Proteccion de Datos Personales relativa a informacion crediticia bancaria
En el Perú, la Autoridad de Protección de Datos Personales del Ministerio de Justicia ha iniciado procedimiento sancionador a una empresa de créditos de consumo vinculada a una banco, que opera en territorio peruano. Por su importancia hacemos un breve alcance en este Blog Juridico Digital, en base a la información publicada en su portal institucional.
Denuncia
2. Cabe resaltar que el señor reside en un edificio, por lo cual, cualquier notificación física sin un sobre cerrado es entregada, en principio, al portero del referido edificio, donde es de fácil acceso para cualquier otra persona.
3. Es así como en los días 21 y 27 de febrero y 10 de abril de 2023, el Banco le notificó al señor a su domicilio tres requerimientos de pago donde, sin protección alguna, se muestran los datos personales del señor , incluyendo los montos correspondientes al pago adeudado y el total del crédito vehicular , información de carácter personal calificada por la Ley 29733 y su Reglamento como datos sensibles que el Banco ha exhibido sin cuidado alguno frente a terceros hasta en tres oportunidades distintas, perjudicando claramente la reputación e imagen del señor.
Cuestiones en discusión
Para emitir pronunciamiento en el presente caso, se debe determinar lo siguiente:
Si la administrada es responsable por:
Realizar tratamiento de datos personales del denunciante a través de los informarle lo requerido por el artículo 18 de la LPDP; lo cual es un impedimento para el ejercicio del derecho de información del titular de los datos personales, establecido en el Título III de la Ley N.º 29733, con lo cual presuntamente se habría configurado al infracción grave tipificada en el literal a, numeral 2 del artículo 132 del Reglamento de la LPDP.
En el supuesto de resultar responsable, si debe aplicarse la exención de responsabilidad por la subsanación de la infracción, según lo previsto en el numeral 1 del artículo 257 de la LPAG, o las atenuantes, de acuerdo con lo dispuesto en el artículo 126 del Reglamento de la LPDP, en consonancia con el numeral 2 del artículo 257 de la LPAG.
Determinar la multa que corresponde imponer en cada caso, tomando en consideración los criterios de graduación del numeral 3) del artículo 248 de la LPAG, así como la aplicación de la retroactividad benigna como excepción del principio de irretroactividad del numeral 5 del artículo 248 de la LPAG.
Análisis de las cuestiones en discusión
Sobre el presunto tratamiento de datos sin cumplir con las condiciones establecidas para el cumplimiento del derecho deber de información requerido en el artículo 18 de la LPDP 52. La LPDP tiene como objeto, conforme con el artículo 1 fundamental a la protección de los datos personales, previsto en el artículo 2 numeral 6 de la Constitución Política del Perú, a través de su adecuado tratamiento, en un marco de respeto de los demás derechos fundamentales que en ella se reconocen.
Para ello, entre otras disposiciones, señala en el Título III de la LPDP tales derechos: Derecho de información del titular de datos personales (artículo 18 de la LPDP)Derecho de acceso del titular de datos personales (artículo 19 de la LPDP) Derecho de actualización, inclusión, rectificación y supresión (artículo 20 de la LPDP) Derecho a impedir el suministro (artículo 21 de la LPDP) Derecho de oposición (artículo 22 de la LPDP) Derecho al tratamiento objetivo (artículo 22 de la LPDP)
Los citados derechos no se ejercen de la misma manera, puesto que mientras el derecho de acceso, actualización, inclusión, rectificación, supresión, impedimento de suministro y oposición requieren de una solicitud del titular del dato personal; el derecho de información y el derecho sobre el tratamiento objetivo no requieren necesariamente de solicitud alguna, sino que el solo hecho de que el responsable del tratamiento no otorgue los medios para su ejercicio, ya genera una vulneración al bien jurídico protegido.
De la norma citada, se desprende que los titulares de los datos personales tienen derecho a ser informados sobre el tratamiento que se realizará sobre su información personal, debiendo pormenorizarse sobre factores como la identidad y domicilio del titular del banco de datos, la finalidad de la recopilación, los datos personales de obligatoria entrega para efectuar el tratamiento, las consecuencias de proporcionar sus datos personales y de su negativa a hacerlo, la transferencia y destinatarios de los datos personales, el banco de datos en donde se almacenarán los datos personales el tiempo de conservación de los datos personales y el procedimiento para el ejercicio de sus derechos.
Asimismo, el artículo señalado establece las características de validez de tal información, debiendo ser esta detallada, sencilla, expresa, inequívoca y proporcionada de manera previa a su recopilación.
Como correlato del derecho de información, dicho artículo presenta una obligación que debe cumplir el titular del banco de datos personales o responsable del tratamiento, consistente en brindar la información referida en el considerando anterior; tanto en aquellos casos que se encuentre obligado a solicitar el consentimiento del titular del dato personal, de acuerdo al artículo 5 de la LPDP, como en los que no se requiere el consentimiento por existir otra circunstancia de legitimación que exceptúe de tal obligación, de acuerdo al artículo 14 de la LPDP (que solo exonera de la obligación de solicitar el consentimiento, mas no de cumplir con otras disposiciones, como el deber de informar).
Asimismo, para cumplir con permitir el ejercicio de tal derecho, la información señalada en el artículo 18 se debe proporcionar a los titulares de los datos personales de forma previa a la recopilación, es decir, que para el ejercicio de este derecho no se requiere de una solicitud del titular del dato personales, sino una acción del responsable del tratamiento o del encargado (en caso de que este realice la recopilación) que permita el ejercicio de tal derecho, anterior a la recopilación, constituyendo la omisión de tal deber un impedimento de tal derecho.
En el caso del derecho a la información, la sola recopilación de datos personales sin haber cumplido con informar previamente sobre lo señalado en el artículo 18 de la LPDP vulnera el bien jurídico protegido, al implicar un impedimento u obstaculización para el ejercicio del derecho de información, perjudicial para el titular por impedirle conocer cómo se van a utilizar sus datos personales y tener control sobre los mismos; con lo que se subsume en la tipificación mencionada.
Etiquetas: Datos Personales, Derecho Digital, Proceso Administrativo