10 reformas urgentes a la ley de datos personales

1. Publicidad de las sanciones. Crucial para robustecer el régimen de protección de datos personales. Las sanciones de las agencias deben seguir una metodología jurídica, que implica que se agoten todos los medios de defensa, pero esta secrecía reduce el impacto reputacional contra los infractores y diluye el poder sancionador en una materia que involucra derechos humanos.

2. Sanciones a los servidores públicos. Cualquier infracción sancionada por la agencia federal en contra de servidores públicos se atora en un vórtice gestionado por la Secretaría de la Función Pública. La ruta lleva a un pozo sin fondo, donde la Secretaría no ejecuta y el Inai se queda sin herramientas para exigir el cumplimiento. El Inai necesita autonomía para imponer directamente las sanciones.

3. Notificación de privados en caso de vulneración. Las compañías privadas no tienen la obligación de notificar a la agencia federal cuando han sufrido una vulneración a la seguridad de los datos personales. El Convenio 108+ de protección de datos con la Unión Europea obliga a notificar. Hay que hacerlo realidad en la ley.

4. Reconocimiento facial. Urge una normativa para el uso de las tecnologías de reconocimiento facial. El caso del Fan ID de la liga de futbol profesional y los esfuerzos de autoridades en Jalisco nos demostraron que las narrativas de seguridad y el poder económico y político se impondrán sobre los derechos ciudadanos o, por lo menos, debilitarán su plena defensa.

5. Burós de crédito. Ya existe una decisión de la Corte que obliga a las sociedades de información crediticia a entregar datos personales. Los burós de crédito quedaron al margen de la ley de 2010, un triunfo en su momento de las corporaciones financieras. Es hora de revertirlo.

6. Fortalecer la denuncia como medio de defensa

La denuncia es una herramienta con nula promoción de la agencia de privacidad. La arquitectura está creada para incentivar los procedimientos de protección de derechos, verificación e imposición de sanciones. ¿Pero qué le queda a un ciudadano cuando tiene la certeza de que sus datos personales fueron filtrados?

7. Notificación de uso de datos por el gobierno. Los ciudadanos carecemos de un mecanismo de notificación para cuando nuestra información personal fue solicitada por alguna agencia de gobierno. Entiendo que debe existir secrecía en determinados momentos del procedimiento, pero todo tiene un límite. En la Unión Europea está vigente desde 2014.

8. Ampliación del alcance de la portabilidad. La portabilidad tiene un alcance limitado a los datos típicos que un proveedor registra de sus consumidores. Pero la sofisticación de los servicios y la realidad algorítmica están complejizando el tipo de información personal en tratamiento. ¿Qué pasa si dejamos Spotify para irnos a Amazon Music? ¿Nuestros datos también deben incluir los perfiles creados por la compañía sobre nosotros o nuestras listas de reproducción?

9. Cumplimiento de las leyes en México

Urge que la ley sea explícita de la jurisdicción del Inai sobre los responsables del tratamiento con domicilio fuera de México. El Inai ha ido construyendo paso a paso y algunas decisiones judiciales han ayudado en el asunto, pero un articulado legal explícito lo haría todo más fácil.

10. Protección especial al contenido periodístico

De una vez por todas debe quedar explícito en la ley que los datos personales contenidos en las informaciones periodísticas no son susceptibles de cumplir con los derechos ARCO. Los titulares de datos tienen otros medios de defensa, como el derecho de réplica o las vías civil y penal. Esto dejará las cosas claras respecto al llamado derecho al olvido, dará un respiro a la libertad de expresión y el derecho a la información y reducirá la carga de trabajo del Inai.