sábado, 15 de febrero de 2014
El Registro Nacional de Bases de Datos Personales deberá ser reglamentado por el Gobierno Nacional en los próximos meses.
La Ley 1581 de 2012 (Ley de Protección de Datos Personales) dictó disposiciones generales en materia de protección de datos personales. Adicionalmente, el Registro Nacional de Bases de Datos Personales deberá ser reglamentado por el Gobierno Nacional en los próximos meses. No obstante lo anterior, en la actualidad existe un proyecto de decreto reglamentario que desarrolla, entre otros, algunos de los siguientes aspectos en relación con la materia.
¿Qué es el Registro Nacional de Bases de Datos y cuál es su finalidad?
El Registro Nacional de Bases de Datos será un directorio público de las bases de datos sujetas a tratamiento en el territorio nacional. Las bases de datos que se encuentren fuera del territorio colombiano deberán ser registradas en el Registro Nacional de Bases de Datos cuando al responsable o encargado del tratamiento le sea aplicable la legislación colombiana, en virtud de normas y tratados internacionales.
Este Registro tiene como objeto (i) permitir a la autoridad de protección de datos personales tener control sobre las bases de datos objeto de tratamiento en el territorio nacional; (ii) permitir a la SIC tener conocimiento acerca de quiénes operan las bases de datos, las políticas de tratamiento de los mismos, y el cumplimiento de las obligaciones en cabeza de las personas que las operan; y (iii) permitir a los ciudadanos conocer cuáles son las bases de datos que operan en el país y ejercer sus derechos (actualizar, rectificar, suprimir y revocar la autorización del tratamiento de sus datos personales) sobre aquellas bases en las cuales sus datos personales sean objeto de tratamiento.
Así, el Registro Nacional de Bases de Datos servirá como una herramienta por medio de la cual la autoridad podrá vigilar y verificar que los responsables y encargados del tratamiento de datos personales cumplan a cabalidad con las obligaciones y disposiciones normativas. Además, permitirá que la ciudadanía tenga conocimiento acerca de las bases de datos en donde se realice tratamiento de su información personal.
¿Qué bases de datos personales deberán ser registradas en el Registro Nacional de Bases de Datos?
Serán objeto de inscripción en el Registro Nacional de Bases de Datos aquellas bases automatizadas o manuales objeto de tratamiento por personales naturales y/o jurídicas que operen en el territorio nacional. Las bases de datos manuales son aquellas en las que la información se encuentra organizada y almacenada de manera física, y las automatizadas son aquellas almacenadas y administradas con herramientas informáticas; por ejemplo, Excel.
¿Cuál es la autoridad encargada de la administración del Registro Nacional de Bases de Datos?
La Superintendencia de Industria y Comercio (“SIC”), como autoridad de protección de datos personales, por medio de la Delegatura de Protección de Datos Personales, será la encargada de crear y administrar el Registro Nacional de Bases de Datos.
De acuerdo con el proyecto de decreto reglamentario del Registro Nacional de Bases de Datos, la SIC tendrá además la obligación de impartir instrucciones relacionadas con las medidas de seguridad en el tratamiento de datos personales.
¿Qué información deberá ser inscrita en el Registro Nacional de Bases de Datos?
Dentro de los seis (6) meses siguientes a la fecha en que la SIC habilite el Registro Nacional de Bases de Datos, los responsables del tratamiento deberán realizar la inscripción de las bases de datos objeto de tratamiento. De acuerdo con el proyecto de decreto reglamentario publicado por la SIC en el 2013 (el cual fue puesto a conocimiento del público), el Registro Nacional de Bases de Datos deberá contener como mínimo la siguiente información: (i) datos del responsables del tratamiento de la base de datos, (ii) datos del encargado del tratamiento de la base de datos, (iii) canales para ejercer derechos, (iv) nombre y finalidad de la base de datos, (v) vigencia de la base de datos, (vi) sistema de tratamiento de la base de datos, y (vii) política de tratamiento de la información. Respecto del registro de esta última, la inscripción de la política de tratamiento solo será exigible hasta que la SIC imparta las instrucciones relacionadas con las medidas de seguridad en el tratamiento de los datos personales.
No obstante lo anterior, la SIC podrá definir y solicitar información adicional a la antes mencionada para el registro de las bases de datos personales.
