Aviso de privacidad integral: ¿sirve colocarlo en la web del responsable?

aviso_privacidad_mx

Por Mayra A. Cavazos Calvillo

En México, la normativa especializada prevé que los responsables pueden hacer uso de tres modalidades de “Avisos de Privacidad”: Integral, Simplificado y Corto; cada uno de ellos sujetos al cumplimiento de determinados requisitos (decimoctavo de los “Lineamientos del Aviso de Privacidad”).

En el Considerando de dichos Lineamientos se establece que “el aviso de privacidad es el documento mediante el cual el responsable informa al titular sobre los términos bajo los cuales serán tratados sus datos personales, destacando la identidad de la persona física o moral que decide llevar a cabo el mismo; las finalidades o acciones que motivan la obtención, uso y custodia de la información personal; los terceros a quienes se transferirán los datos personales; los mecanismos para que el titular pueda ejercer los derechos vinculados a la protección de datos personales (en particular, los derechos ARCO), entre otras cuestiones”.

Se prevén asimismo tres formas a través de las cuales los responsables podrán obtener datos personales: de forma directa, indirecta y personal (tercero de los Lineamientos, fracciones III, IV y V, respectivamente), indicando que se recaban datos personales de forma personal cuando “el titular proporciona los datos personales al responsable o a la persona física designada por el responsable, con la presencia física de ambos”.

En este sentido, cuando se recaban datos personales de forma personal de su titular, la normativa es explícita al respecto, pues el lineamiento decimonoveno, fracción I, establece que “[…] cuando los datos personales se obtengan personalmente del titular, el responsable deberá poner a su disposición el aviso de privacidad integral“.

No obstante, a dicha disposición le corresponde una excepción: el lineamiento decimosexto, que a la letra dispone: “el responsable no estará obligado a facilitar el aviso de privacidad integral en el formato que recabe los datos personales, cuando éstos se obtengan de manera personal de su titular, siempre que lo haya puesto a disposición por otro medio previo al tratamiento de los datos personales”.

Si se separa el lineamiento decimosexto en dos partes, tenemos por un lado, que los responsables no necesariamente deberán incluir el aviso de privacidad integral en los formularios o formatos a través de los cuales recaben datos personales de forma personal de su titular. Y, por el otro, que para que proceda la excepción anterior, los responsables deberán haber puesto a disposición de los titulares previo al tratamiento de sus datos el aviso de privacidad integral por otro medio –pudiendo ser a través de formatos impresos, digitales, visuales, sonoros o cualquier otra tecnología.

Frente a esta disposición, existe un problema de interpretación que en la práctica ya despierta ciertas dudas: ¿el poner a disposición de los titulares el aviso de privacidad integral en la página web del responsable, actualizaría la excepción antes indicada?

En lato sensu, el colocar un aviso de privacidad integral en una página web que no contenga ningún tipo de restricción, accesible para cualquier persona con conexión a Internet, podría significar el cumplimiento de dicha excepción, ya que el aviso de privacidad integral habría sido puesto a disposición de los titulares. Además, este medio de difusión es compatible con el artículo 17 de la Ley Federal de Protección de Datos en Posesión de los Particulares (en adelante, la “LFPD”), ya que un aviso de privacidad accesible a través de una página web equivale a ponerlo a disposición mediante un formato digital.

Sin embargo, actualmente existen interpretaciones en stricto sensu, que concluyen que la excepción contenida en este lineamiento de ninguna manera se actualizaría si los responsables se limitaran a poner a disposición el aviso de privacidad integral en sus respectivas páginas web: ninguno de ellos podría probar que todos y cada uno de los titulares accedieron a dicha página y que conocieron el aviso de privacidad integral, con anterioridad al tratamiento de sus datos.

Esta última interpretación puede significar que el supuesto contenido en el lineamiento decimosexto requeriría un esfuerzo que para algunos responsables resultaría desproporcionado: ¿poner avisos de privacidad en todos y cada uno de los puntos o áreas por las cuales se recaben datos personales de manera personal, a pesar de ya estar el mismo a disposición en la página web del responsable e incluso en la entrada de sus instalaciones?

Para algunos, la respuesta sería afirmativa: si los responsables no desean incluir avisos de privacidad integrales en todos los formularios que utilizan para recabar datos personales de forma personal, éstos estarían obligados a colocar Avisos de Privacidad Integrales en todos aquellos lugares o puntos en los que aquéllos se obtienen de esta forma, en previsión de que algún titular no hubiese tenido acceso al aviso correspondiente de forma previa y fuese a proporcionar sus datos por vez primera.

Para entender mejor esta situación, basta pensar en responsables dedicados a la industria hotelera, deportiva y/o recreativa, que en virtud de sus actividades y organización no recaban datos personales en un solo momento, sino que pueden hacerlo durante toda la vigencia de la estancia de sus huéspedes o de la membresía de sus socios.

De lo anterior descrito se colige que para poder facilitar a los titulares un aviso de privacidad simplificado o corto, podría no ser suficiente poner a disposición el aviso de privacidad integral en la página web del responsable; interpretación que en la práctica eliminaría la funcionalidad de los avisos de privacidad integrales puestos a disposición de cualquier interesado en la página web de cualquier responsable que cuente con una.

En tanto no exista una interpretación judicial (o administrativa) al respecto, consideramos recomendable que aquellos responsables que cuenten con una página web continúen utilizándola como medio de difusión de sus avisos de privacidad integrales, adoptando medidas de refuerzo para informar en sus formularios que recaban datos personales sobre la publicación de dichos avisos en este medio electrónico.