RIPD-Estandares de protección de datos personales

RED I B E R O A M E R I C A N A D E

P ROT E C C I O N

D E D A T O S

20-JUNIO-2017

ESTÁNDARES DE PROTECCIÓN

DE DATOS PERSONALES PARA LOS ESTADOS IBEROAMERICANOS En el marco del XV Encuentro Iberoamericano de Protección de Datos, la Red Iberoamericana de Protección de Datos (RIPD o Red) ha aprobado y presentado oficialmente los llamados “Estándares de Protección de Datos de los Estados Iberoamericanos”, dando cumplimiento así a un objetivo largamente anhelado por todas las entidades integrantes de la misma, así como a uno de los acuerdos adoptados en la XXV Cumbre Iberoamericana de Jefes de Estado y de Gobierno, celebrada el 28 y 29 de octubre de 2016 en Colombia, relacionado con solicitar a la Red la elaboración de una propuesta para la cooperación efectiva relacionada con la protección de datos personales y privacidad. El texto ahora aprobado trata de dar respuesta a uno de los ejes de la estrategia acordada por la RIPD en noviembre de 2016 en Montevideo, plasmada en el documento “RIPD 2020”, consistente en “impulsar y contribuir al fortalecimiento y adecuación de los procesos regulatorios en la región, mediante la elaboración de directrices que sirvan de parámetro para futuras regulaciones o para la revisión de las existentes”. En este sentido, los Estándares Iberoamericanos se constituyen en un conjunto de directrices orientadoras que contribuyan a la emisión de iniciativas regulatorias de protección de datos personales en la región iberoamericana de aquellos países que aún no cuentan con estos ordenamientos, o en su caso, sirvan como referente para la modernización y actualización de las legislaciones existentes. 3 RED IBEROAMERICANA DE PROTECCIÓN DE DATOS Entre los objetivos de los Estándares Iberoamericanos destacan los siguientes: • Establecer un conjunto de principios y derechos comunes de protección de datos personales que los Estados Iberoamericanos puedan adoptar y desarrollar en su legislación nacional, con la finalidad de contar con reglas homogéneas en la región. • Garantizar el efectivo ejercicio y tutela del derecho a la protección de datos personales de cualquier persona física en los Estados Iberoamericanos, mediante el establecimiento de reglas comunes que aseguren el debido tratamiento de sus datos personales. • Facilitar el flujo de los datos personales entre los Estados Iberoamericanos y más allá de sus fronteras, con la finalidad de coadyuvar al crecimiento económico y social de la región. • Favorecer la cooperación internacional entre las autoridades de control de los Estados Iberoamericanos, con otras autoridades de control no pertenecientes a la región y autoridades y organismos internacionales en la materia. Como antecedentes directos de estos Estándares, pueden citarse, por un lado, la adopción por la propia RIPD, en 2007, con ocasión del V Encuentro Iberoamericano de Protección de Datos, de las “Directrices para la Armonización de la Protección de Datos en la Comunidad Iberoamericana”, con las que se pretendió establecer un “marco armonizado” de referencia para las iniciativas regulatorias nacionales que surgieran en la región en materia de protección de datos. Y, por otro, los estándares que fueron aprobados en la Conferencia Internacional de Autoridades de Privacidad y de Protección de Datos, celebrada en Madrid en 2009, los llamados “Estándares de Madrid”, que

constituyeron, sin duda, un avance en la búsqueda de soluciones y disposiciones específicas “que podrían aplicarse independientemente de las diferencias que puedan existir entre los diferentes modelos existentes de protección de datos y privacidad”. En la elaboración de los Estándares Iberoamericanos también se han tomado como referencia otros instrumentos internacionales y emblemáticos en materia de protección de datos personales como son las Directrices relativas a la protección de la intimidad y de la circulación transfronteriza de datos personales de la Organización para la Cooperación y Desarrollo Económicos; el Convenio número 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal y su Protocolo; el Marco de Privacidad del Foro de Cooperación Económica Asia Pacífico, y el Reglamento del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, entre otros. 4

20-JUNIO-2017

El recorrido que se ha seguido para su elaboración, comprende las siguientes etapas: - Junio, 2016: en el XIV Encuentro Iberoamericano de Protección de Datos, celebrado el 8 de junio de 2016 en Santa Marta, Colombia, se acordó la elaboración de los Estándares Iberoamericanos a cargo del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), en ese entonces en su calidad de presidente de la Red. - Noviembre, 2016: en el Seminario de la RIPD en el Centro de la Cooperación Española en Montevideo, celebrado los días 8 y 9 de noviembre en Montevideo, Uruguay, el INAI presentó a

los miembros presentes de la Red el anteproyecto de Estándares Iberoamericanos. En dicho seminario, se acordó que durante todo el mes de diciembre de 2016 al anteproyecto de Estándares Iberoamericanos estaría abierto para comentarios y observaciones de los miembros de la Red. - Mayo, 2017: en el Taller de la RIPD en el Centro de la Cooperación Española en Cartagena de Indias se estudió y debatió, desde el punto de vista técnico, la versión de los Estándares Iberoamericanos que había resultado de todas las aportaciones recibidas durante el mes de diciembre de

2016. En dicho taller participaron las Autoridades miembros de la RIPD, una representación del Supervisor Europeo de Protección de Datos y de la Organización de Estados Americanos, así como, mediante videoconferencia, de la Unidad de Flujos Internacionales de la Comisión Europea. - Junio, 2017: en el XV Encuentro Iberoamericano de Protección de Datos, celebrado del 20 al 22 de junio de 2017 en Santiago de Chile, se aprobó por unanimidad en la sesión cerrada del Encuentro la versión que resultó de los trabajos realizados durante el taller de Cartagena de Indias, siendo proclamados formalmente en la Sesión Abierta.

Con la aprobación de estos Estándares, la RIPD dispone de una herramienta esencial con la que puede afrontar con rigor el seguimiento y apoyo a los futuros desarrollos legislativos en la Región, debido a que los Estándares Iberoamericanos se caracterizan por ser un modelo normativo que: • Responde a las necesidades y exigencias nacionales e internacionales que demanda el derecho a la protección de datos personales, en una sociedad donde las tecnologías de la información y del conocimiento cobran cada vez mayor relevancia en todos los quehaceres de la vida cotidiana. • Incluye las mejores prácticas nacionales e internacionales en la materia. • Propone una serie de estándares tan flexibles que faciliten su adopción entre los Estados Iberoamericanos, sin contravenir de ninguna manera su derecho interno, de tal manera que este documento sea una realidad viva y viable en la región iberoamericana en beneficio del propio titular. 5 RED IBEROAMERICANA DE PROTECCIÓN DE DATOS • Garantiza un nivel adecuado de protección de los datos personales en la región iberoamericana, con la finalidad de no establecer barreras a la libre circulación de éstos en los Estados Iberoamericanos y, en consecuencia, favorecer las actividades comerciales entre la región, así como con otras regiones económicas. Por otro lado, y no menos importante, los Estándares Iberoamericanos permitirán reforzar la posición de la Red en el ámbito internacional. Para ello, se van a poner en marcha iniciativas en los diversos foros internacionales (Comisión Europea, Conferencia Internacional de Autoridades de Protección de Datos y Privacidad, Organización Estados Americanos, etc.), tratando de buscar la mayor difusión posible de los mismos. En definitiva, el trabajo desplegado por las entidades que integran la RIPD, que ha llevado finalmente a la aprobación de los citados Estándares, constituye una experiencia concreta de cooperación que, a nuestro juicio, puede ser de gran utilidad para otras organizaciones, por lo que quedan a entera disposición de todas las entidades y profesionales que puedan beneficiarse de ellos, en aras de garantizar de la forma más eficaz el posible ejercicio y tutela del derecho a la

protección de datos tanto en la región iberoamericana como en un contexto internacional. 6

20-JUNIO-2017

Los Estados Iberoamericanos: (1) Considerando que la protección de las personas físicas en relación con el tratamiento de sus datos personales es un derecho fundamental que se encuentra reconocido con rango máximo en la mayoría de las Constituciones Políticas de los Estados Iberoamericanos, bajo la forma del derecho a la protección de datos personales o habeas data, y que en algunos casos ha sido definido jurisprudencialmente por sus Tribunales o Cortes Constitucionales; (2) Determinando que el derecho a la protección de datos personales se ha conceptualizado en algunos países Iberoamericanos, legislativamente o jurisprudencialmente, como un derecho de naturaleza distinta a los derechos a la vida privada y familiar, a la intimidad, al honor, al buen nombre y otros derechos similares, que en su conjunto garantizan el libre desarrollo de la personalidad de la persona física, hasta conformarse en un derecho autónomo, con características y dinámica propias, que tiene por objeto salvaguardar el poder de disposición y control que tiene toda persona física con respecto a la información que le concierne, fundamentalmente en atención al empleo de las tecnologías de la información y las comunicaciones que cobran cada vez mayor relevancia en todos los quehaceres de la vida cotidiana; (3) Asumiendo que salvaguardar el derecho de las personas físicas respecto al tratamiento de sus datos personales es compatible con el objetivo de garantizar y proteger otros derechos, los cuales se reconocen como indivisibles e interdependientes unos con otros, y que requieren de una protección conforme para resguardar en su esfera más amplia a las personas físicas en contra de intrusiones ilegales o arbitrarias, incluso aquellas derivadas del tratamiento de datos personales. Lo anterior, no impide que el derecho a la protección de datos personales resulte aplicable a las personas jurídicas en cumplimiento a lo establecido en el derecho interno de los Estados Iberoamericanos; (4) Recordando que la Red Iberoamericana de Protección de Datos surgió con motivo del acuerdo alcanzado en el Encuentro Iberoamericano de Protección de Datos, celebrado en La Antigua, Guatemala, del 1 al 6 de junio de 2003, con la asistencia de representantes de 14 países iberoamericanos. Iniciativa que contó desde sus inicios con un apoyo político reflejado en la Declaración Final de la XIII Cumbre de Jefes de Estado y de Gobierno de los países Iberoamericanos, celebrada en Santa Cruz de la Sierra, Bolivia, el 14 y 15 de noviembre de 2003, conscientes del carácter de la protección de datos personales como un derecho fundamental;

7 RED IBEROAMERICANA DE PROTECCIÓN DE DATOS (5) Teniendo en cuenta que con motivo de la Resolución adoptada en la XXV Cumbre Iberoamericana de Jefes de Estado y de Gobierno, que tuvo lugar en Cartagena de Indias, Colombia, los días 28 y 29 de octubre de 2016, se reafirmó que la adopción, elaboración e impulso de diversos manuales, programas, iniciativas y proyectos fortalecerían la gestión e impacto de las acciones de cooperación entre los países de Iberoamérica; (6) Asumiendo que la Red Iberoamericana de Protección de Datos se constituye en

un foro permanente de intercambio de información abierto a todos los países miembros de la Comunidad Iberoamericana y que permite el involucramiento de los sectores público, privado y social, con la finalidad de promover los desarrollos normativos necesarios para garantizar una regulación avanzada del derecho a la protección de datos personales en un contexto democrático y global; (7) Recordando que con motivo de la reunión celebrada en Santa Cruz de la Sierra, Bolivia, del 3 a 5 de mayo de 2006, se elaboró el documento denominado Directrices para la Armonización de la Protección de Datos en la Comunidad Iberoamericana, el cual establece un conjunto de disposiciones que tienen por objeto contribuir a la elaboración de las iniciativas regulatorias de la protección de datos que surjan en la Comunidad Iberoamericana, constituyéndose como un referente para el desarrollo de los presentes Estándares; (8) Teniendo en cuenta que la Unión Europea ha adoptado un nuevo marco normativo en la materia, con el objetivo de modernizar sus disposiciones y garantizar mayor solidez y coherencia en la protección efectiva del derecho fundamental a la protección de datos personales en la Unión Europea y con el fin de generar confianza en la sociedad en general y, a su vez, facilitar el desarrollo de la economía digital, tanto en su mercado interior como en sus relaciones globales; marco normativo que se posiciona como un referente obligado y determinante para la elaboración de las legislaciones nacionales de protección de datos en Iberoamérica; (9) Reconociendo que existe una falta de armonización en los Estados Iberoamericanos respecto al reconocimiento, adopción, definición y desarrollo de las figuras, principios, derechos y procedimientos que dan contenido al derecho a la protección de datos personales en sus legislaciones nacionales, lo cual, sin duda, dificulta actualmente hacer frente a los nuevos retos y desafíos para la protección de este derecho derivados de la constante y vertiginosa evolución tecnológica y la globalización en diversos ámbitos; (10) Haciendo apremiante, en el marco de una constante innovación tecnológica, la adopción de instrumentos regulatorios que garanticen, por una parte, la protección de las 8 20-JUNIO-2017 personas físicas con relación al tratamiento de sus datos personales y, por la otra, el libre flujo de los datos personales que actualmente constituyen la base para el desarrollo, fortalecimiento e intercambio de bienes y servicios en una economía global y digital, sobre los cuales se erigen las economías de los Estados Iberoamericanos; (11) Acordando que para garantizar un nivel alto de protección de los derechos y libertades de las personas físicas, entre otras cuestiones, se requiere, a su vez, un nivel uniforme y elevado de protección de las personas físicas con respecto a su información personal que responda a las necesidades y exigencias actuales en un contexto global, con la finalidad de no establecer barreras a la libre circulación de los datos personales en los Estados Iberoamericanos y, en consecuencia, favorecer las actividades comerciales entre la región, así como con otras regiones económicas; (12) Aceptando que con el objetivo de ampliar y fortalecer el régimen de protección de las personas físicas respecto al tratamiento de sus datos personales, es imperioso establecer un equilibrio entre los intereses de todos los actores del sector público, privado y

social y titulares involucrados, incluyendo el establecimiento de excepciones por cuestiones de interés público que sean razonables y compatibles con los derechos y libertades, para evitar incurrir en restricciones o limitaciones injustificadas o desproporcionadas que no sean acordes con los fines perseguidos en sociedades democráticas; (13) Estando conscientes acerca de los riesgos potenciales que pueden derivarse en la esfera de las personas físicas con motivo del tratamiento de sus datos personales a gran escala efectuado por parte de organismos públicos y privados y, en particular, teniendo en cuenta la especial vulnerabilidad de las niñas, niños y adolescentes, quienes demandan de garantías adecuadas y suficientes de protección frente a usos indebidos o arbitrarios de su información personal, preservando de esta manera su interés superior, el libre desarrollo de su personalidad, su seguridad y otros valores que son objeto de máxima protección por parte de los Estados Iberoamericanos; (14) Conviniendo que el desarrollo tecnológico facilita el tratamiento de nuevas categorías de datos personales que presentan riesgos específicos, en particular el uso inadecuado de los mimos; por lo que resulta altamente relevante lograr un consenso mínimo respecto de las categorías de datos personales considerados con el carácter de sensible o especialmente protegidos, así como de las reglas para su tratamiento, teniendo en cuenta que las consecuencias e injerencias negativas que pueden derivarse a partir del uso indebido de este tipo de datos personales pueden generar condiciones injustas o discriminatorias para las personas físicas; 9 RED IBEROAMERICANA DE PROTECCIÓN DE DATOS (15) Admitiendo que no todos los Estados Iberoamericanos cuentan con una legislación en la materia, situación que puede provocar afectaciones en el resguardo y tratamiento de la información personal, si se considera el acelerado uso de las tecnologías de la información que facilitan y permiten una comunicación masiva de datos personales de manera inmediata y casi ilimitada; (16) Estableciendo que las legislaciones en materia de protección de datos personales de los Estados Iberoamericanos deben adoptar los referentes contenidos en los presentes Estándares para contar con un marco regulatorio armonizado que ofrezca un nivel de protección a las personas físicas respecto al tratamiento de sus datos personales y, a su vez, garantizando el desarrollo comercial y económico de la zona; (17) Admitiendo que actualmente las bases jurídicas que legitiman a todo organismo de carácter público o privado a tratar datos personales en su posesión son el consentimiento del titular; el cumplimiento de una disposición legal; el cumplimiento de una orden judicial, resolución o mandato fundado y motivado de autoridad pública competente; el ejercicio de facultades propias de las autoridades públicas; el reconocimiento o defensa de los derechos del titular ante una autoridad pública competente; la ejecución de un contrato o precontrato en el que el titular sea parte; el cumplimiento de una obligación legal aplicable al responsable; la protección de intereses vitales del titular o de otra persona física; el interés legítimo del organismo público o privado, o por razones de interés público; (18) Enfatizando la necesidad que en los Estados Iberoamericanos se traten los datos personales bajo los mismos estándares y reglas homogéneas que ofrezcan a los titulares las mismas garantías de protección, a través del establecimiento de un catálogo de principios de obligado cumplimiento que responda a los actuales estándares nacionales e internacionales en la materia, así como a las exigencias que demanda un efectivo ejercicio y respeto de este derecho fundamental; (19) Reconociendo que con el propósito de garantizar de manera efectiva el derecho a la protección de datos personales, es preciso adoptar un marco regulatorio que reconozca a cualquier persona física, en su carácter de titular de sus datos personales, la posibilidad de ejercer, por regla general de manera gratuita y excepcionalmente con costos asociados por razones naturales de reproducción, envío, certificación u otras, los derechos de acceso, rectificación, cancelación, oposición y portabilidad, inclusive en el contexto de tratamientos de datos personales efectuados por motores o buscadores de Internet; derechos que complementan las condiciones necesarias para que los titulares ejerzan de manera plena su derecho a la autodeterminación informativa; 10 20-JUNIO-2017 (20) Resaltando la importancia y el papel fundamental que desempeñan los prestadores de servicios que tratan datos personales a nombre y por cuenta del responsable, incluyendo aquéllos que prestan servicios de cómputo en la nube y otras materias, lo cual conlleva a los Estados Iberoamericanos a adoptar, en un mundo globalizado, un régimen que les permita regular este tipo de servicios con la finalidad de establecer una serie de garantías para la protección de los datos personales que con motivo de su encargo poseen y tratan, sin eximir al responsable de sus obligaciones y responsabilidades que tiene ante los titulares y las autoridades de control; (21) Considerando que el desarrollo de las nuevas tecnologías de la información y las

comunicaciones así como los servicios desarrollados en el contexto de la economía digital están contribuyendo al crecimiento continuado de los flujos transfronterizos de datos personales en el marco de una sociedad global, es ineludible la obligación de establecer una base mínima que facilite y permita a responsables y encargados, en su calidad de exportadores, la realización de transferencias internacionales de datos personales con pleno respeto a los derechos de los titulares; (22) Teniendo en cuenta que mediante el Internet es posible acceder y recabar información disponible en cualquier país, así como llevar a cabo un tratamiento de la misma, como recabar datos de millones de personas sin estar físicamente domiciliado allí, circunstancia que no debería constituirse en un factor que impida la efectiva protección de los derechos y libertades de las personas en el ciberespacio; (23) Reconociendo la importancia de la adopción de medidas preventivas que permitan al responsable responder proactivamente ante los posibles problemas relacionados con el derecho a la protección de datos personales como son la adopción de esquemas de autorregulación vinculante o sistemas de certificación en la materia; la designación de un oficial de protección de datos personales; la elaboración de evaluaciones de impacto a la protección de datos personales y la privacidad por defecto y por diseño, entre otras, lo cual resulta esencial en el ámbito de las tecnologías de la información y las telecomunicaciones; (24) Admitiendo la imperiosa necesidad de que cada Estado Iberoamericano cuente con una autoridad de control independiente e imparcial en sus potestades cuyas decisiones únicamente puedan ser recurribles por el control judicial, ajena a toda influencia

externa, con facultades de supervisión e investigación en materia de protección de datos personales y encargada de vigilar el cumplimiento de la legislación nacional en la materia, la cual esté dotada de recursos humanos y materiales suficientes para garantizar el ejercicio de sus poderes y el desempeño efectivo de sus funciones; 11 RED IBEROAMERICANA DE PROTECCIÓN DE DATOS (25) Reconociendo que los Estados Iberoamericanos están obligados a adoptar un régimen que garantice a los titulares una serie de mecanismos y procedimientos para presentar sus reclamaciones ante la autoridad de control cuando consideren vulnerado su derecho a la protección de datos personales, así como para ser indemnizados cuando hubieren sufrido daños y perjuicios como consecuencia de una violación de su derecho; (26) Destacando la importancia de establecer una base mínima para la cooperación internacional entre las autoridades de control latinoamericanas y entre éstas y las de terceros países, con la finalidad de favorecer y facilitar la aplicación de la legislación en la materia y una protección efectiva de los titulares; Han convenido en adoptar los presentes Estándares como máxima prioridad en la Comunidad Iberoamericana para que con el carácter de directrices orientadoras contribuyan a la emisión de iniciativas regulatorias de protección de datos personales en la región de los países que aún no cuentan con estos ordenamientos, o en su caso, sirvan como referente para la modernización y actualización de las legislaciones existentes, favoreciendo la adopción de un marco regulatorio armonizado que ofrezca un nivel adecuado de protección de las personas físicas respecto al tratamiento de sus datos personales y garantizando, a su vez, el desarrollo comercial y económico

de la región, al tenor de lo siguiente: Capítulo I Disposiciones generales

1. Objeto

1.1 Los presentes Estándares tienen por objeto: a. Establecer un conjunto de principios y derechos de protección de datos personales que los Estados Iberoamericanos puedan adoptar y desarrollar en su legislación nacional, con la finalidad de garantizar un debido tratamiento de los datos personales y contar con reglas homogéneas en la región. b. Elevar el nivel de protección de las personas físicas en lo que respecta al tratamiento de sus datos personales, así como entre los Estados Iberoamericanos, el cual responda a las necesidades y exigencias internacionales que demanda el derecho a la protección de datos personales en una sociedad en la cual las tecnologías de la información y del conocimiento cobran cada vez mayor relevancia en todos los quehaceres de la vida cotidiana. 12

20-JUNIO-2017

c. Garantizar el efectivo ejercicio y tutela del derecho a la protección de datos personales de cualquier persona física en los Estados Iberoamericanos, mediante el establecimiento de reglas comunes que aseguren el debido tratamiento de sus datos personales. d. Facilitar el flujo de los datos personales entre los Estados Iberoamericanos y más allá de sus fronteras, con la finalidad de coadyuvar al crecimiento social y económico de la región. e. Impulsar el desarrollo de mecanismos para la cooperación internacional entre las autoridades de control de los Estados Iberoamericanos, autoridades de control no pertenecientes a la región y autoridades y entidades internacionales en la materia.

2. Definiciones 2.1. Para los efectos de los presentes Estándares se entenderá por:

a. Anonimización: la aplicación de medidas de cualquier naturaleza dirigidas a impedir la identificación o reidentificación de una persona física sin esfuerzos desproporcionados. b. Consentimiento: manifestación de la voluntad, libre, específica, inequívoca e informada, del titular a través de la cual acepta y autoriza el tratamiento de los datos personales que le conciernen. c. Datos Personales: cualquier información concerniente a una persona física identificada o identificable, expresada en forma numérica, alfabética, gráfica, fotográfica, alfanumérica, acústica o de cualquier otro tipo. Se considera que una persona es identificable cuando su identidad pueda determinarse directa o indirectamente, siempre y cuando esto no requiera plazos o actividades desproporcionadas. d. Datos personales sensibles: aquellos que se refieran a la esfera íntima de su titular, o cuya utilización indebida puedan dar origen a discriminación o conlleve un riesgo grave para éste. De manera enunciativa, se consideran sensibles los datos personales que puedan revelar aspectos como origen racial o étnico; creencias o convicciones religiosas, filosóficas y morales; afiliación sindical; opiniones políticas; datos relativos a la salud, a la vida, preferencia u orientación sexual, datos genéticos o datos biomé- tricos dirigidos a identificar de manera unívoca a una persona física. e. Encargado: prestador de servicios, que con el carácter de persona física o jurídica o autoridad pública, ajena a la organización del responsable, trata datos personales a nombre y por cuenta de éste. f. Exportador: persona física o jurídica de carácter privado, autoridad pública, servicios,

organismo o prestador de servicios situado en territorio de un Estado que efectúe transferencias internacionales de datos personales, conforme a lo dispuesto en los presentes Estándares. 13

RED IBEROAMERICANA DE PROTECCIÓN DE DATOS

g. Responsable: persona física o jurídica de carácter privado, autoridad pública, servicios u organismo que, solo o en conjunto con otros, determina los fines, medios, alcance y demás cuestiones relacionadas con un tratamiento de datos personales. h. Titular: persona física a quien le conciernen los datos personales.

1. Tratamiento: cualquier operación o conjunto de operaciones efectuadas mediante procedimientos físicos o automatizados realizadas sobre datos personales, relacionadas, de manera enunciativa más no limitativa, con la obtención, acceso, registro, organización, estructuración, adaptación, indexación, modificación, extracción, consulta, almacenamiento, conservación, elaboración, transferencia, difusión, posesión, aprovechamiento y en general cualquier uso o disposición de datos personales.

3. Ámbito de aplicación subjetivo 3.1. Los presentes Estándares serán aplicables a las personas físicas o jurídicas de carácter privado, autoridades y organismos públicos, que traten datos personales en el ejercicio de sus actividades y funciones.

4. Ámbito de aplicación objetivo 4.1. Los presentes Estándares serán aplicables al tratamiento de datos personales que obren en soportes físicos, automatizados total o parcialmente, o en ambos soportes, con independencia de la forma o modalidad de su creación, tipo de soporte, procesamiento, almacenamiento y organización.

4.2. Por regla general, los presentes Estándares serán aplicables a los datos personales de personas físicas, lo cual no impide que los Estados Iberoamericanos en su legislación nacional dispongan que la información de las personas jurídicas sea salvaguardada acorde con el derecho a la protección de datos personales, en cumplimiento a lo establecido en su derecho interno. 4.3. Los Estándares no resultarán aplicables en los siguientes supuestos: a. Cuando los datos personales estén destinados a actividades exclusivamente en el marco de la vida familiar o doméstica de una persona física, esto es, la utilización de datos personales en un entorno de amistad, parentesco o grupo personal cercano y que no tengan como propósito una divulgación o utilización comercial. b. La información anónima, es decir, aquélla que no guarda relación con una persona física identificada o identificable, así como los datos personales sometidos a un proceso de anonimización de tal forma que el titular no pueda ser identificado o reidentificado. 4.4. La legislació