INSTITUTO NACIONAL DE TRANSPARENCIA, ACCESO A LA INFORMACION Y PROTECCION DE DATOS PERSONALES

ACUERDO mediante el cual se aprueban los criterios generales para la instrumentación de medidas compensatorias en el sector público del orden federal, estatal y municipal.

Martes 23 de Enero de 2018

Al margen un logotipo, que dice: Sistema Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales.

CONAIP/SNT/ACUERDO/ORD01-15/12/2017-05

ACUERDO MEDIANTE EL CUAL SE APRUEBAN LOS CRITERIOS GENERALES PARA LA INSTRUMENTACIÓN DE MEDIDAS COMPENSATORIAS EN EL SECTOR PÚBLICO DEL ORDEN FEDERAL, ESTATAL Y MUNICIPAL.

Que el Consejo Nacional del Sistema Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales, con fundamento en lo dispuesto por los artículos 10, 12 y 14, 26 y quinto transitorio de la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, 31, fracción I de la Ley General de Transparencia y Acceso a la Información Pública, 10, fracciones II y VII del Reglamento del Consejo Nacional del Sistema Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales; y el Acuerdo mediante el cual se aprueba la metodología de procesamiento para la estrategia de implementación de la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, tiene dentro de sus atribuciones las de emitir los criterios para la instrumentación de medidas compensatorias de comunicación masiva, así como la de emitir acuerdos para dar cumplimiento a las funciones del Sistema Nacional de Transparencia establecidas en el artículo 31 de la Ley General de Transparencia y Acceso a la Información Pública y demás disposiciones aplicables.

Que en el punto número 7 del Orden del Día, de la Sesión Ordinaria de 2017, del Consejo Nacional del Sistema Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales, celebrada el 15 de diciembre de dos mil diecisiete, fue presentado, sometido a discusión y aprobado por unanimidad el Dictamen que emite la Comisión de Protección de Datos Personales del Sistema Nacional sobre el Proyecto de Criterios Generales para la instrumentación de medidas compensatorias en el sector público del orden federal, estatal y municipal, en razón de lo anterior, se emite el siguiente:

ACUERDO

PRIMERO.- Se aprueban los Criterios Generales para la instrumentación de medidas compensatorias en el sector público del orden federal, estatal y municipal, conforme al Anexo 1 del Acuerdo CONAIP/SNT/ACUERDO/ORD01-15/12/2017-05.

SEGUNDO.- El presente acuerdo entrará en vigor al día siguiente de su publicación en el Diario Oficial de la Federación.

TERCERO.- Se instruye al Secretario Ejecutivo a publicar el presente Acuerdo y su Anexo en el Diario Oficial de la Federación, así como en la página del Sistema Nacional de Transparencia, mismos que estarán disponibles para su consulta en el vínculo electrónico siguiente:

http://snt.org.mx/images/Doctos/CONAIP/SNT/ACUERDO/ORD01-15/12/2017-05.pdf

De manera adicional, envíese a las direcciones de correo electrónico institucional de los integrantes del Sistema Nacional, a través de la dirección de correo del Secretario Ejecutivo (federico.guzman@inai.org.mx).

Así lo acordó el Pleno del Consejo Nacional del Sistema Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales, en su Sesión Ordinaria de dos mil diecisiete, celebrada el 15 de diciembre del presente año, en la Ciudad de México, lo que se certifica y se hace constar, con fundamento en el artículo 12 fracción XII y 13 fracciones VII y VIII del Reglamento del Consejo Nacional del Sistema Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales.- El Presidente del Consejo Nacional del Sistema Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales, Francisco Javier Acuña Llamas.- Rúbrica.- El Secretario Ejecutivo del Consejo Nacional del Sistema Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales, Federico Guzmán Tamayo.- Rúbrica.

ANEXO 1 DEL ACUERDO CONAIP/SNT/ACUERDO/ORD01-15/12/2017-05

CRITERIOS GENERALES PARA LA INSTRUMENTACIÓN DE MEDIDAS COMPENSATORIAS EN EL
SECTOR PÚBLICO DEL ORDEN FEDERAL, ESTATAL Y MUNICIPAL.

Capítulo I

De las disposiciones generales

Objeto

Artículo 1. Los presentes Criterios Generales tienen por objeto establecer los parámetros a través de los cuales cualquier autoridad, dependencia, entidad, órgano u organismo de los Poderes Ejecutivo, Legislativo y Judicial, organismos constitucionales autónomos, tribunales administrativos, fideicomisos y fondos públicos, del orden federal, estatal y municipal, así como partidos políticos podrán instrumentar medidas compensatorias.

Consideraciones

Artículo 2. Además de las consideraciones previstas en el artículo 3 de la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, para los efectos de los presentes Criterios Generales se entenderá por:

I. Criterios Generales: Criterios Generales para la instrumentación de medidas compensatorias en el sector público del orden federal, estatal y municipal;

II. Imposibilidad de dar a conocer al titular el aviso de privacidad de forma directa: se presenta cuando el responsable no cuenta con los datos personales necesarios que le permitan tener un contacto directo con el titular, ya sea porque no existen en sus archivos, registros, expedientes, bases o sistemas de datos personales, o bien, porque los mismos se encuentran desactualizados, incorrectos, incompletos o inexactos;

III. Esfuerzos desproporcionados para dar a conocer al titular el aviso de privacidad de forma directa: cuando el número de titulares sea tal, que el hecho de poner a disposición de cada uno de éstos el aviso de privacidad, de manera directa, le implique al responsable un costo excesivo atendiendo a su suficiencia presupuestaria, o comprometa la viabilidad de su presupuesto programado o la realización de sus funciones o atribuciones que la normatividad aplicable le confiera; o altere de manera significativa aquellas actividades que lleva a cabo cotidianamente en el ejercicio de sus funciones o atribuciones;

IV. Ley General: Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, y

V. Obtención directa de los datos personales: cuando el titular proporciona personalmente sus datos personales a quien representa al responsable o a través de algún medio que permita su entrega directa como podrían ser sistemas o medios electrónicos, ópticos, sonoros, visuales, vía telefónica, Internet o cualquier otra tecnología o medio físico.

Ámbito de validez subjetivo

Artículo 3. Son sujetos obligados a cumplir con las disposiciones de los presentes Criterios Generales cualquier autoridad, dependencia, entidad, órgano y organismo de los Poderes Ejecutivo, Legislativo y Judicial, organismos constitucionales autónomos, tribunales administrativos, fideicomisos y fondos públicos, del orden federal, estatal y municipal, así como partidos políticos que requieran difundir el aviso de privacidad simplificado a través de medidas compensatorias, con la finalidad de cumplir con el principio de información previsto en el artículo 26 de la Ley General o los que correspondan en las legislaciones estatales en la materia y demás disposiciones aplicables.

Ámbito de validez objetivo

Artículo 4. Los presentes Criterios Generales serán aplicables a la instrumentación de medidas compensatorias a que se refieren los artículos 3, fracción XIX y 26, último párrafo de la Ley General o los que correspondan en las legislaciones estatales en la materia y demás disposiciones aplicables.

Ámbito de validez territorial

Artículo 5. Los presentes Criterios Generales serán aplicables en todo el territorio nacional.

Capítulo II

De los tipos de medidas compensatorias, condiciones para su aplicación y modalidades para su
instrumentación

Principio de información

Artículo 6. El responsable deberá informar al titular, a través del aviso de privacidad, la existencia y características principales del tratamiento al que serán sometidos sus datos personales, de conformidad con

lo dispuesto en los artículos 26, 27 y 28 de la Ley General o los que correspondan en las legislaciones estatales de la materia y demás disposiciones aplicables.

Cuando sea imposible para el responsable dar a conocer al titular el aviso de privacidad simplificado de manera directa o ello exija esfuerzos desproporcionados, podrá instrumentar medidas compensatorias de conformidad con lo previsto en los presentes Criterios Generales.

Naturaleza y objeto de las medidas compensatorias

Artículo 7. Las medidas compensatorias son mecanismos alternos para dar a conocer a los titulares el aviso de privacidad simplificado, a través de su difusión por medios masivos de comunicación u otros mecanismos de amplio alcance.

Medios para comunicar el aviso de privacidad

Artículo 8. En la instrumentación de medidas compensatorias, el responsable podrá difundir su aviso de privacidad simplificado a través de los siguientes medios masivos de comunicación:

I. Diario Oficial de la Federación o diarios de circulación nacional;

II. Diarios o gacetas oficiales de las entidades federativas, o diarios de circulación regional o local, o bien, revistas especializadas;

III. Página de Internet o cualquier otra plataforma o tecnología oficial del responsable;

IV. Carteles informativos;

V. Cápsulas informativas radiofónicas, o

VI. Cualquier otro medio alterno de comunicación masivo.

Selección del medio para difundir el aviso de privacidad

Artículo 9. Para seleccionar el o los medios de publicación del aviso de privacidad simplificado, a través de medidas compensatorias, el responsable deberá elegir aquellos que resulten más eficientes, que impliquen menor costo y que permitan abarcar al mayor número posible de titulares.

Adicionalmente a la obligación prevista en el párrafo anterior, el responsable deberá considerar los siguientes factores:

I. El perfil de los titulares a quienes irán dirigidas las medidas compensatorias, como puede ser, de manera enunciativa mas no limitativa, su lugar de residencia; edad; género; nivel de instrucción; nivel socioeconómico; ocupación; en su caso, gustos y preferencias y el acceso efectivo a las tecnologías de la información y del conocimiento;

II. Sus características propias, con especial énfasis en:

a. Las vías o canales a través de los cuales atiende los requerimientos de la sociedad o presta sus servicios, y

b. Los medios que tienen habilitados para mantener una comunicación general o personalizada con la sociedad, y

III. Las características del o los medios a través de los cuales se pretende publicar el aviso de privacidad simplificado, como puede ser, de manera enunciativa mas no limitativa, el alcance geográfico; impacto; relevancia; formato; accesibilidad, temporalidad o permanencia.

Criterios para la publicación del aviso de privacidad en los diferentes medios de comunicación

Artículo 10. De conformidad con lo dispuesto en los artículos 8 y 9, fracción III de los presentes Criterios Generales, el responsable podrá difundir el aviso de privacidad simplificado:

I. En el Diario Oficial de la Federación o diarios de circulación nacional: cuando tenga conocimiento de que los titulares a los que serán dirigidas las medidas compensatorias se encuentran localizados a lo largo del territorio nacional o en más de una entidad federativa;

II. En los diarios o gacetas oficiales de las entidades federativas, diarios de circulación regional o local, o revistas especializadas: cuando tenga conocimiento de que los titulares a los que irán dirigidas las medidas compensatorias residen en la región, entidad federativa o localidad en la que circula el diario local o gaceta oficial; o bien, estén relacionados con la actividad materia de la revista especializada;

III. En la página de Internet o cualquier otra plataforma o tecnología oficial del responsable: cuando los datos personales hubieren sido recabados por esos mismos medios; o bien, a partir del perfil de los titulares a los que irán dirigidas las medidas compensatorias, las vías o canales a través de los cuales atiende los requerimientos de la sociedad en general o presta sus servicios, o los

medios que tiene habilitados para mantener una comunicación general o personalizada con la sociedad, permitan suponer a éste, de manera razonable, que éstos tienen acceso a ese medio y lo visitan con determinada frecuencia;

IV. En carteles informativos ubicados en las instalaciones del responsable y opcionalmente en lugares exteriores de importante afluencia: cuando suponga, de manera razonable a partir del perfil de los titulares; las vías o canales a través de los cuales atiende los requerimientos de la sociedad o presta sus servicios, o los medios que tiene habilitados para mantener una comunicación general o personalizada con la sociedad, que éstos visitan las instalaciones o lugares exteriores en donde estarán ubicados los carteles, o

V. En cápsulas informativas radiofónicas a través de radiodifusoras con alcance nacional, regional o local o radio comunitaria: cuando suponga de manera razonable a partir del perfil de los titulares, o los medios que tiene habilitados para mantener una comunicación general o personalizada con la sociedad en general que éstos tienen un alto grado de preferencia por este medio de comunicación sobre otros medios.

Además de lo señalado en las fracciones anteriores del presente artículo, el responsable deberá considerar el medio de comunicación que le implique el menor costo posible.

Cumplimiento del principio de calidad

Artículo 11. Previo a la implementación de cualquier medida compensatoria, el responsable deberá cumplir con el principio de calidad y suprimir todos aquellos datos personales que hubieren dejado de ser necesarios para el cumplimiento de las finalidades que originaron su tratamiento, en términos de lo dispuesto en los artículos 3, fracción XXX, 23, párrafo tercero y 24 de la Ley General o los que correspondan en las legislaciones estatales en la materia y demás disposiciones aplicables.

Modalidades para la aplicación de medidas compensatorias

Artículo 12. El responsable podrá instrumentar medidas compensatorias:

I. Sin la autorización expresa del Instituto o de los organismos garantes: cuando el tratamiento de datos personales actualice las condiciones previstas en el artículo 13 de los presentes Criterios Generales, o

II. Con la autorización expresa del Instituto o de los organismos garantes: cuando el tratamiento de datos personales no actualice las condiciones a que se refiere el artículo 13 de los presentes Criterios Generales.

Capítulo III

De la instrumentación de medidas compensatorias sin la autorización expresa del Instituto o los
organismos garantes

Condiciones para la implementación de medidas compensatorias sin autorización expresa del Instituto o los organismos garantes

Artículo 13. El responsable podrá instrumentar medidas compensatorias sin la autorización expresa del Instituto o de los organismos garantes cuando cumpla con las siguientes condiciones:

I. Cuando el tratamiento de los datos personales que se pretende dar a conocer al titular a través de medidas compensatorias, hubiere iniciado con anterioridad a la entrada en vigor de la Ley General o de las legislaciones estatales en la materia y continúe vigente;

II. La existencia de una imposibilidad de dar a conocer al titular el aviso de privacidad de forma directa, o en su caso, la realización de esfuerzos desproporcionados a que se refiere el artículo 2, fracciones II y III de los presentes Criterios Generales;

III. Las finalidades del tratamiento actual de los datos personales sean iguales, análogas o compatibles con aquellas que motivaron de origen el tratamiento de los datos personales, y

IV. El responsable esté exento de obtener el consentimiento del titular para el tratamiento actual de sus datos personales, incluyendo para aquellas finalidades que no requieren del consentimiento del titular o para la realización de transferencias de éstos, en ambos casos por actualizarse alguno de los supuestos previstos en los artículos 22 y 70 de la Ley General o los que correspondan en las legislaciones estatales en la materia y demás disposiciones aplicables.

Cuando el responsable no cumpla con las condiciones a que se refiere el presente artículo y requiera de la instrumentación de medidas compensatorias para cumplir con el principio de información, será necesario que solicite, de manera expresa, al Instituto o los organismos garantes la autorización respectiva para la aplicación de éstas de conformidad con lo dispuesto en el Capítulo IV de los Criterios Generales.

Características del aviso de privacidad simplificado

Artículo 14. El aviso de privacidad simplificado que se divulgue a través de las medidas compensatorias instrumentadas sin autorización expresa del Instituto o de los organismos garantes deberá caracterizarse por ser sencillo, con la información necesaria, expresado en lenguaje claro y comprensible, atendiendo al perfil de los titulares a quienes irá dirigido y con una estructura y diseño que facilite su entendimiento.

En el aviso de privacidad simplificado queda prohibido:

I. Usar frases inexactas, ambiguas o vagas;

II. Incluir textos que induzcan al titular al error en lo que respecta a la comprensión de las características generales o particulares que distinguen el tratamiento de sus datos personales, y

III. Remitir al titular a textos o documentos que no estén disponibles.

Lo anterior, sin perjuicio de lo dispuesto en la Ley General o las legislaciones estatales en la materia y normatividad aplicable en el orden federal, estatal y municipal.

Contenido de las medidas compensatorias instrumentadas sin autorización expresa del Instituto o de los organismos garantes

Artículo 15. En el aviso de privacidad simplificado que se divulgue a través de las medidas compensatorias instrumentadas sin autorización expresa del Instituto o de los organismos garantes, el responsable deberá informar, al menos, lo siguiente:

I. Su denominación;

II. Las finalidades del tratamiento;

III. Las transferencias de datos personales que, en su caso, efectúe sin que éstas requieran del consentimiento del titular, indicando:

a. Las autoridades, poderes, entidades, órganos y organismos gubernamentales de los tres órdenes de gobierno y las personas físicas o morales de carácter privado, nacionales y/o internacionales, a las que se transfieren los datos personales, y

b. Las finalidades de estas transferencias;

IV. En su caso, los elementos informativos previstos en la Ley General o las legislaciones estatales en la materia y demás normatividad aplicable, y

V. El sitio donde el titular podrá consultar el aviso de privacidad integral.

El responsable deberá incluir información adicional que permita a los titulares identificarse como destinatarios del aviso de privacidad simplificado, publicado a través de las medidas compensatorias.

Denominación del responsable

Artículo 16. En el aviso de privacidad simplificado a que se refiere el artículo anterior de los presentes Criterios Generales, el responsable deberá señalar su denominación completa y procurará incluir el nombre, la denominación o las abreviaturas, siglas y acrónimos con las que es identificado comúnmente por el público en general o, concretamente, por los titulares a quienes irán dirigidas las medidas compensatorias.

En caso de que la denominación del responsable hubiera cambiado a través del tiempo, en las medidas compensatorias se deberán indicar las denominaciones que hubiere tenido éste en el periodo que corresponda al tratamiento de datos personales que se informe en el aviso de privacidad simplificado, así como su denominación actual.

Finalidades del tratamiento

Artículo 17. En el aviso de privacidad simplificado al que hace referencia el artículo 15 de los presentes Criterios Generales, el responsable deberá describir puntualmente cada una de las finalidades que motivaron de origen el tratamiento de los datos personales, así como aquellas que justifiquen el tratamiento actual de los datos personales conforme lo siguiente:

I. El listado de finalidades deberá ser completo y no utilizar frases inexactas y/o ambiguas, como "entre otras finalidades", "otros fines análogos" o "por ejemplo", y

II. Las finalidades descritas en el aviso de privacidad deberán ser específicas, redactadas con claridad y de tal manera que el titular identifique cada una de éstas y no tenga confusión sobre el alcance de las mismas.

Transferencias de datos personales

Artículo 18. En el aviso de privacidad simplificado a que se refiere el artículo 15 de los presentes Criterios Generales, el responsable deberá informar, clasificando por categorías o de manera individual, cada una las

autoridades, poderes, entidades, órganos y organismos gubernamentales de los tres órdenes de gobierno y las personas físicas o morales de carácter privado, nacionales y/o internacionales, con las que, en su caso, hubiere transferido los datos personales en su posesión, así como las finalidades que motivaron, en su momento, estas transferencias.

Además de lo previsto en el párrafo anterior del presente artículo, el responsable deberá indicar, clasificando por categorías o de manera individual, cada una de las autoridades, poderes, entidades, órganos y organismos gubernamentales de los tres órdenes de gobierno y las personas físicas o morales de carácter privado, nacionales y/o internacionales, con los que, en su caso, actualmente transfiere o transferirá datos personales, así como las finalidades que motivan estas transferencias.

Consulta del aviso de privacidad integral

Artículo 19. En el aviso de privacidad simplificado a que se refiere el artículo 15 de los presentes Criterios Generales, el responsable deberá señalar el sitio, lugar o mecanismo habilitado para que los titulares puedan conocer el aviso de privacidad integral.

Para la elección del sitio, lugar o mecanismo, el responsable deberá seleccionar, considerando el perfil de los titulares y la forma en que mantiene contacto o comunicación con éstos, aquellos que sean gratuitos; de fácil acceso para los titulares; con la mayor cobertura posible y que estén debidamente habilitados y disponibles en todo momento.

Aviso de privacidad integral

Artículo 20. La puesta a disposición del aviso de privacidad simplificado a través de las medidas compensatorias instrumentadas sin autorización expresa del Instituto o de los organismos garantes, no exime al responsable de su obligación de poner a disposición del titular el aviso de privacidad integral a que se refiere el artículo 28 de la Ley General o los que correspondan en las legislaciones estatales en la materia y demás disposiciones aplicables.

El aviso de privacidad integral a que se refiere el artículo 15, fracción V de los presentes Criterios Generales, deberá referirse de manera específica a las características del tratamiento de los datos personales que actualmente lleve a cabo el responsable y al cual le resultan aplicables las medidas compensatorias, de conformidad con lo dispuesto en la Ley General o las legislaciones estatales en la materia, este ordenamiento y demás normatividad aplicable.

Carga de la prueba

Artículo 21. Corresponderá al responsable acreditar el cumplimiento de cada una de las condiciones previstas en el artículo 13 de los presentes Criterios Generales, en caso de que sea requerido por el Instituto o los organismos garantes en un momento posterior a la aplicación de las medidas compensatorias conforme a la modalidad a la que se refiere el presente Capítulo.

Capítulo IV

De la instrumentación de medidas compensatorias con autorización expresa del Instituto o los
organismos garantes

Presentación de solicitud para autorización expresa de medidas compensatorias

Artículo 22. El procedimiento para que el Instituto o los organismos garantes autoricen expresamente el uso de medidas compensatorias siempre deberá iniciar a petición del responsable.

El responsable podrá presentar su solicitud en el domicilio del Instituto o los organismos garantes, o bien, a través de cualquier otro medio que éstos habiliten para tal efecto.

Contenido de la solicitud para la autorización expresa de medidas compensatorias

Artículo 23. En la solicitud para la implementación de medidas compensatorias con autorización expresa del Instituto o de los organismos garantes, el responsable deberá señalar la siguiente información:

I. Su denominación;

II. El nombre completo y cargo de la persona que ostente su representación;

III. El domicilio para recibir notificaciones;

IV. El nombre completo y cargo de las personas que autoriza para recibir notificaciones, en su caso;

V. La descripción del tratamiento de datos personales indicando las finalidades del tratamiento actual y de aquél para el cual se recabaron los datos personales de origen; el tipo de datos personales tratados; las transferencias que, en su caso, se efectúen en la actualidad o se pretendan realizar, así como cualquier otra información relevante para el caso concreto;

VI. Las particularidades de los titulares indicando su edad; ubicación geográfica; nivel educativo y

socioeconómico, así como cualquier otra información relevante para el caso concreto;

VII. Las causas o razones de la imposibilidad que tiene para dar a conocer al titular el aviso de privacidad de manera directa, o bien, el esfuerzo desproporcionado que esto le exige;

VIII. El número de titulares afectados;

IX. La antigüedad de los datos personales;

X. La información relacionada con la existencia o ausencia de contacto directo con los titulares;

XI. El medio o medios a través de los cuales se pretende difundir el aviso de privacidad simplificado;

XII. El periodo de publicación de la medida compensatoria a través del medio o medios propuestos;

XIII. El texto del aviso de privacidad simplificado para la medida compensatoria, y

XIV. Cualquier otra información adicional que considere necesaria hacer del conocimiento del Instituto o los organismos garantes.

Adicionalmente a lo dispuesto en las fracciones anteriores del presente artículo, el responsable deberá acompañar a su solicitud, para su cotejo, original y copia simple de la identificación oficial de la persona que ostente su representación y del documento que acredite su personalidad conforme a la normatividad que resulte aplicable, así como cualquier otro documento que considere pertinente hacer del conocimiento del Instituto o los organismos garantes.

Características del aviso de privacidad

Artículo 24. En el texto del aviso de privacidad simplificado a que se refiere la fracción XIII del artículo anterior, el responsable, además de observar lo dispuesto en el artículo 14 de los presentes Criterios Generales, deberá evitar la inclusión de declaraciones a través de las cuales afirme o dé por hecho que el titular ha otorgado su consentimiento para el tratamiento de sus datos personales, o bien, para la transferencia de los mismos, en su caso.

Elementos informativos del texto aviso de privacidad simplificado

Artículo 25. En el texto del aviso de privacidad simplificado a que se refiere la fracción XIII del artículo 23 de los presentes Criterios Generales, el responsable deberá informar, al menos, lo siguiente:

I. Su denominación;

II. Las finalidades del tratamiento para las cuales se obtienen los datos personales, distinguiendo aquellas que requieran del consentimiento del titular;

III. Las transferencias de datos personales que requieran del consentimiento del titular, precisando:

b. Las finalidades de estas transferencias;

IV. Los mecanismos y medios disponibles para que el titular, en su caso, pueda manifestar su negativa para el tratamiento de sus datos personales para finalidades y transferencias de datos personales que requieran del consentimiento del titular;

V. En su caso, los elementos informativos previstos en la Ley General o las legislaciones estatales en la materia y demás normatividad aplicable, y

VI. El sitio donde el titular podrá consultar el aviso de privacidad integral.

Denominación del responsable en el texto del aviso de privacidad propuesto

Artículo 26. En el texto del aviso de privacidad simplificado a que se refiere la fracción XIII del artículo 23 con relación al artículo 25, fracción I de los presentes Criterios Generales, el responsable deberá señalar su denominación conforme lo dispuesto en el artículo 16 de este ordenamiento en lo que resulte aplicable.

Finalidades del tratamiento en el texto del aviso de privacidad propuesto

Artículo 27. En el texto del aviso de privacidad simplificado a que se refiere la fracción XIII del artículo 23 con relación al artículo 25, fracción II de los presentes Criterios Generales, el responsable deberá describir las finalidades que motivaron de origen el tratamiento de los datos personales, así como aquellas que justifican el tratamiento actual de los datos personales, distinguiendo de estas últimas las que requieran del

consentimiento del titular conforme lo dispuesto en el artículo 17 de este ordenamiento.

Transferencias de datos personales en el texto del aviso de privacidad propuesto

Artículo 28. En el texto del aviso de privacidad simplificado a que se refiere la fracción XIII del artículo 23 con relación al artículo 25, fracción III de los presentes Criterios Generales, el responsable deberá informar lo dispuesto en el artículo 17, primer párrafo de este ordenamiento e indicar, clasificando por categorías o de manera individual, cada una de las autoridades, poderes, entidades, órganos y organismos gubernamentales de los tres órdenes de gobierno y las personas físicas o morales de carácter privado, nacionales y/o internacionales, con las que, en su caso, actualmente transfiera o pretenda transferir datos personales en su posesión, así como las finalidades que motivan estas transferencias, distinguiendo aquellas que requieran del consentimiento del titular para su realización.

Mecanismos o medios para manifestar negativa del titular en el texto del aviso de privacidad propuesto

Artículo 29. En el texto del aviso de privacidad simplificado a que se refiere la fracción XIII del artículo 23 con relación al artículo 25, fracciones IV de los presentes Criterios Generales, el responsable deberá informar sobre los mecanismos y medios que habilitará o tiene habilitados para que el titular pueda manifestar su negativa para el tratamiento de sus datos personales para aquellas finalidades que requieren de su consentimiento, así como para la transferencia de sus datos personales cuando su autorización sea exigible en términos de lo previsto en los artículos 65 y 70 de la Ley General o los que correspondan en las legislaciones estatales en la materia y demás disposiciones aplicables.

El responsable podrá valerse de cualquier mecanismo o medio que determine, siempre y cuando sea accesible al titular y le permita manifestar su negativa previo al tratamiento de sus datos personales o a la transferencia de éstos.

Consulta del aviso de privacidad integral en el texto del aviso de privacidad propuesto

Artículo 30. En el texto del aviso de privacidad simplificado a que se refiere la fracción XIII del artículo 23 con relación al artículo 25, fracción VI de los presentes Criterios Generales, el responsable deberá observar lo dispuesto en los artículos 19 y 20 de este ordenamiento respecto a la puesta a disposición del aviso de privacidad integral.

Requerimiento de información adicional

Artículo 31. Si en la solicitud para la autorización de medidas compensatorias el responsable no cumple con alguno de los requisitos previstos en el artículo 23 de los presentes Criterios Generales y el Instituto o los organismos garantes no cuentan con elementos para subsanarlos, éstos deberán requerir al responsable, por una sola ocasión y en un plazo que no podrá exceder de cinco días contados a partir del día siguiente de la presentación de la solicitud, la información que subsane las omisiones.

El responsable contará con un plazo máximo de cinco días, contados a partir del día siguiente de la notificación del requerimiento de información, para subsanar las omisiones con el apercibimiento de que en caso de no cumplir se desechará su solicitud.

El desechamiento no implica la preclusión del derecho del responsable para presentar otra solicitud ante el Instituto o los organismos garantes.

El requerimiento de información tendrá el efecto de interrumpir el plazo que tiene el Instituto o los organismos garantes para emitir su determinación, por lo que se reanudará su cómputo a partir del día siguiente al desahogo.

Valoración de la aplicación de la medida compensatoria

Artículo 32. El Instituto o los organismos garantes deberán valorar la procedencia de la instrumentación de medidas compensatorias, conforme a lo siguiente:

I. El número de titulares;

II. El tipo de tratamiento de datos personales;

III. Los datos personales tratados;

IV. La antigüedad de los datos personales;

V. La existencia o ausencia de contacto directo que el responsable tenga con los titulares;

VI. Las causas o razones manifestadas por el responsable sobre la imposibilidad de dar a conocer al titular el aviso de privacidad de manera directa, o bien, el esfuerzo desproporcionado que esto le

exige;

VII. El texto del aviso de privacidad simplificado para la medida compensatoria;

VIII. El ámbito territorial y sectorial donde el responsable ejerce sus atribuciones y funciones que le han sido conferidas conforme a la normatividad que le resulte aplicable, y

IX. El medio propuesto para difundir el aviso de privacidad simplificado.

Propuesta de alternativas de medios para difundir el aviso de privacidad

Artículo 33. En caso de que en sus valoraciones el Instituto o los organismos garantes consideren que no resulta eficiente o pertinente el o los medios propuestos por el responsable para difundir el aviso de privacidad simplificado, al considerar, de manera enunciativa mas no limitativa, el perfil de los titulares y del propio responsable, así como las características del tratamiento de los datos personales, de manera previa a la emisión de su determinación podrán sugerir al responsable otros medios para la difusión del aviso de privacidad simplificado.

La propuesta del Instituto o los organismos garantes se hará del conocimiento del responsable, a fin de que éste exponga lo que a su derecho convenga en un plazo no mayor a cinco días, contados a partir del día siguiente de la notificación de la propuesta. Si el responsable no responde en el plazo señalado en el presente artículo, el Instituto o los organismos garantes deberán resolver con los elementos que consten en el expediente.

La propuesta a que se refiere el presente artículo tendrá el efecto de interrumpir el plazo que el Instituto o los organismos garantes tienen para emitir su determinación, el cual se reanudará a partir del día siguiente a aquel que el responsable manifieste lo que a su derecho convenga, o bien, al vencimiento del plazo a que se refiere el párrafo anterior.

Plazo para emitir la determinación

Artículo 34. El Instituto o los organismos garantes deberán emitir la determinación que corresponda en un plazo que no podrá exceder de diez días, contados a partir del día siguiente a la recepción de la solicitud de la medida compensatoria, el cual podrá ampliarse por un periodo igual por una sola ocasión cuando así lo justifiquen las circunstancias del caso y siempre y cuando se le notifique al responsable dentro de los diez días a que se refiere el presente artículo.

Sentidos de la determinación

Artículo 35. En su determinación, el Instituto o los organismos garantes podrán:

I. Autorizar la instrumentación de la o las medidas compensatorias propuestas por el responsable, con o sin recomendaciones o instrucciones específicas, o

II. Negar la instrumentación de la o las medidas compensatorias propuestas por el responsable, cuando el responsable no justifique o acredite la imposibilidad de dar a conocer al titular el aviso de privacidad de manera directa, o bien, que ello le implique la realización de esfuerzos desproporcionados.

La autorización que en su caso otorgue el Instituto o los organismos garantes estará vigente mientras no se modifiquen las circunstancias bajo las cuales se autorizó la medida compensatoria.

Tratándose de la fracción I del presente artículo, el responsable deberá enviar al Instituto o los organismos garantes la constancia de publicación del aviso de privacidad simplificado en el o los medios que al efecto hubieren sido autorizados, dentro de los primeros diez días del periodo que el responsable hubiere señalado para la publicación de la medida compensatoria.

Aviso de privacidad integral en medidas compensatorias autorizadas por el Instituto o los organismos garantes

Artículo 36. La puesta a disposición del aviso de privacidad simplificado a través de las medidas compensatorias instrumentadas con autorización expresa del Instituto o los organismos garantes, no exime al responsable de su obligación de poner a disposición del titular el aviso de privacidad integral a que se refiere el artículo 28 de la Ley General o los que correspondan en las legislaciones estatales en la materia y demás disposiciones aplicables

El aviso de privacidad integral a que se refiere el artículo 25, fracción VI de los presentes Criterios Generales deberá referirse de manera específica a las características del tratamiento de los datos personales que actualmente lleve a cabo el responsable y al cual le resultan aplicables las medidas compensatorias, de conformidad con lo dispuesto en la Ley General o las legislaciones estatales en la materia, este ordenamiento y demás normatividad aplicable.

Transitorios

Primero. Los presentes Criterios Generales entrarán en vigor al día siguiente de su publicación en el Diario Oficial de la Federación.

Segundo. Para aquellos responsables que dieron a conocer sus avisos de privacidad conforme a lo dispuesto en la Ley General o las legislaciones estatales en la materia y demás disposiciones aplicables, de manera previa a la entrada en vigor de los presentes Criterios Generales, no se requerirá de la adopción de medidas compensatorias.

(R.- 461487)