Principios relacionados con el uso de datos personales en bibliotecas
Introducción
Con este trabajo se finaliza la serie de tres notas publicadas en el Blog relacionadas con el tema de los datos personales y los catálogos de bibliotecas. La primera nota se tituló “Los datos personales de los autores en los catálogos de bibliotecas” y la segunda fue “Los datos personales y las fuentes públicas”. El objetivo de ésta entrega es analizar y reflexionar sobre los principios legales que están involucrados en los avisos de privacidad y en la solicitud del consentimiento informado y que deben considerarse en las bibliotecas, en especial en el área de catalogación.
En las bibliotecas se elaboran informes o reportes sobre los, sistemas, servicios o el uso de recurso de información, etc.; en los cuales es común que se integren estadísticas basadas en datos que nos proporcionan las personas que los usan. Estos datos pueden comprender transacciones en el catálogo o en una base de datos, en las que no se solicitan datos personales. En el caso de los servicios al público hay transacciones que sí involucran datos personales, por ejemplo, en el caso de los préstamos o en la búsqueda de citas, en donde se solicitan datos de nombre, correo electrónico e inclusive el domicilio del usuario.
En la mayoría de las estadísticas los datos proporcionados por los usuarios quedan anonimizados debido a que el análisis es nivel de muestreo o censo de una población. Para ilustrar esto, tomemos un fragmento de las estadísticas de personas con maestría que trabajaban en bibliotecas que formaban parte del Consejo Nacional para Asuntos Bibliotecarios de Instituciones de Educación Superior, A. C. (CONPAB-IES) en el 2012 (ver ilustración 1).

lustración 1. Fragmento de imagen tomado de: Vázquez Martínez, Juan Ángel. Situación de las Bibliotecas Universitarias Mexicanas (Mérida, Yucatán 21-22 de febrero 2013). CONPAB-IES. Disponible en: https://bit.ly/38zbLe2
La información sobre el “último grado de estudios” es útil para identificar el capital intelectual en términos de formación profesional en las bibliotecas, y como se ve en la gráfica no está asociado al nombre de las personas, y es un dato que de nos solicitan cuando ingresamos a trabajar, o cuando tenemos una promoción. Hay que señalar que éste dato puede obtenerse de un recurso público, somo lo son los repositorios institucionales. No obstante, lo anterior podemos preguntarnos:
- ¿Es necesario avisar o no a las personas, que sus datos serían utilizados para elaborar está estadística?,
- ¿Es necesario solicitar o no el consentimiento informado de la persona?
De acuerdo con las siguientes leyes:
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010].
- Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados [LGPDPSO, 2017]
Existen una serie de principios que dan legalidad al uso de datos personales y que estiman cuándo es necesario solicitar un consentimiento informado por parte de los dueños de los mismos y cuando se requiere de un aviso de privacidad. Estos principios son:
Licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad en el tratamiento de datos personales (Artículo 16, LGPDPSO, 2017, artículo 16, p. 9; LFPDPPP, 2010, artículo 6, p.3)
En ambas leyes se mencionan los mismos principios y sólo cambia el orden en que se presentan. Hacer una concordancia uno a uno de los principios con los artículos de cada una de las leyes, requiere de una interpretación por parte de un abogado o un experto en leyes, toda vez que no cuentan con una enunciación específica, por lo que se tiene que inferir qué artículo o artículos corresponden a cada principio.
Acorde con esta falta de correspondencia entre principio y artículos en las leyes, me permití tomar el resumen que hace Mendoza Enríquez (2018):
- “Principio de licitud: los datos personales deberán recabarse de manera lícita, de acuerdo a las disposiciones establecidas en la legislación en materia de datos personales. La obtención de datos no puede hacerse a través de métodos engañosos o fraudulentos.
- Principio de finalidad: todo tratamiento de datos personales que efectúe el responsable deberá estar justificado por finalidades concretas, lícitas, explícitas y legítimas, relacionadas con las atribuciones que la normatividad aplicable les confiera, o en el caso de empresas privadas, que el tratamiento de datos personales se limite al cumplimiento de las finalidades previstas en el aviso de privacidad.
- Principio de lealtad: el responsable no deberá obtener y tratar datos personales, a través de medios engañosos o fraudulentos. Tendrá que privilegiar la protección de los intereses del titular de los datos personales y la expectativa razonable de privacidad, y velará por el cumplimiento de los principios de protección de datos personales, establecidos en la legislación, debiendo adoptar medidas necesarias para su aplicación.
- Principio de consentimiento: todo tratamiento de datos personales estará sujeto al consentimiento de su titular, salvo las excepciones previstas en la legislación en la materia. El consentimiento será expreso cuando la voluntad se manifieste verbalmente, por escrito, por medios electrónicos, ópticos o por cualquier otra tecnología, o por signos inequívocos. Se entenderá que el titular consiente tácitamente el tratamiento de sus datos cuando, habiéndose puesto a su disposición el aviso de privacidad, no manifiesta su oposición. Tratándose de datos personales sensibles, el responsable deberá obtener el consentimiento expreso y por escrito del titular para su tratamiento, a través de firma autógrafa, firma electrónica o cualquier mecanismo de autenticación que al efecto se establezca, salvo excepciones de ley.
- Principio de calidad: el responsable procurará que los datos personales contenidos en las bases de datos sean pertinentes, correctos y actualizados según los fines para los cuales fueron recabados. Se presume que se cumple con la calidad en los datos personales cuando éstos son proporcionados directamente por el titular y hasta que éste no manifieste y acredite lo contrario.
- Principio de proporcionalidad: el tratamiento de datos personales será el que resulte necesario, adecuado y relevante en relación con las finalidades previstas en el aviso de privacidad. El responsable sólo deberá tratar los datos personales que resulten adecuados, relevantes y estrictamente necesarios para la finalidad que justifica su tratamiento.
- Principio de información: el responsable tendrá la obligación de informar a los titulares de los datos la información que se recabe de ellos y su finalidad. El responsable deberá informar al titular, a través del aviso de privacidad, la existencia y características principales del tratamiento al que serán sometidos sus datos personales, a fin de que pueda tomar decisiones informadas al respecto. Asimismo, se refiere a la potestad que otorga la Ley, de conocer previamente las características esenciales del tratamiento a que serán sometidos los datos personales que se proporcionen a un ente privado o empresa. El aviso de privacidad deberá ser redactado en un lenguaje claro y comprensible.
- Principio de responsabilidad: el responsable deberá tomar las medidas necesarias y suficientes para garantizar que el aviso de privacidad dado a conocer al titular sea respetado en todo momento por él, o por terceros con los que guarde alguna relación jurídica.”
La aplicación de estos principios debe ser analizada en relación a el uso que se dará a los datos en cada caso particular. A partir de este análisis es que se determina si es necesario que haya un consentimiento expreso por parte de los dueños de los datos, o si es suficiente con uno tácito.
El consentimiento expreso, debe ser claro, univoco y explícito, y requiere que el dueño de los datos realice una acción confirmatoria del uso que se va a hacer de sus datos, tales como firmar de manera autógrafa, dar un click en la casilla “estoy de acuerdo” o en la de “no estoy de acuerdo” de un aviso de privacidad.
En el caso de los menores de edad y de las personas con algún impedimento, son los padres o tutores quienes dan la autorización o no, para proporcionar y usar los datos personales. Esto indicaría que para que un niño se registre en la biblioteca pública como usuario con derecho a sacar préstamo de libros a casa; sus padres o tutores deben llenar formularios como los que están disponibles en el sitio Web IS4K-Internet Segura for kids de España (ilustración 2.)
De acuerdo con las leyes mencionadas el consentimiento expreso, se aplica también en el caso de los datos confidenciales o sensibles (para más información al respecto puede consultar: ¿Qué son los datos personales sensibles? El Instituto de Investigaciones Jurídicas de la UNAM.
Con base en ello, cuando en algún formulario se incluya la solicitud de información sobre el sexo, religión u otro dato sensible, debe existir la posibilidad de negarlo, a menos que sean “indispensables para la atención médica, la prevención, diagnóstico, la prestación de asistencia sanitaria, tratamientos médicos o la gestión de servicios sanitarios, mientras el titular no esté en condiciones de otorgar el consentimiento” (LFPDPPP, 2010, Artículo 10, fracción VI, p.4).
En el caso del consentimiento tácito, la LGPDPSO, señala que es necesario c “cuando habiéndose puesto a disposición del titular el aviso de privacidad, éste no manifieste su voluntad en sentido contrario” (p.10).
Un ejemplo de este tipo de consentimiento es que se presenta en la página web de la Dirección General de Bibliotecas y de Servicios Digitales de la UNAM (ilustración 3), la cual señala en su Aviso de Privacidad los siguientes elementos destacables: Las finalidades de los datos personales solicitados en relación a las funciones de la DGBSDI; las formas en las que se recaba la información;, el tipo de datos personales que se recaban; los fundamentos legales para recabar los datos personales; la no transferencia de datos y el uso de cookies y web beacons a través de los cuales es posible generar información estadística; entre otros temas. En este caso, el usuario que no desee que se usen sus datos personales para los fines expuestos por la DGBSDI, debe manifestarlo de manera explícita ante las instancias correspondientes.

Ilustración 3. Fragmento de imagen tomado de: Aviso de privacidad. UNAM. Dirección General de Bibliotecas, 2019. Recuperado de: https://dgb.unam.mx/index.php/160-quienes-somos/aviso-de-privacidad
Es importante señalar que las personas podemos hacer uso de nuestros derechos ARCO (ilustración 4), los cuales permiten definir las características del acceso a nuestros datos personales, o indicar hasta cuándo y quiénes puede tener acceso. También tenemos derecho a rectificar, cancelar u oponernos a su uso.

México (s.a.). Comité de Transparencia del Senado de la República de la LXIV Legislatura (2018-2021). Guía para ejercer los derechos ARCO. Disponible en: (https://transparencia.senado.gob.mx/documentos/Guia_ejercer_derechos_ARCO.pdf).
El Comité de Transparencia del Senado de la República de la LXIV Legislatura (México) emitió el documento “Guía para ejercer los derechos ARCO” cual está disponible para su consulta, el cual es de mucha utilidad.
En el caso de los Registros de Autoridad de Nombre de persona es importante analizar los principios que aplican a las funciones que desarrollamos y para las cuales requerimos datos personales. Qué nos preguntemos para qué queremos compilar datos, cómo lo haremos, qué uso les daremos y quiénes tienen acceso. Esta información será de gran utilidad para el área legal de nuestra institución, con quienes debemos trabajar
Para la construcción del Catálogo de Autoridades de Nombre de persona, de los autores COLMEX, proponemos lo siguiente:
- Principio de licitud: Obtener los datos mediante formularios e instancias debidamente acreditadas por la biblioteca, en este caso de los catálogos de autoridades el coordinador del área debería ser el sujeto obligado.
- Principio de lealtad: Asegurar que los datos compilados no serán transferidos a otras instancias externas, y garantizar la seguridad de los datos durante el proceso de compilación, en su organización y almacenaje, así como en su consulta. En el caso del acceso a la información de los nombres de persona consideramos las siguientes restricciones:
- Acceso completo a catalogadores de la institución
- Acceso completo con autorización, a funcionarios de El Colegio de México de recursos humanos, entre otros.
- Acceso limitado a datos de normalización de variantes, a los usuarios y al público en general.
- Principio de consentimiento: Informar que las funciones para las cuales se compilan dichos datos. En el caso de las funciones de control de autoridades de nombre de persona son:
- Identificación unívoca de los autores.
- Registro de los elementos académicos y administrativos que permitan establecer la trayectoria académica.
- Registro de información relativa a las investigaciones en curso para la obtención de financiamiento.
- Vincular los registros de autoridad de nombre de persona con la producción académica.
- De otras, que se deriven de las funciones de El Colegio de México. Para cumplir este principio es necesario establecer con el área legal si es necesario contar con un consentimiento expreso.
- Principio de calidad: Garantizar que los datos sean correctamente registrados en los metadatos diseñados para tal fin, de acuerdo con las políticas y normativas de catalogación establecidos. Permitir la corrección de errores, cambios u omisiones en los registros.
- Principio de proporcionalidad: En el caso de las autoridades de nombre de persona, podemos identificar las siguientes actividades:
- Normalizar las variantes de nombre
- Buscar en otras bases de datos para recuperar la producción académica
- Promover la visibilidad de los registros de autoridad para su consulta.
- Obtener fondos o financiamiento
- Consultar la trayectoria académica o profesional.
- Elaborar bibliografías
- Elaborar estadísticas para informes o reportes.
- Elaborar perfiles de interés para diseminación selectiva de la información
- Buscar referencias para el análisis de citas
- Principio de información: Este principio implica el aval del área legal de la institución, ya que debe corresponder a una redacción clara y comprensible del aviso de privacidad.
- Principio de responsabilidad: En este caso el coordinador o jefe del área es el responsable de “tomar las medidas necesarias y suficientes para garantizar que el aviso de privacidad dado a conocer al titular sea respetado en todo momento por él, o por terceros con los que guarde alguna relación jurídica”.
Como se observa, usar datos personales es un tema delicado del que los catalogadores, debemos estar conscientes de las implicaciones legales que tiene el compilar estos datos, así como establecer los mecanismos que nos permitan actuar de manera ética y legal. En la Biblioteca Daniel Cosío Villegas, de El Colegio de México, estamos en la construcción de estos instrumentos legales con el fin de atender lo señalado por las Leyes. En tanto nos acogemos a la disposición general establecida por El Colegio de México en su aviso de privacidad.
Obras consultadas:
- El Colegio de México (2018). Aviso de privacidad. El Colegio de México, 2018. Disponible en: https://www.colmex.mx/proteccion-de-datos-personales/aviso-de-privacidad
- IS4K: Internet Segura for kids. Gobierno de España: Vicepresidencia Primera del Gobierno, Ministerio de Asuntos Económicos y Transformación Digital: Instituto Nacional de Ciberseguridad, [2022]. Disponible en: https://www.is4k.es/de-utilidad/recursos/modelos-de-consentimiento-sobre-datos-personales
- Mendoza Enríquez, Olivia Andrea. (2018). Marco jurídico de la protección de datos personales en las empresas de servicios establecidas en México: desafíos y cumplimiento. Revista IUS, 12(41), 267-291. Disponible en: http://www.scielo.org.mx/scielo.php?script=sci_arttext&pid=S1870-21472018000100267&lng=es&tlng=es. México. (2010)
- México (s.a.). Comité de Transparencia del Senado de la República de la LXIV Legislatura (2018-2021). Guía para ejercer los derechos ARCO. Disponible en: (https://transparencia.senado.gob.mx/documentos/Guia_ejercer_derechos_ARCO.pdf).
- México. (LFPDPPP, 2010) Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Disponible en: http://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf)
- México. (LGPDPPS0, 2017) Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados. Disponible en: http://www.diputados.gob.mx/LeyesBiblio/pdf/LGPDPPSO.pdf)
- Vázquez Martínez, Juan Ángel. Situación de las Bibliotecas Universitarias Mexicanas (Mérida, Yucatán 21-22 de febrero 2013). CONPAB-IES. Disponible en: https://conpabies.org.mx/archivos/diagnostico/DIAGNOSTICO%20FEBRERO%202013.pdf
- UNAM. Dirección General de Bibliotecas. UNAM, 2019. Disponible en: https://dgb.unam.mx/index.php/160-quienes-somos/aviso-de-privacidad