Parámetros para el correcto desarrollo de los esquemas de autorregulación vinculante
Upcoming SlideShare
Loading in...5
×
 

Parámetros para el correcto desarrollo de los esquemas de autorregulación vinculante

on

  • 892 views

Parámetros para el correcto desarrollo de los Esquemas de Autorregulaci—n Vinculante

Parámetros para el correcto desarrollo de los Esquemas de Autorregulaci—n Vinculante

Statistics

Views

Total Views
892
Views on SlideShare
780
Embed Views
112

Actions

Likes
0
Downloads
8
Comments
0

6 Embeds 112

http://cahj78.blogspot.mx 90
http://cahj78.blogspot.com 16
http://www.linkedin.com 2
https://twitter.com 2
http://cahj78.blogspot.com.es 1
http://cahj78.blogspot.ru 1

Accessibility

Categories

Upload Details

Uploaded via as Microsoft PowerPoint

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

Parámetros para el correcto desarrollo de los esquemas de autorregulación vinculante Parámetros para el correcto desarrollo de los esquemas de autorregulación vinculante Presentation Transcript

  • Parámetros para el correctodesarrollo de los Esquemas de Autorregulación Vinculante
  • ContenidoCapítulo I • Disposiciones GeneralesCapítulo II • Autorregulación vinculante y el principio de responsabilidadCapítulo III • De las clases de esquemas de autorregulación vinculanteCapítulo IV • Del contenido de los esquemas de autorregulación vinculanteCapítulo V • Del sistema de certificación en materia de protección de datos personalesCapítulo VI • De la notificación de los esquemas de autorregulación vinculante
  • Objetivos específicos de los esquemas de autorregulación vinculante• Coadyuvar al cumplimiento del principio de responsabilidad• Establecer procesos y prácticas cualitativos• Fomentar que los responsables establezcan políticas, procesos y buenas prácticas para el cumplimiento de los principios de protección de datos personales• Promover que los responsables de manera voluntaria cuenten con constancias o certificaciones sobre el cumplimiento de lo establecido en la Ley, y mostrar a los titulares su compromiso con la protección de datos personales• Identificar a los responsables que cuenten con políticas de privacidad alineadas al cumplimiento de los principios y derechos previstos en la Ley, así como de competencia laboral para el debido cumplimiento de sus obligaciones en la materia;• Facilitar la coordinación entre los distintos esquemas de autorregulación reconocidos internacionalmente• Facilitar las transferencias con responsables que cuenten con esquemas de autorregulación como puerto seguro• Promover el compromiso de los responsables con la rendición de cuentas y adopción de políticas internas consistentes con criterios externos, así como para• Auspiciar mecanismos para implementar políticas de privacidad – Incluyendo herramientas, – Transparencia, – Supervisión interna continua, – Evaluaciones de riesgo, – Verificaciones externas y – Sistemas de remediación• Mecanismos alternativos de solución de controversias entre responsables, titulares y terceras personas, como son los de conciliación y mediación.
  • Autorregulación Vinculante• La adhesión a los esquemas de autorregulación vinculante por parte de un responsable es de carácter voluntario• El cumplimiento de dichos esquemas será obligatorio para los responsables que se adhieran o adopten los mismos, que contendrán las sanciones por su incumplimiento.
  • Principios aplicables a la autorregulación1. Voluntariedad en la adhesión o adopción del esquema de autorregulación;2. Obligatoriedad, ya que el esquema vincula a quien se adhiere o lo adopta;3. Transparencia relativa a las prácticas que sigue un sector, grupo, empresa u organización en materia de protección de datos personales, y4. Responsabilidad.
  • Normas Oficiales Mexicanas y Normas Mexicanas• De conformidad con el artículo 43, fracción V de la Ley, la Secretaría, en coadyuvancia con el IFAI , podrán participar en la elaboración y promoción de normas oficiales mexicanas y normas mexicanas en los términos de la Ley Federal sobre Metrología y Normalización y su Reglamento, que regulen aspectos relacionadas con la protección de datos personales y el correcto desarrollo de mecanismos y medidas de autorregulación.
  • El principio de responsabilidadPolíticas y programas Recibir y responder Sanciones por su de privacidad dudas y quejas incumplimiento Capacitación, Medidas para el actualización y Políticas y programas aseguramiento de los concientización del de seguridad datos personales personal Establecer medidas para laSistema de supervisión Atender el riesgo de trazabilidad de los datos y vigilancia interna datos personales personales Verificaciones o Destinar recursos auditorías externas
  • Complementariedad• Todo esquema de autorregulación vinculante deberá prever y complementar los principios de: – licitud, – consentimiento, – información, – calidad, – finalidad, – lealtad, – proporcionalidad y – responsabilidad,• Los deberes de confidencialidad y seguridad, que rigen el tratamiento de los datos personales, así como lo dispuesto en la Ley, su Reglamento, los Parámetros y demás disposiciones que resulten aplicables, así como prever los mecanismos que garanticen su cumplimiento
  • Armonización• Todo esquema de autorregulación vinculante deberá contener reglas o estándares específicos que permitan armonizar los tratamientos que lleven a cabo quienes se adhieren o adoptan los mismos
  • Normatividad Aplicable• Los esquemas de autorregulación vinculante deberán hacer mención de las disposiciones legales, reglamentarias o administrativas que rijan el sector de que se trate
  • Requisitos I El tipo de esquema vinculante de que se trata que podrá constituirse en códigos Su ámbito tanto material como personal dedeontológicos o de buena práctica profesional, Los esquemas de autorregulación podrán aplicación, refiriéndose el primero a los políticas internas de privacidad, reglas de regular a determinados tratamientos tratamientos de datos y titulares sujetos al privacidad corporativa, sellos de confianza o específicos de datos personales o a la totalidad mismo, y el segundo al responsable, grupo de cualquier otro que cumpla con lo establecido de tratamientos de datos personales que responsables o sector obligado al por los presentes parámetros, incluyendo su realiza un responsable, grupo de responsables cumplimiento del esquema de autorregulación régimen de funcionamiento y administración, o sector; vinculante de que se trate.los requisitos y el procedimiento de adhesión a los mismos; Estos procedimientos y mecanismos incluyen, entre otros, la utilización de determinadas Su vigencia y mecanismos de actualización, Procedimientos o mecanismos que se cláusulas tipo para la contratación de un renovación o terminación. Asimismo, deberá emplearán para hacer eficaz la protección de encargado; la identificación de las categorías señalar los mecanismos por los cuales se datos por parte de los adheridos, incluyendo de terceros a los cuales el o los adheridos comunicará a los interesados la terminación previsiones específicas que respondan a las transferirán datos, y las previsiones del mismo; buenas prácticas nacionales e internacionales. pertinentes a las transferencias internacionales de datos personales, en su caso Medidas concretas tomadas respecto a la protección de datos personales en relación a categorías especiales de titulares tales como menores de edad y grupos vulnerables
  • Requisitos IIProcedimientos y mecanismos para medir la eficacia del esquema adoptado, como la creación de cifras, indicadores y estadísticas relacionadas con los Programa y acciones de capacitación para quienes distintos procesos puestos en operación incluyendo traten los datos personales, especificando el tipo de la atención a titulares en el ejercicio de derechos de Sistemas de supervisión y vigilancia internos y de capacitación y quién impartirá la misma, así como los acceso, rectificación, cancelación y oposición, y verificación o auditoría externos; esquemas de competencia laboral de la persona o atención de quejas, con el objeto de proveer un integrantes del departamento de datos;esquema de autorregulación vinculante transparente que permitan conocer a los sujetos interesados cómo funciona dicho esquema; La identificación de los responsables adheridos, queMecanismos destinados a facilitar el ejercicio de los posibilite reconocer a los responsables que derechos de acceso, rectificación, cancelación u Dicha identificación podrá realizarse a través del uso satisfacen los requisitos exigidos por determinado oposición, incluyendo los de atención a las de sellos de confianza, y deberá publicarse en algún esquema de autorregulación y que se encuentransolicitudes formuladas por los titulares afectados, y lugar de fácil acceso al público, así como comprometidos con la protección de los datos formatos tipo para el ejercicio de derechos; personales que poseen. Las medidas correctivas eficaces en caso de incumplimiento.
  • Administración del esquemaTodo esquema de autorregulación deberá contar con un administrador, cargo quepodrá recaer en una persona u órgano colegiado que garantice su imparcialidad yevite el conflicto de intereses. El administrador tendrá, entre otras, las funciones de: Efectuar las evaluaciones y Tramitar la admisión de nuevos revisiones del esquema de adheridos y mantener una lista autorregulación por si mismo o actualizada de miembros a por medio de un tercero, disposición de la autoridad siempre que se garantice su imparcialidad e independencia Proporcionar la información y demás documentación que le Elaborar los reportes de sea requerida por la autoridad, medición de eficacia del entre otra, el resumen de las esquema de autorregulación evaluaciones realizadas a los esquemas de autorregulación
  • Sistema de Supervisión y vigilancia IEvaluaciones periódicas de supervisión yvigilancia interna, verificaciones o auditoríasexternas al menos cada dos años• Seguimiento continuo del nivel de cumplimiento de las disposiciones del mismo por parte de los adheridos• Funcionamiento de los procedimientos establecidos en el esquema de autorregulación vinculante
  • Sistema de Supervisión y vigilancia IITodo proceso de evaluación debe culminar con un reporte donde se expresen los resultados del mismo,recomendaciones necesarias a fin de hacer más efectivo y eficiente el cumplimiento del esquema deautorregulación así como el propio esquema.Cuando se identifiquen no conformidades durante los procedimientos de evaluación, el administradordeberá requerir el cumplimiento en un tiempo límite, en cuyo defecto, se impondrá la sanción quecorresponda.Los esquemas de autorregulación deberán contener criterios que permitan homologar y normalizar losresultados obtenidos por los adheridos, así como criterios de revisión que permitan evaluar suviabilidad o pertinencia como esquema de autorregulación vinculante.El IFAI podrá efectuar verificaciones a fin de comprobar el nivel de eficacia y eficiencia del cumplimientodel esquema de autorregulación, así como del propio esquema.El incumplimiento de las recomendaciones derivadas de la evaluación podrá ser tomado enconsideración por el IFAI para la revocación de la inscripción del esquema de autorregulación en elRegistro, en términos del artículo 86 del Reglamento.
  • Consecuencias y medidas correctivas• Para la debida observancia de sus disposiciones, los esquemas de autorregulación establecerán las sanciones que corresponda aplicar a los adheridos que incumplan con los mismos y que podrán consistir en: – Amonestaciones, – Sanciones económicas, – Suspensión temporal, – Suspensión definitiva.• La suspensión de derechos del miembro podrá incluir también, en su caso, la terminación de la licencia de uso del sello de confianza que en su caso se otorgue a los adheridos.• Los esquemas de autorregulación vinculante podrán prever que las sanciones efectuadas se hagan públicas.• Los órganos responsables de aplicar las sanciones deberán observar los principios de contradicción, audiencia, sencillez, accesibilidad, celeridad y gratuidad, y en todo caso, se establecerá una graduación de sanciones que permita su individualización de manera proporcional a la gravedad de la infracción.• Todas las sanciones deberán notificarse al afectado.
  • De los contenidos complementariosLos esquemas de autorregulación podrán incluir cualquier otrocompromiso adicional que asuman los adheridos para un mejorcumplimiento de la legislación vigente. Los responsables podránaumentar las diferentes medidas de protección de los derechos a travésde la inclusión de contenidos complementarios dentro de los esquemasde autorregulación vinculante tales como:• Medidas de seguridad adicionales a las establecidas en la Ley y el Reglamento.• Clausulas tipo para la obtención del consentimiento, ya sea para el tratamiento, o la transferencia de los datos personales.• Clausulas tipo para informar a los titulares del tratamiento de sus datos cuando éstos no sean obtenidos de manera personal o directa.• Avisos de privacidad estándar que resulten aplicables a un sector o industria y cuya única diferencia sea el tipo de tratamientos exclusivos a los que los responsables someten los datos personales de los titulares
  • Mecanismos alternativos de solución de controversias I• El administrador del esquema de autorregulación podrá sugerir a las partes involucradas remitir el asunto a un mecanismo alternativo de solución de controversias, tales como la conciliación y la mediación, siempre que el titular de los datos y el responsable involucrado así lo consientan.• Estos mecanismos podrán implementarse al interior del esquema de autorregulación vinculante o mediante la contratación de expertos independientes.• Los mecanismos alternativos de solución de controversias se regirán por acuerdo entre las partes, o en su defecto, por las leyes federales o locales aplicables en la materia.
  • Procedimientos de solución de controversiasAccesibilidad• Deberán estar disponibles a los titulares de los datos, promoviendo el conocimiento sobre su existencia, su funcionamiento y reduciendo al máximo los costosIndependencia• El mecanismo deberá garantizar la autonomía del conciliador o mediadorImparcialidad• La decisión del conciliador o mediador, deberá fundarse en criterios objetivos, y ser debidamente fundada y motivada
  • Mecanismos alternativos de solución de controversias II• Los procedimientos llevados a cabo bajo los mecanismos alternativos de solución de controversias, deberán observar los principios de contradicción y audiencia.• Las decisiones adoptadas en el mecanismo deberán ser notificadas a las partes.• En el supuesto de no encontrar una solución al caso, independientemente de la sanción que conforme al mecanismo corresponda aplicar, el conciliador o mediador deberá remitir el asunto ante la autoridad competente para los efectos legales que correspondan.• En ningún caso, la presentación de una reclamación o sometimiento a un mecanismo alternativo de solución de controversias, impedirá al titular del ejercicio del derecho de iniciar las acciones legales que correspondan.
  • Objeto de la certificación en materia de protección de datos personalesConforme a lo establecido en el artículo 83 del Reglamento, los esquemas deautorregulación podrán incluir la certificación de los responsables en materia deprotección de datos personales.Mediante dicha certificación, las personas físicas o morales acreditadas comocertificadores evalúan la conformidad del tratamiento, las políticas, programas yprocedimientos relacionados con la protección de datos personales respecto dela Ley, su Reglamento y de cualquier otra normativa aplicable.También podrán ser sujetas de certificación las medidas de seguridad adoptadaspor los responsables y encargados, así como otros mecanismos deautorregulación que voluntariamente se sometan a ésta.
  • Atribuciones del IFAIEl IFAI contará con atribuciones específicas con respecto al sistemade certificación en materia de protección de datos personales: • Autorización, suspensión y revocación de las entidades de acreditación; • Validación de los instrumentos de evaluación y de los procedimientos de acreditación, certificación, auditoría y cualquier otro procedimiento relacionado con los anteriores; • Requerir a las entidades de acreditación que inicien un procedimiento de suspensión o revocación de acreditaciones cuando disponga de los elementos suficientes para justificar esa actuación en los términos de la Ley, el Reglamento y los presentes parámetros, y • Requerir a los certificadores que inicien un procedimiento de suspensión o revocación de certificados cuando disponga de los elementos suficientes para justificar esa actuación en los términos de la Ley, el Reglamento y los presentes parámetros.
  • Autorización y verificación de entidades de acreditación El IFAI podrá, en cualquier tiempo, realizar revisiones, requerir información y El IFAI desarrollará el realizar visitas de verificación procedimiento para la para vigilar el cumplimiento autorización, suspensión y de los presentes parámetrosrevocación de entidades de por parte de las entidades deacreditación en los términos acreditación, losde la Sección II del presente certificadores o cualquier capítulo. tercero que realice actividades relacionadas con las materias a que se refieren los presentes parámetros.
  • Entidades de certificación, certificadores y responsables certificadosEl IFAI mantendrá un listadoactualizado de• Entidades de acreditación autorizadas,• Certificadores acreditados,• Responsables o encargados certificados.
  • Entidades de acreditación autorizadas para operar Las entidades de Para operar como entidad acreditación tienen a su de acreditación en materiacargo la acreditación de los de protección de datoscertificadores en materia de personales, se deberá contar protección de datos y la con la autorización previacertificación de su personal. del IFAI.
  • Requisitos para solicitar la autorización como entidad de acreditación I Denominación o razón social del Domicilio y solicitante y de su señalamiento delrepresentante legal, personal autorizado, así como el en su caso, para oír documento original y recibir que acredite dicha notificaciones. representación ycopia, para su cotejo
  • Requisitos para solicitar la autorización como entidad de acreditación IDescripción detallada de los servicios que prestará el interesado, de los procedimientos quellevará a cabo, y de las condiciones para otorgar, mantener, ampliar, reducir, suspender, restaurary revocar la acreditación, de acuerdo con los previsto por los presentes parámetros. • Los procedimientos deben basarse en costos y condiciones propias de la entidad de acreditación, que determinará las tarifas máximas a que esté sujeta la prestación de sus servicios;Los documentos que demuestren la adecuada capacidad jurídica, administrativa, financiera,técnica, material y humana, en relación con los servicios que pretende prestar, así como con losprocedimientos del sistema de gestión, que garanticen el desempeño de sus funciones, incluidos: • Original y copia, para su cotejo, del acta constitutiva de la persona moral interesada y de los estatutos sociales en los que se detalle sus órganos de gobierno, y la estructura técnica funcional de la entidad en la que conste la representación equilibrada de los sectores mencionados en la fracción III del presente parámetro. El objeto social de la persona moral deberá incluir la aplicación de procedimientos de evaluación de la conformidad, así como la elaboración de documentos normativos en coadyuvancia con los diferentes órdenes de gobierno, en concordancia con las normas o lineamientos internacionales; • Relación de los recursos materiales y humanos con los que cuenta. Respecto del personal involucrado en el proceso de acreditación, el interesado deberá describir y acreditar: • La calificación y la competencia requeridas, detallando grado académico y experiencia en la materia • La formación inicial y continua que se requiere • Los alcances específicos en los cuales cada evaluador ha demostrado su competencia para evaluar • Los mecanismos de seguimiento al desempeño y competencia del personal • Documentos que demuestren su solvencia financiera para asegurar la continuidad del sistema de acreditación;
  • Requisitos para solicitar la autorización como entidad de acreditación IIDetallar la estructura organizacional de la entidad, misma que deberá contar cuando menos con: •Una asamblea general, •Un consejo directivo o de socios administradores, •Una comisión de acreditación, •Comité de Evaluación para la acreditación y •Un Director General.El interesado ya sea en la asamblea general, en el consejo directivo o en el comité de evaluación para la acreditación deberá, a juicio del IFAI ,garantizar el equilibrio de las partes interesadas en el proceso de acreditación.Se entenderá por partes interesadas a los certificadores, asociaciones de profesionales o académicos, representantes de la sociedad civil,cámaras y asociaciones de industriales o comerciantes, instituciones de educación superior, centros de investigación y las dependenciasinvolucradas en las actividades de acreditación de protección de datos personales.Las partes interesadas que integren una entidad de acreditación, en ningún caso podrán participar directa o indirectamente en otra entidadde acreditación relacionada con la materia de protección de datos personales. La comisión de acreditación tendrá por objeto vigilar elesquema y mantener la imparcialidad sobre los procesos de acreditación, revisando que se apeguen a los términos descritos en los presentesparámetros, yLa documentación que acredite que cuenta con los recursos para cumplir con las responsabilidades legales que se originen con motivo de susoperaciones.
  • Obligaciones de las entidades de acreditación IResolver las solicitudes de acreditación de personas físicas o morales que busquen fungir como certificadores, emitiendo, de ser el caso, las acreditacionescorrespondientes, mismas que deberán ser notificadas al IFAI dentro de los cinco días hábiles siguientes a la emisión de la acreditación correspondienteMantener, ampliar, reducir, suspender, restaurar y revocar la acreditación, de acuerdo con lo previsto en los presentes parámetrosCumplir, en todo momento, con las condiciones y términos conforme a los cuales se le otorgó la autorización como entidad de acreditaciónContar permanentemente con técnicos calificados y con experiencia en el campo de la acreditación, para manejar el tipo, frecuencia y volumen de trabajo oactividades propias en materia de protección de datos personalesPermitir la revisión o verificación de sus actividades por parte del IFAI , así como permitir la presencia de un representante de la autoridad cuando así searequerido en el desarrollo de sus funcionesIntegrar y coordinar el comité de evaluación para la acreditación conforme a la normativa que dicte el IFAIMantener un programa de seguimiento y vigilancia que permita demostrar en cualquier momento que los certificadores acreditados siguen cumpliendo lascondiciones y requisitos que sirvieron de base para su acreditaciónDisponer de procedimientos específicos para resolver las apelaciones, reclamaciones o quejas que presenten las partes afectadas por sus actividades, ymantener registros de las reclamaciones recibidas y soluciones adoptadas respecto a las mismasSalvaguardar, en términos de las disposiciones aplicables, la confidencialidad de la información obtenida en el desempeño de sus actividadesContemplar la posibilidad de participar en organizaciones de acreditación regionales o internacionales en materia de protección de datos personales para laelaboración de criterios y lineamientos sobre la acreditación y el reconocimiento mutuo de las acreditaciones otorgadas
  • Obligaciones de las entidades de acreditación IIPresentar semestralmente un reporte de sus actividades al IFAI que incluya un listado actualizado de los certificadores acreditadosConsiderar los procedimientos y métodos que se establezcan en las normas mexicanas y, en su defecto, las internacionalesPrestar sus servicios en condiciones no discriminatorias y observar las demás disposiciones en materia de competencia económicaEvitar la existencia de conflictos de interés que puedan afectar sus actuaciones y excusarse de actuar cuando existan tales conflictosActuar con imparcialidad, independencia e integridadOperar bajo un sistema de gestión que incluya al menos: •Documentación de los procedimientos •Control de documentos y registros •Revisiones de la dirección y auditorías internas •Acciones correctivas y preventivas •Manejo de quejas y apelaciones;Elaborar un reglamento interno de los comités de evaluación, de conformidad con la normatividad que dicte el IFAI;Expedir un instructivo que establezca las reglas para la utilización del distintivo que identificará a los certificadores acreditados y los responsablescertificadosProporcionar al IFAI la información que solicite, a fin de que éste vigile que se mantenga el estricto apego con las disposiciones legales respecto de laentidad de acreditación con la Ley, el Reglamento, los presentes parámetros, así como cualquier otra normativa aplicable, y las condiciones ytérminos conforme a los cuales fue otorgada la autorización para operar como tal.
  • Información de entidadesacreditadoras que debe mantenerse a disposición pública Información detallada acerca de Descripción de los requisitos los procedimientos que realiza, para la acreditación, incluidos Una descripción detallada de incluidas las condiciones para los requisitos técnicos los derechos y las obligaciones otorgar, mantener, ampliar, específicos para cada sector de de los certificadores reducir, suspender, restaurar y acreditación revocar la acreditación Información sobre los Información detallada sobre los Información sobre sus procedimientos para la procedimientos de evaluación actividades y las limitaciones recepción y tratamiento de que realiza declaradas bajo las cuales opera quejas y apelaciones Información de precios y tarifas
  • Subcontratación en la evaluación La entidad de acreditación deberá revisar su capacidad para llevar a cabo laevaluación a certificadores de manera oportuna sin necesidad de subcontratar servicios. Si fuese necesaria la subcontratación, la entidad de acreditación deberá acreditar frente al IFAI , al momento de solicitar la autorización, que: Cuenta con Asume la mecanismos Cuenta con responsabilidad Cuenta con una para asegurar mecanismos exclusiva parapolítica en la que Asume la que el para asegurar otorgar, se describan las responsabilidad subcontratado y, que el mantener,condiciones bajo de las en su caso, su subcontratado ampliar, reducir,las cuales puede evaluaciones personal, es mantiene la suspender, tener lugar una subcontratadas; competente y confidencialidad restaurar osubcontratación; cumple con los de la revocar la presentes información. acreditación; parámetros, y
  • Criterios de operación para preparar la evaluaciónAntes del inicio de cualquier evaluación por parte de la entidad de acreditación, ésta deberá:Designar formalmente a un equipo de evaluación que conste de un número adecuado de evaluadores para cada alcance específico, los cuales a su vez deberán: Asegurarse de que los miembros del equipo actúen de forma Efectuar una evaluación Tener el conocimiento confiable de la imparcial. apropiado para cumplir competencia de los con las finalidades de la certificadores solicitantes, acreditación así como
  • Criterios de operación para la evaluación in situEn todas las evaluaciones iniciales, la entidad acreditante deberárealizar al menos una visita a la oficina principal del certificadorsolicitante, así como a todas sus demás instalaciones en donde sedesarrolle alguna actividad relacionada con la certificación.Cuando la entidad de acreditación requiera realizar la evaluación enlas instalaciones del certificador solicitante, ésta deberá observar losiguiente:• El equipo de evaluación comenzará con la evaluación in situ con una reunión de apertura en la cual se defina claramente el propósito de la evaluación así como los criterios de acreditación• El equipo de evaluación debe ser testigo del desempeño de un número representativo del personal del organismo de certificación para asegurar la competencia.
  • Hallazgos e informe de evaluación IEl equipo de evaluación debe analizar toda la información y evidencia pertinente recopilada durante la revisión de los documentos, registros y la evaluación in situ. El análisis debe ser suficiente para permitir al equipo de evaluación determinar que el certificador solicitante cuenta con la competencia necesaria para operar. Antes de abandonar las instalaciones del certificador solicitante, debe tener lugar En caso de incumplimientos, debe una reunión entre el equipo de invitarse al certificador solicitante a evaluación y dicho certificador responder el informe de evaluación yLos procedimientos de la entidad de solicitante. Se deberá poner a describir las acciones específicasacreditación deben asegurar que se consideración del mismo un informe por adoptadas o planificadas para sercumpla con los siguientes requisitos: escrito, sobre los resultados de la adoptadas dentro de un tiempo evaluación cuyos contenidos incluirán la determinado para la resolución de competencia, el cumplimiento con los cualquier incumplimiento identificado parámetros, así como la identificación de los incumplimientos, en su caso;
  • Hallazgos e informe de evaluación II La información • La identificación del certificador que los solicitante; evaluadores • Las fechas de evaluación in situ; • El nombre de los evaluadores proporcionen a involucrados en la evaluación;quienes toman las • Información sobre las instalaciones evaluadas; decisiones de • El alcance propuesto de la acreditación que fue evaluado;acreditación debe • El informe de evaluación, y incluir como • En su caso, la respuesta a los incumplimientos identificados en mínimo lo el informe de evaluación. siguiente:
  • Toma de la decisiónAntes de tomar la decisión, La decisión de otorgar o no la entidad de acreditación la acreditación será tomadadeberá asegurarse de que la por el comité de evaluación información es adecuada para la acreditación y la para decidir si se han comisión de acreditación cumplido los requisitos de designada por la entidad de acreditación. acreditación.
  • Plazo para corrección de fallas En caso de no ser favorable la Expirado dicho plazo, se emitirá ladecisión, se otorgará un plazo de decisión definitiva valorándose 90 días naturales al certificador previamente la información ysolicitante para corregir cualquier documentación que éste hubiere falla o inconsistencia que se le aportado, en su caso. hubiere señalado. En caso de que la acreditación no hubiere sido otorgada, cualquier nueva solicitud de acreditación posterior realizada por el mismo solicitante, deberá dar inicio a un nuevo procedimiento de acreditación.
  • Certificado de acreditaciónLa entidad de acreditación debe proporcionar un certificado deacreditación al certificador acreditado, mismo que deberá contener:• La identificación y el logotipo de la entidad de acreditación;• La identificación única del certificador acreditado;• Oficinas que se encuentran amparadas por el certificado de acreditación• La fecha efectiva de otorgamiento de la acreditación, su vigencia, y• Descripción del alcance de la acreditación.La entidad de acreditación debe establecer procedimientos y planes parallevar a cabo evaluaciones periódicas de vigilancia, incluyendoevaluaciones in situ, en intervalos anuales para mantener elcumplimiento continuo por parte de los certificadores.
  • Suspensión de la acreditaciónLas entidades de acreditación deberán suspender la acreditación de certificadorescuando el IFAI así lo requiera de acuerdo a las atribuciones descritas en los presentesparámetros o cuando éstos: • Dejen de cumplir con alguno de los requisitos con base en los cuales se les otorgó la acreditación • No proporcionen a la entidad de acreditación o al IFAI en forma oportuna y completa los informes que le sean requeridos respecto a su funcionamiento y operación • Impidan u obstaculicen las funciones de verificación y vigilancia de la entidad de acreditación o del IFAI • Disminuyan los recursos o la capacidad para emitir certificados al menos por un mes • Emitan documentos donde se hagan constar los resultados de la certificación con información o datos erróneos de manera negligente • No hayan cubierto las cuotas de acreditación, en su casoUna vez que se hayan subsanado en su totalidad las causas que dieron origen a lasuspensión, la acreditación podrá ser restaurada en el periodo previsto por la entidadacreditante dentro sus procedimientos y condiciones, exponiéndose los motivos quejustifican la restauración de la acreditación respectiva.
  • Revocación de la acreditaciónLas entidades de acreditación deberán revocar la acreditación de los certificadores, cuandoel IFAI así lo requiera de acuerdo a la facultades descritas en los presentes parámetros ocuando éstos: • Emitan documentos donde se hagan constar los resultados de la certificación con información o datos falsos; • Nieguen reiterada o injustificadamente el servicio que se les solicite; • Renuncien expresamente a la acreditación concedida para operar; • Se disminuyan los recursos o la capacidad para emitir certificados por más de tres meses consecutivos; • No hayan subsanado las causas que dieron efecto a una suspensión dentro del plazo señalado por la misma • Cuando se violen las disposiciones de la Ley, el Reglamento o los presentes parámetros.Los certificadores, después de haber sido notificados, tendrán el término de cinco díashábiles para manifestar lo que a su derecho convenga a la entidad de acreditación.Concluido dicho término sin que se justifique su actuación, se procederá a la revocacióncorrespondiente.La revocación de la acreditación conllevará la prohibición de ejercer las actividades decertificación y de hacer cualquier alusión a la acreditación, así como la de utilizar cualquiertipo de información o símbolo referente a la misma.
  • Requisitos para solicitar la acreditación como certificador INombre, denominación o razón social del certificador solicitante y de su representante legal, en su caso y la documentación queacredite su personalidad jurídica.Las personas físicas presentarán original y copia para su cotejo, de su identificación oficial y registro federal de contribuyentes, yuna carta bajo protesta de decir verdad de que se encuentran en pleno uso y goce de sus facultades para obligarse en los términosde estos parámetros y que se encuentran en cumplimiento de sus obligaciones fiscales.Las personas morales deberán presentar original y copia para su cotejo del acta constitutiva que acredite que su objeto social estárelacionado con las funciones de certificador, así como designar a un apoderado legal acompañado del documento que lo acreditecomo tal, su registro federal de contribuyentes y carta bajo protesta de decir verdad de que se encuentran en cumplimiento desus obligaciones fiscales.Señalar domicilio o domicilios que pretende utilizar para las actividades relacionadas con la certificación;La descripción de los servicios que pretende prestar y los procedimientos a utilizar, y de las condiciones para otorgar, mantener,ampliar, reducir, suspender, restaurar y revocar la certificación;
  • Requisitos para solicitar la acreditación como certificador IIDescripción de la estructura para operar, e información que acredite que cuenta con los recursos humanos, financieros y tecnológicos, contando con lasresponsabilidades definidas y documentadas que le permitan llevar a cabo las funciones de certificador. Para acreditar los recursos financieros, deberápresentar la documentación que demuestre la solvencia y capacidad de responder a cualquier procedimiento legal derivado de la actividad de certificación.Los recursos humanos destinados a la auditoría de certificación deberán contar con la certificación de por lo menos una entidad de acreditación autorizada;Elementos que le permitan acreditar que mantendrá imparcialidad en sus actividades, es decir, que le impidan tener vínculos con las empresas einstituciones que certifique, que puedan llevar a un conflicto de intereses. En su caso, deberá documentar los posibles conflictos de interés y demostrar queha tomado las acciones para eliminar o minimizar dicha amenaza;Elementos que le permitan asegurar, en términos de la normativa aplicable, la confidencialidad de la información obtenida en el transcurso de lasactividades de certificación;Descripción del sistema de gestión bajo el que operará, mismo que deberá incluir al menos: •Documentación de los procedimientos; •Control de documentos y registros; •Revisiones de la dirección y auditorías internas; •Acciones correctivas y preventivas, y •Manejo de quejas y apelaciones, yElementos que le permitan asegurar que cuenta de manera permanente con personal suficiente con el nivel de experiencia para efectuar sus funciones. Elpersonal responsable de la certificación debe contar con las calificaciones, capacitación y experiencia adecuadas, así como con un conocimiento satisfactoriode los requisitos de la Ley, el Reglamento y las demás disposiciones aplicables en la materia.
  • Obligaciones del certificador I• Resolver las solicitudes de certificación de responsables y encargados que así lo soliciten, emitiendo, de ser el caso, las certificaciones correspondientes, mismas que deberán ser notificadas al IFAI entro de los cinco días hábiles siguientes a la emisión de la certificación correspondiente;• Mantener, ampliar, reducir, suspender, restaurar y revocar la certificación de los responsables y encargados;• Cumplir en todo momento con las condiciones y términos conforme a los cuales se le otorgó la acreditación;• Permitir la revisión o verificación de sus actividades por parte del IFAI o las entidades de acreditación, así como permitir la presencia de un representante de la autoridad cuando así sea requerido en el desarrollo de sus funciones;• Integrar y coordinar los comités de evaluación para la certificación conforme a los lineamientos que dicte el IFAI . En caso de personas físicas, el acreditado asumirá toda la responsabilidad sobre la toma de decisión para la emisión del certificado, por lo que no será necesario conformar un comité, sin embargo los mecanismos que garanticen la imparcialidad deberán ser reforzados;• Mantener un programa de seguimiento y vigilancia que permita demostrar en cualquier momento que los entes certificados siguen cumpliendo las condiciones y requisitos que sirvieron de base para su certificación;• Disponer de procedimientos específicos para resolver las apelaciones, reclamaciones o quejas que presenten las partes afectadas por sus actividades, y mantener registros de las reclamaciones recibidas y soluciones adoptadas respecto a las mismas;• Salvaguardar, en términos de las disposiciones aplicables, la confidencialidad de la información obtenida en el desempeño de sus actividades;• Presentar semestralmente un reporte de sus actividades a la entidad que emitió su acreditación, que incluya un catálogo clasificado y actualizado de los entes certificados;
  • Obligaciones del certificador II• Considerar los procedimientos y métodos que se establezcan en las normas mexicanas y, en su defecto, las internacionales;• Prestar sus servicios en condiciones no discriminatorias y observar las demás disposiciones en materia de competencia económica;• Evitar la existencia de conflictos de interés que puedan afectar sus actuaciones y excusarse de actuar cuando existan tales conflictos;• Actuar con imparcialidad, independencia e integridad;• Operar bajo un sistema de gestión que incluya al menos: – Documentación de los procedimientos; – Control de documentos y registros: – Revisión por la dirección y auditorías internas; – Acciones correctivas y preventivas, y – Manejo de quejas y apelaciones;• Elaborar un reglamento interno de los comités de evaluación, de conformidad con los lineamientos que dicte el IFAI ;• Expedir un instructivo que establezca las reglas para la utilización del distintivo que identificará a los entes certificados, y• Mantener permanentemente actualizada a la entidad de acreditación respecto de las certificaciones que expidan, así como proporcionarles toda la información que le soliciten, a fin de que se vigile el estricto apego con las disposiciones legales respecto del certificador con la Ley, el Reglamento, los presentes parámetros, o cualquier otra normativa aplicable, incluyendo las normas mexicanas, normas o lineamientos internacionales aplicables y las condiciones y términos conforme a los cuales fue otorgada la acreditación para operar como tal.
  • Información que el certificador debe mantener a disposición públicaInformación detallada acerca de los procedimientos que de evaluación y certificaciónque realiza, incluidas las condiciones para otorgar, mantener, ampliar, reducir,suspender, restaurar y revocar la certificaciónDescripción de los requisitos para la certificación, incluidos los requisitos técnicosespecíficos para cada certificaciónInformación sobre los procedimientos para la recepción y tratamiento de quejas yapelacionesInformación sobre sus actividades y las limitaciones declaradas bajo las cuales operaEn su caso, información de precios y tarifas
  • Subcontratación en la evaluaciónEl organismo de certificación deberá revisar su capacidad parallevar a cabo la evaluación solicitada de manera oportuna sinnecesidad de subcontratar servicios.Si fuese necesaria la subcontratación, el certificador deberáacreditar frente a la entidad de acreditación, que el proveedorsubcontratado cuenta con la competencia necesaria.El certificador asumirá la responsabilidad de las operacionessubcontratadas.
  • Criterios de operación del certificador IAuditoría interna, para confirmar la efectividad de las actividades de certificación y el apego a loslineamientos establecidos por la Ley, el Reglamento, los parámetros de autorregulación y cualquier otradisposición aplicable;Solicitud de certificación, incluyendo la recepción, revisión y aprobación o negación de la solicitud;Preparación para la evaluación. Antes del inicio de cualquier evaluación por parte del certificador sedeberá designar formalmente a un equipo de evaluación que cuente con las capacidades necesariaspara realizar la evaluación y asegurar que los miembros del equipo actúen de forma imparcial;Evaluación documental, que consiste en la revisión exhaustiva de que el o los tratamientos que sedesean certificar cumplen con la Ley, el Reglamento y demás disposiciones aplicables;Informe de evaluación documental, donde se mencionan las inconsistencias o irregularidades existentesy, en su caso, el plazo para subsanarlas;
  • Criterios de operación del certificador IIEvaluación In-situ, que deberá realizarse con el objeto de evaluar la implementación y eficacia de los elementos revisados durante laevaluación documental y la atención a las inconsistencias o irregularidades detectadas;Informe de evaluación In-Situ, donde se mencionan las inconsistencias o irregularidades existentes detectadas en la evaluación in-situ y en sucaso el plazo para subsanarlas;Evaluación de seguimiento, que consiste en la revisión de las actividades de atención a las inconsistencias o irregularidades detectadas en laevaluación In-Situ;Emisión de certificado, el cual debe señalar el alcance, sector al que pertenece, la vigencia y las revisiones de vigilancia correspondientes;Evaluación de vigilancia. Durante la vigencia de certificado, el certificador deberá vigilar por lo menos una vez al año que las empresascertificadas mantienen el cumplimiento de los requisitos evaluados, yToma de decisión: Antes de tomar la decisión sobre la certificación, el certificador deberá asegurarse de que la información es adecuada paradecidir si se han cumplido los requisitos para la certificación. La decisión de otorgar o no la certificación, será tomada por el comité deevaluación para la certificación designado por el organismo o por el propio certificador, cuando se trate de persona física.
  • Vigencia y Renovación del certificado Al término de la vigencia, el interesado deberá presentar la Quincuagésimo primero. Las solicitud de renovación certificaciones otorgadas en correspondiente ante elmateria de protección de datos certificador, el cual evaluará la personales, tendrán una pertinencia de concederla de vigencia de dos años. acuerdo con los procedimientos establecidos para tal efecto.
  • Suspensión del certificadoIncumpla con lo previsto en la Ley, el Deje de cumplir con alguno de los Reglamento, los Parámetros, y las requisitos con base en los cuales se demás disposiciones que resulten les otorgó el certificado; aplicables; Causas de suspensión del certificado No proporcione al IFAI en forma Impida u obstaculice las funciones oportuna y completa los informes de verificación y vigilancia delque le sean requeridos respecto a su certificador o del IFAI funcionamiento y operación, o
  • Revocación del certificado Exista falsedad en No dar la información cumplimiento a las presentada en los observaciones reportes realizadas durante posteriores a la los procedimientos solicitud de de certificación o certificación; revisiones; Que el IFAI haya Otras causas graves sancionado al señaladas por el responsable IFAI . certificado, y
  • Tipos y alcance de CertificadosLos certificadores podrán emitir certificaciones específicas porsector, considerando las particularidades del funcionamiento dedicho sector, así como la legislación aplicable en su caso. La certificación podrá realizarse respecto a ciertos tratamientos o a la totalidad de tratamientos que efectúe el responsable. Cuando una entidad de acreditación autorizada o un certificador acreditado tenga poder sustancial en el mercado relevante deberá observar lo dispuesto por la Ley Federal de Competencia Económica, en materia de tarifas, calidad y oportunidad del servicio.
  • Notificación simultáneaLos esquemas de autorregulación vinculante queconvengan los particulares en términos del primer párrafodel artículo 44 de la Ley, serán notificados de manerasimultánea a• las autoridades sectoriales que correspondan• al IFAIPara lo cual el IFAI desarrollará el procedimientocorrespondiente
  • Requisitos para la notificaciónLa notificación de un esquema de autorregulación vinculante deberá hacerse porescrito o a través de los medios habilitados por el IFAI, y debe incluir lo siguiente: • El instrumento legal en el que conste el esquema de autorregulación vinculante, en idioma Español, que se pretende registrar ante el IFAI , incluyendo los contenidos previstos en el Capítulo III de los Parámetros; • Listado de los nombres, denominaciones o razones sociales de los adheridos al esquema, así como de las organizaciones civiles o gubernamentales, nacionales o extranjeras, que hayan convenido el esquema de autorregulación vinculante, en su caso; • Nombre, denominación o razón social del o los administradores del esquema de autorregulación y su domicilio para oír y recibir notificaciones; • En su caso, el alcance y vinculación internacional, considerando esquemas de autorregulación de otros países, regionales o internacionales y su vinculación con esquemas de cooperación transfronteriza entre autoridades; • En el caso de sellos de confianza, deben adjuntarse las características técnicas de los mismos, así como señalar los derechos de propiedad intelectual por los que, en su caso, se encuentren protegidos, y • Información sobre las entidades de auditoría, verificación, certificación o acreditación que intervendrán en los procesos de evaluación de tercera parte, y en la administración de mecanismos alternativos de solución de controversias, en su caso;
  • Esquemas de autorregulación reconocidos por el IFAI En los casos de que el Para que un esquema de esquema de autorregulación autorregulación vinculante No obstante, los vinculante sea sea considerado como tal responsables podrán acordar representativo de unapor el IFAI , en el marco de la otras clases de medidas, industria o sector, o que por Ley, su Reglamento y los mecanismos y esquemas de su grado de especializaciónpresentes parámetros, debe autorregulación en materia así lo requiera, el IFAI podrá notificarse al IFAI y cumplir de protección de datos solicitar la opinión de otras con lo previsto por dichas personales. autoridades o expertos en la disposiciones. materia, para su inscripción en el Registro.
  • Registro de autorregulaciones Los esquemas de autorregulación notificados al IFAI y, de ser procedentes, se inscribirán en el Registro que para tal efecto administre, siempre que reúnan los requisitos previstos en la Ley, El IFAI emitirá las reglas de operación y su Reglamento y los Parámetros. funcionamiento de dicho Registro.