Comisión Estatal de Garantía de Acceso a la Información Pública del Estado de San Luis Potosí Sujeto Obligado sectur slp Secretería de Turismo Periodo 01 Enero 2018 Obligación Los sujetos obligados pondrán a disposición del público y mantendrán actualizada, en los respectivos medios electrónicos, de acuerdo con sus facultades, atribuciones, funciones u objeto social, según corresponda, la información, por lo menos, de los temas, documentos y políticas que a continuación se señalan Obligación específica. El marco normativo aplicable al sujeto obligado, en el que deberá incluirse leyes, códigos, reglamentos, decretos de creación, manuales administrativos, reglas de operación, criterios, políticas, entre otros A ) Artículo 84 B ) Fracción II C ) Inciso Hipervínculo Para Consultar el documento Acceso directo: Ley_de_Proteccion_de_Datos_Personales_en_Posesion_de_los_Sujetos_14_Dic_2017.pdf Hipervinculo http://www.cegaipslp.org.mx/webcegaip2018N.nsf/nombre_de_la_vista/99F4751761250B458625822F0062FA0D/$File/Ley_de_Proteccion_de_Datos_Personales_en_Posesion_de_los_Sujetos_14_Dic_2017.pdf Visor de Datos abiertos Datos digitales de caracter público, accesibles en linea, que pueden ser usados, reutilizados y redistribuidos por cualquier interesado. Ver CONAIP/SNT/ACUERDO/EXT13/04/2016-08 Estimado Usuario: La edición de las disposiciones jurídicas del ámbito Federal o Estatal, en medios electrónicos no representa una versión oficial, ya que de acuerdo al artículo 3º del Código Civil Federal; los artículos 2º, 3º, 4º y 8º de la Ley del Diario Oficial de la Federación; los artículos 3º, 4º y 5º de la Ley del Periódico Oficial del Estado de San Luis Potosí; y el artículo 2º del Código Civil para el Estado de San Luis Potosí, las únicas publicaciones que dan validez jurídica a una norma es el propio Diario Oficial de la Federación, la Gaceta Oficial del Distrito Federal o los Periódicos Oficiales Estatales, en este caso el Periódico Oficial del Estado de San Luis Potosí. (REFORMADA SU DENOMINACION, P.O. 14 DE DICIEMBRE DE 2017) Fecha de Aprobación: 07 DE JULIO DE 2017 Fecha de Promulgación: 13 DE JULIO DE 2017 Fecha de Publicación: 17 DE DICIEMBRE DE 2017 Fecha Ultima Reforma 14 DE DICIEMBRE DE 2017 LEY DE PROTECCION DE DATOS PERSONALES EN POSESION DE LOS SUJETOS OBLIGADOS DEL ESTADO DE SAN LUIS POTOSI INSTITUTO DE INVESTIGACIONES LEGISLATIVAS UNIDAD DE INFORMATICA LEGISLATIVA H. CONGRESO DEL ESTADO DE SAN LUIS POTOSI INSTITUTO DE INVESTIGACIONES LEGISLATIVAS Descargala en: www.congresoslp.gob.mx 1 (REFORMADA SU DENOMINACION, P.O. 14 DE DICIEMBRE DE 2017) LEY DE PROTECCION DE DATOS PERSONALES EN POSESION DE LOS SUJETOS OBLIGADOS DEL ESTADO DE SAN LUIS POTOSI ULTIMA REFORMA PUBLICADA EN EL PERIODICO OFICIAL: EL JUEVES 14 DE DICIEMBRE DE 2017 Ley publicada en la Edición Extraordinario del Periódico Oficial del Estado, el Miércoles 19 de Julio de 2017 Juan Manuel Carreras López, Gobernador Constitucional del Estado Libre Soberano de San Luis Potosí, a sus habitantes sabed: Que la Sexagésima Primera Legislatura Constitucional del Estado Libre y Soberano de San Luis Potosí decreta lo siguiente: DECRETO 0675 (REFORMADA SU DENOMINACION, P.O. 14 DE DICIEMBRE DE 2017) LEY DE PROTECCION DE DATOS PERSONALES EN POSESION DE LOS SUJETOS OBLIGADOS DEL ESTADO DE SAN LUIS POTOSI EXPOSICIÓN DE MOTIVOS El 26 de enero del presente año fue publicada en el Diario Oficial de la Federación la nueva Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, la cual establece en su artículo transitorio segundo que las leyes vigentes de las Entidades Federativas en la materia, deberán ajustarse a las disposiciones previstas en la nueva norma en un plazo de seis meses siguientes contado a partir de su entrada en vigor. Asimismo establece que en caso de que las Legislaturas de las Entidades Federativas omitan total o parcialmente realizar las adecuaciones legislativas a que haya lugar, en el plazo establecido, resultará aplicable de manera directa la nueva Ley General, con la posibilidad de seguir aplicando de manera supletoria las leyes preexistentes en todo aquello que no se oponga a la misma, hasta en tanto no se cumpla la condición impuesta en el citado artículo transitorio. Como se señala en el documento denominado “Bases de configuración normativa de las entidades federativas en materia de transparencia y acceso a la información, así como protección de datos personales en posesión de sujetos obligados.” A partir del 8 de febrero de 2014, iniciaron su vigencia las modificaciones constitucionales en materia protección de datos personales. De aquí las materias relacionadas con el derecho de acceso a la información, como lo es la de protección de datos personales, se fijan como concurrentes, es decir, que en tales materias inciden simultáneamente los órdenes federal, de las entidades federativas y de los municipios. De lo anterior, se establece un nuevo parámetro de configuración normativa tanto para la federación como para los Estados, pues las materias de Transparencia Gubernamental; Acceso a la Información; Protección de Datos Personales y Archivos dejan de ser materias coincidentes clásicas por lo que su estructuración queda constreñida al texto constitucional y al de la ley general expedida. H. CONGRESO DEL ESTADO DE SAN LUIS POTOSI INSTITUTO DE INVESTIGACIONES LEGISLATIVAS Descargala en: www.congresoslp.gob.mx 2 En este sentido los principios, bases, mecanismos, procedimientos y garantías en materia de protección de datos personales regulados en el texto constitucional y en la ley general respectiva, caracterizan la libertad de configuración normativa federal y estatal, como limitada o relativa. Así que la configuración normativa de la Ley de Protección de Datos Personales para nuestro Estado se llevó a cabo siguiendo las pautas de observancia obligatoria para los estados, es decir, que hay normatividad establecida en la ley general en la cual, las legislaturas locales no tienen libertad de configuración normativa. Se establecieron los dispositivos que operan como base mínima regulativa en diversos temas, respecto de los cuales las legislaturas locales pueden ampliar esa base mínima sin contradecirla. Con la presente Ley, la base mínima no sufrió cambio alguno, en reconocimiento de la importancia que esta juega en la armonización legislativa. (REFORMADA SU DENOMINACION, P.O. 14 DE DICIEMBRE DE 2017) Ley De Protección de Datos Personales en Posesión de Los Sujetos Obligados del Estado de San Luis Potosí TÍTULO PRIMERO Disposiciones Generales Capítulo Único De los ámbitos de validez subjetivo, objetivo y territorial de la Ley (REFORMADO, P.O. 14 DE DICIEMBRE DE 2017) Objeto ARTÍCULO 1º. La presente Ley es de orden público y observancia obligatoria en el Estado de San Luis Potosí; y tiene por objeto garantizar el derecho que tiene toda persona a la protección de sus datos personales. Objetivos específicos ARTÍCULO 2º. Son objetivos específicos de la presente Ley: I. Garantizar que toda persona pueda ejercer el derecho a la protección de datos personales en el Estado de San Luis Potosí; II. Proteger los datos personales en posesión de cualquier autoridad, entidad, órgano y organismo de los Poderes Ejecutivo, Legislativo y Judicial, órganos autónomos, partidos políticos, fideicomisos y fondos públicos del Estado de San Luis Potosí, con la finalidad de regular su debido tratamiento; III. Garantizar la observancia de los principios de protección de datos personales previstos en la presente Ley y demás disposiciones que resulten aplicables en la materia; IV. Establecer obligaciones, procedimientos y condiciones homogéneas que regirán el tratamiento de los datos personales y el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, mediante procedimientos sencillos y expeditos; V. Fijar los estándares y parámetros que permitan la implementación, mantenimiento y actualización de medidas de seguridad de carácter administrativo, técnico y físico que permitan la protección de los datos personales, y H. CONGRESO DEL ESTADO DE SAN LUIS POTOSI INSTITUTO DE INVESTIGACIONES LEGISLATIVAS Descargala en: www.congresoslp.gob.mx 3 VI. Establecer un catálogo de sanciones para aquellas conductas que contravengan las disposiciones previstas en la presente Ley. Definiciones ARTÍCULO 3º. Para los efectos de la presente Ley se entenderá por: I. Aviso de privacidad: documento físico, electrónico o en cualquier otro formato generado por el responsable, que es puesto a disposición del titular con el objeto de informarle las características principales del tratamiento al que serán sometidos sus datos personales; II. Bases de datos: conjunto ordenado de datos personales referentes a una persona física identificada o identificable, condicionados a criterios determinados, con independencia de la forma o modalidad de su creación, tipo de soporte, procesamiento, almacenamiento y organización; III. Bloqueo: La identificación y conservación de datos personales una vez cumplida la finalidad para la cual fueron recabados, con el único propósito de determinar posibles responsabilidades en relación con su tratamiento, hasta el plazo de prescripción legal o contractual de éstas. Durante dicho periodo, los datos personales no podrán ser objeto de tratamiento y transcurrido éste, se procederá a su cancelación en la base de datos que corresponda; IV. CEGAIP: Comisión Estatal de Garantía de Acceso a la Información Pública del Estado de San Luis Potosí; V. Comité de Transparencia: instancia a la que hace referencia el artículo 52 de la Ley de Transparencia y Acceso a la Información Pública del Estado de San Luis Potosí; VI. Cómputo en la nube: Modelo de provisión externa de servicios de cómputo bajo demanda, que implica el suministro de infraestructura, plataforma o programa informático, distribuido de modo flexible, mediante procedimientos virtuales, en recursos compartidos dinámicamente; VII. Consentimiento: manifestación de la voluntad libre, específica e informada del titular, mediante la cual autoriza el tratamiento de sus datos personales; VIII. Datos personales: cualquier información concerniente a una persona física identificada o identificable expresada en forma numérica, alfabética, alfanumérica, gráfica, fotográfica, acústica o en cualquier otro formato. Se considera que una persona es identificable cuando su identidad puede determinarse directa o indirectamente a través de cualquier información, siempre y cuando esto no requiera plazos, medios o actividades desproporcionadas; IX. Datos personales sensibles: aquellos que se refieran a la esfera más íntima de su titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste. Se consideran sensibles, de manera enunciativa más no limitativa, los datos personales que puedan revelar aspectos como origen racial o étnico, estado de salud pasado, presente o futuro, creencias religiosas, filosóficas y morales, opiniones políticas, datos genéticos o datos biométricos; X. Derechos ARCO: los derechos de acceso, rectificación y cancelación de datos personales, así como la oposición al tratamiento de los mismos; XI. Días: días hábiles; XII. Disociación: el procedimiento mediante el cual los datos personales no pueden asociarse al titular ni permitir, por su estructura, contenido o grado de desagregación, la identificación del mismo; H. CONGRESO DEL ESTADO DE SAN LUIS POTOSI INSTITUTO DE INVESTIGACIONES LEGISLATIVAS Descargala en: www.congresoslp.gob.mx 4 XIII. Documento de seguridad: instrumento que describe y da cuenta de manera general sobre las medidas de seguridad técnicas, físicas y administrativas adoptadas por el responsable para garantizar la confidencialidad, integridad y disponibilidad de los datos personales que posee; XIV. Encargado: prestador de servicios, que con el carácter de persona física o jurídica, pública o privada, ajena a la organización del responsable, trata datos personales a nombre y por cuenta de éste; XV. Evaluación de impacto en la protección de datos personales: documento mediante el cual se valoran y determinan los impactos reales respecto de determinado tratamiento de datos personales, a efecto de identificar, prevenir y mitigar posibles riesgos que puedan comprometer el cumplimiento de los principios, deberes, derechos y demás obligaciones previstas en la presente Ley y demás normativa aplicable en la materia; XVI. Fuentes de acceso público: aquellas bases de datos, sistemas o archivos que puedan ser consultadas públicamente cuando no exista impedimento por una norma limitativa y sin más exigencia que, en su caso, el pago de una contraprestación, tarifa o contribución. No se considerará fuente de acceso público cuando los datos personales contenidos en la misma sean obtenidos o tengan una procedencia ilícita, conforme a las disposiciones establecidas por la presente Ley y demás normativa aplicable; XVII. INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales; XVIII. Ley: Ley de Protección de Datos Personales del Estado de San Luis Potosí; XIX. Ley de Transparencia: Ley de Transparencia y Acceso a la Información Pública del Estado de San Luis Potosí; XX. Ley General: Ley General de Protección de Datos Personales en Posesión de los Sujetos Obligados; XXI. Ley General de Transparencia: Ley General de Transparencia y Acceso a la Información Pública; XXII. Medidas compensatorias: mecanismos alternos para dar a conocer a los titulares el aviso de privacidad, a través de su difusión por medios masivos de comunicación u otros de amplio alcance; XXIII. Medidas de seguridad: Conjunto de acciones, actividades, controles o mecanismos administrativos, técnicos y físicos que permitan garantizar la confidencialidad, disponibilidad e integridad de los datos personales; XXIV. Medidas de seguridad administrativas: políticas y procedimientos para la gestión, soporte y revisión de la seguridad de la información a nivel organizacional, la identificación, clasificación y borrado seguro de los datos personales, así como la sensibilización y capacitación del personal, en materia de protección de datos personales; XXV. Medidas de seguridad físicas: conjunto de acciones y mecanismos para proteger el entorno físico de los datos personales y de los recursos involucrados en su tratamiento. De manera enunciativa más no limitativa, se deberán considerar las siguientes actividades: H. CONGRESO DEL ESTADO DE SAN LUIS POTOSI INSTITUTO DE INVESTIGACIONES LEGISLATIVAS Descargala en: www.congresoslp.gob.mx 5 a) Prevenir el acceso no autorizado al perímetro de la organización del responsable, sus instalaciones físicas, áreas críticas, recursos y datos personales. b) Prevenir el daño o interferencia a las instalaciones físicas, áreas críticas de la organización del responsable, recursos y datos personales. c) Proteger los recursos móviles, portátiles y cualquier soporte físico o electrónico que pudiera salir de la organización del responsable. d) Proveer a los equipos que contienen o almacenan datos personales de un mantenimiento eficaz, que asegure su disponibilidad e integridad; XXVI. Medidas de seguridad técnicas: conjunto de acciones y mecanismos que se valen de la tecnología relacionada con hardware y software para proteger el entorno digital de los datos personales y los recursos involucrados en su tratamiento. De manera enunciativa más no limitativa, se deberán considerar las siguientes actividades: a) Prevenir que el acceso a los datos personales, así como a los recursos, sea por usuarios identificados y autorizados. b) Generar un esquema de privilegios para que el usuario lleve a cabo las actividades que requiere con motivo de sus funciones. c) Revisar la configuración de seguridad en la adquisición, operación, desarrollo y mantenimiento del software y hardware. d) Gestionar las comunicaciones, operaciones y medios de almacenamiento de los recursos informáticos en el tratamiento de datos personales; XXVII. Plataforma Nacional: Plataforma Nacional de Transparencia a que se refiere el artículo 49 de la Ley General de Transparencia; XXVIII. Remisión: toda comunicación de datos personales realizada exclusivamente entre el responsable y encargado, con independencia de que se realice dentro o fuera del territorio mexicano; XXIX. Responsable: cualquier autoridad, dependencia, entidad, órgano y organismo de los poderes Legislativo, Ejecutivo y Judicial, ayuntamientos, órganos, organismos constitucionales autónomos, tribunales administrativos, fideicomisos y fondos públicos y partidos políticos del Estado de San Luis Potosí que decide y determina Bitácora de registro y acuse Tabla de aplicabilidad B0CA89F3689C03FD8625822F005680C7 Creado el 02/09/2018 12:01:05 PM Carátula de registro 5C9C3036FD141DE88625822F005685AB Autor sectur slp Registro 99F4751761250B458625822F0062FA0D Tipo de documento 3 Hipervínculo