R A N D O:
PRIMERO.- Que mediante oficio número DGG-268/02, de fecha 28 de mayo del año 2002, recibido en la Oficialía Mayor el mismo día, el Director General de Gobierno turnó a esta Soberanía iniciativa del C. Lic. Fernando Moreno Peña, Gobernador del Estado, para expedir la Ley de Protección de Datos Personales del Estado.
La exposición de motivos de dicha iniciativa señala lo siguiente:
“El avance tecnológico en materia de informática y de redes de cómputo en las últimas décadas ha sido extraordinariamente rápido y cada vez más incide en múltiples facetas de la actividad humana. En los últimos años, esto ha ido extendiéndose de manera importante hasta alcanzar a la población en general.
De manera particular, el uso de información a través de sistemas digitales, ha permitido nuevas y más eficientes formas de prestar servicios a la población con elementos como el comercio electrónico, los servicios que ofrecen diferentes instancias del gobierno, sistemas de información y bases de datos, etc. Las ventajas que ofrece la tecnología de información son múltiples y muy importantes, por lo que cada vez es más utilizada.
Evidentemente, es importante promover y facilitar el uso de las tecnologías de información. A nivel federal, existen lineamientos concretos para ello y en otros niveles de gobierno también se detectan intereses semejantes. En particular, en el Estado de Colima, la actual administración ha realizado importantes esfuerzos en este sentido.
Sin embargo, es cada vez más clara la necesidad de que se brinde al ciudadano una protección adecuada contra el posible mal uso de la información que le concierne, sin que esto implique un intento de limitar o restringir los beneficios que pueden aportar las tecnologías de información.
Lo anterior deriva de que las nuevas tecnologías informativas ofrecen nuevas y más flexibles maneras de utilizar la información de manera inadecuada, poco ética y posiblemente perjudicial para el sujeto de la misma. Por ejemplo, los archivos tradicionales hacían muy difícil que pudiera cruzarse información de diferentes documentos, mientras que, estando digitalizada, esto resulta muy sencillo y rápido. Es
claro que estas facilidades no son negativas, pero ofrecen a personas maliciosas, posibilidades nuevas, que conviene configurar como delictivas para protección de los individuos que pudieran ser afectados.
La legislación vigente no contempla muchas de estas acciones como delictivas, ya que antes no resultaban factibles en general.
Muchos países ya han detectado estas nuevas condiciones y se han iniciado una gran cantidad de esfuerzo para tomar las medidas pertinentes y acordes a las diferentes condiciones locales. De particular interés es la directriz generada por la Comunidad Europea, aunque existen otros muchos ejemplos de posible interés para inspirar una posible legislación en Colima.
En México, el marco jurídico para estos aspectos aun no se desarrolla de manera adecuada. Recientemente se realizaron modificaciones al Código Penal en el ámbito federal, orientadas a proteger la información en los equipos de cómputo, y en diferentes ordenamientos para facilitar el desarrollo del comercio electrónico. Sin embargo, la protección al ciudadano es incompleta.
Se ha ido detectando una preferencia por legislar de manera genérica, tratando de configurar las conductas delictivas dentro de una visión general, evitando caer en legislaciones de carácter específico para los aspectos electrónicos o digitales.
Conviene aplicar este criterio en materia de protección a la privacía, ya que de otro modo, se podría caer en el riesgo de que ciertas acciones fueran legales en un ambiente digital, e ilegales cuando se realizan con medios convencionales, o viceversa.
El problema de la privacía tiene elementos complejos, derivados de la propia naturaleza y características de la información y de los diferentes ámbitos de su utilización.
La naturaleza de la información incide debido a que tiene características distintas de la materia y la energía, que son elementos cuya normatividad es más conocida y de uso general. Entre otros, pueden destacarse los siguientes conceptos relacionados con la información y sus características principales:
• La información no tiene existencia física. Normalmente se le define como el significado de los datos. En términos técnicos, es una comunicación que reduce el grado de incertidumbre de un receptor.
• Los datos a su vez, son el resultado de una observación directa o los resultados de un fenómeno y tampoco tienen una existencia física “per se”. Normalmente se reflejan en un soporte físico en el que son representados, como pueden ser: marcas de un lápiz en una hoja de papel, marcas magnéticas en un disco duro de computadora, o impulsos eléctricos enviados por un alambre en una conversación
telefónica.
• La información es un recurso. Tiene un valor comercial y un costo de producción.
También tiene implicaciones estratégicas, políticas y comerciales importantes.
• La información, a diferencia de otros recursos, puede repetidas veces sin que se desgaste ni se pierda.
En su forma electrónica o digital, la información tiene además las características siguientes:
• Puede duplicarse con costos muy bajos. Esto implica que no existen restricciones relevantes para obtener nuevas copias de la información. Las modificaciones recientes de las legislaciones en materia de derechos de autor y otros aspectos son una consecuencia directa de esto.
• Puede moverse a grandes distancias a velocidades muy altas y con muy bajos costos. Esto implica que no existan restricciones importantes para su transferencia entre ubicaciones geográficas.
• Puede ser modificada, adaptada, revisada o corregida de manera muy fácil y flexible. Muchas veces estas modificaciones pueden tener impactos importantes y pueden presentarse sin que sea viable o simple poder detectarlas. Esto implica nuevas formas de controlar la exactitud, integridad y confiabilidad de la información.
• Permite que se analice, estructure, y procese de manera rápida, eficiente y con costos muy reducidos. Por lo tanto, ofrece nuevas posibilidades de extraer elementos y conclusiones que de otro modo resultarían muy inconvenientes o no realizables.
• Permite acumular enormes cantidades de datos y recuperarlos con criterio complejos. De este modo, se incrementa de manera importante la posibilidad de localizar datos específicos.
Todo ello ofrece grandes ventajas para un aprovechamiento más amplio, eficiente y efectivo de la información. Sin embargo, si se utiliza con fines negativos, puede representar nuevos riesgos que no deben ser aceptados.
Por otra parte, la información se utiliza en muchos ámbitos diferentes, en los que se tienen condiciones, requisitos de control o confidencialidad y posibles implicaciones muy diversas. A manera de ejemplos, pueden destacarse:
• El ámbito estadístico. La Ley correspondiente prevé que no puedan divulgarse datos que puedan asociarse a un individuo u organización específica. Todos los datos deben darse a conocer en forma agregada, de modo que se preserve la confidencialidad de la información. Este es un ejemplo tradicional de preservación de la privacía.
• El ámbito policial. La información sobre los individuos involucrados en cuestiones criminales debería ser confidencial y accesible solo para los investigadores y funcionarios autorizados. Debe permitir al mismo tiempo hacer correlaciones con los datos de otros individuos que aparentemente no están involucrados con una investigación en proceso y otros accesos que en realidad abren la posibilidad de que
se vean los datos de cualquier persona.
• Los registros públicos. Generalmente la información de los registros públicos es para acceso general. Sin embargo, existen aspectos que conviene mantener resguardados para protección de las personas. Un ejemplo de esto son los artículos 48 y 58 del Código Civil del Estado de Colima. El primero establece el carácter público de la información de los testimonios, mientras que el segundo explicita el carácter confidencial de la información acerca de los niños que se registran sin padres.
• La información sobre salud. Los registros médicos generalmente se consideran confidenciales. Sin embargo, deben estar disponibles para cualquier persona del ámbito médico que tenga que ver con el tratamiento de un paciente.
• Los datos que acumulan las instituciones bancarias, financieras y de seguros son necesarios para su operación, pro deben ser confidenciales para evitar perjuicios a los usuarios de estos servicios, pero accesibles a los empleados que los requieren para su trabajo.
• Las empresas en general integran datos sobre personas. En muchas ocasiones estos datos son utilizados más allá del propósito para el que se le solicitan a las personas, llegando a ser empleados para fines comerciales (por ejemplo, para vender direcciones que son usadas luego para envíos de propaganda que puede resultar molesta).
• Los archivos de interés histórico y/o para estudios estadísticos, epidemiológicos o de otros ámbitos científicos, que requieren del manejo de datos en un contexto distinto del que tuvieron originalmente.
Estos ejemplos ilustran tanto la variedad de situaciones, como su complejidad. Es evidente que se necesitan disposiciones específicas para casos concretos, pero también resulta claro que se necesitan disposiciones generales que ordenen estas cuestiones.
En particular, convendría que se tuvieran previsiones para que las personas puedan conocer la información que se tiene sobre ellas y que cuenten con los recursos legales y materiales para corregir errores, así como para especificar cuales datos pueden darse a conocer y con que propósito, dentro de un marco que permita la operación de las organizaciones privadas y las actividades gubernamentales.
Es de destacarse el avance que se tiene en el Estado de Colima en materia de automatización de servicios a la comunidad y otra actividades gubernamentales. Como ejemplos, pueden mencionarse los sistemas relacionados con el Registro Civil y la asignación de la CURP, los sistemas relacionados con las actividades notariales y del Registro Público de la Propiedad, los sistemas relacionados con las licencias de manejo y el control de vehículos, entre otros.
Esto, además de representar ventajas importantes para la población y un grado de modernización importante en el Estado, genera mayores riesgos para un mal uso de la información por parte de alguna autoridad, por algún empleado o por terceras personas, lo cual de nueva cuenta presenta una justificación para el desarrollo de una legislación en esta materia.
Por otro lado, el sector privado en la entidad también ha venido digitalizando sus actividades, lo cual está generando un número creciente de bases de datos con información sobre personas, con lo que también en este sector pueden empezarse a tener riesgos.
La importancia del tema destaca si se considera que el Senado de la República ya cuenta con un proyecto consensado de Ley en la materia. En la presente iniciativa se ha intentado mantener congruencia condicho documento, respetando los diferentes ámbitos de competencia de cada uno de los órdenes federal y local.
Fundamentalmente, es necesario cuidar que se mantenga un adecuado balance entre el derecho a la intimidad y el derecho de los ciudadanos para conocer acerca de la actuación del gobierno.
Adicionalmente, el 15 de enero del presente año se publicó en el Diario Oficial de la Federación la Ley para Regular las Sociedades de Información Crediticia, en la que se incluyen reglas sobre el manejo de los datos personales relativos al comportamiento crediticio. La presente propuesta trata de mantener congruencia con ese ordenamiento.
La legislación que se propone se sustenta en el inciso VI del artículo 1 de la Constitución Política del Estado Libre y Soberano de Colima, que establece: “Las autoridades del Estado velarán por la defensa de los derechos humanos e instituirán los medios adecuados para su salvaguarda.”
De lo anterior, se concluye:
• La privacidad es uno de los derechos humanos fundamentales que protege la Constitución del Estado de Colima en la fracción VI del artículo 1°.
• La protección de los datos de carácter personal es uno de los elementos esenciales de la privacidad.
• Los avances tecnológicos han incrementado los riesgos de un uso inadecuado de los datos personales.
• Resulta cada vez más fácil integrar datos personales de varias fuentes, posibilitando con ello que se identifiquen características privadas de las personas.
El Estado de Colima se encuentra en un proceso acelerado de modernización que requiere de un uso cada vez más intensivo de la información personal y que resulta necesario resguardar los derechos de los habitantes en este respecto.
La legislación actual es insuficiente para una protección adecuada ante las nuevas condiciones de desarrollo del Estado.”
SEGUNDO.– Que mediante oficio número 1555, de fecha 28 de mayo del año 2002, suscrito por los Diputados Secretarios José Mancilla Figueroa y Fernando Ramírez González, se turnó dicho oficio a la Comisión dictaminadora para los efectos del dictamen correspondiente.
TERCERO.- Que las consideraciones manifestadas por el titular del Poder Ejecutivo para apoyar su iniciativa, son sustancialmente correctas.
En efecto, el avance en la tecnología de la información y su fácil acceso por parte del público en general, plantea la necesidad de que se otorgue a las personas una protección adecuada contra el posible mal uso de la información que le concierne de manera directa, sin que ello signifique la intención de limitar o restringir los beneficios que pueden aportar dichas tecnologías.
En los años recientes, diversos países han legislado en materia de protección de los datos personales y en el nuestro, se han realizado modificaciones para la legislación penal en el ámbito federal con el propósito de proteger la información en los equipos de cómputo, así como modificaciones a diferentes ordenamientos para facilitar el desarrollo del comercio electrónico. No obstante lo anterior, la protección a la privacidad de la persona es aún incompleta.
El 28 de febrero del presente año, esa Honorable Legislatura aprobó el Decreto nº 318 que expidió la Ley de Transparencia y Acceso a la Información Pública del Estado, publicada el 1º de marzo del mismo año, conforme a la cual se reglamenta el derecho de toda persona a tener acceso a la información pública en nuestra Entidad.
En sus artículos 6º, segundo párrafo, 8º y 9º, fracción V, se determina que la información de carácter personalísimo es irrenunciable, intransferible e indelegable, por lo que ninguna autoridad deberá proporcionarla o hacerla pública. Dicha información, así como la garantía de tutela de privacidad de datos personales, se regulará en los términos de su respectiva legislación. De ahí que es conveniente y oportuno expedir la legislación conforme a la cual se reglamentará el manejo de la referida información.
Por otra parte, la fracción VI del artículo 1º de la Constitución Política del Estado establece la obligación de las autoridades del Estado para velar por la defensa de los derechos humanos e instituirán los medios adecuados para su salvaguarda. Una de esas prorrogativas es, precisamente, su derecho a la privacidad.
En los términos anteriormente descritos se inserta la iniciativa del titular del Poder Ejecutivo Estatal con respecto al ordenamiento que se dictamina, el cual sería complementario de la Ley de Transparencia y Acceso a la Información Pública.
CUARTO.- Que la Comisión dictaminadora consideró conveniente la modificación y adición de los siguientes aspectos con el propósito de complementar y clarificar el contenido de la citada iniciativa.
1.- En primer lugar, modificar la fracción XII del artículo 3º para adecuar la denominación de la Oficina de Protección de Datos así como su estructura. La Comisión que suscribe considera más conveniente administrativamente que sea la Comisión Estatal para el Acceso a la Información Pública la entidad encargada de la aplicación de la Ley de Protección de Datos Personales, tomando en cuenta que dicho organismo tiene ingerencia en la naturaleza regulatoria de este ordenamiento, mismo que guarda estrecha relevancia con el manejo de la información pública dado que en los archivos públicos se manejan datos privados de las personas; de ahí la propuesta de esta Comisión de que dicha autoridad sea también la encargada de la aplicación del ordenamiento que se dictamina.
La Comisión ponderó adecuadamente las ventajas de que sea este mismo organismo el responsable de la regulación de los dos tipos de información, evitando con ello la duplicidad de entidades que concurren, finalmente, a la reglamentación de un fenómeno social que tiene dos aspectos, pues el límite del acceso a la información pública es, precisamente, la información privada.
La modificación respectiva abarcaría, tanto el artículo 3º como todos aquellos en los que se menciona la Oficina de Protección de Datos. En el artículo 15 se eliminaría, además, la referencia al carácter de dicho organismo, así como el procedimiento para nombrar a sus integrantes.
En la fracción XV del artículo 16, se solicita la adecuación de la facultad para expedir reglamentos de la presente Ley, toda vez que la Comisión Estatal para el Acceso a la Información Pública tiene autonomía propia y capacidad para producir los reglamentos que sean necesarios. La última fracción de este dispositivo también debe adecuarse para suprimir la intervención que la iniciativa de referencia otorga al Gobernador.
La propuesta integral que se analiza en este punto produciría la supresión del contenido del artículo 17, con lo cual se recorrería la numeración del subsiguiente.
Para evitar la modificación completa de los demás, se propone transformar en artículo 18 el último párrafo del original artículo 18 de la iniciativa.
2.- Incluir en las hipótesis fácticas de la presente ley a los organismos públicos, sean estatales o municipales, para no limitar o dejar ambigua la regulación para las entidades del Gobierno del Estado y los Ayuntamientos.
Por ello se proponer agregar una fracción, la XIV, al artículo 3º. Consecuentemente, deben modificarse los artículos 9º y 22.
3.- En la fracción VII del artículo 4º se especificó el plazo para la notificación de los datos personales cuando éstos hayan sido obtenidos por parte de terceros, así como el sujeto a quien debe hacerse.
4.- Finalmente, debe adecuarse el Artículo Segundo Transitorio con el propósito de hacer congruente su contenido con los Transitorios de la Ley de Transparencia y Acceso a la Información Pública del Estado.
Por lo antes expuesto se tiene a bien expedir el siguiente:
D E C R E T O nº 356
Artículo Único.- Es de aprobarse y se aprueba la Ley de Protección de Datos Personales del Estado de Colima, en los siguientes términos:
LEY DE PROTECCIÓN DE DATOS PERSONALES DEL ESTADO DE COLIMA
CAPÍTULO I.- DISPOSICIONES GENERALES
Artículo 1º.- La presente Ley es de orden público e interés social, tiene por objeto reglamentar la fracción VI del artículo 1º de la Constitución Política del Estado Libre y Soberano de Colima, a fin de proteger y garantizar los derechos de protección de los datos de carácter personal, como uno de los derechos humanos fundamentales.
Artículo 2º.- La presente Ley será aplicable a los datos de carácter personal que sean registrados en cualquier soporte físico que permita su tratamiento, tanto por parte del sector público como privado dentro del Estado.
Se exceptúan de su aplicación:
I. Los archivos mantenidos por personas físicas para actividades exclusivamente personales o domésticas;
II. Los archivos que sean considerados como clasificados por la ley;
III. Los archivos establecidos para investigaciones penales. En este caso, el responsable del archivo deberá comunicar la existencia del mismo a la Comisión Estatal para el Acceso a la Información Pública, indicando sus características generales y su finalidad.
Artículo 3º.- Para los efectos de la presente Ley se entenderá por:
I. Archivo: el conjunto de datos de carácter personal, correspondientes a un grupo de personas, independientemente de su forma de creación, almacenamiento, tratamiento o uso;
II. Archivo de acceso público: el archivo que puede ser consultado por cualquier persona que no esté impedida por una disposición legal, ya sea gratuitamente o mediante el pago de los derechos correspondientes;
III. Cesión de datos: la comunicación o transmisión de datos hacia una persona distinta del interesado;
IV. Consentimiento: la manifestación expresa, libre, inequívoca, específica e informada, mediante la cual el interesado consiente el tratamiento de datos personales de los que es titular;
V. Datos de carácter personal: los datos relativos a personas físicas o morales que de manera directa o indirecta puedan conectarse con una persona específica. Se incluyen a manera ilustrativa, datos representados en forma de texto, imágenes, datos biométricos como la huella digital, datos sobre el DNA de las personas o cualquier otro que corresponda intrínsecamente a una persona determinada;
VI. Encargado del tratamiento: la persona física o moral que realice tratamiento de datos por cuenta y con autorización del responsable del archivo;
VII. Interesado o afectado: la persona física o moral cuyos datos de carácter personal se incorporen al archivo;
VIII. Proceso de disociación: el tratamiento de los datos personales de modo que los datos resultantes no puedan ser relacionados directamente con ninguna persona identificable;
IX. Responsable del archivo: la persona física o moral, pública o privada, encargada del tratamiento de los datos del archivo;
X. Tratamiento de datos: las operaciones y procesos, automatizados o manuales, relacionados con la recolección, captura, conservación, proceso, transmisión, interrelación, combinación, control y otros manejos de los datos;
XI. Ley: el presente ordenamiento;
XII. Comisión: La Comisión Estatal para el Acceso a la información Pública, autoridad encargada de la aplicación del presente ordenamiento;
XIII. Unidad de salario: el equivalente a un día de salario mínimo general vigente en la entidad; y
XIV. Organismo público: a los organismos autónomos, descentralizados, paramunicipales, fideicomisos y, en general, a todo organismo público.
CAPÍTULO II.- DE LOS DATOS DE CARÁCTER PERSONAL
Artículo 4º.- Para el manejo de los datos de carácter personal se seguirán los principios siguientes:
I. Sólo podrán obtenerse y ser sujetos de tratamiento cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades expresas y legítimas para los que se hayan obtenido;
II. No podrán usarse para actividades incompatibles a los propósitos para los que fueron obtenidos. No se considerará un uso incompatible el tratamiento posterior para fines estadísticos, históricos o científicos;
III. Deberán ser correctos y actualizados, de modo que reflejen fielmente la situación del afectado;
IV. No podrán ser guardados de modo que se identifique al interesado una vez que dejen de ser necesarios o pertinentes para la finalidad que les dio origen o haya concluido el plazo de conservación a que obliguen las leyes. Los reglamentos correspondientes indicarán de manera expresa los casos de excepción en que se autorice la conservación íntegra de ciertos datos, en virtud del valor histórico, estadístico o científico que pudieran tener;
V. Deberá garantizarse el derecho de acceso por parte de los interesados para todos los archivos con datos que les correspondan;
VI. Los datos deberán obtenerse en todos los casos por medios lícitos que garanticen el respeto a las garantías individuales y, especialmente, de los derechos al honor y a la intimidad de la persona a la que conciernen. No deberán obtenerse por medios fraudulentos, desleales, ilícitos o engañosos;
VII. Previamente a su obtención, se deberá informar al interesado de manera completa y precisa sobre la existencia del archivo, su finalidad, el carácter obligatorio u optativo de la información que proporcione, las consecuencias del suministro de los datos o la negativa a hacerlo, la posibilidad de ejercer el derecho de acceso, rectificación, cancelación y oposición, así como la identidad y dirección del responsable del archivo;
VIII. Cuando se obtengan por parte de terceros, el responsable del archivo, a través de los mecanismos que defina el reglamento correspondiente, dentro de los 60 días naturales siguientes notificará al interesado después de haber dado de alta los datos, a menos que exista legislación al respecto que indique otra medida o se trate de procesos para fines históricos, estadísticos o científicos, o cuando los datos provengan de fuentes accesibles al público;
IX. Será necesario el consentimiento explícito e inequívoco del interesado para cualquier tratamiento de los datos de carácter personal. Se exceptúan los siguientes casos:
a) Los previstos en la legislación;
b) Cuando impliquen datos obtenidos para la realización de las funciones propias de la administración pública en su ámbito de competencia;
c) Cuando se trate de los datos de las partes en contratos civiles, laborales, comerciales o administrativos;
d) Cuando se trate de datos disponibles en fuentes de acceso público; y
e) Cuando sean necesarios para el tratamiento médico del interesado.
X. El interesado podrá revocar el consentimiento mencionado en la fracción anterior, cuando exista una causa justificada y no tendrá efectos retroactivos;
XI. Los servidores públicos, profesionales, trabajadores y otras personas que por razón de sus actividades tengan acceso a archivos o datos de carácter personal, estarán obligados a mantener la confidencialidad de los mismos y a no darlos a conocer a terceros. Esta obligación subsistirá aun después de finalizar las relaciones que les dieron acceso a los datos. La contravención a esta disposición será sancionada de conformidad con la legislación penal; y
XII. Los datos personales relativos a la salud podrán ser operados por los profesionales e instituciones de acuerdo con la legislación sanitaria, pero conservando la confidencialidad de los mismos de acuerdo con la presente Ley.
Artículo 5º.- El responsable del archivo deberá establecer los mecanismos de seguridad que garanticen la confiabilidad y confidencialidad de los datos. El reglamento correspondiente establecerá las características mínimas de seguridad que deban tenerse en las instalaciones que manejen datos de carácter personal.
Artículo 6º.- La cesión de los datos de carácter personal o su comunicación a terceros, se regirá por lo siguiente:
I. Toda cesión o comunicación a terceros deberá contar con el consentimiento expreso del interesado, excepto cuando:
a) La cesión haya sido autorizada en una ley;
b) Se trate de datos disponibles en fuentes de acceso público;
c) Sea necesario y esté previsto como parte de una relación jurídica;
d) Esté dirigida a las autoridades de seguridad pública o penales y cuente con autorización judicial;
e) Se trate de transferencias entre administraciones públicas;
f) Sea transferida para fines históricos, estadísticos o científicos; y
g) Se trate de datos sobre la salud y sean necesarios para atender una urgencia o para realizar estudios epidemiológicos;
II. El receptor de datos de carácter personal se obliga a acatar las disposiciones de la presente Ley;
III. Cuando la comunicación a terceros resulte de la prestación por parte de un tercero de servicios al responsable del archivo, el tercero en cuestión se considerará obligado a los términos de la presente Ley en las mismas condiciones que el responsable del archivo; y
IV. También queda obligado a acatar las disposiciones de la presente Ley, quien obtenga los datos en virtud de liquidación, fusión, escisión u otro cambio en el caso de que los datos provengan de personas morales, o por herencia en el caso de provenir de personas físicas.
CAPÍTULO III.- DE LA CREACIÓN DE PROTECCIÓN DE LOS DATOS PERSONALES
Artículo 7º.- Las personas físicas o morales cuyos datos de carácter personal hayan sido integrados a un archivo, tendrán los derechos siguientes, mismos que podrán ejercerse a través de la acción de protección de datos personales o Habeas Data:
I. Solicitar y obtener gratuitamente información de sus datos de carácter personal y del origen de esos datos;
II. No verse sometidas a decisiones con efectos jurídicos o que le afecte, que se hayan basado exclusivamente en datos de carácter personal destinados a evaluar determinados aspectos de su personalidad;
III. Impugnar actos administrativos o decisiones privadas que solamente deriven de valoraciones de sus características y personalidad obtenidas de datos de carácter personal, en cuyo caso tendrán derecho de obtener información sobre los criterios de valoración usados. La valoración del comportamiento de un individuo basada en el tratamiento de datos de carácter personal, sólo tendrá valor probatorio a petición del interesado;
IV. Solicitar y que se realicen gratuitamente las rectificaciones o cancelaciones de los datos de carácter personal que le correspondan y que no se apeguen a la presente Ley o que resulten inexactos o incompletos. El responsable del archivo deberá hacer efectivo este derecho dentro de los diez días hábiles siguientes al en que se enteró de aquéllos, de conformidad con el reglamento correspondiente;
V. Recibir una indemnización proporcional al daño o lesión ocasionada en sus bienes o derechos; y
VI. Conocer gratuitamente el contenido del Registro de Protección de Datos un máximo de dos veces por año.
Artículo 8º.- A quien se haya denegado los derechos consignados en la presente Ley, podrá hacerlo del conocimiento de la Comisión, la que verificará la procedencia de la denuncia y dictará la resolución correspondiente dentro de un plazo máximo de 90 días naturales, contados a partir del día siguiente al de la presentación de aquélla.
CAPÍTULO IV.- DE LOS ARCHIVOS
Artículo 9º.– Los archivos de datos de carácter personal que establezcan las administraciones públicas estatal y municipales así como los organismos públicos, se regirán por las siguientes disposiciones:
I. Sólo se crearán, modificarán o eliminarán archivos previa disposición del titular del Poder Ejecutivo, de los Presidentes Municipales o de los titulares de los organismos públicos, en su caso, publicadas en el Periódico Oficial;
II. La disposición deberá incluir:
a) La finalidad del archivo y los usos a los que se vaya a destinar;
b) Las personas o grupos a ser incluidos;
c) La obligatoriedad o carácter voluntario del suministro de la información;
d) Las características del proceso de obtención y del archivo, así como los tipos de datos de carácter personal a ser incluidos;
e) Las cesiones y comunicaciones de datos previstas;
f) El organismo responsable del archivo y, en su caso, donde pueden ejercerse los derechos de acceso, rectificación, cancelación y oposición;
g) Las medidas de seguridad aplicables y el nivel de protección exigible;
h) Cuando se trate de supresión de archivos, deberá indicarse el destino o, en su caso, las medidas a adoptarse para su destrucción;
i) Las reglas aplicables para posibles fusiones o correlación con otros archivos;
III. Sólo podrán comunicarse a otras instancias de las administraciones públicas estatal y municipales u organismos públicos cuando:
a) Se trate la misma competencia, excepto cuando esté previsto en una ley;
b) Se hubiera previsto en la disposición de creación del archivo;
c) Una instancia de la administración u organismo público los procese para otra;
d) Exista una orden judicial para ello; y
e) El objeto sea el tratamiento con fines históricos, estadísticos o científicos.
IV. El Gobierno del Estado, los gobiernos municipales y el Instituto Electoral del Estado podrán integrar archivos sin consentimiento del interesado con nombres y apellidos, Clave Única del Registro de Población (CURP), domicilio, sexo, fecha y lugar de nacimiento de su población, para los siguientes efectos:
a) Comunicaciones respecto a las funciones que les competen;
b) Mantenimiento y operación de los registros públicos establecidos en la legislación;
c) Mantenimiento y operación del listado nominal para efectos electorales;
d) Padrones de contribuyentes; y
e) Control de vehículos y conductores.
En los casos anteriores, el organismo correspondiente cumplirá con los demás preceptos establecidos en la presente Ley.
V. No deberán integrarse datos derivados de diferentes archivos. Sin embargo, los datos indicados en la fracción anterior podrán obtenerse de un archivo existente para generar uno nuevo, creado conforme a la presente Ley.
VI. El cruce de datos entre archivos sólo podrá realizarse cuando exista la autorización expresa del interesado, cuando lo prevea la disposición de creación o modificación de los archivos involucrados o cuando exista una disposición expresa en la legislación.
VII. En el caso de archivos de instituciones de seguridad pública, se observará lo siguiente:
a) Cuando se trate de archivos de carácter administrativo que contengan datos de carácter personal, estos se manejarán conforme a lo especificado en la presente Ley;
b) Los datos de carácter personal recogido con fines policiales, podrán obtenerse sin el consentimiento de los interesados, pero estarán limitados a los supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la prevención de conductas delictivas. Deberán conservarse en archivos específicos para estos efectos y clasificarse por categorías de acuerdo con su confiabilidad. Sólo podrán obtenerse cuando sea absolutamente indispensable para los fines de una investigación concreta y se cancelarán cuando no sean necesarios para el objeto que motivó su almacenamiento;
c) Los responsables de archivos con datos de carácter personal registrados para fines policiales, podrán denegar el acceso, la rectificación o cancelación en función de los peligros que pudieran derivarse, de la protección de derechos o libertades de terceros o de las necesidades de las investigaciones en proceso; y
d) Los datos de estos archivos podrán ser conocidos por mandato judicial en casos plenamente justificados o por disposición expresa de la ley.
VIII. Los responsables de archivos de carácter fiscal podrán negar el ejercicio de los derechos de los interesados cuando esto obstaculice la actuación de la autoridad durante el cumplimiento de sus funciones de recaudación.
IX. Se exceptúa de la obligatoriedad de autorización previa del interesado y su información previa a la obtención de los datos, cuando estas acciones impidan o dificulten gravemente el cumplimiento de las funciones de control y verificación de la autoridad, cuando afecte a la seguridad nacional o del Estado, a la seguridad pública o a la persecución de delitos o infracciones administrativas; y
X. Cuando se niegue a un afectado el ejercicio de los derechos aquí consignados, en virtud de las excepciones previstas, podrá ponerlo en conocimiento de la Comisión, la cual deberá asegurarse de la procedencia o improcedencia de la denegación.
Artículo 10.- Los archivos de datos de carácter personal elaborados por particulares, se regirán por las disposiciones siguientes:
I. Podrán crear archivos que contengan datos de carácter personal cuando sean necesarios para lograr los objetivos legítimos de la entidad titular, siempre que se respeten las disposiciones de la presente Ley;
II. Toda persona que cree un archivo de datos de carácter personal deberá notificarlo previamente a la Comisión. Los cambios en la finalidad del archivo, del responsable y del domicilio correspondiente deberán ser notificados a dicha Comisión dentro de los sesenta días naturales siguientes a que se realicen;
III. Cuando se trate de investigaciones sobre genealogía, estudios biográficos y otras compilaciones de datos de carácter personal, deberá observarse lo previsto en la presente Ley para los interesados que se encuentren con vida al momento de la compilación;
IV. Cuando los interesados tengan más de 100 años de fallecidos, se considerará como un tratamiento de carácter histórico y queda exceptuado de la presente Ley; y
V. Cuando los interesados tengan menos de 100 años de haber fallecido, podrá generarse el archivo sin autorización de sus familiares, pero se requerirá de autorización previa de la Comisión para ceder los datos correspondientes; antes de emitir la autorización, dicha Comisión se asegurará de que los datos no afectan a los descendientes de los interesados.
Artículo 11.- Se consideran fuentes de acceso público aquellos archivos o publicaciones que contengan listas de personas y que pertenezcan a alguna de las categorías siguientes:
I. Listas de miembros de asociaciones, colegios profesionales, clubes y otras agrupaciones.
II. Guías de servicios de telecomunicaciones.
Las fuentes a que se refiere este artículo podrán incluir el nombre, dirección, identificadores de comunicación y otros elementos esenciales para la finalidad del archivo. La incorporación de datos adicionales requerirá del consentimiento de los interesados, quienes podrán solicitar se les excluya.
Los interesados tienen derecho a solicitar gratuitamente que se indique que sus datos no pueden ser usados para fines de publicidad o prospección comercial y a que sus datos no sean divulgados si así lo desea.
Artículo 12.- Quienes se dediquen a la prestación de servicios de información sobre crédito y solvencia económica que no queden incluidas en las sociedades previstas por la Ley para Regular las Sociedades de Información Crediticia, podrán tratar datos de carácter personal sujetos a las disposiciones siguientes:
I. Deberán registrar el archivo ante la Comisión;
II. Sólo podrán usar datos obtenidos de fuentes de acceso público o suministrados con el consentimiento del interesado;
III. Para efectos de cumplimiento o incumplimiento de obligaciones monetarias, podrán utilizar datos suministrados por el acreedor. En este caso, el responsable del archivo notificará al interesado acerca de su inclusión, dentro de los treinta días naturales siguientes a la inclusión de los datos en el archivo, informándole del derecho que tiene para conocer la información registrada;
IV. A solicitud del interesado, el responsable del archivo le comunicará los datos que se tengan registrados, así como las evaluaciones o apreciaciones que hayan sido comunicadas a terceros durante los últimos seis meses y el nombre y dirección del tercero o terceros a quienes se hayan revelado los datos;
V. La transmisión de estos datos no se hará a terceros ajenos a las instituciones de seguros, banca, crédito y fianzas, salvo que se tenga la autorización del interesado, por mandato judicial o por disposiciones legales al respecto; y
VI. El archivo solamente contendrá los datos esenciales para determinar la solvencia económica de los interesados. Cuando estos datos sean adversos al interesado, sólo podrán ser conservados por un máximo de seis años desde su registro, siempre y cuando reflejen de manera veraz la situación del interesado.
Artículo 13.- Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, ventas a distancia, prospección comercial y otras actividades análogas, también se regirán de acuerdo con las disposiciones siguientes:
I. Podrán usar datos de carácter personal que se encuentren en fuentes de acceso público o que hayan sido obtenidos con el consentimiento del interesado;
II. Cuando los datos hayan sido derivados de fuentes de acceso público, el interesado podrá solicitar que se le informe gratuitamente acerca de la fuente usada.
También podrá solicitar que se le excluya.
Artículo 14.- Los medios de comunicación podrán generar archivos de datos de carácter personal bajo las condiciones de la presente Ley. Sin embargo, no se considerarán datos de carácter personal aquellos difundidos por los medios de comunicación que no hayan violado las disposiciones de la presente Ley.
CAPÍTULO V.- DE LA COMISIÓN
Artículo 15.- La Comisión será el organismo responsable de la tutela de los derechos consignados en la presente Ley.
Artículo 16.- La Comisión tendrá las facultades siguientes:
I. Vigilar el cumplimiento de esta Ley, particularmente en lo relativo a los derechos de acceso, rectificación, oposición y cancelación de datos;
II. Emitir las autorizaciones y las instrucciones previstas por el presente ordenamiento;
III. Atender las peticiones y reclamaciones de los afectados, evaluarlas escuchando a los responsables de los archivos involucrados y dictar las medidas necesarias para adecuar el tratamiento a las disposiciones de la presente Ley. Podrá ordenar la cesación del tratamiento y la cancelación de archivos cuando no se ajusten a sus disposiciones e imponer las multas correspondientes;
IV. Informar a los ciudadanos acerca de sus derechos en materia de datos de carácter personal y asesorarles en la materia;
V. Expedir los reglamentos de la presente Ley;
VI. Elaborar y mantener el Registro de Protección de Datos; y
VII. Las demás que sean necesarias para el cumplimiento de las anteriores.
CAPÍTULO VI.- DE LAS INFRACCIONES Y SANCIONES
Artículo 17.- Serán infracciones a la presente Ley:
I. No atender por motivos formales la solicitud que presente el interesado para rectificar o cancelar sus datos personales, cuando esto proceda legalmente;
II. Recabar datos de carácter personal sin proporcionar la información especificada en la presente Ley;
III. Crear archivos con datos de carácter personal de titularidad pública sin la publicación previa de la disposición correspondiente en el Periódico Oficial o, en el caso de los de titularidad privada, crearlos sin el registro correspondiente o con finalidad distinta a la indicada en el registro de que se trate;
IV. Obtener datos sin el consentimiento expreso del interesado cuando éste es requerido;
V. Incumplir los principios establecidos en el artículo 4º de la presente Ley y detalladas en el reglamento respectivo;
VI. Impedir, obstaculizar o negar el ejercicio de los derechos de los interesados indicados en la presente Ley;
VII. La violación del secreto de los datos;
VIII. No remitir las notificaciones establecidas en la presente Ley a la Comisión, obstruir las funciones de la misma y no acatar sus disposiciones;
IX. La obtención de datos personales de manera engañosa o fraudulenta;
X. Tratar los datos de manera ilegítima; XI. La violación del secreto en el caso de los archivos de carácter policial, fiscal o de salud; y
XII. El impedimento, obstaculización o negativa sistemáticos al ejercicio de los derechos de los interesados indicados en la presente Ley.
Artículo 18.- Las infracciones prescribirán a los tres años desde la última notificación enviada por la Comisión.
Artículo 19.- Las infracciones a que se refiere el artículo 17 de la presente Ley se sancionarán con multa de:
I. 50 a 500 unidades de salario, en el caso de las fracciones I y II;
II. 300 a 1000 unidades de salarios, en el caso de las fracciones III a VIII; y
III. 1000 a 10,000 unidades de salario, en el caso de las fracciones IX a XII.
Artículo 20.- Las sanciones se impondrán tomando en cuenta los siguientes elementos:
I. La naturaleza de los derechos personales afectados;
II. El volumen de los tratamientos efectuados;
III. Los beneficios obtenidos;
IV. El grado de intencionalidad;
V. La reincidencia, si la hubiere; y
VI. Los daños y perjuicios causados.
En el caso de las fracciones IX a XII del artículo 17 de la presente Ley, la Comisión podrá, además, suspender o cancelar la operación del archivo cuando existan circunstancias que atenten a un grupo importante de interesados.
Artículo 21.- Las multas que imponga la Comisión tendrán el carácter de créditos fiscales, que hará exigible la Secretaría de Finanzas del Gobierno del Estado, por medio del procedimiento económico coactivo. Para tal efecto, la Comisión le turnará por oficio una copia certificada de la correspondiente resolución.
Artículo 22.- Cuando las infracciones a la presente Ley hubieran sido cometidas en archivos bajo la responsabilidad de las administraciones públicas estatal y municipales así como organismos públicos, la Comisión notificará la resolución al jefe inmediato del responsable de archivo y a la Secretaría de la Contraloría del Gobierno del Estado, a la unidad de control municipal, o a la dependencia similar del organismo público, en su
caso, las que procederán de acuerdo a la legislación estatal sobre responsabilidades de los funcionarios públicos y demás disposiciones aplicables.
Artículo 23.– Las resoluciones de la Comisión podrán ser impugnadas ante el Tribunal de lo Contencioso-administrativo.
T R A N S I T O R I O S
ARTÍCULO PRIMERO.- El presente Decreto entrará en vigor al día siguiente de su publicación en el Periódico Oficial del Estado.
ARTICULO SEGUNDO.- Los archivos existentes deberán adecuarse a la presente Ley en un plazo máximo de tres años a partir de su promulgación. Las entidades públicas y privadas obligadas por la presente Ley deberán adecuar, en los términos de este ordenamiento, las versiones impresas de datos de carácter personal, en un plazo que concluye el 02 de marzo del año 2004.
El Gobernador del Estado dispondrá se publique, circule y observe.
Dado en el Recinto Oficial del Poder Legislativo a los catorce del mes de junio del año dos mil tres.
C. José María Valencia Delgado, Diputado Presidente.
C. Joel Padilla Peña, Diputado Secretario
C. José Mancilla Figueroa, Diputado Secretario
Por lo tanto mando se imprima, publique, circule y observe.
Dado en Palacio de Gobierno, a los 16 días del mes de junio de dos mil tres.
EL GOBERNADOR CONSTITUCIONAL DEL ESTADO, LIC. FERNANDO MORENO PEÑA
EL SECRETARIO GENERAL DE GOBIERNO, LIC. JOSÉ GILBERTO GARCÍA NAVA