La abogada Milagros Méndez, especializada en Derecho Civil, Digital y Comercial, brinda detalles respecto a la protección de datos personales y los riesgos que implica dar estos datos a cualquier persona.
Usualmente se piensa que los datos personales son simplemente los nombres y apellidos de una persona, pero en la realidad es mucho más que eso. Un dato personal es cualquier información que sirva para identificarte y que se encuentre en una base de datos. Por ejemplo, los datos personales pueden ser nombres completos, domicilios, números telefónicos, firmas, correos electrónicos, voz e imagen, documento nacional de identidad, carnet de extranjería, licencia de manejo o pasaporte de una persona natural. Esto se diferencia de los datos sensibles de la persona: etnia, sexo, identidad sexual, historia médica, ingresos económicos, religión, convicción política, datos biométricos (el iris del ojo, la voz o la huella digital) o afiliación sindical. Estos datos también son personales, pero se encuentran especialmente protegidos en el marco de la ley peruana N°29733, la cual garantiza la protección de los datos anteriormente mencionados.
Según la abogada Milagros Méndez, la ley protege al titular de los datos personales a partir de la autorización que este brinda para que la información que brinde pueda ser recopilada y tratada según la finalidad previamente informada. “Todo tratamiento de datos personales siempre requerirá de un consentimiento informado”, añadió Méndez. Esto significa que, para cualquier trámite o proceso, sea manual o automático, el titular debe estar plenamente informado de lo que él o ella accede, lo cual incluye transferencias, bloqueos, recopilaciones, grabaciones, registros, almacenamientos, consultas, conservación y cualquier tipo de uso.
Por ello, los únicos casos en los que se puede recabar legalmente consentimiento de los datos personales son para:
-
- La revisión de datos que se encuentran en fuente accesible al público.
- El cumplimiento de funciones de entidades públicas tales como la ONPE, RENIEC y la Superintendencia Nacional de Migraciones.
- El tratamiento de datos personales relativos a la solvencia patrimonial o de crédito conforme a la ley.
- La preparación, celebración y ejecución de un contrato en el que el titular de los datos es parte.
- El tratamiento de datos personales relativos a la salud y que sea necesario, en circunstancias de riesgo, para la prevención, diagnóstico y tratamiento médico o quirúrgico del titular.
- Que el tratamiento sea efectuado por organismos sin fines de lucro cuya finalidad sea política, religiosa o sindical y requiera los datos personales recopilados de sus miembros.
- Cuando los datos personales se hubiesen anonimizado o disociado.
La ley señala que toda empresa u organismo debe contar con medidas de seguridad para que los datos personales se encuentren protegidos a partir de la siguiente estructura:
- Inscripción de las medidas de seguridad
- Consentimiento Informado
- Inscripción del banco de datos personales
- Transferencia de datos
- Derechos ARCO :
- Derecho de Acceso
- Derecho de Rectificación
- Derecho de Cancelación
- Derecho de Oposición
Además, existe una escala de sanciones en caso de que no se cumpla con la protección de datos personales:
- Sanción leve (Multas entre 0.1 hasta 5 UITs):
- Dar tratamiento de datos personales sin consentimiento.
- Impedir, obstaculizar o no atender el ejercicio de los derechos del titular.
- Obstruir la función fiscalizadora de la Autoridad Nacional de Datos Personales.
- Sanción grave (Multas entre 5 UITs hasta 50 UITs):
- Dar tratamiento a los datos personales contraviniendo la ley.
- Incumplir obligación de confidencialidad.
- No inscribir el banco de datos personales en el registro.
- Sanción muy grave (Multas entre 5 UITs hasta 150 UITs):
- Crear, modificar, cancelar bancos de datos personales sin cumplir con la ley.
- Suministrar documentos o información falsa o incompleta a la autoridad.
- No cesar en el tratamiento ilícito de datos personales cuando exista un requerimiento de la autoridad.
Del mismo modo, corresponde una indemnización por daños y perjuicios según la afección cometida, así como también, según el artículo 154-A del Código Penal, sanción penal de entre dos a cinco años de pena privativa de cárcel a quien ilegítimamente comercializa o vende información no pública relativa a cualquier ámbito de la esfera personal, familiar, patrimonial, laboral, financiera u otro de naturaleza análoga sobre una persona natural.
Finalmente, Méndez recomienda a los titulares que revisen con mucho cuidado los documentos que permiten un tratamiento de los datos personales y que las empresas que requieran de los datos en mención cuenten con una política de privacidad y seguridad para el titular. Asimismo, en caso de cualquier problema, señala la importancia de recordar los derechos ARCO y de acudir a la Autoridad Nacional de Protección de Datos Personales.