Data Protection & Cybersecurity

Servicios especializados: Impacto en datos personales

Por Joaquín Rodríguez y Berenice Sagaón

Este artículo fue publicado en la Revista Industria Legal

El marco legal en materia de servicios especializados conlleva un manejo intensivo de datos personales, lo que obliga tanto a contratistas como a sus clientes a implementar medidas que garanticen el cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento.

Los contratistas deben presentar reportes cuatrimestrales al Instituto Mexicano del Seguro Social (IMSS) a través de la plataforma Informativa de Contratos de Servicios u Obras Especializadas (ICSOE), y al Instituto del Fondo Nacional de la Vivienda para los Trabajadores (INFONAVIT) mediante el Sistema de Información de Subcontratación (SISUB), los cuales contienen datos personales de los trabajadores asignados a la prestación de los servicios.

Por un lado, el ICSOE requiere una relación de los empleados con su nombre, CURP, número de seguridad social y salario base de cotización. Por su parte, el SISUB incluye, además, los montos de aportaciones y amortizaciones de los trabajadores al INFONAVIT, así como incapacidades otorgadas por el IMSS.

Adicionalmente, la Ley del Impuesto Sobre la Renta establece que, al realizarse el pago por los servicios, el cliente debe obtener del contratista los comprobantes fiscales correspondientes al pago de salarios, cuotas al IMSS y aportaciones al INFONAVIT.

En este contexto, el contratista es el responsable inicial de los datos personales, mientras que las autoridades y los clientes asumen la calidad de responsables receptores mediante las transferencias realizadas. Dado que el tratamiento de datos por parte de las autoridades se rige por normativas diferentes, nuestro enfoque se centrará en las obligaciones de contratistas y clientes.

Es fundamental que tanto contratistas como clientes implementen políticas internas que regulen el tratamiento de estos datos personales. En cuanto al principio de información, ambos deben contar con un aviso de privacidad que informe a los trabajadores sobre los datos involucrados, los fines del tratamiento y las transferencias que se realizarán. El contratista debe proporcionar este aviso antes de iniciar el tratamiento, mientras que el cliente lo hará en el primer contacto con el trabajador.

En cumplimiento al principio de responsabilidad, es recomendable que la transferencia de datos entre el contratista y el cliente esté regulada en los contratos de prestación de servicios especializados. Asimismo, si se emplea un encargado para el tratamiento de los datos, el responsable debe delimitar contractualmente el ámbito de su actuación. Esto cobra especial relevancia en el uso de servicios de cómputo en la nube, como soluciones digitales que facilitan el cumplimiento de las disposiciones en materia de prestación de servicios especializados, siendo esencial observar los estándares legales y los criterios establecidos por el Instituto Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales (INAI).

Cabe señalar que la documentación generada en el cumplimiento de las disposiciones legales en servicios especializados implica un tratamiento relevante de datos, ya que incluye no solo la información de los trabajadores asignados, sino también la de toda la plantilla laboral. Por ello, es recomendable que los responsables del tratamiento realicen una evaluación del impacto en la protección de datos y consideren técnicas como disociación, anonimización o seudonimización para reducir el alcance del tratamiento.

En síntesis, tanto contratistas como clientes deben ser conscientes del impacto en el tratamiento de datos personales que conlleva la subcontratación laboral y adoptar las medidas necesarias para cumplir con los principios y obligaciones que establece la normativa vigente.

Este artículo fue elaborado en colaboración con Tania Ávila, socia del Área Laboral de ECIJA México.