Gestión Responsable
de Datos Personales
PRIVACIDAD

Oficina de Privacidad
de Datos de IFC

Gestión Responsable
de Datos Personales© Corporación Financiera Internacional, septiembre 2022. Todos los derechos reservados.
Este folleto tiene como objetivo proporcionar un resumen del marco de privacidad de la Corporación
Financiera Internacional (IFC por sus siglas en ingles). Ni IFC ni el Banco Mundial realizan ni otorgan, según
corresponda, manifestaciones, garantías o compromisos, expresos o implícitos, respecto de este folleto o dela información que aparece en él; tampoco otorgan garantías sobre la exhaustividad del contenido de este
folleto ni sobre las conclusiones u opiniones que se describan en el presente, ni aceptan responsabilidad alguna
por omisiones en su contenido o por la confianza depositada en él. El contenido de este documento tiene
por objeto brindar información general únicamente y no pretende servir de asesoramiento jurídico, bursátilo de inversiones, ni de opinión relativa a la conveniencia de ninguna inversión, ni una solicitud de ningún tipo.
Este folleto de ninguna manera constituye ni implica una renuncia, extinción o modificación por parte de IFC
de alguno de los privilegios, inmunidades o exenciones que se le otorguen en su Convenio Constitutivo, en
convenciones internacionales o en la ley aplicable.
IFC fomenta la difusión de sus obras y autoriza la reproducción total o parcial de este documento para fines
no comerciales en tanto se cite la fuente. Todos los nombres, logotipos y marcas son propiedad de IFC y no se
podrán usar para ningún fin sin el consentimiento expreso por escrito de IFC. Cualquier otra consulta sobre
derechos y licencias, incluidos derechos subsidiarios, debe dirigirse al Departamento de Comunicaciones deIFC, 2121 Pennsylvania Avenue, NW, Washington, DC 20433.

La Corporación Financiera Internacional(IFC por sus siglas en ingles), miembro delGrupo Banco Mundial (GBM)1, es la mayor
institución internacional de desarrollo
dedicada exclusivamente al sector privado delos mercados emergentes. En el marco de lalabor que realiza con más de 2000 asociados
en todo el mundo, IFC proporciona
y moviliza capital, ofrece servicios deasesoría a empresas y estados miembros,y aprovecha su experiencia a nivel mundial
y su pensamiento innovador para ayudar asus clientes a superar problemas financieros,
operativos y de desarrollo.

Con tal fin, IFC utiliza productos y servicios
innovadores y tecnologías financieras devanguardia. Todas estas actividades se apoyan
en datos, que, junto con las tecnologías, han
ampliado las fronteras del desarrollo. “Datos
personales”, es decir, la información relativa a
una persona física identificada o identificable, en
particular, proporcionan a IFC información más
exhaustiva para orientar decisiones en materiade política y de inversión. Esta información
le permite a IFC conocer las necesidades delas personas y las comunidades afectadas
por sus proyectos y, a su vez, maximizar elfinanciamiento con fines de desarrollo.

En un mundo en el que los datos son cadavez más necesarios, y en el cual su uso (ymal uso) concita más atención pública, lagestión responsable de datos personales
es fundamental para que IFC mantenga
su reputación como socio confiable ycomo fuerza motriz del bien público. Paralograrlo, debe contar con un sistemade gestión de datos personales sólido
y moderno.

1. El GBM está conformado por cinco instituciones: el Banco Internacional de Reconstrucción y Fomento (BIRF), la Asociación Internacional de Fomento (AIF, que junto con el BIRF conforman el Banco
Mundial), la Corporación Financiera Internacional (IFC), el Organismo Multilateral de Garantía de Inversiones (MIGA) y el Centro Internacional de Arreglo de Diferencias Relativas a Inversiones (CIADI).

1

La privacidad en el mundo
La Oficina de Privacidad (OP) de IFC
se centra en el correcto uso y gestiónde los datos personales. Básicamente,esto implica satisfacer las expectativas
razonables de nuestro personal,
clientes y asociados, así como delas comunidades afectadas por losproyectos de IFC, en lo que respecta a lautilización de los datos personales porparte de la Corporación.

2

Si bien las opiniones acerca de la privacidad varían de una culturaa otra, más de 130 países de todas las regiones del mundo han
implementado alguna forma de legislación en materia de privacidad
y protección de los datos, y ese número continúa aumentando. Los
requisitos suelen diferir ampliamente de una jurisdicción a otra, pero,
en esencia, reflejan un conjunto de principios fundamentales que son
uniformes en todo el mundo.
Las organizaciones que adoptan estos principios fundamentales, suelen
ser más propensas a alinearse con las expectativas existentes y nuevas

en torno al uso aceptable de los datos personales. Estas organizaciones
están en mejor posición para aprovechar adelantos tecnológicos que
permiten utilizar datos de manera cada vez más sofisticada, y pueden
dar una respuesta eficaz a la creciente atención y preocupación delpúblico por el uso de los datos personales.
El objetivo de la OP de IFC es, primordialmente, ayudar a IFC a gestionarde manera responsable los datos personales que recopila en sus
actividades comerciales y satisfacer las expectativas razonables de sus
clientes y asociados y de las comunidades a las que prestan servicios.

3

Política de Privacidad de Datos
Personales del Grupo Banco Mundial

Los principios de la
Política de Privacidad
Los siete principios de la Política de Privacidad se resumen a continuación:

Al centro del programa de privacidad de IFC estan un conjunto de principios
fundamentales que comparten todas las instituciones del GBM y que están consagrados
en la Política de Privacidad del GBM (la “Política de Privacidad”).
Los siete principios de la Política de Privacidad se derivaron de los principios básicos
comunes contenidos en diversas normas e instrumentos internacionales, entre ellos, elMarco de Protección de la Privacidad establecido por la Organización para la Cooperación
y el Desarrollo Económicos (OCDE), el Convenio n.o 108 (Convenio para la Protección delas Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal,
Consejo de Europa, Serie de Tratados Europeos n.o 108), y el Marco de Protección de laPrivacidad del Foro de Cooperación Económica Asia-Pacífico.
La Política de Privacidad fue presentada a la Junta de Directores de IFC y a los Directorios
Ejecutivos de las otras instituciones del GBM, y fue aprobada en mayo de 2018.
Tras un período de implementación, estos principios se comenzaron a aplicar a todas lasoperaciones del GBM en febrero de 2021.

1

Procesamiento legítimo, justo y transparente

4

El procesamiento de datos personales se debe llevar a cabo
con fines legítimos, y ser justo y transparente para el individuo
involucrado (denominado, a menudo, el “titular de los datos”).

2

Finalidad determinada y minimización de datos

Los datos personales se deben conservar y eliminar deconformidad con los cronogramas aplicables para laretención y eliminación de registros.

5

Los datos personales se deben recopilar para un fin
determinado y explicito y no se deben utilizar para otros fines,
salvo de conformidad con la Política de Privacidad; solo se deben
recopilar datos personales necesarios para el fin determinado.

3

Precisión de datos

Seguridad
Las instituciones del GBM deben utilizar medidas técnicas yorganizativas razonables para evitar la pérdida accidental, ladestrucción, la modificación o la divulgación no autorizada
de los datos personales, así como el acceso a dichos datos.

6

Los datos personales se deben recopilar, registrar ymantener con la mayor precisión posible.

Transferencia de datos personales
Los datos personales solo se transferirán a terceros para fines
legítimos y teniendo debidamente en cuenta su protección.

7

4

Limitación de almacenamiento

Rendición de cuentas y revisión
Las instituciones del GBM deben adoptar documentos,
procesos y procedimientos adecuados para implementar
y supervisar el cumplimiento de la Política de Privacidad.

5

Enfoque de IFC en materia deprotección de los datos personales
El programa de privacidad de IFC consta de tres pilares importantes que se asientan en los principios fundamentales establecidos en la
Política de Privacidad.

Oficina de Privacidad de IFC
En IFC, la Administración ha delegado la autoridad funcional correspondiente a su programa de privacidad en la OP.
La oficina forma parte del Departamento de Riesgo Empresarial y Cumplimiento, que depende de la Vicepresidencia
Legal y de Cumplimiento. Su personal está compuesto por un equipo multidisciplinario bajo la dirección del oficial
principal de privacidad de datos.
La OP formula, establece y mantiene la postura en materia de privacidad de IFC y el nivel de riesgos
aceptable para la Corporación en lo referente al procesamiento de los datos personales, de conformidad con
la Política de Privacidad.

Como parte de sus funciones, la OP:

Políticas yprocedimientos
Formulación de políticas yprocedimientos para poner en práctica la
Política de Privacidad en las actividades
cotidianas del personal de IFC.

Tecnología
Implementación de salvaguardas
técnicas adecuadas contra elprocesamiento no autorizado
y contra la pérdida accidental,
la destrucción o los daños que
puedan sufrir los datos personales;
privacidad desde el diseño.

Concientización ycapacitación
Medidas para brindar al personalde IFC información acerca de losprincipales conceptos de privacidad,
así como capacitación sobre sus
responsabilidades en el marco dela Política de Privacidad y de las
políticas y los procedimientos de IFC
relacionados con la privacidad.

1. Actúa como órgano central decoordinación y punto de contacto
para cuestiones relativas a privacidad.
2. Asesora al personal de IFC acerca deluso adecuado de datos personales y laidentificación, evaluación y mitigaciónde los riesgos asociados con elprocesamiento de dichos datos.

3. Formula las políticas y losprocedimientos de IFC relacionados
con privacidad y ofrece capacitación
sobre su uso al personal de IFC.

5. Colabora con las oficinas de privacidad
de las otras instituciones del GBM, asícomo con otros departamentos de IFC,
en cuestiones vinculadas a la privacidad.

4. Responde las solicitudes de los individuos
que piden información acerca de sus
datos personales procesados por IFC oen su poder, o, cuando corresponde, quebuscan resarcimiento de conformidad
con la Política de Privacidad.

6. Proporciona los requisitos
institucionales de privacidad
relacionados con los servicios detecnología de la información al
Departamento de Información y
Soluciones Tecnológicas del GBM.

Para apoyar la labor de la OP, cada departamento de IFC designa un coordinador de privacidad. Estos coordinadores actúan como nexo entre
su departamento y la OP, reciben una capacitación más exhaustiva y contribuyen a lograr un mayor grado de colaboración entre la mencionada
oficina y el personal de IFC sobre el terreno.
67¿Qué datos personales procesa IFC?
Proveedores yprestadores de servicios

Clientes yasociados

IFC procesa datos personales en diversos contextos:¿Por qué motivos IFC puede recopilar y procesar datos personales envirtud de la Política de Privacidad?

• Datos personales procesados en el transcurso de la provisión deproductos y servicios de IFC (por ejemplo, cuando se lleva a cabo la
diligencia debida de individuos vinculados con clientes y asociados).
• Usuarios de los sitios web de IFC.
• Suscriptores de boletines informativos o publicaciones de IFC.

En la Política de Privacidad, se estable que IFC solo puede procesar datos
personales con “fines legítimos”. Por “fines legítimos” se entiende cualquier fin:

Personal, personas
dependientes
y jubilados

Donantes• que se lleve a cabo con el consentimiento del individuo cuyos datos
personales se estén procesando;• que responda al interés vital o al mejor interés del individuo pertinente;• Asistentes registrados en eventos de IFC.
• que sea necesario para la ejecución de un contrato o el cumplimiento deuna obligación o un compromiso vinculante;• Datos personales procesados en el contexto de procedimientos
de recursos humanos (por ejemplo, contratación).
• Datos personales procesados en el contexto de adquisiciones (porejemplo, cuando se completa una verificación de antecedentes
respecto de proveedores potenciales).

Comunidades
afectadas

Beneficiariosde proyectos• que sea congruente o razonablemente necesario para que IFC pueda
cumplir su misión, mandato o propósito.

Para obtener más información, incluidos los detalles de los avisos de privacidad relacionados con elprocesamiento en el contexto de productos y servicios, eventos y sitios web de IFC, visite ifc.org/privacy.
89

Gestión y mitigación de los riesgos
relacionados con la privacidad
IFC emplea varias herramientas yestrategias para gestionar los datos
personales de manera responsable ypara mitigar los riesgos relacionados
con la privacidad, dependiendo de lascircunstancias. En conjunto, estas
herramientas y estrategias conforman
un sólido marco de gestión de los riesgos
relacionados con la privacidad, diseñado
para hacer efectivos los principios dela Política de Privacidad.

El proceso de gestión de los datos personales en las operaciones de IFC se rige por el marco de gestiónde los riesgos relacionados con la privacidad establecido por la Corporación. El marco se elaboró con el
objeto de detectar en forma temprana los posibles riesgos para la privacidad, antes del procesamiento delos datos personales, a fin de brindar una oportunidad óptima para implementar medidas de mitigación
coherentes con la Política de Privacidad.

El marco de gestión de los riesgos relacionados con la privacidad de IFC consiste de lo siguiente:• Evaluaciones de riesgo de privacidad obligatorias , que el personal de IFC debe completar en lasprimeras etapas del ciclo de proyectos y que luego son examinadas por la OP a nivel central.
• Cláusulas exhaustivas en materia de privacidad en las plantillas de documentos jurídicos de IFC, enlas que se especifiquen con claridad sus expectativas en materia de privacidad.
• Un sistema de gestión de casos integrado para brindar asesoría oportuna al personal de IFC que
solicite orientación.
• Mecanismos de gestión de la privacidad adaptados a las actividades de IFC que entrañen
sistemáticamente el procesamiento de datos personales.
• Un programa permanente de capacitación y concientización del personal.

10

11

Ejemplos
EJEMPLO 1:
Un equipo de asesoría de
IFC ha sido contratado
por un cliente para que
preste servicios de asesoría
sobre gestión de recursos
humanos y, con ese fin,deberá ver la información
relacionada con losempleados del cliente.

EL PERSONAL DE IFC MITIGA LOS RIESGOS RELACIONADOS
CON LA PRIVACIDAD DE LA SIGUIENTE MANERA:•

Limitando la recopilación de datos personales por parte de IFC a aquellos quesean necesarios para completar el proyecto. Cuando sea posible, se recopilaránsolo datos agregados o anónimos.

Un equipo de prospección ydesarrollo (upstream) de IFC
está llevando a cabo una
encuesta a micro, pequeñas
y medianas empresas pararecopilar información acercadel clima empresarial local.

•

Diseñando la encuesta a fin de recopilar la menor cantidad posible de datos
personales para proporcionar a IFC la información que necesita.

•

Consignando el aviso de privacidad al comienzo de la encuesta y, si
corresponde, solicitando a los participantes que confirmen haber leído yentendido cómo se utilizarán sus datos personales.

•

Si los datos personales fuesen necesarios, minimizando la cantidad y el tipo dedatos personales recopilados.

•

Incorporando cláusulas de privacidad adecuadas en el acuerdo legal pertinente.

•

Acatando las limitaciones estipuladas en el aviso de privacidad.

•

Cumpliendo con las obligaciones de confidencialidad y seguridad establecidas
en disposiciones contractuales y en políticas y procedimientos de IFC.

•

Cumpliendo con las obligaciones de confidencialidad y seguridad emergentes
de las políticas y procedimientos de IFC.

Información sobre el lenguaje contractual
Cuando IFC recibe datos personales de un tercero (por ejemplo,
un cliente o un asociado), con frecuencia depende de dicho terceropara obtener las autorizaciones y los consentimientos pertinentes
que sean necesarios para proporcionar esos datos a la Corporación.
Por lo general, IFC recibe estas garantías por medio de un acuerdo

12

EJEMPLO 2:

EL PERSONAL DE IFC MITIGA LOS RIESGOS RELACIONADOS
CON LA PRIVACIDAD DE LA SIGUIENTE MANERA:

Minimización de datos en las operaciones de IFC
legal escrito que incluye las obligaciones del tercero relacionadas
con los datos personales proporcionados a la Corporación. En la
actualidad, los documentos jurídicos standard de IFC contienen
disposiciones sobre privacidad de datos en ese respecto.

La minimización de datos es otro principio básico de la Política
de Privacidad y una de las principales medidas de mitigación deriesgos relacionados con la privacidad. En el marco de este principio,
IFC reduce la cantidad y el tipo de datos personales recopilados almínimo necesario para alcanzar el propósito del procesamiento. Porejemplo, si los únicos datos personales que IFC necesita para este
proyecto son los nombres y las direcciones de correo electrónico delos contactos de las micro, pequeñas y medianas empresas, entonces
solo se recopilarán esos datos, y ningún otro, en la encuesta. No serecopilarán datos personales cuando estos no sean necesarios.

13

EJEMPLO 3:
Un equipo degestión de losconocimientos de
IFC está creando
un nuevo sitio
web externo querecopilará datos
personales dequienes lo visiten.

EL PERSONAL DE IFC MITIGA LOS RIESGOS RELACIONADOS CON LA
PRIVACIDAD DE LA SIGUIENTE MANERA:••

Ajustándose a los principios de privacidad desde el diseño y desarrollando el sitio web demodo que solo se recopile la cantidad y el tipo de datos personales que sean necesariospara el propósito del sitio web.
Redactando un aviso de privacidad específico para el sitio web, en el que se indicará qué datos
personales se recopilarán, cómo los utilizará IFC y con quiénes se compartirán los datos.

•

Consignando un enlace al aviso de privacidad en todas las páginas del sitio web.

•Acatando las limitaciones estipuladas en el aviso de privacidad.

•

Cumpliendo con las obligaciones de confidencialidad y seguridad emergentes de las políticas yprocedimientos de IFC en materia de gobernanza digital y tecnologías de la información.

EJEMPLO 4:
IFC comparte datos
personales con un asociado
como parte de un proyecto
conjunto de desarrollo.

EL PERSONAL DE IFC MITIGA LOS RIESGOS RELACIONADOS
CON LA PRIVACIDAD DE LA SIGUIENTE MANERA:•

Confirmando que la divulgación de los datos personales es razonablemente
necesaria para completar el proyecto conjunto de desarrollo.

•

Confirmando que la divulgación es coherente con el propósito específico para elque se recopilaron los datos personales.

•

Verificando que se hayan obtenido los consentimientos necesarios parala divulgación.

•

Consignando salvaguardas y limitaciones de uso adecuadas en el acuerdo
legal con el asociado.

Información sobre los avisos de privacidad
Divulgación de datos para promover el desarrollo
El procesamiento justo y transparente es un requisito básico delprimer principio de la Política de Privacidad. Uno de los medios
más importantes para lograr ese fin consiste en proporcionar
un aviso de privacidad adecuado a los individuos cuyos datos
personales serán procesados. Un aviso de privacidad es undocumento en el que se ofrece a los individuos información
detallada acerca del modo en que se utilizarán sus datos
personales (por ejemplo, qué datos personales se recopilarán,
14

cómo se utilizarán, quiénes tendrán acceso a ellos, cuánto tiempo
se conservarán, etc.). Cuando IFC recopila datos personales
directamente de los individuos, el personal de IFC tiene laresponsabilidad de preparar y proporcionar un aviso de privacidad.
Cuando IFC recibe los datos personales de un tercero, confrecuencia depende de que ese tercero prepare y proporcione un
aviso de privacidad adecuado (por lo general, esta cuestión seaborda en el acuerdo legal entre IFC y el tercero pertinente).

Los datos, incluidos los personales, son fundamentales para eldesarrollo. Asimismo, la divulgación de datos entre asociados en la
tarea del desarrollo es una práctica habitual y necesaria. Cuando elobjetivo de un proyecto requiere la divulgación de datos personales,
se implementan precauciones adicionales para confirmar quela divulgación es coherente con los requisitos de la Política dePrivacidad. Por ejemplo, normalmente IFC incluiría disposiciones en
el acuerdo legal a efectos de exigir medidas de seguridad apropiadas
para proteger los datos e implementaría limitaciones específicas deuso, divulgación y conservación de los datos personales divulgados,con el objeto de abordar los requisitos del principio relativo a latransferencia establecido en la Política de Privacidad.

15

La Privacidad en las Instituciones
del GBM

Mecanismo de revisióny resarcimiento

En el marco de una Política única de Privacidad del GBM, en la que se establece un conjunto común de principios, las instituciones del GBM
comparten un enfoque coherente y colaborativo sobre privacidad. Los miembros del personal que trabajan en cuestiones relacionadas con la
privacidad de los datos en las distintas instituciones se reúnen periódicamente para coordinar las actividades, analizar cuestiones de interésmutuo y consolidar una cultura de conciencia acerca de la privacidad en todo el GBM.

Como parte de su marco de privacidad de los datos, IFC ha establecido un mecanismo para que los individuos
soliciten información acerca de sus datos personales procesados por IFC, o en su poder, y, cuando corresponda,
busquen resarcimiento.

Ahora bien, debido a sus mandatos específicos, cada institución del GBM ha aplicado la Política de Privacidad adaptándola a sus propias necesidadescomerciales. A raíz de ello, existe un enfoque compartido de la privacidad, que cada institución del GBM implementa de manera específica.

Para obtener más información acerca de los programas deprivacidad de las otras organizaciones miembros del GBM, visite:
Banco Mundial: bancomundial.org/es/about/legal/privacy-notice
MIGA: miga.org/privacy
CIADI: icsid.worldbank.org/es/acerca/contenido/acuerdo-de-privacidad

Los individuos pueden presentar una solicitud respecto de sus datos personales en poder de IFC, de conformidadcon el principio siete de la Política de Privacidad, y siguiendo los pasos indicados en la Declaración sobre elmecanismo de revision y resarcimiento relativo a los datos personales (i) (disponible en ifc.org/privacy).
El mecanismo de revisión y resarcimiento de IFC se aplica exclusivamente a datos personales en poder de laCorporación. Las solicitudes relacionadas con los datos personales en poder de otra institución del GBM se
deben presentar de conformidad con el mecanismo de la institución pertinente. La información necesaria parapresentar solicitudes al Banco Mundial, MIGA y el CIADI se publica en el sitio web de cada institución (véanse
los enlaces en la página anterior).

Para obtener más información acerca del compromiso
de IFC de gestionar los datos personales de manera
responsable, visite ifc.org/privacy.
Las preguntas relativas a las prácticas de privacidad de
IFC deben dirigirse a ifcdataprivacy@ifc.org.

16

17

PRIVACIDAD

2121 Pennsylvania Avenue, NW
Washington, DC 20433, EE. UU.