Botaron los archivos con tus datos: cómo la ley obliga a destruirlos

Es la ley que regula cómo se destruyen los archivos con información personal de consumidores en Puerto Rico (10 L.P.R.A. §§ 4181-4188). Nació de una preocupación concreta que la exposición de motivos describe: la incertidumbre sobre el destino de los archivos con información personal cuando las entidades comerciales los abandonan, sea por cese de operaciones o porque simplemente dejaron de necesitarlos, y el riesgo de robo de identidad que eso crea. "Archivo de información personal" es un expediente tangible o intangible que contenga información personal de un consumidor, y "entidad comercial" es una persona natural o jurídica dedicada normal u ocasionalmente al comercio.

Cualquier consumidor cuya información personal esté en archivos de una entidad comercial en Puerto Rico. La ley define "información personal" de forma amplia: toda información que identifique, se relacione con, describa o sea capaz de ser asociada a una persona en particular, incluyendo nombre o primera inicial y apellido; número de Seguro Social; características o descripciones físicas; dirección residencial o postal; número de teléfono; número de pasaporte; número de licencia de conducir u otra identificación oficial; número de póliza de seguro; educación; empleo; historial de empleo; información médica o póliza de salud; información contributiva; evaluaciones laborales; data biométrica; números de cuenta bancaria o financiera de cualquier tipo, con o sin claves; números de tarjeta de crédito o débito u otra información financiera; nombres de usuario y claves de acceso a sistemas informáticos; y data de sistemas de registro "cajas negras" ("event data recorders") en vehículos de motor. No incluye información que sea revelada al público en general en virtud de cualquier ley estatal o federal.

• Que se trate de una entidad comercial: una persona natural o jurídica dedicada normal u ocasionalmente al comercio.Verificado con la fuente oficial
• Que los archivos descartados contengan información personal de consumidores según la definición de la ley.Verificado con la fuente oficial

• Evidencia del descarte indebido: fotos de los documentos hallados, el lugar y la fecha, y de qué entidad provienen.
• Si eres el consumidor afectado, cualquier constancia de que tu información estaba en esos archivos.

1. 1

   Paso 1: Sabe qué método exige la ley

   No basta con botar los papeles. Toda entidad comercial que posea, custodie o controle archivos con información personal, antes de descartarlos, lo hará o realizará arreglos para descartarlos mediante la trituración, la supresión o la modificación de manera que no se pueda leer la información personal o que no se pueda descifrar por ningún método. Esa última frase es el estándar: ilegible e indescifrable, no simplemente desechado.

2. 2

   Paso 2: Fíjate en que lo digital también cuenta

   En aquellos casos en que la información personal de los consumidores se encuentre en formato digital y no en forma impresa, la entidad comercial deberá asegurar que su disposición cumpla con los parámetros establecidos en esta ley o en cualquier otra ley o reglamento aplicable. Un disco duro descartado, una computadora vendida o un servidor dado de baja entran en la misma obligación que un archivo de papel.

3. 3

   Paso 3: Recuerda que cerrar el negocio no borra la obligación

   La ley lo dice expresamente: toda entidad comercial que cese operaciones, se fusione o consolide con otra entidad comercial deberá cumplir con lo establecido en esta ley al disponer de la información personal de los consumidores. Esa fue precisamente la preocupación que motivó la ley — los archivos abandonados cuando una empresa cierra.

4. 4

   Paso 4: Conoce el acta notarial y quién está exento

   El procedimiento de destrucción se hará constar ante un notario mediante un acta notarial, y copia certificada de esa acta será conservada por la entidad comercial para inspección por un término mínimo de diez (10) años. Pero hay una excepción por tamaño: ese requisito no será de aplicación a entidades comerciales con veinticinco (25) empleados o menos y un ingreso bruto inferior a tres (3) millones de dólares. Ojo con la "y": son dos condiciones a la vez, no una u otra.

5. 5

   Paso 5: Lleva la querella al DACO y guarda tu acción en daños

   El Departamento de Asuntos del Consumidor puede promulgar un reglamento para viabilizar los propósitos de esta ley, aunque su adopción no es de naturaleza jurisdiccional: la ley tiene vigencia desde su aprobación con reglamento o sin él. Las multas que pueda imponer el Secretario del DACO en virtud de la Ley 5-1973 por cada violación a esta ley o a su reglamento no afectan los derechos de los consumidores de iniciar acciones o reclamaciones en daños ante un tribunal competente. Es decir, que multen al comercio no consume tu reclamación.

El Departamento de Asuntos del Consumidor es la agencia con facultad para reglamentar y multar bajo esta ley, apoyándose en las facultades de la Ley 5-1973. La vía de daños ante un tribunal competente queda abierta en paralelo. Si además de un descarte indebido hubo una filtración con acceso de terceros, esa es otra ley y otro reloj: la notificación de brechas de la Ley 111-2005, que cubrimos en su propia guía.

• Creer que basta con botar o reciclar los documentos: el estándar es que la información no se pueda leer ni descifrar por ningún método.
• Pensar que solo aplica al papel: la ley cubre expresamente la información en formato digital.
• Asumir que al cerrar el negocio la obligación desaparece: cesar operaciones, fusionarse o consolidarse está expresamente cubierto.
• Leer la exención notarial como una sola condición: son 25 empleados o menos Y menos de $3 millones de ingreso bruto.
• No conservar la copia certificada del acta: el mínimo es diez (10) años para inspección.
• Creer que la dirección o el teléfono no cuentan: a diferencia de la Ley 111-2005, aquí la definición de información personal los incluye.
• Pensar que la multa del DACO sustituye tu reclamación: la ley dice expresamente que no afecta tu derecho a reclamar daños en el tribunal.
• Confundir esta ley con la de notificación de brechas: una regula la destrucción, la otra el aviso tras una filtración.

Estas son las páginas del gobierno en las que se basa esta guía.

• Departamento de Asuntos del Consumidor (DACO)

  DACO

  bvirtualogp.pr.gov

• Servicios del DACO

  DACO

  www.daco.pr.gov