Ley 1581 de 2012

¿Qué se ha de entender por protección de datos personales? 1. Junto con el Habeas data, hace parte de los derechos del consumidor. 2. Representa para el consumidor el derecho de conocer, actualizar y rectificar toda su información que se encuentre contenida en una base de datos. 3. Aplicable a los datos personales registrados en cualquier base de datos susceptibles de tratamiento (ya sea pública o privada).

Terminología básica: 1. Base de datos: conjunto organizado de datos personales que sea objeto de tratamiento. 2. Dato personal: cualquier información que pueda ser vinculada a una persona NATURAL determinada.

Requisitos rectores de la ley: Los datos personales deben ser: 1. Recogidos con fines determinados, explícitos y legítimos. 2. Adecuados, pertinentes y no excesivos. 3. Exactos y actualizados.

Las partes en juego: Titular de los datos (persona natural) Encargado del Tratamiento (persona natural o jurídica) Responsable: quien decide sobre las bases de datos y su tratamiento Ej. Arrendatario Inmobiliaria-Fianza Inmobiliaria de Bogotá

¿Qué se debe entender por tratamiento? Cualquier operación o conjunto de operaciones sobre datos personales tales como: 1. Recolección 2. Almacenamiento 3. Uso 4. Circulación 5. Supresión 6. Consulta

2 niveles de datos… Datos personales Datos sensibles: susceptibles de protección especial ya que pueden llegar a afectar la intimidad del titular.

Derechos de los titulares: Conocer, actualizar y rectificar su información personal. Solicitar prueba de manejo de datos personales. Presentar queja ante la Superintendencia. Revocar autorización o solicitar la supresión de datos personales. Acceder de forma gratuita a sus datos personales.

DECRETO 377 DE LA AUTORIZACIÓN Consentimiento PREVIO (por escrito), EXPRESO, e INFORMADO. ¿Funciona el simple “click”?

¿Qué pasa dentro de la empresa? Todo se desarrolla con base en procesos. Ej. Proceso para la atención de reclamos y consultas de los titulares. Rol esencial del “Oficial de cumplimiento” (no es sólo una cuestión para abogados). En seguimiento del principio en administración de “accountability”, lo primordial es demostrar ante la autoridad que se ha hecho “lo más” en aras de cumplir con las normas de orden público. =) Implica una rebaja en la sanciones.

¿Qué pasa dentro de la empresa? Principio de “Responsabilidad demostrada”: lo que se pide es que en la organización se implemente una estructura administrativa de gestión de datos personales EQUIVALENTE a la magnitud de la estructura del responsable.

Documentos a tener… 1. Autorización 2. Aviso de privacidad (comunicación verbal o escrita generada por el responsable y dirigida al titular, para el tratamiento de datos personales) 3. Política de tratamiento de datos personales 4. Contrato de transmisión de datos (nacional e internacional)

La transmisión de datos Es imperativo que se le comunique al cliente o titular en donde van a estar almacenados dichos datos. La nube Servidores - casilleros- Servidores - casilleros- Servidores - casilleros- Servidores - casilleros-

Sanciones: 2 tipos Pecuniaria…de hasta salarios mínimos mensuales! Penal…. Para el representante legal de la empresa.

Otras consideraciones… Hay que tener un programa efectivo de protección de datos personales Ciclos de gestión interna dentro de la organización y presentación de resultados visibles. Dentro del PROGRAMA INTEGRAL de tratamiento de datos personales, se deberá contar con un compromiso de la alta dirección.

Guía para la implementación del principio de responsabilidad compartida Se basa en el decreto 1377/2013, articulo 26, que hace referencia a la Responsabilidad compartida Basado en el concepto de Accountability => Rol del Responsable del tratamiento Garantizar al ciudadano un tratamiento idoneo de su información personal

Guía para la implementación del principio de responsabilidad compartida Se basa en el decreto 1377/2013, articulo 26, que hace referencia a la Responsabilidad compartida Criterio de responsabilidd demostrada Los respondables deben ser capaces de demostrar que han implementado medidas apropiadas y efectivas para el cumplimiento de la Ley Tamaño de la empresa Naturaleza jurídica Naturaleza de los datos Tipo de ratamiento que se da a la información Riesgos para los titulares

Guía para la implementación del principio de responsabilidad compartida Expedida por la Superintendencia de Industria y Comercio Beneficios La implementación de la Esta Guia en la organización será tenida en cuenta por la Super Inductria, al momento de aplicar una sanción Compromiso de la Organización Desde la Alta Dirección Oficial de protección de datos Liderar la elaboración del sistema de administración de datos Definición e implementación de los controles del Programa Integral de Gestión de Datos Personales Mantener el inventario de las bases de datos personales Cultura, entrenamiento a los funcionarios de la organización Interacción con la SIC Presentación de informes Definir de manera clara la estructura de lageneración de reportes Documentar el proceso de generación de reportes Generar repor tes a las instancias que los requieran

Aspectos generales de la Guía Controles del programa Procedimientos operacionales Inventario de las bases de datos Políticas Recolección, almacenamiento, uso, circulación, supervisión y disposición final Acceso y corección de datos personales Conservación y eliminación Uso responsable de la información Inclusión de clausula de confidencialidad y manejo de la información PQR

Aspectos generales de la Guía Controles del programa Sistema de administración de riesgos Identificación, medición, control y monitoreo Requisitos de formación y educación Protocolos de respuesta de violación y manejo de incidentes Gestión de los encargados de los tratamientos en transmisiones internacionales Comunicación externa

Aspectos generales de la Guía Evaluación y revisión continua Desarrollar un plan de supervisión y revisión Evaluar y revisar los controles Demostración del cumplimiento Probar ante la SIC, la adopción de un programa Integral de Gestión de Datos Personales Ser transparente ante los Titulares sobre la información que posee

Expositor Rodolfo Uribe Duarte Gerente Cloud Computing Services Ingeniero de Sistemas Especialista en Comercio electrónico