12.9 millones de datos están a la venta: quién responde cuando una empresa los expone
En ellas aparecían nombres de empresas como Amazon, American Express, Afirme, Banamex, Banco del Bajío, BBVA, Banorte, Banregio, HSBC, Inbursa, INVEX, Liverpool, Sam’s Club, Santander, Scotiabank, Sears, Suburbia, Banco Walmart, Credomatic, IXE, Sanborns, C&A y Soriana.
El episodio abre una pregunta sobre quién tiene la responsabilidad de proteger los datos personales: ¿los usuarios que los entregan sin leer los avisos de privacidad, las empresas que los recopilan y comparten con proveedores externos o los terceros que, al ser vulnerados, pueden exponer esa información?
La ley establece obligaciones, pero falta vigilancia
En México, la protección de los datos personales en posesión de particulares está regulada por una ley federal que establece obligaciones para quienes recopilan y tratan esa información. Entre ellas están los principios de seguridad y confidencialidad, así como el deber de informar a las personas sobre el tratamiento de sus datos y las transferencias que correspondan.
La responsabilidad no desaparece simplemente porque una empresa recurra a un proveedor externo. De acuerdo con Delgado Ramos, la compañía que obtuvo los datos debe asegurarse de que existan controles para protegerlos durante el proceso. Si el tercero incumple, la empresa puede buscar deslindar responsabilidades por las vías correspondientes, pero eso no elimina la necesidad de revisar cómo supervisó a su proveedor.
“El defecto” de la ley, a juicio del especialista, no está en la ausencia de obligaciones, sino en la falta de auditorías y mecanismos de vigilancia que, desde su perspectiva, permitan comprobar que las empresas las cumplen en la práctica.
Delgado Ramos considera que los avisos de privacidad no siempre explican con suficiente claridad si intervienen terceros, para qué reciben la información o cómo puede una persona ejercer sus derechos. La existencia del documento, por tanto, no garantiza que el usuario comprenda el recorrido de sus datos ni que la empresa tenga controles efectivos para protegerlos.
