墨西哥数据保护法
1.《关于保护私营机构所持个人数据的联邦法律》是什么？
- 答：这是墨西哥规范私营实体所持个人数据收集、处理及保护的主要立法。该法规定了数据泄露通知要求及数据保护措施。
2.根据墨西哥法律，构成个人数据安全泄露的行为包括哪些？
- 答案：当发生以下情况时，即构成个人数据安全泄露：（一）未经授权的泄露或销毁；（二）盗窃、丢失或未经授权的复制；（三）未经授权的使用、访问或处理；（四）未经授权的损坏、篡改或修改。
3.组织应在何时报告个人数据泄露事件？
- 答：组织必须在确认数据泄露并评估其范围后“立即”报告。及时通知是必要的，以便受影响的数据主体能够采取适当措施并减轻潜在危害。
4.发生数据泄露时必须通知哪些人？
- 答：必须直接通知受影响的个人。除非另有法规要求，否则无需通知政府当局。
5.个人数据泄露通知必须包含哪些信息？
- 答：通知必须包含以下内容：数据泄露的性质、受影响的个人数据、对受影响个人的保护建议、组织采取的补救措施以及进一步咨询的联系方式。有关墨西哥数据泄露法律的更多信息，请参阅《墨西哥数据泄露通知法规：全面指南》。
6.什么被视为敏感个人数据？
- 答案：指影响数据主体最私密领域，或不当使用可能导致歧视或对数据主体构成严重风险的个人数据，包括但不限于：(i)种族或民族血统；(ii)当前或未来的健康状况；(iii)遗传信息；(iv)宗教、哲学及道德信仰；(v)政治观点；以及(vi)性取向。
7.未遵守个人数据泄露通知要求是否会受到处罚？
- 答：是的，处罚可能包括巨额罚款，并对责任人追究刑事责任。违规行为凸显了遵守法律要求的重要性。
8.INAI的作用如何影响个人数据保护？
- 答：联邦信息获取与数据保护研究所（INAI）通过调查违规行为、实施罚款以及发布指导方针来确保合规，从而执行数据保护法律。
9.组织应在其隐私声明中包含哪些内容？
- 隐私声明必须包含以下信息（但不限于）：(i) 数据控制者的身份及地址；(ii) 将被处理的个人数据的描述； (iii) 需处理的任何敏感个人数据的识别；(iv) 数据处理的目的，包括主要目的及任何次要目的；(v) 数据控制者为数据主体提供的限制其数据用于任何次要目的之使用、披露或处理的选项及方式；(vi) 行使访问权、更正权、取消权或反对权（ARCO权利）的途径。
10.组织如何为潜在的数据泄露做好准备？
- 组织应制定全面的数据泄露应急预案，对员工进行数据保护政策培训，实施强有力的安全措施，并咨询法律专家以确保做好应对潜在数据泄露的准备。
11.保护敏感个人数据的最佳实践是什么？
- 最佳实践包括：使用加密技术；实施访问控制；定期进行安全审计；制定识别、控制和缓解安全事件的协议；以及确保数据的安全存储和传输。
12.发现数据泄露后应立即采取哪些措施？
- 答案：确认数据泄露事件，评估其影响范围，及时通知受影响的个人，记录泄露事件，并采取纠正措施以解决漏洞并防止未来事件发生。
13.组织能否通过电子邮件通知受影响的个人？
- 答：是的，电子邮件是通知受影响个人的常用方式，前提是其安全性得到保障且能确保通知送达指定接收人。根据具体情况，也可采用邮寄信件或电话通知等其他方式。
14.墨西哥的数据保护法与《通用数据保护条例》(GDPR)相比如何？
- 答案：虽然墨西哥法律和《通用数据保护条例》（GDPR）都侧重于保护个人数据并要求在发生数据泄露时进行通知，但GDPR的适用范围更广且要求更严格，包括必须在72小时内通知监管机构和受影响的个人。
15.组织收到第三方发出的数据泄露通知后应如何应对？
- 答：组织应审查通知内容，核实具体细节，并评估其对数据和系统的影响。他们应与第三方协调处理数据泄露事件，并在必要时通知受影响的个人。
16. 关于将个人数据转移至墨西哥境外的规定有哪些？
- 根据墨西哥数据保护法律，向无法提供充分保护水平的国家或国际组织转移个人数据须满足特定条件。数据控制者必须确保接收方承诺遵守墨西哥法律规定的数据保护原则，通常通过合同条款或其他法律机制来保障个人数据的保护。
17. 根据本法，数据主体享有哪些具体权利？
- 回答数据主体依法享有若干权利，通常称为ARCO权利，包括：
- 访问权：有权访问数据控制者所持有的其个人数据。
- 更正权：有权更正任何不准确或不完整的数据。
- 撤销权：当数据不再用于收集目的时，个人有权要求删除其数据。
- 反对权：有权反对将其数据用于特定目的的处理。
- 数据主体可直接向数据控制者行使这些权利，数据控制者必须提供便利这些请求的途径。
18. 墨西哥是否有任何特定行业的数据保护法规？
- 答：是的，某些行业（如医疗保健、金融服务和电信）存在额外的特定法规来规范个人数据的处理。这些法规通常比一般法律更为严格，可能对该行业内的组织施加额外的合规义务。组织必须同时了解并遵守一般法规和行业特定法规，以确保完全符合法律要求。
19. 组织应如何处理跨境数据传输？
- 答案：在跨境传输数据时，组织必须采取措施确保数据同时符合墨西哥法律和接收国法律的要求得到保护。这包括评估接收国提供的保护措施是否充分，并采用标准合同条款、具有约束力的公司规则或获取数据主体明确同意等保障措施。
20. 组织收到第三方发出的数据泄露通知后应采取哪些措施？
组织应采取以下措施：
-
- 审查通知：评估通知的准确性和完整性。
- 验证影响：确认数据泄露是否及其如何影响其数据或系统。
- 与第三方协调：与第三方密切合作，共同管理对数据泄露事件的应对措施。
- 通知受影响的个人：若数据泄露事件影响到数据主体，应根据法律要求及时通知相关人员。
- 采取纠正措施：实施预防未来事件的措施，可能涉及修订安全协议或加强数据保护措施。
21. 在赋予数据主体的权利方面，墨西哥的数据保护法与《通用数据保护条例》(GDPR)相比如何？
- 答案：墨西哥法律与《通用数据保护条例》（GDPR）均赋予数据主体重要权利，包括访问、更正和删除其数据的权利。然而，GDPR更进一步引入了数据可携权以及与自动化决策和画像相关的权利。此外，GDPR为数据主体行使这些权利提供了更完善的框架，并要求组织以更明确的方式保障这些权利的行使。
我们感谢里瓦德内拉·特雷维尼奥律师事务所的同仁们，特别是何塞·安东尼奥·佩雷斯·布拉沃·纳尼，在撰写本文过程中给予的宝贵协助。
