Fuente: Diario Oficial de la Federación
http://http://www.dof.gob.mx/nota_detalle.php?codigo=5382543&fecha=18/02/2015

2015-02-18

ACUERDO del Pleno del Instituto Federal de Acceso a la Información y Protección de Datos, por el que se aprueba el Proyecto de Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante y se instruye su publicación oficial.

Al margen un sello con el Escudo Nacional, que dice: Estados Unidos Mexicanos.- Instituto Federal de Acceso a la Información y Protección de Datos.

ACUERDO DEL PLENO DEL INSTITUTO FEDERAL DE ACCESO A LA INFORMACIÓN Y PROTECCIÓN DE DATOS, POR EL QUE SE APRUEBA EL PROYECTO DE REGLAS DE OPERACIÓN DEL REGISTRO DE ESQUEMAS DE AUTORREGULACIÓN VINCULANTE Y SE INSTRUYE SU PUBLICACIÓN OFICIAL

El Pleno del Instituto Federal de Acceso a la Información y Protección de Datos, en ejercicio de las atribuciones conferidas en los artículos 6o., apartado A, fracción VIII de la Constitución Política de los Estados Unidos Mexicanos; 38, 39, fracción XII y 44 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 86 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; los numerales 4, fracción XI, 10, 50 y 85, así como el artículo tercero transitorio de los Parámetros de Autorregulación en materia de Protección de Datos Personales y 3, fracciones II y IV, 5, fracciones I y III, 6, 7, 10, 14 y 15, fracciones I, V, y XXII, del Reglamento Interior del referido organismo autónomo, y

CONSIDERANDO

1. Que derivado del Decreto por el que se reforman y adicionan diversas disposiciones de la Constitución Política de los Estados Unidos Mexicanos, en materia de Transparencia (en lo sucesivo el Decreto en materia de transparencia), publicado en el Diario Oficial de la Federación el siete de febrero de 2014, el Instituto Federal de Acceso a la Información y Protección de Datos (IFAI o Instituto) tiene el carácter de organismo constitucional autónomo, especializado, imparcial y colegiado, con personalidad jurídica y patrimonio propios, y es responsable de garantizar el cumplimiento del derecho de acceso a la información y la protección de los datos personales en posesión de los sujetos obligados.

2. Que de conformidad con lo dispuesto en el artículo octavo transitorio del Decreto en materia de transparencia, en tanto el Congreso de la Unión expida las reformas a las leyes respectivas en materia de transparencia, el Instituto Federal de Acceso a la Información y Protección de Datos ejercerá sus atribuciones y competencias conforme a lo dispuesto en el propio Decreto y en la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental.

3. Que de acuerdo con lo señalado en el artículo séptimo transitorio del Decreto en materia de transparencia, en tanto se determina la instancia responsable encargada de atender los temas en materia de protección de datos personales en posesión de los particulares, el organismo garante que establece el artículo 6o. de la Constitución ejercerá las atribuciones correspondientes.

4. Que el párrafo segundo del artículo 16 de la Constitución Política de los Estados Unidos Mexicanos señala que toda persona tiene derecho a la protección de sus datos personales, al acceso, rectificación y cancelación de los mismos, así como a manifestar su oposición al uso de su información personal, en los términos que fije la ley, la cual establecerá los supuestos de excepción a los principios que rijan el tratamiento de datos personales, por razones de seguridad nacional, disposiciones de orden público, seguridad y salud públicas o para proteger los derechos de terceros.

5. Que de conformidad con el artículo 38 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, el Instituto cuenta con atribuciones para difundir el conocimiento del derecho a la protección de datos personales en la sociedad mexicana, para promover su ejercicio y vigilar por la debida observancia de las disposiciones previstas en esa ley y que deriven de la misma; en particular aquéllas relacionadas con el cumplimiento de obligaciones por parte de los sujetos regulados por ese ordenamiento.

6. Que el artículo 43, fracción V, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares prevé la atribución a cargo de la Secretaría de Economía, en coadyuvancia con el Instituto, para fijar los parámetros necesarios para el correcto desarrollo de los esquemas de autorregulación vinculante a que se refiere el artículo 44 de dicho cuerpo normativo, los cuales fueron publicados en el Diario Oficial de la Federación el 29 de mayo 2014, abrogando aquéllos emitidos el 17 de enero de 2013 y sus reformas.

7. Que en términos del referido artículo 44 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, las personas físicas y morales pueden convenir entre ellas o con organizaciones civiles o gubernamentales, nacionales o extranjeras, esquemas de autorregulación vinculante en materia de protección de datos personales, los cuales deben servir como complemento a lo dispuesto por esa ley, su Reglamento y demás disposiciones aplicables.

8. Que en los términos previstos por el último párrafo del artículo 44 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, dichos esquemas de autorregulación vinculante serán notificados de manera simultánea a las autoridades sectoriales correspondientes y al Instituto, en virtud de que dicha notificación resulta necesaria para la validación y reconocimiento de los esquemas de autorregulación vinculante por parte del Instituto.

9. Que los esquemas de autorregulación vinculante notificados ante el Instituto formarán parte del Registro de Esquemas de Autorregulación Vinculante en materia de protección de datos personales que será administrado por el Instituto, siempre que dichos esquemas cumplan con los requisitos establecidos por la Ley, el Reglamento, los Parámetros de Autorregulación en materia de Protección de Datos Personales (Parámetros) y demás normativa aplicable.

10. Que los numerales 10, 50 y 85, así como el artículo tercero transitorio de los Parámetros establecen las atribuciones del Instituto para desarrollar el procedimiento con relación a las notificaciones de esquemas de autorregulación vinculante, así como para emitir las Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante, con apego a lo previsto por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, el Reglamento, los Parámetros, y demás normatividad aplicable a la materia.

11. Que mediante acuerdo del Pleno de este Instituto ACT-PUB/10/09/2014.05, de fecha 10 de septiembre de 2014, dicho órgano colegiado aprobó por unanimidad, el anteproyecto de Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante y la herramienta informática para que dicho anteproyecto fuera sometido al procedimiento de consulta pública previsto por el artículo 10 de la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental, con el objeto de recibir comentarios sobre dicho anteproyecto por parte del público interesado.

12. Que el procedimiento de consulta pública mencionado en el considerando anterior fue realizado del 20 de octubre al 18 de noviembre de 2014, periodo durante el cual fue publicado el anteproyecto de Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante, así como la justificación de la emisión de dicha normativa, a través del sitio de Internet de la herramienta informática creada para tal fin y accesible para todo público a través de la liga http://consultapublica.ifai.mx y del sitio oficial del Instituto www.ifai.org.mx-

13. Que con objeto de difundir la consulta pública e incentivar la participación del público interesado, el Instituto emitió un comunicado de prensa para invitar a la población en general a emitir comentarios a la normativa en cuestión y se realizó una invitación directa a participar en dicha consulta, a aquellos interesados en autorregulación en materia de protección de datos personales, incluyendo a las principales cámaras y asociaciones del país.

14. Que durante el procedimiento de consulta pública fueron recibidos 29 comentarios presentados por parte de cinco particulares.

15. Que este Instituto, a través de la Secretaría de Protección de Datos Personales y la Dirección General de Autorregulación, elaboró el proyecto de Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante, retomando los comentarios emitidos por los particulares durante la consulta pública, que se estimaron procedentes.

16. Que, con objeto de ejercer las atribuciones relacionadas con la emisión y publicación oficial de las Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante, y expedir en tiempo y forma dicha normativa, el Pleno del Instituto Federal de Acceso a la Información y Protección de Datos expide el siguiente:

ACUERDO

PRIMERO.- Se aprueba el proyecto de Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante, cuyo texto forma parte del Anexo ÚNICO de este acuerdo.

SEGUNDO.- Publíquese el presente acuerdo en el Diario Oficial de la Federación y en el sitio de Internet del Instituto Federal de Acceso a la Información y Protección de Datos.

TERCERO.- El presente Acuerdo entrará en vigor al día siguiente de su publicación en el Diario Oficial de la Federación.

Así lo acordó, por unanimidad, el Pleno del Instituto Federal de Acceso a la Información y Protección de Datos, en sesión celebrada el catorce de enero de dos mil quince. Los Comisionados firman al calce para todos los efectos a que haya lugar.

La Comisionada Presidenta, Ximena Puente de la Mora.- Rúbrica.- Los Comisionados: Francisco Javier Acuña Llamas, Areli Cano Guadiana, Óscar Mauricio Guerra Ford, María Patricia Kurczyn Villalobos, Rosendoevgueni Monterrey Chepov, Joel Salas Suárez.- Rúbricas.

ANEXO ÚNICO

El Pleno del Instituto Federal de Acceso a la Información y Protección de Datos, con fundamento en lo dispuesto por los artículos 6, apartado A, inciso VIII y 16, párrafo segundo, de la Constitución Política de los Estados Unidos Mexicanos, 44 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 86 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; 15, fracciones I, V y XXII del Reglamento Interior del Instituto Federal de Acceso a la Información y Protección de Datos; y el numeral 50, así como el artículo tercero transitorio de los Parámetros de Autorregulación en materia de Protección de Datos Personales, y

CONSIDERANDO

Que el párrafo segundo del artículo 16 de la Constitución Política de los Estados Unidos Mexicanos señala que toda persona tiene derecho a la protección de sus datos personales, al acceso, rectificación y cancelación de los mismos, así como a manifestar su oposición al uso de su información personal, en los términos que fije la ley, la cual establecerá los supuestos de excepción a los principios que rijan el tratamiento de datos personales, por razones de seguridad nacional, disposiciones de orden público, seguridad y salud públicas o para proteger los derechos de terceros;

Que el artículo 43, fracción V, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares en lo sucesivo, Ley- prevé la atribución a cargo de la Secretaría de Economía, en coadyuvancia con el Instituto Federal de Acceso a la Información y Protección de Datos en lo sucesivo, Instituto-, para fijar los parámetros necesarios para el correcto desarrollo de los esquemas de autorregulación vinculante a que se refiere el artículo 44 de dicho cuerpo normativo en lo sucesivo, Parámetros-, los cuales fueron publicados en el Diario Oficial de la Federación el 29 de mayo 2014, abrogando aquéllos emitidos el 17 de enero de 2013 y sus reformas;

Que en términos del referido artículo 44 de la Ley, las personas físicas y morales pueden convenir entre ellas o con organizaciones civiles o gubernamentales, nacionales o extranjeras, esquemas de autorregulación vinculante en materia de protección de datos personales, los cuales deben servir como complemento a lo dispuesto por la Ley, su Reglamento y demás disposiciones aplicables;

Que en los términos previstos por el último párrafo del artículo 44 de la Ley, dichos esquemas de autorregulación vinculante serán notificados de manera simultánea a las autoridades sectoriales correspondientes y al Instituto, en virtud de que dicha notificación resulte necesaria para la validación y reconocimiento de los esquemas de autorregulación vinculante por parte del Instituto;

Que los esquemas de autorregulación vinculante notificados ante el Instituto formarán parte del Registro de Esquemas de Autorregulación Vinculante en materia de protección de datos personales que será administrado por el Instituto, siempre que dichos esquemas cumplan con los requisitos establecidos por la Ley, el Reglamento, los Parámetros y demás normativa aplicable;

Que los numerales 10, 50 y 85, así como el artículo tercero transitorio de los Parámetros establecen las atribuciones del Instituto para desarrollar el procedimiento con relación a las notificaciones de esquemas de autorregulación vinculante, así como emitir las Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante, con apego a lo previsto por la Ley, el Reglamento, los Parámetros, y demás normatividad aplicable a la materia;

Que el Pleno del Instituto, en su sesión celebrada el catorce del mes de enero del año dos mil quince, aprobó las siguientes:

REGLAS DE OPERACIÓN DEL REGISTRO DE ESQUEMAS DE AUTORREGULACIÓN VINCULANTE

CAPÍTULO I

Disposiciones Generales

Sección Única

De las generalidades de las Reglas de Operación del Registro de Esquemas de Autorregulación
Vinculante y del Registro

Objeto de las Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante

Artículo 1. Las presentes Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante tienen por objeto definir y describir los aspectos operativos y los procedimientos necesarios para el funcionamiento del Registro de Esquemas de Autorregulación Vinculante en materia de protección de datos personales, previsto por el artículo 86 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y Capítulo V de los Parámetros de Autorregulación en materia de Protección de Datos Personales.

El Registro de Esquemas de Autorregulación Vinculante tiene por objeto organizar, administrar, gestionar, facilitar el acceso y difundir información de interés general relacionada con los siguientes asuntos:

I. Las reglas para adaptar la normativa en materia de protección de datos personales, a las que refiere el Capítulo II de los Parámetros;

II. Los esquemas de autorregulación validados o con certificación reconocida por el Instituto;

III. Las entidades de acreditación autorizadas por la Secretaría, facultadas para acreditar a organismos de certificación en materia de protección de datos personales en términos del Capítulo IV de los Parámetros;

IV. Los organismos de certificación acreditados para otorgar certificaciones en materia de protección de datos personales en el marco de los Parámetros,

V. Las equivalencias de esquemas de autorregulación internacionales, y

VI. Los responsables y encargados que se hayan adherido a algún esquema.

Definiciones

Artículo 2. Para los efectos de estas Reglas, en complemento de las definiciones previstas en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, su Reglamento y los Parámetros de Autorregulación en materia de Protección de Datos Personales, se entenderá por:

I. Administrador: Persona física o moral que coordina el desarrollo de esquemas aplicables a un grupo de responsables o encargados, que está a cargo de realizar las funciones que establece el numeral 47 de los Parámetros;

II. Dirección General: Dirección General de Autorregulación del Instituto;

III. Medidas correctivas: Acciones tomadas para eliminar las causas de una no conformidad detectada u otra situación indeseable;

IV. Reglamento de Ley sobre Metrología: Reglamento de la Ley Federal sobre Metrología y Normalización;

V. Reglas: Reglas de Operación del Registro de Esquemas de Autorregulación Vinculante, y

VI. Sistema de gestión de datos personales o SGDP: Sistema de gestión general para establecer, implementar, operar, monitorear, revisar, mantener y mejorar el tratamiento y seguridad de los datos personales en función del riesgo de los activos y de los principios, deberes y obligaciones previstos en la Ley, demás normativa aplicable y buenas prácticas en materia de protección de datos personales.

Ámbito de aplicación de las Reglas

Artículo 3. Las presentes Reglas serán aplicables en todo el territorio de la República Mexicana para efectos de la notificación, evaluación, validación, reconocimiento, inscripción, modificación y baja de esquemas de autorregulación vinculante y cualquier otro trámite o procedimiento ante el Registro.

Coordinación del Registro

Artículo 4. La coordinación de la administración del Registro y de las evaluaciones de aquellos esquemas de autorregulación vinculante notificados al Instituto corresponde a la Secretaría de Protección de Datos Personales del Instituto, de conformidad con lo previsto por el artículo 24, fracción XXIII del Reglamento Interior del Instituto.

Administración del Registro

Artículo 5. La dirección y administración del Registro, así como la evaluación de los esquemas de autorregulación vinculante que sean notificados al Instituto corresponde a la Dirección General, de conformidad con el artículo 30, fracción VI del Reglamento Interior del Instituto.

Medios para iniciar y dar seguimiento a los trámites ante el Registro

Artículo 6. Los trámites previstos en las presentes Reglas, que deban hacerse ante el Instituto se llevarán a cabo por escrito a través de las oficinas de éste, y en los horarios establecidos para ello.

El Instituto podrá poner a disposición de los interesados, a través de su sitio de Internet, un sistema informático para realizar los trámites relacionados con el Registro.

Gratuidad de los trámites ante el Registro

Artículo 7. Los trámites ante el Registro no tendrán costo alguno.

Trámites de los esquemas de autorregulación vinculante ante el Instituto

Artículo 8. Los trámites relacionados con la validación y reconocimiento de esquemas de autorregulación vinculante serán desarrollados en los Capítulos II y III de las presentes Reglas, respectivamente.

Los aspectos relacionados con el desarrollo, la notificación, los trámites e inscripción en el Registro de las reglas para adaptar la normativa aplicable en materia de protección de datos personales a la realidad y actividades de un sector en particular, a las que se refiere el numeral 9, fracción I, y el Capítulo II de los Parámetros, serán fijados de forma conjunta por el Instituto y otros interesados, de conformidad con lo dispuesto por el segundo párrafo del numeral 42 de los Parámetros.

Coordinación entre esquemas de autorregulación reconocidos internacionalmente

Artículo 9. Para facilitar la coordinación entre esquemas de autorregulación, este Instituto podrá admitir esquemas de autorregulación desarrollados y reconocidos fuera del territorio mexicano y darles publicidad a través del Registro, previa valoración del propio Instituto de sus elementos y grado de equivalencia con la normativa mexicana aplicable en la materia. Dicha valoración podrá ser iniciada por el Instituto de oficio o a petición de parte.

El Instituto, a través del Registro, deberá identificar plenamente el alcance específico del esquema de autorregulación en cuestión, con el objeto de que sea posible ubicar el grado de equivalencia de éste con la normativa mexicana aplicable en la materia.

Notificaciones realizadas por el Instituto a través de medios electrónicos

Artículo 10. Las notificaciones que realice el Instituto y que no deban ser realizadas de manera personal o a través de correo certificado, de conformidad con la normativa aplicable, podrán ser realizadas por medios electrónicos a través de correo electrónico o del sistema informático que para tal efecto habilite el Instituto, salvo en los casos en los que el interesado señale expresamente su oposición.

Para ello, el personal que designe el responsable o encargado, el administrador del esquema de autorregulación vinculante, la entidad de acreditación o el organismo de certificación, en su caso, proporcionará al Instituto una dirección de correo electrónico al momento de iniciar cualquiera de los trámites previstos en los Parámetros o en las presentes Reglas, así como cualquier otra información que se requiera para la comunicación eficiente en el sistema informático.

Opinión o recomendación de autoridades sectoriales

Artículo 11. En caso de requerirla, el Instituto podrá solicitar la opinión o información de alguna autoridad sectorial de acuerdo con lo establecido en el numeral 12 de los Parámetros.

Para ello, el Instituto establecerá el plazo para que la autoridad consultada responda la solicitud. Transcurrido el plazo fijado sin que el Instituto reciba contestación de la autoridad sectorial que corresponda, resolverá lo que proceda considerando los elementos de los cuales disponga y concluirá el trámite respectivo.

Prevención por parte del Instituto

Artículo 12. Cuando cualquier notificación que se deba hacer al Instituto no contenga los datos o no cumpla con los requisitos previstos en los Parámetros y en las presentes Reglas, el Instituto podrá prevenir al interesado, en un plazo de diez días contados a partir del día siguiente al que se haya recibido la notificación correspondiente, para que subsane la omisión existente dentro de los cinco días siguientes a que le haya sido notificada la prevención.

Transcurrido el plazo correspondiente sin desahogar la prevención, el trámite será desechado y el Instituto iniciará las acciones a que haya lugar.

El plazo para que el Instituto concluya el trámite respectivo se interrumpirá con la prevención, y empezará a contabilizarse a partir del día inmediato siguiente a aquél en que el interesado atienda la prevención.

Requerimientos de información

Artículo 13. El Instituto podrá requerir información adicional a los solicitantes o la Secretaría en los trámites previstos en las presentes Reglas, siempre y cuando dicha información esté relacionada con el trámite en cuestión y sea oportuna para que el Instituto cuente con mayores elementos para resolver. En la notificación correspondiente, el Instituto establecerá el plazo para que el interesado responda el requerimiento, el cual no podrá ser menor de cinco días.

El plazo para que el Instituto resuelva el trámite en cuestión se suspenderá con el requerimiento, y se reanudará a partir del día siguiente a aquél en el que el interesado conteste o concluya el plazo que tenía para hacerlo.

La falta de respuesta a los requerimientos de información no podrá ser causa de desechamiento del trámite en cuestión.

Notificación de cambios a los afectados

Artículo 14. Los administradores, las entidades de acreditación y los organismos de certificación, deberán hacer del conocimiento, según corresponda, de los adheridos, los organismos de certificación acreditados y los responsables o encargados que cuenten con alguna certificación reconocida, cualquier cambio, incluida la baja o cancelación, que afecte a los esquemas con validación, a la acreditación del organismo de certificación correspondiente o a los esquemas con certificación reconocida, así como sus alcances, en el plazo que establezca el Instituto.

Asimismo, los administradores, las entidades de acreditación y los organismos de certificación deberán hacer del conocimiento del Instituto el cumplimiento a la notificación señalada en el párrafo que antecede, dentro de los primeros cinco días siguientes a la realización de la notificación correspondiente.

CAPÍTULO II

De los trámites de los esquemas con validación o que soliciten la validación del Instituto

Sección Primera

Disposiciones comunes de los trámites de los esquemas con validación o que soliciten validación del
Instituto

Notificación al Instituto de los esquemas que soliciten la validación

Artículo 15. Los esquemas que convengan los particulares en términos del primer párrafo del artículo 44 de la Ley, que soliciten la validación del Instituto, así como sus modificaciones y bajas, deberán ser notificados al Instituto.

Los esquemas señalados en el párrafo anterior, también deberán ser notificados a las autoridades sectoriales correspondientes, en términos del último párrafo del artículo 44 de la Ley, bajo el procedimiento que, en su caso, establezca cada autoridad.

El administrador, el responsable o encargado deberá hacer del conocimiento del Instituto la notificación del esquema que realice ante las autoridades sectoriales correspondientes.

Persona obligada a realizar la notificación ante el Instituto

Artículo 16. La obligación de realizar la notificación de la existencia, modificación o baja de los esquemas con validación o que soliciten la validación del Instituto, recae en el responsable o encargado, quien podrá realizar dicha notificación a nombre propio o a través de su representante legal.

En el caso de responsables o encargados personas físicas que realicen notificaciones al Instituto a nombre propio, éstos deberán presentar copia de su identificación oficial vigente y original para su cotejo.

En el caso de que la notificación se realice a través del representante legal del responsable o encargado adherido, se deberá presentar:

I. Copia de la identificación oficial vigente del responsable o encargado persona física, en su caso, y original para su cotejo;

II. Copia de la identificación oficial vigente del representante legal y original para su cotejo, y

III. Copia de la escritura pública del poder otorgado al representante legal y original para su cotejo, o carta poder original sólo en el caso de que el responsable o encargado adherido sea persona física.

En el caso de esquemas aplicables a un grupo de responsables o encargados, la obligación de realizar la notificación de la existencia, modificación o baja de los esquemas con validación o que soliciten la validación del Instituto recaerá en el administrador, de conformidad con lo previsto en el numeral 47, fracción II, de los Parámetros.

Acreditación del administrador

Artículo 17. El administrador deberá acreditar dicha calidad ante el Instituto, presentando la siguiente documentación:

I. Escrito libre firmado por el administrador tratándose de persona física, o por representante legal en caso de ser persona moral, donde se solicite su reconocimiento como administrador de determinado esquema, por parte del Instituto;

II. Copia de la identificación oficial vigente del administrador cuando sea persona física, o de su representante legal en caso de ser persona moral, y original para su cotejo;

III. Copia de la escritura pública del poder otorgado al representante legal del administrador, en caso de que éste sea persona moral, y original para su cotejo;

IV. Copia del documento que acredite el poder otorgado al administrador, para actuar en tal carácter, así como original para su cotejo, entre ellos:

a. Escritura pública del poder otorgado al administrador por los adheridos de determinado esquema, o

b. Documento en el cual se acredite la calidad de administrador del esquema de que se trate, y

V. Carta responsiva original firmada por el administrador tratándose de persona física, o su representante legal en caso de ser persona moral, en donde el administrador manifiesta su conformidad con las funciones adquiridas en su carácter de administrador de determinado esquema con validación o que solicite la validación del Instituto, en términos numeral 47 de los Parámetros.

La documentación señalada deberá ser presentada al momento en el que se notifique un esquema que solicite validación ante el Instituto. El Instituto emitirá el acuerdo a través del cual, en su caso, se tenga por acreditada la calidad de administrador y el nombre de usuario y contraseña para acceder al sistema informático que, en su caso, habilite.

Cualquier notificación de modificación o cancelación de administrador será considerado como una notificación de modificación al esquema de autorregulación vinculante y deberá seguir el procedimiento previsto para ello.

Trámites que derivan de la notificación

Artículo 18. La notificación al Instituto de la existencia, modificación o baja de un esquema con validación o que solicite la validación del Instituto dará inicio, según corresponda, a cualquiera de los siguientes trámites:

I. Validación del esquema y su inscripción en el Registro;

II. Modificación del esquema en el Registro, y

III. Baja del esquema en el Registro.

Los trámites de validación, modificación y baja señalados podrán ser realizados a través de los medios descritos en el artículo 6 de las presentes Reglas.

Evaluación de los esquemas validados o que soliciten validación del Instituto

Artículo 19. Para determinar la procedencia de la validación o modificación de un esquema de autorregulación, el Instituto evaluará los elementos presentados por el solicitante para llevar a cabo el trámite respectivo, y emitirá una resolución sobre el particular, según corresponda, salvo en los casos en los que no sea necesaria una evaluación, de acuerdo con lo establecido en las presentes Reglas.

Cuando haya sido procedente la validación de un esquema de autorregulación o de alguna modificación al mismo, la resolución correspondiente será publicada en el Registro.

Causales de desechamiento

Artículo 20. La solicitud de validación o modificación de un esquema será desechada cuando:

I. El Instituto no sea competente;

II. El Instituto haya evaluado anteriormente la misma solicitud, con exactos contenidos, y haya resuelto en definitiva;

III. Se trate de una solicitud notoriamente maliciosa o improcedente;

IV. La solicitud no reúna todos los requisitos exigidos en los Parámetros y en las presentes Reglas, o

V. Se encuentre en trámite una solicitud idéntica.

Causales de sobreseimiento

Artículo 21. La solicitud de validación o modificación de un esquema será sobreseída cuando:

I. El solicitante fallezca, o tratándose de persona moral, ésta se disuelva;

II. El interesado se desista expresamente de su solicitud;

III. Cuando iniciado el trámite de validación o modificación, sobrevenga una causal de improcedencia, o

IV. Por cualquier motivo quede sin materia el trámite.

Sección II

De la validación de los esquemas notificados ante el Instituto

Trámite de validación del esquema ante el Instituto

Artículo 22. La notificación al Instituto de la existencia de un esquema que solicite su validación, dará inicio al trámite de validación ante dicha autoridad y su inscripción en el Registro.

Para la validación de un esquema y su inscripción en el Registro será necesaria la evaluación previa por parte del Instituto, con objeto de que éste determine si el esquema cumple o no con lo previsto por la Ley, el Reglamento, los Parámetros, las presentes Reglas y demás normativa aplicable.

Requisitos del trámite de validación del esquema y su inscripción en el Registro

Artículo 23. De conformidad con lo previsto en los numerales 14 y 38 de los Parámetros, la notificación de la existencia de un esquema que solicite la validación del Instituto, deberá incluir:

I. La denominación del esquema;

II. Nombre completo, denominación o razón social de los responsables o encargados que han decidido adherirse o adoptar el esquema, al momento de la presentación de la solicitud de validación;

III. Nombre completo, denominación o razón social del administrador del esquema, así como la documentación prevista en el artículo 17 de las presentes Reglas;

IV. Sector o actividad a la que aplica el esquema;

V. Alcance del esquema de acuerdo con el numeral 13 de los Parámetros, es decir, si es total o parcial y en este último caso a qué principios, deberes y obligaciones aplica;

VI. Ámbito personal de aplicación, es decir, el tipo o grupo de titulares cuyos datos personales están vinculados con el tratamiento al que aplica el esquema;

VII. El contenido del SGDP, con lo dispuesto en los numerales 16 al 37 de los Parámetros;

VIII. Datos de contacto o un medio habilitado con fines de difusión del esquema;

IX. En su caso, los mecanismos alternativos de solución de controversias que aplicarán en el esquema;

X. En su caso, el distintivo que identifique a los responsables o encargados adheridos o al esquema en cuestión, sus características particulares y las reglas de su uso;

XI. En su caso, las disposiciones relativas al alcance y vinculación internacional del esquema;

XII. En su caso, cualquier otro contenido potestativo que se incluya en el esquema, y

XIII. El correo electrónico y el domicilio, para oír y recibir notificaciones, de conformidad con el artículo 10 de las presentes Reglas.

De manera adicional, de conformidad con lo dispuesto por el numeral 46 de los Parámetros, cuando se trate de un esquema aplicable a grupos de responsables y encargados, la notificación deberá incluir:

I. Los requisitos y el procedimiento de adhesión al esquema y de renovación y terminación de la adhesión;

II. Las sanciones y/o medidas correctivas previstas en caso de no conformidades por parte de los adheridos, y

III. Los medios por los cuales se comunicará a los interesados cualquier aspecto relacionado con el esquema, incluidas las modificaciones al mismo.

La notificación deberá ir acompañada de un dispositivo de almacenamiento electrónico con la información referida anteriormente, en formato electrónico, salvo que dicha notificación sea realizada a través del sistema informático que, en su caso, habilite el Instituto.

Plazo para subsanar aspectos que pudieren derivar en una negativa de la validación

Artículo 24. En caso de que el Instituto identifique aspectos en el esquema que pudieran derivar en la negativa de su validación y, por lo tanto, de su inscripción en el Registro, el Instituto podrá establecer un plazo no menor a diez días para que el solicitante subsane dichos aspectos y aporte al Instituto elementos que acrediten ese hecho.

El solicitante, en caso de así requerirlo, podrá solicitar prórroga por escrito al Instituto por una sola vez, justificando lo anterior.

El plazo para que el solicitante subsane dichos aspectos suspenderá el plazo para que el Instituto emita la determinación correspondiente, el cual se reanudará a partir del día inmediato siguiente a aquél en el que el solicitante responda, o el plazo para hacerlo concluya.

Resolución sobre la procedencia de la validación de un esquema

Artículo 25. El Instituto resolverá sobre la procedencia de la validación de un esquema y sobre su inscripción en el Registro, después de realizar la evaluación correspondiente, en un plazo de tres meses contados a partir del día siguiente a la recepción de la notificación de la existencia del esquema. Este plazo podrá ampliarse hasta por un periodo igual cuando existan razones que lo justifiquen siempre y cuando éstas le sean notificadas al solicitante.

El Instituto resolverá sobre la procedencia de la validación de un esquema de autorregulación vinculante emitiendo una resolución fundada y motivada, en la cual:

I. Se deseche la solicitud por improcedente;

II. Se sobresea;

III. Se valide el esquema notificado y se instruya a su inscripción en el Registro, o

IV. Se niegue su validación y, por tanto, su inscripción en el Registro.

Notificación de la resolución de validación de un esquema

Artículo 26. Una vez emitida la resolución sobre la procedencia de validación, el Instituto la notificará al administrador, al responsable o encargado dentro de los diez días posteriores a la emisión de la misma.

Inscripción del esquema con validación en el Registro

Artículo 27. En caso de que la resolución del Instituto valide el esquema, se asignará un número único de registro y se procederá a su inscripción y publicación en el Registro, dentro de los diez días posteriores a la emisión de la misma.

De las constancias de validación

Artículo 28. El Instituto expedirá una constancia de validación, la cual será notificada al solicitante. Dicha constancia indicará, al menos:

I. El nombre del esquema;

II. El ámbito material y personal del esquema, de conformidad con los numerales 13 y 14, fracciones III, IV y V, de los Parámetros;

III. La fecha de validación del esquema y su inscripción en el Registro, y

IV. El número único de registro.

Notificación de la operación del esquema

Artículo 29. Una vez que el esquema validado por el Instituto esté operando o sea implementado por los responsables o encargados, el administrador, el responsable o encargado deberá hacerlo del conocimiento del Instituto, para que se publique ese hecho en el Registro, dentro de los diez días posteriores a la recepción de la notificación.

Tratándose de esquemas que apliquen a grupos de responsables o encargados, el administrador deberá informar al Instituto cuando cada responsable o encargado adherido haya implementado el esquema.

En el caso de que el esquema se encuentre operando al momento de la presentación de la solicitud de validación, el administrador, responsables o encargado deberá informar sobre ese hecho en la solicitud.

Sección III

Modificaciones del esquema con validación

Trámite de modificación del esquema con validación

Artículo 30. Las modificaciones a cualquier contenido de los esquemas con validación previstos en las Secciones II y III del Capítulo I y en el Capítulo III de los Parámetros, y por el artículo 28 de las presentes Reglas, incluidos los cambios de administrador, de adheridos, de información relacionada con el distintivo y de medidas correctivas y sanciones impuestas a adheridos, que deban hacerse públicas, deberán ser notificados al Instituto por las personas previstas para hacer notificaciones en el artículo 16 de las presentes Reglas. Esta notificación dará inicio al trámite de modificación del esquema en el Registro.

Las propuestas de modificación al esquema deberán ser notificadas al Instituto previo a que se lleven a cabo, salvo en los casos que no sea posible notificarlas con anterioridad, en cuyo caso la notificación se deberá hacer en un plazo máximo de cinco días posteriores a la fecha en que haya tenido lugar. Las modificaciones que deban ser notificadas con anterioridad no podrán aplicarse en tanto el Instituto no emita la resolución de procedencia o acuerdo, en su caso.

Requisitos del trámite de modificación del esquema con validación

Artículo 31. La notificación de la modificación de un esquema con validación deberá incluir:

I. El nombre y número único de registro del esquema que se modifica;

II. Las modificaciones propuestas al esquema, los motivos de las modificaciones, así como la fecha en que pretenden hacerse efectivas o se hicieron efectivas, y

III. La documentación necesaria para acreditar la modificación, en su caso.

La notificación deberá ir acompañada de un dispositivo de almacenamiento electrónico con la información referida en los numerales I y II anteriores, en formato electrónico, salvo que dicha notificación sea realizada a través del sistema informático que, en su caso, habilite el Instituto.

Las modificaciones propuestas deberán cumplir, en todo momento, con los requisitos establecidos en la Ley, el Reglamento, los Parámetros, las presentes Reglas y demás normativa aplicable.

Modificaciones que no requieren de evaluación por parte del Instituto

Artículo 32. No será necesaria la evaluación de las modificaciones a un esquema con validación cuando las modificaciones notificadas al Instituto no afecten de manera sustantiva el contenido del esquema.

El Instituto será quien determine, mediante acuerdo, que las modificaciones propuestas no son sustantivas, el cual se deberá emitir dentro de los diez días siguientes a la presentación de la solicitud de autorización de modificación.

El acuerdo que emita el Instituto se notificará al solicitante, dentro de los diez días siguientes a su emisión.

Cuando el acuerdo autorice la modificación, éste se publicará en el Registro y, en su caso, se harán las actualizaciones de contenidos que correspondan, en el plazo señalado en el párrafo anterior.

Plazo para subsanar aspectos que pudieren derivar en la negativa de una autorización de la modificación de un esquema con validación

Artículo 33. En caso de que el Instituto identifique elementos en la modificación propuesta del esquema que pudieran derivar en la negativa de la autorización de dicha modificación, el Instituto podrá establecer un plazo no menor a diez días para que el solicitante subsane lo solicitado por el Instituto y lo acredite.

El solicitante, en caso de así requerirlo, podrá solicitar prórroga por escrito al Instituto por un una sola vez, justificando lo anterior.

Resolución sobre la procedencia de la modificación de un esquema con validación

Artículo 34. En los casos en los que haya sido necesaria la evaluación de las modificaciones por parte del Instituto, éste resolverá en el plazo de tres meses y emitirá una resolución fundada y motivada, en la cual:

I. Se deseche la solicitud de modificación por improcedente;

II. Se sobresea;

III. Autorice todas las modificaciones del esquema de autorregulación vinculante;

IV. Autorice algunas modificaciones del esquema de autorregulación vinculante y niegue otras, o

V. Niegue todas las modificaciones del esquema de autorregulación vinculante.

Notificación de la resolución de la solicitud de autorización de modificación

Artículo 35. Una vez emitida la resolución sobre la procedencia de la modificación del esquema, el Instituto la notificará al administrador, al responsable o encargado, dentro de los diez días posteriores a la emisión de la misma.

Constancia de la resolución en el Registro

Artículo 36. En caso de que la resolución del Instituto autorice la modificación del esquema, ésta se publicará en el Registro, dentro de los diez días posteriores a su emisión.

De la modificación de las constancias de validación

Artículo 37. En caso de que la resolución del Instituto autorice la modificación de algún elemento contenido en la constancia de validación de un esquema, el Instituto expedirá una nueva constancia de validación que se le entregará al administrador, al responsable o encargado, en la que se indicará al menos la información prevista en el artículo 28 de las presentes Reglas, debidamente modificada y actualizada, la cual reemplazará la constancia de validación que fue modificada.

De la notificación del nuevo esquema

Artículo 38. En caso de que la resolución del Instituto autorice la modificación del esquema, el administrador, responsable o encargado deberán notificar al Instituto el texto del esquema actualizado con las modificaciones autorizadas, cuando las mismas ya estén en operación, en los términos establecidos en la resolución.

Sección IV

Baja de un esquema con validación por petición del interesado

Notificación de la terminación de un esquema con validación

Artículo 39. En caso de que un esquema con validación deje de tener aplicación, la persona designada para realizar notificaciones al Instituto deberá notificarle este hecho, en un plazo no mayor a diez días posteriores a que deje de estar vigente el esquema, y solicitar la baja del mismo en el Registro.

Requisitos del trámite de baja del esquema con validación

Artículo 40. La notificación de la baja de un esquema con validación deberá incluir:

I. El nombre y número único de registro respecto del esquema del cual se solicita la baja, y

II. Los motivos por los que el esquema deja de tener aplicación.

Baja de un esquema con validación en el Registro

Artículo 41. El Instituto emitirá el acuerdo correspondiente a la baja del esquema y publicará la información relacionada con la misma dentro de los cinco días posteriores a la notificación de la baja por parte del administrador, responsable o encargado.

Notificación a los adheridos de la baja de un esquema con validación

Artículo 42. Una vez dado de baja un esquema con validación aplicable a una pluralidad de responsables o encargados en el Registro, el administrador del mismo deberá hacer del conocimiento de los adheridos esta situación en el plazo que establezca el Instituto en el acuerdo correspondiente.

Cuando sea posible, el administrador dará aviso a los adheridos sobre la futura baja de un esquema de autorregulación, previo a que este hecho ocurra.

Consecuencias de la baja de un esquema con validación

Artículo 43. El responsable, encargado o administrador de un esquema con validación dado de baja del Registro, se abstendrá de hacer referencia o publicitar dicho esquema como validado por el Instituto.

Sección V

Baja de un esquema con validación por incumplimiento

Del procedimiento de baja

Artículo 44. Cuando el Instituto presuma algún incumplimiento a los términos en que fue emitida la validación de un esquema, iniciará el procedimiento de baja del esquema del Registro.

El procedimiento de baja iniciará con la notificación por parte del Instituto al administrador, responsable o encargado, de las causas con base en las cuales estima procedente dar de baja el esquema del Registro.

El administrador, responsable o encargado contará con un plazo de quince días contados a partir del día siguiente a aquél en que se le haya hecho la notificación a la que refiere el párrafo anterior, para manifestar lo que a su derecho convenga y aportar la documentación que estime procedente ante el Instituto.

Recibidas las manifestaciones y documentación presentadas, el Instituto, en un plazo máximo de dos meses contados a partir de que aquéllas sean presentadas, las valorará y, de conformidad con el segundo párrafo del numeral 48 de los Parámetros, podrá emitir recomendaciones para que las acciones u omisiones que generen el incumplimiento detectado sean subsanadas. Este plazo podrá ampliarse por un periodo igual, cuando existan razones que lo motiven y sea notificado al administrador, responsable o encargado.

En las recomendaciones emitidas por el Instituto, se dará un plazo para que el administrador, responsable o encargado:

I. Informe al Instituto las acciones que realizará para cumplir con las recomendaciones notificadas, o

II. Manifieste lo que a su derecho convenga y aporte la documentación que estime conveniente, a fin de justificar la imposibilidad de cumplir con las recomendaciones emitidas por el Instituto.

El administrador, responsable o encargado podrá solicitar al Instituto la ampliación del plazo para el cumplimiento de las recomendaciones.

Una vez vencido el plazo para el cumplimiento de las recomendaciones o recibidas y valoradas las manifestaciones y documentación presentadas, el Instituto emitirá un acuerdo para que el administrador, responsable o encargado presente alegatos en un plazo máximo de cinco días, contando a partir de aquél en que haya sido notificado el acuerdo.

El Instituto emitirá una resolución dentro del mes siguiente al que haya recibido alegatos o se haya vencido el plazo para recibirlos, en la que:

I. Restaure la validación del esquema y su inscripción en el Registro;

II. Determine la baja de la validación del esquema y su inscripción en el Registro, o

III. Emita nuevas recomendaciones con un plazo único para su cumplimiento.

Vencido el plazo al que refiere la fracción III anterior, el Instituto emitirá una nueva resolución en la que determine procedente la restauración de la validación y su inscripción en el Registro, o bien la baja del esquema en el Registro.

Constancia en el Registro de los esquemas cuya validación se encuentra sujeta al cumplimiento de recomendaciones del Instituto

Artículo 45. Durante el desarrollo del procedimiento de baja, el Instituto publicará en el Registro que la validación del esquema en cuestión se encuentra sujeta a dicho procedimiento.

El administrador del esquema deberá notificar que la validación del mismo se encuentra sujeta al cumplimiento de recomendaciones del Instituto, a todos aquellos responsables o encargados que se encuentren adheridos al esquema de autorregulación, tan pronto este hecho sea de su conocimiento.

Una vez que el Instituto haya emitido la resolución correspondiente, ésta se publicará en el Registro con sus respectivos efectos.

CAPÍTULO III

De los trámites relacionados con el sistema de certificación en materia de protección de datos
personales y el Registro

Sección I

Disposiciones comunes de los trámites relacionados con el sistema de certificación en materia de
protección de datos personales

Notificaciones derivadas del sistema de certificación en materia de protección de datos personales

Artículo 46. Los esquemas, prácticas y herramientas tecnológicas con certificaciones, que soliciten el reconocimiento del Instituto, así como sus modificaciones, suspensiones y cancelaciones, deberán ser notificados al Instituto.

Los esquemas certificados también deberán notificarse a las autoridades sectoriales correspondientes, en términos del último párrafo del artículo 44 de la Ley.

El organismo de certificación deberá hacer del conocimiento del Instituto la notificación de certificados que se realicen ante las autoridades sectoriales correspondientes.

Lo relacionado con las notificaciones derivadas del sistema de certificación en materia de protección de datos personales se regirá de conformidad con lo previsto por el Capítulo IV de los Parámetros y por el presente capítulo de las Reglas.

Persona obligada a realizar la notificación ante el Instituto

Artículo 47. Las notificaciones al Instituto, que realicen las entidades de acreditación y los organismos de certificación que sean personas morales, de conformidad con las presentes Reglas, se llevarán a cabo a través de su representante legal. Las notificaciones al Instituto que realicen los organismos de certificación que sean personas físicas, de conformidad con las presentes Reglas, podrán realizarse a nombre propio o por medio de representante legal.

Cuando se realice alguna notificación ante el Instituto a través de un representante legal, se deberá presentar, además de la documentación prevista para cada trámite, lo siguiente:

I. Copia de la identificación oficial de la persona física que funja como organismo de certificación, en su caso, y original para su cotejo;

II. Copia de la identificación oficial del representante legal de la entidad de acreditación u organismo de certificación, y original para su cotejo, y

III. Copia de la escritura pública del poder otorgado al representante legal de la entidad de acreditación u organismo de certificación y original para su cotejo, o carta poder original sólo en los casos en que el organismo de certificación sea una persona física.

En el caso de organismos de certificación que sean personas físicas y realicen notificaciones al Instituto a nombre propio, deberá presentarse copia de su identificación oficial vigente y original para su cotejo.

Para las notificaciones que deba realizar la Secretaría de Economía, de conformidad con los Parámetros, deberán hacerse a través de servidor público con facultades previstas el ordenamiento legal establecido.

Sección II

Del reconocimiento a las entidades de acreditación autorizadas

Notificación al Instituto de autorizaciones a entidades de acreditación en materia de protección de datos

Artículo 48. Cuando en términos de lo establecido por el numeral 61 de los Parámetros, sea autorizada una entidad de acreditación en materia de protección de datos personales, la Secretaría de Economía notificará ese hecho al Instituto, de conformidad con los numerales 62 y 63 de los Parámetros, para el reconocimiento de dicha autorización.

Reconocimiento de las autorizaciones como entidades de acreditación e inscripción en el Registro

Artículo 49. Una vez que la Secretaría de Economía haya notificado al Instituto el otorgamiento de una autorización a una persona moral para operar como entidad de acreditación, el Instituto procederá a su reconocimiento e inscripción en el Registro, siempre que cumpla con los requisitos establecidos en los numerales 61 y 63 de los Parámetros, y siempre y cuando dicha entidad de acreditación, haya establecido y se comprometa a mantener, procedimientos y mecanismos que garanticen su imparcialidad e independencia; de forma que le impidan tener vínculos con quienes acredite, que pueda llevar a un conflicto de intereses. En su caso, deberá documentar los posibles conflictos de interés y demostrar que ha tomado las acciones para eliminar o minimizar dicha amenaza.

Asimismo, el Instituto asignará un número único de registro y publicará la información relacionada con dicha entidad de acreditación, de conformidad con numeral 88, fracción IV, de los Parámetros, dentro de los diez días siguientes a la notificación correspondiente.

Reporte anual de las entidades de acreditación

Artículo 50. El reporte anual al que refiere el numeral 65, fracción IV, de los Parámetros, deberá presentarse dentro de los primeros diez días del mes de marzo y corresponderá al reporte de los meses de enero a diciembre del año inmediato anterior.

Sección III

Suspensión de las autorizaciones de entidades de acreditación

Notificación al Instituto de la suspensión de autorizaciones a entidades de acreditación en materia de protección de datos

Artículo 51. Cuando una autorización otorgada a una entidad de acreditación en materia de protección de datos personales, sea suspendida en términos de la Ley Federal sobre Metrología y Normalización, la Secretaría de Economía notificará al Instituto ese hecho, de conformidad con lo establecido por los numerales 62 y 63 de los Parámetros.

Efectos en el Registro de la notificación de la suspensión de la autorización de una entidad de acreditación

Artículo 52. El Instituto hará constar la suspensión de la autorización de una entidad de acreditación en el Registro, siempre que cumpla con el numeral 63 de los Parámetros, y publicará la información relacionada con dicha suspensión, dentro de los cinco días siguientes a partir de que tenga conocimiento de la suspensión, considerando lo previsto por el numeral 88, fracción IV, de los Parámetros.

Cuando alguna autorización que haya sido suspendida sea posteriormente restaurada, este hecho se hará constar en el Registro y se publicará la información relacionada con dicha restauración, dentro de los cinco días siguientes a que el Instituto tenga conocimiento del hecho por parte de la Secretaría de Economía, considerando lo previsto por el numeral 88, fracción IV, de los Parámetros.

Sección IV

Revocación de las autorizaciones de entidades de acreditación

Notificación al Instituto de la revocación de autorizaciones a entidades de acreditación en materia de protección de datos

Artículo 53. Cuando una autorización otorgada a una entidad de acreditación en materia de datos personales, sea revocada en términos de la Ley Federal de Metrología y Normalización, la Secretaría de Economía notificará al Instituto ese hecho, de conformidad con lo establecido por los numerales 62 y 63 de los Parámetros.

Efectos en el Registro de la notificación de la revocación de la autorización de una entidad de acreditación

Artículo 54. El Instituto hará constar la revocación de la autorización de una entidad de acreditación en el Registro, siempre que cumpla con lo establecido en el numeral 63 de los Parámetros, y publicará la información relacionada con la misma, dentro de los cinco días siguientes a partir de que tenga conocimiento de la revocación, considerando lo previsto por el numeral 88, fracción IV, de los Parámetros.

Notificación a los organismos de certificación acreditados de la revocación de la autorización como entidad de acreditación

Artículo 55. Una vez que se haya emitido la determinación de revocación de la autorización de una entidad de acreditación, ésta deberá notificar ese hecho, así como los alcances y efectos de la misma, a todos aquellos organismos de certificación a los que les haya otorgado una acreditación en materia de protección de datos personales que continúe vigente, incluida la posibilidad de ser transferidos a otra entidad de acreditación autorizada.

Notificación de transferencia de organismos de certificación

Artículo 56. Cuando un organismo de certificación sea transferido a una entidad de acreditación diferente a la que otorgó originalmente la acreditación en materia de protección de datos personales, de conformidad con el artículo anterior, la entidad de acreditación autorizada que aceptó la transferencia deberá notificar al Instituto ese hecho como una modificación a la acreditación, dentro de los cinco días siguientes al día en que tuvo efecto dicha transferencia.

La entidad de acreditación emitirá un nuevo número de acreditación al organismo de certificación que le fue transferido.

Sección V

Del reconocimiento de las acreditaciones de organismos de certificación en materia de protección de
datos personales

Constancia de acreditación

Artículo 57. En caso de que una entidad de acreditación otorgue una acreditación para operar como organismo de certificación, deberá proporcionar a este último una constancia con la información a la que refiere el numeral 70 de los Parámetros

La entidad de acreditación deberá asignar el número único de acreditación al que refiere la fracción II del numeral 70 de los Parámetros, el cual estará integrado por el número único de registro de la entidad de acreditación y un consecutivo asignado por dicha entidad de acreditación.

Notificación al Instituto de acreditaciones otorgadas

Artículo 58. La entidad de acreditación, dentro de los cinco días siguientes en que haya otorgado una acreditación, notificará al Instituto, respecto de dicha acreditación, lo señalado en el numeral 69 de los Parámetros.

La notificación correspondiente deberá ir acompañada de un dispositivo de almacenamiento electrónico con la información referida en el numeral 69 de los Parámetros, en formato electrónico, salvo que dicha notificación sea realizada a través del sistema informático que, en su caso, habilite el Instituto.

Reconocimiento de las acreditaciones otorgadas e inscripción en el Registro

Artículo 59. Recibida la notificación a la que se refiere el numeral anterior, siempre que se cumpla con lo establecido en el numeral 69 de los Parámetros y el organismo de certificación, haya establecido y se comprometa a mantener, procedimientos y mecanismos que garanticen su imparcialidad e independencia; de forma que le impidan tener vínculos con quienes certifique, que pueda llevar a un conflicto de intereses, el Instituto reconocerá la acreditación otorgada e inscribirá al organismo de certificación acreditado en el Registro y publicará la información relacionada con el mismo, dentro de un plazo de diez días contados a partir del día siguiente en que haya sido realizada la notificación de la acreditación correspondiente, considerando lo previsto en el numeral 88, fracción V, de los Parámetros.

En su caso, el organismo de certificación deberá documentar los posibles conflictos de interés y demostrar que ha tomado las acciones para eliminar o minimizar dicha amenaza.

Sección VI

Modificaciones a las acreditaciones de organismos de certificación

Modificaciones a las acreditaciones de los organismos de certificación

Artículo 60. Cualquier modificación a una acreditación otorgada a un organismo de certificación deberá ser resuelta o decidida a través de los procedimientos establecidos para tal efecto por la entidad de acreditación y puestos a disposición pública de conformidad con lo previsto en la fracción I del numeral 67 de los Parámetros.

Notificaciones al Instituto de modificaciones a la acreditación de un organismo de certificación

Artículo 61. La entidad de acreditación autorizada deberá notificar al Instituto, a través de los medios previstos por el artículo 6 de las presentes Reglas, cualquier modificación a las acreditaciones otorgadas a los organismos de certificación, en un plazo de cinco días posteriores a la fecha en la que la entidad de acreditación resolvió o decidió sobre las mismas.

Dicha notificación deberá incluir lo previsto en el numeral 69 de los Parámetros y deberá ir acompañada de un dispositivo de almacenamiento electrónico con la información señalada, en formato electrónico, salvo que la notificación sea realizada a través del sistema informático habilitado por el Instituto.

Efectos en el Registro de la notificación de la modificación a la acreditación otorgada a un organismo de certificación

Artículo 62. Una vez realizada la notificación al Instituto de la modificación a la acreditación otorgada a un organismo de certificación, éste hará constar dicho cambio en el Registro, siempre que cumpla con lo establecido en el numeral 69 de los Parámetros, y publicará la modificación respectiva dentro de los diez días siguientes a la notificación correspondiente, considerando lo previsto en la fracción V del numeral 88, de los Parámetros.

Sección VII

Suspensión de las acreditaciones a organismos de certificación

Notificación al Instituto de la suspensión de la acreditación otorgada a un organismo de certificación

Artículo 63. La entidad de acreditación que suspenda la acreditación otorgada a un organismo de certificación notificará al Instituto dicha suspensión, a través de los medios previstos por el artículo 6 de las presentes Reglas, dentro de los cinco días siguientes a la fecha en la que la entidad de acreditación resolvió o decidió sobre la suspensión.

Dicha notificación deberá incluir lo previsto en el numeral 69 de los Parámetros y deberá ir acompañada de un dispositivo de almacenamiento electrónico con la información referida en dicho numeral, en formato electrónico, salvo que dicha notificación sea realizada a través del sistema informático que, en su caso, habilite el Instituto.

Efectos en el Registro de la notificación de la suspensión de la acreditación otorgada a un organismo de certificación

Artículo 64. Una vez realizada la notificación al Instituto sobre la suspensión de una acreditación otorgada a un organismo de certificación, el Instituto hará constar ese hecho en el Registro, siempre que cumpla con lo dispuesto por el numeral 69 de los Parámetros, y publicará la información relacionada con dicha suspensión, dentro de los cinco días siguientes a la notificación correspondiente, considerando lo previsto en el numeral 88, fracción V, de los Parámetros.

Cuando alguna acreditación que haya sido suspendida sea restaurada, este hecho se hará constar en el Registro y se publicará la información relacionada con dicha restauración, dentro de los cinco días siguientes a que el Instituto tenga conocimiento del hecho por parte de la entidad de acreditación, considerando lo previsto por el numeral 88, fracción V, de los Parámetros.

Sección VIII

Cancelación de las acreditaciones a organismos de certificación

Notificación al Instituto de la cancelación de la acreditación otorgada a un organismo de certificación

Artículo 65. La entidad de acreditación que cancele la acreditación otorgada a un organismo de certificación notificará al Instituto dicha cancelación, a través de los medios previstos por el artículo 6 de las presentes Reglas, dentro de los cinco días siguientes a la fecha en la que la entidad de acreditación resolvió o decidió sobre la cancelación.

Efectos en el Registro de la notificación de la cancelación de la acreditación otorgada a un organismo de certificación

Artículo 66. Una vez realizada la notificación al Instituto sobre la cancelación de la acreditación otorgada a un organismo de certificación, el Instituto hará constar ese hecho en el Registro, siempre que cumpla con lo previsto en el numeral 69 de los Parámetros, y publicará la información relacionada con dicha cancelación, dentro de los cinco días siguientes a la notificación correspondiente, considerando lo previsto en el numeral 88, fracción V de los Parámetros.

Notificación a los responsables o encargados certificados de la cancelación de la acreditación como organismo de certificación

Artículo 67. Una vez que la entidad de acreditación haya emitido la determinación que cancela la acreditación de un organismo de certificación, éste deberá notificar ese hecho, así como los alcances y efectos de las mismas, a todos aquellos responsables o encargados a los que les haya otorgado un certificado que continúe vigente, incluida la posibilidad de ser transferidos a otro organismo de certificación acreditado.

Notificación de transferencia de certificados otorgados

Artículo 68. Cuando un responsable o encargado sea transferido a un organismo de certificación diferente al que otorgó originalmente el certificado, de conformidad con el artículo anterior, el organismo de certificación que aceptó la transferencia deberá notificar al Instituto ese hecho como una modificación al certificado, dentro de los cinco días siguientes al día en que tuvo efecto dicha transferencia.

El organismo de certificación emitirá un nuevo número de certificado al responsable o encargado que le fue transferido.

Sección IX

Del reconocimiento de certificaciones en materia de protección de datos personales a responsables o
encargados

Certificado en materia de protección de datos personales

Artículo 69. El certificado en materia de protección de datos personales que otorgue el organismo de certificación al responsable o encargado que cumpla con las formalidades que impone la normativa aplicable, deberá contener la información que señala el numeral 79 de los Parámetros.

El número de certificación al que refiere la fracción II del numeral 79 de los Parámetros deberá ser único y estará integrado por el número único de acreditación del organismo de certificación y un consecutivo asignado por éste.

Notificación al Instituto de certificados otorgados

Artículo 70. El organismo de certificación acreditado, dentro de los cinco días siguientes en que haya otorgado un certificado, notificará al Instituto dicha certificación, a través de los medios previstos por el artículo 6 de las presentes Reglas, y de conformidad con lo señalado en el numeral 78 de los Parámetros.

La notificación correspondiente deberá ir acompañada de un dispositivo de almacenamiento electrónico con la información referida en el numeral 78 de los Parámetros, en formato electrónico, salvo que dicha notificación sea realizada a través del sistema informático que, en su caso, habilite el Instituto.

Reconocimiento de las certificaciones otorgadas e inscripción en el Registro

Artículo 71. Recibida la notificación a la que se refiere el numeral anterior, el Instituto reconocerá la certificación otorgada e inscribirá el certificado de dicho responsable o encargado en el Registro, siempre que cumpla con lo previsto en el numeral 78 de los Parámetros, y publicará la información relacionada con la misma, dentro de un plazo de diez días contados a partir del día siguiente en que haya sido realizada la notificación del certificado correspondiente, considerando lo previsto en el numeral 88, fracciones III y VI de los Parámetros.

Sección X

Modificaciones a las certificaciones otorgadas

Modificaciones a las certificaciones

Artículo 72. Cualquier modificación de una certificación deberá ser resuelta o decidida a través de los procedimientos establecidos para tal efecto por parte del organismo de certificación y puestos a disposición pública de conformidad con lo previsto en la fracción I del numeral 76 de los Parámetros.

Notificación al Instituto de modificaciones a las certificaciones

Artículo 73. El organismo de certificación acreditado en materia de protección de datos deberá notificar al Instituto, a través de los medios previstos por el artículo 6 de las presentes Reglas, cualquier modificación a las certificaciones otorgadas a responsables o encargados, en un plazo de cinco días posteriores a la fecha en la que el organismo de certificación resolvió o decidió sobre la misma.

Dicha notificación deberá incluir lo previsto en el numeral 78 de los Parámetros y deberá ir acompañada de un dispositivo de almacenamiento electrónico con la información señalada, en formato electrónico, salvo que dicha notificación sea realizada a través del sistema informático que, en su caso, habilite el Instituto.

Efectos en el Registro de la notificación de la modificación a la certificación otorgada

Artículo 74. Una vez realizada la notificación al Instituto de modificación a la certificación otorgada a un responsable o encargado, éste hará constar dicho cambio en el Registro, siempre que cumpla con lo previsto en el numeral 78 de los Parámetros, y publicará dicha modificación dentro de los diez días siguientes a la notificación correspondiente, considerando lo previsto en la fracciones III y VI del numeral 88 los Parámetros.

Sección XI

Suspensión de las certificaciones

Notificación al Instituto de la suspensión del certificado otorgado a un responsable o encargado

Artículo 75. El organismo de certificación que suspenda el certificado otorgado a un responsable o encargado notificará al Instituto dicha suspensión, a través de los medios previstos por el artículo 6 de las presentes Reglas, dentro de los cinco días siguientes a la fecha en la que el organismo de certificación resolvió o decidió sobre la suspensión.

Dicha notificación deberá incluir lo previsto en el numeral 78 de los Parámetros y deberá ir acompañada de un dispositivo de almacenamiento electrónico con la información referida en dicho numeral, en formato electrónico, salvo que dicha notificación sea realizada a través del sistema informático que, en su caso, habilite el Instituto.

Efectos en el Registro de la suspensión de la certificación otorgada

Artículo 76. Una vez realizada la notificación al Instituto sobre la suspensión de la certificación otorgada a un responsable o encargado, el Instituto hará constar ese hecho en el Registro, siempre que cumpla con lo previsto en el numeral 78 de los Parámetros, y publicará la información relacionada con dicha suspensión, dentro de los cinco días siguientes a la notificación correspondiente, considerando lo previsto en el numeral 88, fracciones III y VI, de los Parámetros.

Cuando alguna certificación que haya sido suspendida sea restaurada, este hecho se hará constar en el Registro y se publicará la información relacionada con dicha restauración, dentro de los cinco días siguientes a que el Instituto tenga conocimiento del hecho por parte del organismo de certificación, considerando lo previsto por el numeral 88, fracciones III y VI, de los Parámetros.

Sección XII

Cancelación de las certificaciones otorgadas

Notificación al Instituto de la cancelación de la certificación

Artículo 77. El organismo de certificación acreditado que cancele la certificación otorgada, notificará al Instituto de dicha cancelación, a través de los medios previstos por el artículo 6 de las presentes Reglas, dentro de los cinco días siguientes a la fecha en la que el organismo de certificación resolvió o decidió sobre la cancelación.

Efectos en el Registro de la notificación de la cancelación de la certificación

Artículo 78. Una vez realizada la notificación al Instituto de la cancelación de la certificación otorgada a un responsable o encargado, el Instituto hará constar ese hecho en el Registro, siempre que cumpla con el numeral 78 de los Parámetros, y publicará la información relacionada con dicha cancelación, dentro de los cinco días siguientes a la notificación correspondiente, considerando lo previsto en el numeral 88, fracciones III y VI de los Parámetros.

CAPÍTULO IV

De la información para el Registro

Informe anual sobre los esquemas con validación

Artículo 79. Los administradores, responsables o encargados que cuenten con un esquema con validación por parte del Instituto, deberán presentar anualmente a este último un reporte de sus actividades con relación a la implementación del esquema en cuestión, el cual deberá incluir, al menos, la siguiente información:

I. El número único de registro del esquema, otorgado por el Instituto en la constancia de validación;

II. El nombre completo, denominación o razón social del responsable o encargado autorregulado; o tratándose de esquemas que aplican a un grupo de responsables o encargados, el listado actualizado de

los nombres completos, denominaciones o razones sociales de los responsables o encargados adheridos;

III. La fecha en que inició la operación o implementación del esquema. En el caso de esquemas que apliquen a un grupo de responsables o encargados, se deberá distinguir con claridad aquellos responsables o encargados que ya iniciaron la operación o implementación del esquema;

IV. Número de personal capacitado en materia de protección de datos personales y para la implementación del SGDP o que han recibido programas de sensibilización, fecha de la capacitación y el tema del curso o programa de capacitación;

V. El número de solicitudes de ejercicio de derechos ARCO y de revocación del consentimiento recibidas y atendidas y cuántas derivaron en un procedimiento ante el Instituto;

VI. El número de quejas que se atendieron relacionadas con el tratamiento de datos personales;

VII. Las auditorías realizadas, las observaciones derivadas de las mismas y las acciones emprendidas para atender dichas observaciones;

VIII. El número y descripción de las sanciones y/o medidas correctivas aplicadas, el responsable o encargado al que se le aplicó y el motivo de la sanción o medida correctiva;

IX. La aplicación de mecanismos alternativos de solución de controversias, la descripción de éstas, en cuántas ocasiones se aplicaron y el resultado obtenido, y

X. La información que el administrador, responsable o encargado considere relevante con relación a la aplicación del SGDP e implementación del esquema.

El administrador, responsable o encargado tendrán el derecho de señalar la información que consideren confidencial en términos de la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental, con excepción de la prevista en el numeral 88 de los Parámetros.

Este informe anual deberá presentarse dentro de los primeros diez días de marzo y corresponderá al reporte de los meses de enero a diciembre del año inmediato anterior.

Información disponible públicamente en el Registro

Artículo 80. Con objeto de cumplir con lo dispuesto por el numeral 88 de los Parámetros, se deberá proporcionar la siguiente información al Instituto:

I. De conformidad con lo previsto en la fracción II, inciso f del numeral en mención, el administrador, responsable o encargado que cuente con un esquema validado por el Instituto deberá informar sobre las medidas correctivas y sanciones que haya impuesto, cuando éstas tengan el carácter de públicas, de conformidad con lo previsto en el esquema, a los diez días siguientes a la imposición de las mismas. Asimismo, con objeto de actualizar la información correspondiente en el Registro, se deberá mantener informado al Instituto con relación a si la sanción fue aplicada o no y las razones del porqué no fue aplicada, en su caso;

II. De conformidad con lo dispuesto por la fracción V, incisos a y c, del numeral en mención, las entidades de acreditación deberán informar al Instituto el domicilio de los organismos de certificación que han sido acreditados, así como sobre la vigencia de la acreditación otorgada, al momento que presenten la notificación de reconocimiento de las acreditaciones otorgadas de acuerdo con el numeral 68 de los Parámetros;

III. De conformidad con lo dispuesto por la fracción V, inciso g del numeral en mención, las entidades de acreditación deberán proporcionar al Instituto el emblema, contraseña o marca del certificador acreditado, en caso de que los hubiere, al momento que presenten la notificación de reconocimiento de las acreditaciones otorgadas de acuerdo con el numeral 68 de los Parámetros, y

IV. De conformidad con lo dispuesto por la fracción VI, incisos a y c del numeral en mención, los organismos de certificación deberán informar al Instituto el domicilio de los responsables o encargados certificados, así como la vigencia del certificado otorgado, al momento que presenten la notificación de reconocimiento de las certificaciones otorgadas de acuerdo con el numeral 77 de los Parámetros.

Transitorios

Primero. Las presentes Reglas entrarán en vigor al día siguiente al de su publicación en el Diario Oficial de la Federación.

Segundo. El Instituto comenzará a dar trámite a las solicitudes de validación y reconocimiento de mecanismos de autorregulación vinculante y pondrá en operación el Registro al mes siguiente a la entrada en vigor de las presentes Reglas.

Tercero. El primer reporte que presenten las entidades de acreditación y los administradores, responsables o encargados que cuenten con un esquema con validación, de conformidad con el numeral 65, fracción IV de los Parámetros y el artículo 79 de las presentes Reglas, respectivamente, deberá presentarse en las fechas a las que refieren los artículos 50 y 79 de las presentes Reglas, con independencia de que hayan operado en un periodo menor a 12 meses, y deberá contener el reporte de las actividades realizadas en el plazo en que hayan tenido operaciones.

(R.- 406455)