Source: https://dof.gob.mx/nota_detalle.php?codigo=5540605&fecha=10/10/2018
Timestamp: 2018-12-12 20:38:28+00:00

Document:
ACUERDO General del Pleno del Consejo de la Judicatura Federal que establece las disposiciones en materia de protección de datos personales
QUINTO. El veintiséis de enero de dos mil diecisiete se publicó en el Diario Oficial de la Federación la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados.
El Transitorio Séptimo de la Ley antes citada establece que los sujetos obligados correspondientes deben tramitar, expedir o modificar su normatividad interna a más tardar dentro de los dieciocho meses siguientes a la entrada en vigor de la Ley General.
En cumplimiento a lo previsto en la disposición anterior, el Pleno del Consejo de la Judicatura Federal, como sujeto obligado de la protección de datos personales, aprobó la expedición de la normativa aplicable en materia de datos personales.
Artículo 1. El presente Acuerdo tiene por objeto establecer el procedimiento administrativo interno ante la presentación de solicitudes para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición al tratamiento de datos personales; así como las acciones que deberán llevar a cabo las áreas administrativas y órganos jurisdiccionales en la protección, tratamiento y conservación de los datos personales.
Artículo 2. Para los efectos de este Acuerdo, además de las definiciones previstas en el artículo 3 de la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, se entenderá por:
I. Acuerdo: Acuerdo General del Pleno del Consejo de la Judicatura Federal que establece las disposiciones en materia de protección de datos personales;
II. Análisis de brecha: Herramienta de análisis para comparar el estado y desempeño de las medidas de seguridad existentes de los sistemas de datos personales respecto de las faltantes, a partir de puntos de referencia seleccionados en una situación o momento dado;
III. Análisis de riesgo: Estudio de las posibles amenazas, vulnerabilidades y eventos no deseados que puedan producir afectaciones a los derechos patrimoniales o morales del titular de los datos personales;
IV. Áreas administrativas: Las unidades administrativas y órganos auxiliares del Consejo de la Judicatura Federal;
V. Comité: Comité de Transparencia del Consejo de la Judicatura Federal;
VII. Criterio: Pauta que obliga a tomar en cuenta todos los elementos de un caso, disponibles para elegir de entre las posibles alternativas la mejor, con objeto de establecer los principios para la resolución de casos subsecuentes con la mayor certeza;
VIII. Instancias: Órganos jurisdiccionales y áreas administrativas;
IX. Inventario de datos personales: Catálogo de sistemas de datos con independencia de su forma de almacenamiento;
X. Ley: Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados;
XI. Órganos jurisdiccionales: Tribunales de Circuito, Juzgados de Distrito y Centros de Justicia Penal Federal, así como el Centro Nacional de Justicia Especializado en Control de Técnicas de Investigación, Arraigo e Intervención de Comunicaciones;
XII. Políticas: Definición de directrices estratégicas para la gestión y tratamiento de datos personales, alineadas a las atribuciones de la Institución. Incluye la elaboración y emisión interna de programas, entre otros documentos regulatorios;
XIII. Responsable: Consejo de la Judicatura Federal;
XIV. Secretaría de Protección de Datos Personales: Oficial de protección de datos personales conforme a lo establecido en el artículo 85, párrafo segundo, de la Ley;
XV. Servidor público vinculado: El o los servidores públicos designados por los titulares de las instancias, encargados del tratamiento de datos personales;
XVI. Sistema de Datos: Archivo físico o electrónico que contenga datos personales que se hayan recabado para el ejercicio de las funciones de las instancias;
XVII. Sistema de Gestión: Conjunto de elementos y actividades interrelacionadas para establecer, implementar, operar, monitorear, revisar, mantener y mejorar el tratamiento y seguridad de los datos personales, de conformidad con lo previsto en la Ley y las demás disposiciones que le resulten aplicables en la materia; y
XVIII. Sistema Informático: Conjunto de componentes de software interrelacionados, cuyo fin es el tratamiento de datos personales, mediante procedimientos automatizados.
Artículo 3. Las consultas de las instancias sobre la aplicación de la Ley y de este Acuerdo serán resueltas por la Unidad de Transparencia, salvo en aquellos casos en los que se requiera fijar criterio, lo cual le corresponderá al Comité. Una vez que se establezca el criterio la Unidad de Transparencia desahogará las consultas respectivas.
La interpretación del presente Acuerdo corresponde al Pleno del Consejo.
Principios generales para la protección de Datos Personales.
Artículo 4. En el tratamiento de datos personales, el responsable por conducto de las instancias y los servidores públicos vinculados deberán observar los principios de calidad, consentimiento, finalidad, información, lealtad, licitud, proporcionalidad, y responsabilidad.
Veracidad en los datos personales
Artículo 5. Las instancias a través de sus titulares y los servidores públicos vinculados, deberán adoptar las medidas necesarias para mantener exactos, completos, pertinentes, correctos y actualizados los datos personales en su posesión, a fin de que no se altere la veracidad de éstos, para lo cual deberán atender lo siguiente:
I. Los datos personales son exactos cuando reflejan la realidad de la situación de su titular, es decir, son verdaderos o fieles;
II. Los datos personales están completos cuando no falta ninguno de los que se requiera para las finalidades para las cuales se obtuvieron y son tratados;
III. Los datos personales son pertinentes cuando corresponden efectivamente al titular y no a una homonimia;
IV. Los datos personales están actualizados cuando corresponden a la situación presente de su titular; y
V. Los datos personales son correctos cuando cumplen con todas las características anteriores, es decir, son exactos, completos, pertinentes y actualizados.
Delimitación para el tratamiento de los datos personales
Artículo 6. Las instancias deberán tratar los datos personales que resulten estrictamente necesarios para el ejercicio de sus atribuciones y funciones, observando las disposiciones aplicables en materia de datos personales.
Adecuado tratamiento de los datos personales
Artículo 7. Los servidores públicos vinculados están obligados en todo momento a garantizar las condiciones y requisitos necesarios para el adecuado tratamiento, así como la debida administración y custodia de los datos personales que se encuentren bajo su resguardo, con el objeto de maximizar el ejercicio de los derechos ARCO.
Artículo 8. Los titulares a los que se soliciten o se reciban sus datos personales deberán ser previamente informados a través de los avisos de privacidad simplificado e integral, de la existencia y características principales del tratamiento al que serán sometidos sus datos personales, con la finalidad de que puedan tomar decisiones informadas al respecto, con excepción de aquellos casos en que no se requiera el consentimiento del titular para dicho tratamiento, en términos de lo previsto en la Ley.
El aviso de privacidad deberá ser difundido por los medios electrónicos y físicos con que cuenten las áreas administrativas.
La Unidad de Transparencia pondrá a disposición de los titulares de las áreas administrativas los modelos de avisos de privacidad simplificado e integral y la guía de elaboración, para que en su ámbito de competencia y de ser necesario conforme al tratamiento de los datos personales que requieran, elaboren los avisos respectivos, de conformidad con lo previsto en los artículos 27 y 28 de la Ley.
Manifestación de la voluntad del titular en el manejo de datos personales
Artículo 9. El consentimiento del titular podrá manifestarse de forma expresa o tácita, por regla general será válido el consentimiento tácito, salvo que una ley exija que la voluntad del titular se manifieste de manera expresa. El consentimiento expreso se recabará por las instancias a través de las atribuciones con que cuenten, para lo cual deberá elaborarse un acta o notificación que permita garantizar la certeza de su obtención.
Todo tratamiento de datos personales para finalidades distintas a las establecidas en el aviso de privacidad, deberá contar con el consentimiento expreso o tácito de su titular, en términos de lo previsto en el artículo 21 de la Ley, con excepción de los supuestos previstos en los artículos 22 y 70 de la Ley.
La revocación del consentimiento para el tratamiento de los datos personales, se podrá realizar por el titular en cualquier momento, a través del ejercicio de los derechos de cancelación y oposición de conformidad con lo dispuesto en el presente Acuerdo, sin que pueda tener efectos retroactivos.
Corrección o actualización de datos personales
Artículo 10. En caso de que los servidores públicos vinculados detecten que los datos son inexactos o desactualizados deberán corregirlos o actualizarlos en el momento en que tengan conocimiento de la inexactitud de los mismos, siempre que posean los documentos que lo justifiquen.
Supresión de los datos personales
Artículo 11. Los servidores públicos vinculados, deberán suprimir, previo bloqueo en su caso, los datos personales que actualizaron la emisión del aviso de privacidad respectivo una vez cumplida la finalidad para la que fueron recibidos o cuando culmine el periodo de conservación que corresponda a los documentos en que constan los datos personales.
Plataformas informáticas efectivas
Artículo 12. Los sistemas de datos deberán garantizar el ejercicio de los derechos ARCO.
PROTECCIÓN, TRATAMIENTO Y CONSERVACIÓN DE DATOS PERSONALES
Mecanismos para el cumplimiento del principio de responsabilidad
Artículo 13. Para adoptar los mecanismos previstos en el artículo 30 de la Ley, se atenderá a lo siguiente:
I. La Unidad de Transparencia someterá para su aprobación al Comité las políticas y programas internos de protección de datos personales;
II. El Comité, a propuesta de la Unidad de Transparencia en coordinación con el Instituto de la Judicatura Federal, aprobará el programa de capacitación y actualización anual en materia de protección de datos personales;
III. La Unidad de Transparencia, por conducto de la Secretaría de Protección de Datos Personales, establecerá un sistema de supervisión de vigilancia para comprobar el cumplimiento de las políticas en materia de datos personales;
IV. La Unidad de Transparencia, por conducto de la Secretaría de Protección de Datos Personales, en el ámbito de sus facultades, recibirá y atenderá las dudas y quejas de los titulares de los datos personales; y
V. La Dirección General de Tecnologías de la Información, a solicitud de los titulares de las instancias, previo análisis de viabilidad, deberá implementar sistemas o plataformas informáticas que permitan aplicar de forma efectiva el tratamiento de datos personales conforme a la Ley y al presente Acuerdo, los cuales deberán ser validados por la Unidad de Transparencia.
Acciones para la implementación de las medidas de seguridad
Artículo 14. Para establecer y mantener las medidas de seguridad para la protección de los datos personales, en los términos previstos en el artículo 33 de la Ley, se observará lo siguiente:
I. La Unidad de Transparencia deberá proponer al Comité las políticas internas para la gestión y tratamiento de los datos personales;
II. Los titulares de las instancias deberán definir las funciones y obligaciones del personal involucrado en el tratamiento de datos personales;
III. Los titulares de las instancias que con motivo del ejercicio de sus funciones cuenten con uno o varios sistemas de datos, deberán informar a la Unidad de Transparencia a efecto de integrar el inventario de datos personales respectivo;
IV. Los titulares de las instancias por cada uno de los sistemas de datos con que cuentan deberán elaborar los análisis de riesgo y de brecha, los cuales deberán remitir a la Unidad de Transparencia.
Para dar cumplimiento a lo anterior, podrán solicitar el apoyo de la Dirección General de Tecnologías de la Información;
V. Los titulares de las instancias deberán elaborar un plan de trabajo con apoyo de la Dirección General de Tecnologías de la Información, en el que se definan las acciones a implementar conforme a los resultados de los análisis de riesgo y de brecha, para que la Unidad de Transparencia los integre al plan de trabajo del responsable; y
VI. La Unidad de Transparencia deberá monitorear y revisar de manera periódica las medidas de
seguridad implementadas, así como las amenazas y vulneraciones a las que están sujetos los datos personales, para lo cual se podrá auxiliar de la Dirección General de Tecnologías de la Información.
Sistema de gestión y documento de seguridad
Artículo 15. La Unidad de Transparencia documentará el sistema de gestión previsto en el artículo 34 de la Ley y elaborará el documento de seguridad a que se refiere el artículo 35 de la Ley, el cual se integrará con la información que señala el artículo anterior.
Cumplimiento de las obligaciones a cargo de la Unidad de Transparencia
Artículo 16. Las atribuciones que en materia de protección de datos personales correspondan a la Unidad de Transparencia se ejercerán a través de su titular o por conducto de la Secretaría de Protección de Datos Personales.
Mecanismos para la seguridad de datos personales
Artículo 17. Para garantizar la seguridad de los datos personales, los titulares de las instancias, conforme a sus atribuciones, deberán:
I. Adoptar las medidas para el resguardo de los sistemas de datos personales en soporte físico o tecnológico, de manera que se evite su alteración, pérdida o acceso no autorizado;
II. Autorizar por escrito a quien fungirá como servidor o servidores públicos vinculados del tratamiento de los datos personales bajo su resguardo, lo cual deberá ser informado a la Unidad de Transparencia para el registro correspondiente;
III. Asignar un espacio seguro y adecuado para la operación de los sistemas de datos personales;
IV. Establecer medidas para controlar el acceso físico a las instalaciones donde se encuentra el equipamiento que soporta la operación de los sistemas de datos personales;
V. Adoptar las medidas necesarias para contar con el respaldo de los sistemas informáticos;
VI. Implementar procedimientos para el control de asignación y renovación de claves de acceso a equipos de cómputo y a los sistemas de datos personales; y
VII. Establecer medidas de seguridad para evitar el retiro o extracción no autorizada de información de los sistemas de datos personales.
Para dar cumplimiento a lo establecido en las fracciones V, VI, y VII, las instancias deberán contar con el apoyo de la Dirección General de Tecnologías de la Información.
Seguridad de datos personales en el ejercicio de las atribuciones de las instancias
Artículo 18. En las actividades relacionadas con la operación de los sistemas de datos personales tales como el acceso, actualización, respaldo y recuperación de información, los titulares de las instancias deberán llevar a cabo, en forma adicional, las siguientes medidas:
I. Llevar el control y registro del sistema de datos personales que contengan la operación cotidiana, respaldos, usuarios, y accesos, así como la transmisión de datos y sus destinatarios; y en su caso, una bitácora de incidentes y vulneraciones a la seguridad de los datos;
II. Garantizar que, durante la transmisión de datos personales y el transporte de los soportes de almacenamiento, los datos no sean accedidos, reproducidos, alterados o suprimidos sin autorización;
III. Llevar el control de inventarios y la clasificación de los medios magnéticos u ópticos de respaldo de los datos personales; y
IV. Aplicar procedimientos para la destrucción de medios de almacenamiento y de respaldo obsoletos que contengan datos personales, con apoyo de la Dirección General de Tecnologías de la Información o de la Dirección General de Archivo y Documentación en términos de sus respectivas competencias.
Atribuciones para el tratamiento de datos personales
Artículo 19. Las instancias por conducto del servidor público vinculado deberán tener un estricto control sobre los datos personales que obren en sus archivos, debiendo sistematizarlos únicamente con base en criterios relacionados con el ejercicio de sus funciones o atribuciones.
Responsabilidades en el tratamiento de datos personales
Artículo 20. Los servidores públicos vinculados tendrán estrictamente prohibido difundir o realizar un uso no autorizado de los datos personales de los que tengan conocimiento, incluso finalizado el tratamiento que hayan realizado.
Los instrumentos jurídicos que celebren las áreas administrativas para el tratamiento de datos personales, deberán observar lo dispuesto en el Acuerdo General del Pleno del Consejo de la Judicatura Federal que establece las disposiciones en materia de actividad administrativa del propio Consejo, así como lo previsto en el Título Cuarto de la Ley y demás disposiciones aplicables.
PROCEDIMIENTO ADMINISTRATIVO INTERNO PARA EL EJERCICIO DE LOS DERECHOS ARCO
Artículo 21. Las solicitudes para ejercer los derechos ARCO podrán presentarse a través de escrito libre, formatos, medios electrónicos o cualquier otro medio que al efecto establezca el Comité.
La Unidad de Transparencia, a través de la Secretaría de Protección de Datos Personales, será la encargada de recibir y dar trámite a las solicitudes para el ejercicio de los derechos ARCO. El titular de la referida Secretaría deberá aprobar y firmar los acuerdos de trámite de las solicitudes.
Plazo para atender una solicitud
Artículo 22. La Unidad de Transparencia deberá emitir el acuerdo relativo a una solicitud de ejercicio de derechos ARCO, dentro de los tres días hábiles siguientes al en que se recibió la solicitud correspondiente.
En el supuesto de que se requiera al solicitante para que amplíe, complete o corrija su petición, no se actualizará el plazo de respuesta establecido en el artículo 51 de la Ley, por lo que comenzará a computarse al día hábil siguiente del desahogo por parte del solicitante.
Tramitación de solicitudes para el ejercicio de los derechos ARCO
Artículo 23. La Secretaría de Protección de Datos Personales realizará todas las gestiones que estime necesarias para propiciar que la respuesta de la instancia, corresponda con lo requerido por el solicitante, inclusive lo relativo a los plazos en función del caso particular.
Respuesta a la solicitud de ejercicio de los derechos ARCO
Artículo 24. El titular de la instancia emitirá una respuesta y la enviará a la Secretaría de Protección de Datos Personales dentro del plazo de tres días hábiles contados a partir del día siguiente de la notificación.
En caso de resultar procedente el ejercicio de los derechos de rectificación, cancelación y oposición al tratamiento de datos personales, el titular de la instancia deberá ejecutarlo en un plazo que no podrá exceder de quince días hábiles, contados a partir del día siguiente al que se recibió el requerimiento respectivo, para lo cual deberá remitir a la Secretaría de Protección de Datos Personales la constancia que acredite que se cumplió con lo solicitado, para que dicha Secretaría lo haga del conocimiento del titular.
Reproducción de datos personales
Artículo 25. En los casos en que resulte procedente el ejercicio de acceso a los datos personales, y con la finalidad de agilizarlo, si el costo de reproducción es menor al equivalente al valor diario de la Unidad de Medida y Actualización (UMA), conforme a las tarifas aprobadas, el titular de la instancia deberá remitir los datos personales solicitados al momento de emitir la respuesta respectiva, en un plazo no mayor a cinco días hábiles, el cual podrá ser ampliado por la Secretaría de Protección de Datos Personales atendiendo a la complejidad de la información.
Asimismo, la información deberá entregarse sin costo cuando implique la entrega de no más de veinte copias simples.
La Secretaría de Protección de Datos Personales deberá tener a disposición del titular o de su representante, los datos personales en el medio de reproducción solicitado y/o las constancias que acrediten el ejercicio efectivo de los derechos ARCO durante un plazo máximo de sesenta días naturales, contados a partir del día siguiente al en que se hubiere notificado la respuesta de procedencia al titular.
Artículo 26. En caso de que la respuesta a la solicitud de derechos implique costo de reproducción y/o envío de datos personales, el titular contará con diez días hábiles para realizar el pago respectivo, contados a partir del día siguiente al en que se notifique la respuesta de la instancia; una vez que el titular realice el pago deberá remitir copia del recibo correspondiente, con la identificación del número de folio de la solicitud para los derechos ARCO que corresponda.
Pronunciamiento del Comité
Artículo 27. En caso de que el titular de la instancia declare en la respuesta la inexistencia de los datos personales o se niegue por cualquier causa el ejercicio de alguno de los derechos ARCO, la Secretaría de Protección de Datos Personales la turnará dentro del plazo de dos días hábiles, contado a partir del día siguiente a su recepción, a la Secretaría para la Gestión de los Procedimientos del Comité, para que el Comité resuelva lo conducente en el plazo de diez días hábiles, contado a partir del siguiente al en que lo reciba, y se notificará al solicitante de esa circunstancia.
En el supuesto previsto en este artículo, procederá la ampliación del plazo de respuesta por diez días hábiles adicionales, a efecto de que el Comité emita el pronunciamiento respectivo.
Representante de la instancia en el trámite de las solicitudes de ejercicio de los derechos ARCO
Artículo 28. A efecto de instituir un vínculo de comunicación para las gestiones derivadas de las solicitudes de ejercicio de los derechos ARCO, los titulares de las instancias designarán un servidor público que fungirá como enlace e informarán por escrito sobre su designación a la Secretaría de Protección de Datos Personales.
PRIMERO. El presente Acuerdo entrará en vigor a los tres días siguientes al de su publicación en el Diario Oficial de la Federación, con excepción de lo previsto en los Transitorios CUARTO y QUINTO de dicho instrumento normativo.
TERCERO. Se derogan todas aquellas disposiciones normativas que en materia de protección de datos personales se opongan al presente Acuerdo.
CUARTO. Dentro de los treinta días siguientes a la publicación del presente Acuerdo, la Dirección General de Asuntos Jurídicos deberá presentar para efectos de armonización, las modificaciones al Acuerdo General del Pleno del Consejo de la Judicatura Federal, que establece las disposiciones en materia de Transparencia, Acceso a la Información Pública, Protección de Datos Personales y Archivos.
QUINTO. La Unidad de Transparencia, dentro de los quince días hábiles siguientes a la aprobación del presente Acuerdo pondrá a disposición de los titulares de las áreas administrativas los modelos de avisos de privacidad simplificado e integral y la guía de elaboración, para que en su ámbito de competencia y de conformidad con lo previsto en el artículo 8 de este Acuerdo, elaboren los avisos respectivos dentro de los treinta días hábiles siguientes, a fin de que sean sancionados por el Comité previo a su difusión.
SEXTO. De conformidad con el artículo 30, fracción I, de la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, las instancias solicitarán los recursos necesarios para la instrumentación de los programas y políticas de protección de datos personales, conforme a las disposiciones que regulan la programación, presupuestación, ejercicio y control de los recursos públicos.
EL LICENCIADO GONZALO MOCTEZUMA BARRAGÁN, SECRETARIO EJECUTIVO DEL PLENO DEL CONSEJO DE LA JUDICATURA FEDERAL, CERTIFICA: Que este Acuerdo General del Pleno del Consejo de la Judicatura Federal que establece las disposiciones en materia de protección de datos personales, fue aprobado por el Pleno del propio Consejo, en sesión ordinaria de quince de agosto de dos mil dieciocho, por mayoría de votos de los señores Consejeros: Presidente Ministro Luis María Aguilar Morales, Jorge Antonio Cruz Ramos, Rosa Elena González Tirado, con salvedades, Martha María del Carmen Hernández Álvarez, Alfonso Pérez Daza y J. Guadalupe Tafoya Hernández; con el voto en contra del señor Consejero Felipe Borrego Estrada.- Ciudad de México, a veintisiete de septiembre de dos mil dieciocho.- Conste.- Rúbrica.

References: Artículo 1

Artículo 2
 artículo 3
 resolución 
 artículo 85

Artículo 3

Artículo 4

Artículo 5

Artículo 6

Artículo 7

Artículo 8

Artículo 9
 artículo 21

Artículo 10

Artículo 11

Artículo 12

Artículo 13
 artículo 30

Artículo 14
 artículo 33

Artículo 15
 artículo 34
 artículo 35

Artículo 16

Artículo 17

Artículo 18

Artículo 19

Artículo 20

Artículo 21

Artículo 22
 artículo 51

Artículo 23

Artículo 24

Artículo 25

Artículo 26

Artículo 27

Artículo 28
 artículo 8
 artículo 30