TRIANA, URIBE & MICHELSEN LEY 1581 DE 2012 ASPECTOS RELEVANTES EN LA NORMATIVIDAD DE LA PROTECCIÓN DE DATOS PERSONALES EN COLOMBIA Carlos Severiche 8 de marzo de 2013 © Calle 93B No P. 4, Bogotá D.C., , Colombia Tels.: (57-1) – Fax: (57-1) – Website:

Ley 1581 de 2012 Decreto No. XXX de 2013 Sentencia C de 2011

Estructura de la Ley 1581 de 2012 TÍTULO I Objeto, ámbito de aplicación y definiciones (arts. 1 – 3) TÍTULO II Principios Rectores (art. 4) TÍTULO III Categorías especiales de datos (arts. 5 -7) TÍTULO IV Derechos y condiciones para el tratamiento (arts. 8 – 13) TÍTULO V Procedimientos (arts. 14 – 16) TÍTULO VI Deberes de los responsables y encargados del tratamiento (arts. 17 – 18)

Estructura de la Ley 1581 de 2012 TÍTULO VII CAPÍTULO II Procedimientos y sanciones (arts. 22 – 24) CAPÍTULO III Registro Nacional de Base de Datos (art. 25) TÍTULO VIII Transferencia de datos a terceros países (art. 26) TÍTULO IX Otras disposiciones – normas corporativas vinculantes (BCR’S) – régimen de transición (arts. 27 – 30)

GENERALIDADES Reglamentación de carácter general, no sectorizada (Ley 1266 de 2008 y Ley 1273 de 2009). Aplicable a todos los tipos de datos salvo art. 2 de la Ley (censo, defensa nacional, etc.) El modelo de protección es un esfuerzo de Colombia por ajustarse a los estándares internacionales y lograr el reconocimiento de nivel de protección adecuado.

GENERALIDADES La Ley está construida sobre el sistema jurídico que considera la protección de los datos personales como un derecho constitucional (art. 15 Constitución Política). La Ley de protección de datos personales abarca de modo general las tendencias legislativas de otros países como Urugay y México.

OBJETO, APLICACIÓN Y DEFINICIONES Desarrollar el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos (art. 15 Constitución Política).

OBJETO, APLICACIÓN Y DEFINICIONES Los principios y disposiciones de la Ley son aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada (art. 2).

OBJETO, APLICACIÓN Y DEFINICIONES Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. Dato Personal Conjunto organizado de datos personales que sea objeto de Tratamiento. Base de datos Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Tratamiento

OBJETO, APLICACIÓN Y DEFINICIONES Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos. Responsable Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento. Encargado Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Tratamiento

PRINCIPIOS RECTORES Finalidad Libertad Veracidad Confidenc ialidad Seguridad Transparencia

CATEGORÍAS ESPECIALES DE DATOS DATOS SENSIBLES Aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, partidos políticos, datos biométricos, etc.

CATEGORÍAS ESPECIALES DE DATOS El Tratamiento está proscrito salvo: a)El Titular haya dado su autorización explícita. b)El Tratamiento sea necesario para salvaguardar el interés vital del Titular. c)El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical.

DERECHOS DE LOS TITULARES NIÑOS, NIÑAS Y ADOLESCENTES

CATEGORÍAS ESPECIALES DE DATOS NIÑOS, NIÑAS Y ADOLESCENTES Add me on facebook

DERECHOS DE LOS TITULARES a)Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. b)Solicitar prueba de la autorización otorgada al Responsable del Tratamiento. c)Ser informado respecto del uso que le ha dado a sus datos personales. d)Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento

AUTORIZACIÓN Artículo 9°. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

AUTORIZACIÓN a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

DEBERES DE LOS RESPONSABLES a) Solicitar y conservar copia de la respectiva autorización otorgada por el Titular. b) Informar debidamente al Titular sobre la finalidad de la recolección. c) Conservar la información bajo las condiciones de seguridad. d) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley.

DEBERES DE LOS RESPONSABLES Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PERSONAS A QUIENES SE LES PUEDE DAR LA INFORMACIÓN Entidades públicas o administrativas (orden judicial) Terceros autorizados por la ley o el Titular Causahabientes o representantes legales

AUTORIDAD DE PROTECCIÓN DE DATOS Adelantar las investigaciones del caso, de oficio o a petición de parte. Disponer el bloqueo temporal de los datos. Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. Administrar el Registro Nacional Público de Bases de Datos. Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales

PROCEDIMIENTOS Y SANCIONES Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles Suspensión temporal de las actividades relacionadas con el Tratamiento

PROCEDIMIENTOS Y SANCIONES La dimensión del daño o peligro.El beneficio económico obtenido por el infractor.La reincidencia en la comisión de la infracción. La resistencia, negativa u obstrucción a la acción investigadora. La renuencia o desacato a cumplir las órdenes impartidas. El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción.

REGISTRO NACIONAL DE BASES DE DATOS NO ES UNA GRAN BASE DE DATOS EN LA QUE SE ALMACENEN TODOS LOS CONTENIDOS DE LAS BASES DE DATOS DEL PAÍS

TRANSFERENCIA INTERNACIONAL Artículo 26. Prohibición. Se prohíbe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos. Se entiende que un país ofrece un nivel adecuado de protección de datos cuando cumpla con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los que la presente ley exige a sus destinatarios.

TRANSFERENCIA INTERNACIONAL a) Información respecto de la cual el Titular haya otorgado su autorización; b) Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública; c) Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable; d) Transferencias en el marco de tratados internacionales; e) Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento; f) Transferencias legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

DISPOSICIONES FINALES VIGENCIA: 17 de octubre de 2012 RÉGIMEN DE TRANSICIÓN: 6 meses (17 de abril de 2013) NORMAS CORPORATIVAS VINCULANTES (BCR): Por reglamentar.

PREGUNTAS

GRACIAS