Conoce los servicios que tenemos en protección de datos personales. Capacitación Certificación de personas y empresas Análisis de brecha y riesgos

1. Servicios PDP

2. Por qué la protección de datos personales

3. €
£
฿¥
$
¿Cuánto valen los datos personales?
Pasaportes reales
escaneados
1 a 2 US
Cuentas de juegos en Internet
12 a 3,500 US
Tarjetas de crédito
robadas
50 centavos- 20 US
1,000 cuentas de
correos electrónicos
10 US
1,000 seguidores
2 a 12 US
Enviar spam
70 a 150 US
Género
2.9 US
Nombre
3.9 US
Localización GPS
16 US
No. Teléfono
5.9 US
Historial de compra
20 US
Historial de crédito
30 US
Passwords
76 US
Fuente:
Ponemon Institute, Privacy and Security in a Connected Life, Marzo 2015 http://goo.gl/C5pj89
¿Cuánto cuestan los datos robados y servicios de ataque en el mercado clandestino?
Symantec http://goo.gl/e41bec

4. ¿ Tu organización que datos personales trata ?
Nombre
Edad
Fecha de nacimiento
Estado civil
Hábitos
Teléfono
Trayectoria académica
Fotografía
Nacionalidad
E-mail
Religión
Nombre
E-mail
Ubicación
No. tarjeta
CVV
Celular
Nombre
Domicilio
E-mail
Teléfono
Estado de salud
No. tarjeta
CVV
Nombre
E-mail
Ubicación
Frecuencia cardiaca
Nombre
E-mail
Ubicación
Nombre
E-mail
No. tarjeta
CVV
Nombre
E-mail
No. tarjeta
CVV

5. Primer organismo en México

6. La LFPDPPP
“Artículo 1.- La presente Ley es de orden público y de observancia general
en toda la República y tiene por objeto la protección de los datos
personales en posesión de los particulares, con la finalidad de
regular su tratamiento legítimo, controlado e informado, a
efecto de garantizar la privacidad y el derecho a la
autodeterminación informativa de las personas.”
De la
Ley

7. Marco legal y normativo datos personales
Ley Federal de Protección de Datos Personales en
Posesión de los Particulares (Ley)
Reglamento de la LFPDPPP (Reglamento)
Lineamientos del aviso de privacidad (lineamientos)
Recomendaciones de
Seguridad
(recomendaciones)
Recomendaciones
para la designación de
la persona o
Departamento de
Datos Personales
Guía para
implementar un
SGSDP
Parámetros de
autorregulación en
materia de protección
de datos personales
Guía para cumplir con
los principios y
deberes de la
LFPDPPP

8. Aviso de
privacidad
Procedimientos para atención
de derechos ARCO
Designación
de responsable
o departamento
al interior
Políticas de
Seguridad y
protección de
datos
Convenios de
confidencialidad
y contratos
Inventario de
Datos personales y
sistemas de tratamiento
Identificación de personas que
tratan los datos, privilegios, roles
y responsabilidades
Análisis de riesgos
Análisis de brecha
Datos
Identificar
Finalidades
¿Para qué?
Tratamientos
¿Qué voy a hacer
con ellos?
Consentimiento
Tácito - Expreso
Evidencia
Privilegios de
Acceso y transferencias
Internos Externos
Capacitar al
personal
involucrado
Acciones y
procedimientos
en caso de
vulneración
Medidas de seguridad Administrativas Medidas de seguridad Físicas Medidas de seguridad Técnicas
Lo mínimo ….

9. Infracciones y sancionesIncumplirsolicitudesARCO
100-160mil DSMGVDF
• Negligencia o dolo en trámites
ARCO
• Declarar dolosamente
inexistencia
• Incumplimiento de principios
de Ley
• Omisiones en aviso de
privacidad
• Datos inexactos
• Incumplimiento de
apercibimiento
Apercibimiento
Reincidencia
Las sanciones pueden
duplicarse en caso de
Datos
Sensibles
Delitos:
• 3 meses a 3 años
de prisión – con
ánimo de lucro,
vulnerar
seguridad a bases
de datos
• 6 meses a 5 años
de prisión – con
ánimo de lucro
indebido, tratar
datos personales
mediante engaño
o error
200-320mil DSMGVDF
• Incumplimiento de deber de
confidencialidad
• Uso desapegado a la finalidad marcada
en Aviso
• Transferir datos sin comunicar aviso de
privacidad
• Vulneración a la seguridad
• Transferir sin consentimiento del titular
• Obstruir verificación de autoridad
• Transferencia o cesión en contra de Ley
• Recabar datos en forma engañosa o
fraudulenta
• Uso ilegítimo de datos en caso de
solicitud de cese
• Impedir ejercicio derechos ARCO
• No justificar tratamiento de datos
sensibles
El INAI considerará:
Naturaleza del dato (sensibles, financieros y
patrimoniales)
Negativa injustificada del Responsable a
solicitudes del Titular
Intencionalidad en la infracción
Capacidad económica
Reincidencia
LFPDPPPCapítuloXyXIArtículo63al69

10. Importe de multas por sector
Fuente: Elaboración propia con información
de Informe de labores 2014,INAI
$7,566,862.00
$2,617,661.25
$36,456,817.00
$10,021,400.00
2013
Industria comercio y servicios
Salud
Financiero
Educación
Telecomunicaciones
Camaras y asociaciones
$28,945,911.84
$809,500.00
$12,770,810.00
2014
Industria comercio y servicios
Salud
Financiero
Educación
Telecomunicaciones
Camaras y asociaciones

11. Servicios disponibles
Inicial Intermedio Avanzado

12. Tipos de certificación
Personas Producto Empresas (esquemas)

13. Capacitación
Protección de datos personales

14. Capacitación
Fundamentos
Implementación
SGDP
Avanzado
Conocimientos
Generales
Curso 8 horas
-Consultores
-Auditores
-Responsable al interior
Curso 16 horas
-Consultores
-Auditores
-Responsable al interior
Curso 40 horas

15. Certificación
Personas
Profesionales el protección de datos
personales

16. Criterios de calificación
Educación
Formación
Experiencia
Laboral Protección DP
Junior
Menor a 5 años
Senior
Mayor a 5 años
Examen conocimientos
Caso práctico
Beneficios
Ventaja competitiva
Prestigio
Pertenecer red de
profesionales DP (networking)
Actualización constante
Certificación profesional en protección de datos
personales
Evaluación de atributos
Acreditado ante ema

17. Proceso de certificación profesionales
Examen de conocimientos
Adecuado
Aprobado 1 oportunidad
Caso práctico
Aprobado
Formato de aplicación y
evidencias
Decisión sobre la Certificación
Comisión Técnica de Certificación
Informe de
evaluación
Certificado
(Vigencia 3 años)
Auditorias de
vigilancia
(una vez al año)
Renovación de la
certificación
NO
SI
SI
Aprobado
SI
SI
Notificación al
candidato NO
NO
Notificación al
candidato
NO
1 oportunidad
Informe de
mantenimiento de la
competencia
(una vez al año)
Fin del
proceso
Evaluación de atributos

18. Análisis de brecha y riesgos
Evaluación inicial responsables/encargados

19. ¿A quién debo involucrar en mi organización?
RHOperacionesFinanzasSistemasMKTLegal
Se identifican las áreas de la organización que tratan datos personales

20.  Entrevistas con cada área.
 Inventario datos personales.
 Tratamiento de los datos personales.
(Formatos, contratos, sistemas de
información otras fuentes).
 Identificación de posibles riesgos.
 Medidas implementadas para la
protección de los datos personales.
Formato sesiones

21. Uso
Divulgación
Bloqueo
Cancelación
/Supresión
Ciclo de vida de los datos personales
Acceso
Monitoreo
Procesamiento
Transferencia
Destrucción
¿Cómo?

22. Políticas del SGSDP
Estructura Org. De la
seguridad
Clasificación y acceso a
activos
Seguridad del personal
Seguridad física y ambiental
Gestión de
comunicaciones y
operaciones
Desarrollo y
mantenimiento de
sistemas
Cumplimiento legalVulneraciones de Seguridad
Control de acceso
Medidas de seguridad DP

23. día día día
DIAS EN SITIO
Mes
DÍA OFICINAS NYCE
día
Forma de trabajo

24. Informe AB y AR
Aviso de
privacidad
Política de datos
personales
Responsable
Inventario de
sistemas de
tratamiento
Finalidades
Terceros
Análisis y
escenarios de
riesgos
Medidas de
seguridad
Vulneraciones de
seguridad
Plan de
capacitación
Análisis de brecha
cumplimiento y
PAV
Conclusiones
Plan de trabajo
general

25. Certificación
Responsables / Encargados
Esquemas de Autorregulación Vinculante (Empresas)
Esquemas combinados ( ISO 27001+ DP)

26. Esquemas de Autorregulación Vinculante (Empresas)

27. Marco legal EAV
RLFPDPPP
21 Diciembre 2011
Artículos 47, 79-86
LFPDPPP
5 Julio 2010
Artículo 44
Parámetros de Autorregulación en
Materia de Datos Personales
29 Mayo 2014
Artículos 13-37
Esquema de autorregulación vinculante o esquema (EAV):
Conjunto de principios, normas y procedimientos, de adopción voluntaria y
cumplimiento vinculante, que tiene como finalidad regular el comportamiento de los
responsables y encargados respecto a los tratamientos de datos personales que lleven a
cabo.

28. Actores involucrados
Autoridad
INAI
Autorregulación
REGISTRADA ANTE EL INAI
Autorregulación mediante
políticas y procedimientos
internos
ACREDITADA ANTE ENTIDAD
COMPETENTE
Autorregulación certificada por
un tercero
Acreditador
ema
Certificador
NYCE
Responsable Responsable Responsable
Responsables o encargados
Certificados por NYCE

29. Registro de Esquemas de Autorregulación Vinculante
Registro INAI

30. LFPDPPP
RLFPDPPP
Lineamientos Aviso de
Privacidad
Medidas compensatorias
Parámetros de Autorregulación
Artículos 14-37 (SGDP)
Requisitos para certificación

31. 14. Para que un esquema sea validado por el Instituto o cuente con una
certificación reconocida por el Instituto deberá :
Desarrollar e implementar un Sistema de Gestión de Datos
Personales
Parámetros de Autorregulación en Materia de Datos
Personales

32. Etapas de un SGDP

33. Documentos de referencia
Construcción del EAV
• LFPDPPP
• RLFPDPPP
• Lineamientos AP
• Medidas seguridad
• GSGSDP
- Fases de SGSDP
- Controles
• Manual para MIPYMES
- Controles

34. ema
EAV reconocimientos
Certificación Esquema de
Autorregulación Vinculante
EAV
Responsables o encargados adheridos

35. Esquemas combinados ( ISO 27001+ DP)

36. ISO 27001 + DP
ISO 27001
(SGSI)
Datos
personales
(SGSDP)
Certificado
ISO 27001
Certificado
EAV registro
INAI
Auditoria en paralelo
80% 20%
Cumplimiento

37. CERTIFICADO
(VIGENCIA DE 2 AÑOS)
SOLICITUD DE CERTIFICACIÓN
ACCIONES
CORRECTIVAS
SON
ADECUADAS?
EVALUACIÓN, ACUERDOS Y DECISIÓN
SOBRE LA CERTIFICACIÓN
ANÁLISIS DE LOS RESULTADOS DE LA AUDITORÍA
COMISIÓN TÉCNICA DE CERTIFICACIÓN
REVISIÓN
DOCUMENTAL
NO
NOSI
RENOVACIÓN DE LA
CERTIFICACIÓN
AUDITORIAS DE
VIGILANCIA
REVISIÓN EN SITIO
INFORME
AUDITORIA DE CERTIFICACIÓN
NO
CONFORMIDADES
SI
INFORME
Proceso de certificación

38. Para todos los tamaños
Grandes Empresas
Medianas Empresas
Pequeñas empresas
Micro Empresas

39. Financiero
Salud
Educación
IndustriaComercioyservicios
Telecomunicaciones
Cámarasy
asociaciones
Call centers y
contact centers
Agencias de viajes
Tiendas
departamentales
Clubes deportivos
Entretenimiento
Hospitales
Clínicas
Cadenas de
farmacias
Laboratorios
Servicios
funerarios
Bancos
Seguros
Afores
Casas de
bolsa
Escuelas
Universidades
Centros de
capacitación
Centros de
Idiomas
ISP
Telefonía
Servicios de
suscripción
Para todos los sectores

40. Confianza de
parte de los
consumidores de
productos o
servicios
Prestigio al
ostentar una
certificación
reconocida por
el Gobierno
Mexicano
Apego a
estándares y
normas
internacionales
Adopción
voluntaria del
esquema
Atenuación
de sanciones
Demostración
de
cumplimiento
ante la
autoridad
Registro REA
Beneficios

41. M.A. Miriam PADILLA ESPINOSA
Subgerente de Certificación de Protección de Datos
Personales
Normalización y Certificación Electrónica S.C.
1204 5191 ext. 417
mpadilla@nyce.org.mx
Katia MORALES LUQUE
Analista de Certificación de Protección de Datos
Personales
Normalización y Certificación Electrónica S.C.
1204 5191 ext. 418
kmorales@nyce.org.mx
@Ing_Mili
GRACIAS