Source: http://www.senado.gob.mx/index.php?ver=sp&mn=2&sm=2&id=82040
Timestamp: 2018-07-19 23:10:00
Document Index: 412976675

Matched Legal Cases: ['artículo 32', 'artículo 33', 'artículo 3', 'artículo 33', 'artículo 3', 'artículo 33']

Gaceta: LXIII/3SPR-15/82040
INICIATIVA CON PROYECTO DE DECRETO, POR EL QUE SE REFORMA LA LEY GENERAL DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS, A CARGO DEL DIPUTADO JOSÉ HERNÁN CORTÉS BERUMEN, DEL GRUPO PARLAMENTARIO DEL PARTIDO ACCIÓN NACIONAL.
El suscrito, José Hernán Cortés Berumen, diputado integrante del Grupo Parlamentario del Partido Acción Nacional de la LXIII Legislatura del honorable Congreso de la Unión, con fundamento en lo dispuesto en los artículos 71, fracción II y 78 fracción III, de la Constitución Política de los Estados Unidos Mexicanos; 55, fracción II, del Reglamento para el Gobierno Interior del Congreso General de los Estados Unidos Mexicanos; los numerales séptimo, octavo y décimo segundo del Acuerdo Parlamentario relativo a las Sesiones y al Orden del Día, en la Comisión Permanente del honorable Congreso de la Unión durante el segundo receso del tercer año de ejercicio de la LXIII Legislatura, y 6, numeral 1, fracción I; 77, numeral 1, y 78 del Reglamento de la Cámara de Diputados, presenta a consideración de esta soberanía la presente iniciativa con proyecto de decreto por el que se reforma la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, en materia de protección de datos personales, conforme a la siguiente,
Es decir, la seudonimización es una forma de tratamiento de datos que consiste en mantener separada la información original de una persona física de forma que no sea posible identificarla sin volver a asociar sus datos personales. La información adicional, necesaria para poder atribuir los datos a una persona, debe estar sujeta a medidas técnicas y organizativas que garanticen que los datos personales no se atribuyan a una persona física identificada o identificable. Por tanto, realizando el proceso inverso a la seudonimización podemos obtener nuevamente el dato de la persona física. [*]
Un matiz importante es que la seudonimización no es lo mismo que anonimato. La diferencia entre uno y otro radica en que la anonimidad implica la imposibilidad de conectar los datos con la persona a la que pertenecen. En el caso de la seudonimización, no es imposible conectar a la persona con sus datos. En otras palabras, se sustituyen diferentes datos por números, códigos o cualquier otro componente diferenciador. Así, no es posible identificar a la persona en cuestión, sin contar con alguna clase de información adicional que permita contrastar una información con la otra. En cuanto a la complejidad del proceso, dependerá del tipo de datos que se trate. Lógicamente cuando mayor sea el nivel de seguridad exigido, mayor será la dificultad de revertir el proceso de seudonimización. Y una vez más, el nivel de seguridad dependerá de la finalidad del tratamiento de dicha información.” [*]
“La seudonimización no es algo nuevo, sin embargo, son pocas las empresas que introducen esta beneficiosa medida en sus procesos de negocio. Para revertir esta situación, el Reglamento General de Protección de Datos, o GDRP, por sus siglas en inglés, de la Unión Europea, introduce explícitamente en su artículo 32, relativo a la seguridad en el tratamiento de los datos personales, la seudonimización como una medida apropiada para garantizar un nivel de seguridad adecuado al riesgo.
El GDRP es una ley que entró en vigor en la Unión Europea desde el 25 de mayo de 2016 para reemplazar las normas de sus países sobre tratamiento de datos en línea de los usuarios por parte de las empresas. Sin embargo, desde el 25 de mayo de 2018 es obligatoria, y las compañías que no la hayan incorporado recibirán multas de hasta 20 millones de euros. [*]
Derivado de lo anterior, el GDRP estipula:
1) a 4) …
Para la firma Price Water & Cooper, “esta figura supone una nueva herramienta que permite cumplir con mayor facilidad con ciertas exigencias del GDRP y con uno de los mayores retos incluidos en el mismo, el del control del riesgo. Es decir, mediante técnicas de seudonimización podremos probar que hemos adoptado medidas tendentes al control de dicho factor. Adicionalmente, despliega otra serie de efectos beneficiosos. Por ejemplo, en caso de que nuestro tratamiento de los datos no esté basado en el consentimiento del individuo, la seudonimización puede ayudar a que dicho tratamiento sea lícito con base legal en un fin de interés legítimo, ya que es uno de los factores citados que ayuda a determinar la compatibilidad del tratamiento.
Sirve de criterio delimitador en otras figuras como en Privacy by Design, al establecer qué tratamientos deben contener un análisis de impacto de privacidad previo. La correcta aplicación de esta figura podrá probarse a través de los mecanismos voluntarios de certificación. Por el contrario, ayudando a limitar el riesgo y considerándose una medida de seguridad, puede tener consecuencias gravosas para las compañías en los casos en que haya una reversión no autorizada de la seudonimización. Es una herramienta que, aportando ventajas evidentes, debe ser cuidadosamente valorada para determinar su aplicabilidad.” [*]
Aunque un dato seudonimizado no permite identificación directa de la persona, no olvidemos que se trata de datos personales. Por lo tanto, es objeto de protección de la normativa de Protección de Datos, mediante diversas técnicas disponibles para ello. “Las técnicas de seudonimización más habituales son:
Cifrado con clave secreta, un tipo de encriptación en el que el poseedor de la clave de desencriptación puede revertir el proceso en cualquier momento.
Cifrado determinista o función hash con clave de borrado de clave; genera un número aleatorio a modo de seudónimo para cada atributo de la base de datos y, posteriormente, al borrado de la tabla de correspondencia
Descomposición en tokens. Remplaza los números de identificación de tarjetas por valores que son de poca utilidad para aquellos que quieran acceder de forma fraudulenta a los datos personales
Función hash. Los hash o funciones de resumen son algoritmos que consiguen crear a partir de una entrada (ya sea un texto, una contraseña o un archivo, por ejemplo) una salida alfanumérica de longitud normalmente fija que representa un resumen de toda la información que se le ha dado (es decir, a partir de los datos de la entrada crea una cadena que solo puede volverse a crear con esos mismos datos).
Función con clave almacenada. Es un tipo de función hash que hace uso de una clave secreta a modo de valor de entrada suplementario (la ejecución de la función se podría reproducir con el atributo y la clave secreta).” [*]
Esta nueva figura no existe como tal en la mayoría de los países europeos, aunque hay figuras similares. Por ejemplo en España, no existe el término, ni en la legislación ni en el diccionario de la Real Academia de la Lengua Española, sin embargo, la Agencia Española de Protección de Datos equipara anonimizar y seudonimizar en algunos documentos doctrinales, como en su informe jurídico 2015-0364 “Distinción entre depuración y segmentación.-Uso de hash para comunicar base de datos”, y en las conclusiones de la guía “Orientación y garantías en los procedimientos de anonimización de datos personales”. [*] Por ello, distintos actores académicos especialistas en la materia, pugnan por homologar el término en la legislación española futura y en la vigente, equiparando “seudonimizar” con el concepto “anonimizar”, aunque técnicamente pudiera ser términos distintos.
En el artículo 33, en las medidas de seguridad para la protección de los datos personales, se establece que el responsable deberá realizar, entre la actividades interrelacionadas, la seudonimización.
La seudonimización, es pues, la sustitución de un atributo por otro en un registro, de tal forma que aunque siga existiendo la posibilidad de vincular a la persona física de manera indirecta con el conjunto de datos origen, sea mas complejo hacerlo de forma irregular.
d) Gestionar las comunicaciones, operaciones y medios de almacenamiento de los recursos informáticos en el tratamiento de datos personales, y
XXIV. a XXXIV. …
VIII. Diseñar y aplicar diferentes niveles de capacitación del personal bajo su mando, dependiendo de sus roles y responsabilidades respecto del tratamiento de los datos personales, y
Por las consideraciones expuestas, es que se somete a la consideración de esta Asamblea el siguiente,
PROYECTO DE DECRETO POR EL QUE SE REFORMA LA LEY GENERAL DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS
ARTÍCULO ÚNICO. Se REFORMAN las fracciones c) y d) de la fracción XXIII del artículo 3, y las fracciones VII y VIII del artículo 33; y se ADICIONA un inciso e) a la fracción XXIII del artículo 3 y una fracción IX al artículo 33, todos de la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, para quedar como sigue:
En la Ciudad de México a 22 de junio de 2018.
[*] https://www.sigea.es/que-es-la-seudonimizacion/ Consultado el 29 de mayo de 2018.
[*] https://www.forlopd.es/web/blog/index.php/seudonimizacion-y-proteccion-de-datos/ Consultado el 29 de mayo de 2018.
[*] https://www.reforma.com/aplicacioneslibre/articulo/default.aspx?id=1402954&md5=7e3e388c6fc66cbab44eefa1fba68be3&ta=0dfdbac11765226904c16cb9ad1b2efe Consultado el 29 de mayo de 2018.
[*] https://periscopiofiscalylegal.pwc.es/reglamento-europeo-de-proteccion-de-datos-la-seudonimizacion Consultado el 29 de mayo de 2018.
[*] http://www.worldcomplianceassociation.com/1348/articulo-el-reglamento-europeo-de-proteccion-de-datos-que-es-la-seudonimizacion.html Consultado el 29 de mayo de 2018.
[*] https://gahazas.com/2017/02/27/analisis-de-los-conceptos-de-anonimizacion-seudonimizacion-y-disociacion-en-el-ambito-de-proteccion-de-datos/ Consultado el 29 de mayo de 2018.
http://www.senado.gob.mx:80/index.php?ver=sp&mn=2&sm=2&id=82040