Para entender la protección de datos en el entorno digital en México, debemos basarnos en los 8 Principios Rectores establecidos en la Ley (LFPDPPP). Estos principios son la «columna vertebral» de cualquier estrategia de cumplimiento, ya sea para una app, un sitio web o una base de datos en la nube.
Según el Artículo 6 y subsiguientes de la ley que proporcionaste, el Responsable debe cumplir con lo siguiente:
Aquí te explico cada uno con su aplicación en el mundo digital:
1. Principio de Licitud
Lo que dice la ley: Los datos deben tratarse conforme a la ley y no deben obtenerse por medios engañosos o fraudulentos.
- En el mundo digital: Prohíbe el uso de spyware, phishing o «patrones oscuros» (diseños web engañosos) para robar datos sin que el usuario se dé cuenta. Si una app dice que es una calculadora pero roba tus contactos en segundo plano, viola este principio.
2. Principio de Consentimiento
Lo que dice la ley: Todo tratamiento requiere el permiso del titular (tácito o expreso).
- En el mundo digital: Es el famoso «He leído y acepto los términos».
- Consentimiento Tácito: Si te muestran el aviso y sigues navegando (común en cookies básicas).
- Consentimiento Expreso: Si compras algo en línea con tarjeta de crédito, debes dar un «clic» o autorización específica porque son datos financieros.
- Consentimiento para Sensibles: Requiere firma autógrafa o electrónica; no basta un simple clic.
3. Principio de Información
Lo que dice la ley: Debes informar al titular sobre qué harás con sus datos antes de recabarlos. Esto se materializa en el Aviso de Privacidad.
- En el mundo digital:
- Si recabas datos por internet (web/app), debes mostrar el Aviso de Privacidad (o al menos uno simplificado) antes del botón de registro o envío.
4. Principio de Calidad
Lo que dice la ley: Los datos deben ser exactos, completos, correctos y actualizados. Se deben borrar cuando ya no sean necesarios.
- En el mundo digital: Si un usuario actualiza su dirección en su perfil de usuario, la base de datos debe reflejarlo de inmediato. No puedes tener «dos versiones» de la verdad. También implica no guardar historiales de búsqueda de hace 10 años si ya no sirven para el servicio.
5. Principio de Finalidad
Lo que dice la ley: Solo puedes usar los datos para lo que dijiste en el Aviso de Privacidad. Si quieres usarlos para otra cosa, necesitas un nuevo permiso.
- En el mundo digital: Si pides el correo electrónico para «enviar la factura» (finalidad administrativa), no puedes usarlo después para «enviar publicidad de socios comerciales» (finalidad de mercadotecnia) si no lo avisaste y obtuviste permiso desde el principio.
6. Principio de Lealtad
Lo que dice la ley: Se debe privilegiar la protección de los intereses del titular y su «expectativa razonable de privacidad» (la confianza depositada).
- En el mundo digital: Evitar la «letra chiquita» abusiva. Si usas una app de salud, tu expectativa razonable es que tus datos médicos sean privados, no que se vendan a una aseguradora. Violar esa confianza es deslealtad.
7. Principio de Proporcionalidad
Lo que dice la ley: El tratamiento debe ser el que resulte necesario, adecuado y relevante. Solo pedir lo mínimo indispensable.
- En el mundo digital: Es el principio de Data Minimization.
- Ejemplo: Una aplicación de «Linterna» no necesita acceso a tu geolocalización ni a tus contactos. Pedir esos permisos viola la proporcionalidad.
8. Principio de Responsabilidad
Lo que dice la ley: El Responsable debe velar por el cumplimiento de los principios y adoptar medidas para garantizarlo, incluso cuando los datos los manejen terceros.
- En el mundo digital: Aquí entra la Ciberseguridad. La ley exige establecer medidas de seguridad administrativas, técnicas y físicas para proteger los datos contra daño, pérdida o acceso no autorizado.
- Si usas la nube (Amazon AWS, Google Cloud), tú sigues siendo responsable de configurar la seguridad correctamente.
Un punto extra vital en digital: Las Vulneraciones (Data Breaches)
La ley digital es estricta: Si te hackean («vulneración de seguridad») y esto afecta los derechos de los usuarios, tienes la obligación de informarles de inmediato para que puedan defenderse (cambiar contraseñas, bloquear tarjetas, etc.).
Pronto te diré qué debe contener exactamente un Aviso de Privacidad para una página web según el Artículo 16
Un punto extra vital en digital: Las Vulneraciones (Data Breaches)
La ley digital es estricta: Si te hackean («vulneración de seguridad») y esto afecta los derechos de los usuarios, tienes la obligación de informarles de inmediato para que puedan defenderse (cambiar contraseñas, bloquear tarjetas, etc.).