El Gobierno reglamenta el Registro Nacional de las Bases de Datos

Si bien el Registro había sido creado desde el año 2012 por la ley de protección de datos personales (Ley Estatutaria 1581 de 2012), su reglamentación aún estaba pendiente por parte del Gobierno Nacional. Aunque el nuevo decreto regula los aspectos fundamentales del Registro, como su ámbito de aplicación y la información mínima que debe contener, deja a cargo de la Superintendencia de Industria y Comercio (Autoridad de Protección de Datos en Colombia) la tarea de establecer el procedimiento aplicable para la inscripción de las bases de datos.

¿Cuál es la finalidad del Registro Nacional de Bases de Datos?
El Registro Nacional de Bases de Datos es el registro público de las bases de datos personales que operan en el país. Así, como todo registro público, su función básica es la publicidad. Sin embargo, la Corte Constitucional ha precisado que la finalidad del Registro Nacional de Bases de Datos va más allá de lo anterior, pues se creó como una herramienta para garantizar el ejercicio del derecho fundamental de habeas data. En efecto, el objetivo principal del Registro consiste en permitir que los ciudadanos conozcan quiénes hacen tratamiento de sus datos personales y cuál es la finalidad específica de este, de manera que puedan ejercer sus derechos de actualización, rectificación, oposición o de solicitar la supresión de la información que reposa en los bancos de datos públicos y privados.

Adicionalmente, el Registro permite la vigilancia y control de las bases de datos personales por parte de la Superintendencia de Industria y Comercio, en tanto le permite conocer quiénes realizan tratamiento de datos personales en Colombia, cuáles son las políticas de tratamiento de los responsables, y verificar que se respeten los derechos de los titulares de la información personal que está sujeta a tratamiento en el país. 

¿Cuáles son las bases de datos que deben inscribirse en el Registro Nacional de Bases de Datos?
En pocas palabras, todas las bases de datos personales que operan en el país deberán inscribirse en el Registro Nacional, sin importar la forma de tratamiento al que estén sometidas (manual o automatizado), y sin importar la naturaleza de la persona que realiza el tratamiento (persona natural o jurídica, pública o privada). Adicionalmente, el decreto indica que el responsable deberá registrar, de manera independiente, todas y cada una de las bases de datos que contengan información sujeta a tratamiento. 

La obligación de inscripción en el Registro Nacional será aplicable incluso a las bases de datos que sean objeto de tratamiento fuera de Colombia, en los eventos en que al responsable o al encargado del tratamiento le sea aplicable el régimen colombiano de protección de datos personales (en virtud de normas o tratados internacionales).

¿Quiénes están obligados a inscribir las bases de datos y cómo se hace la inscripción? 
El deber de inscribir las bases de datos en el Registro Nacional le corresponde al responsable del tratamiento. Sin embargo, todavía no se conoce cómo deberá hacerse la inscripción, pues el nuevo decreto se limitó a señalar la información mínima que debe contener el Registro, pero dejó en cabeza de la Superintendencia de Industria y Comercio establecer el procedimiento de inscripción aplicable. 

En cuanto a la información mínima que debe contener, además de los nombres y datos de contacto de los responsables y encargados del tratamiento, deberá precisarse el nombre y la finalidad de la base de datos, la forma de tratamiento de los datos personales, los canales dispuestos para que los titulares ejerzan sus derechos y aportarse la política de tratamiento de la información. 

¿Qué plazo tengo para inscribir una base de datos?
El plazo para realizar la inscripción será de un (1) año, contado a partir de la fecha en que la Superintendencia de Industria y Comercio habilite el Registro Nacional de Bases de Datos. Sin embargo, el Registro todavía no ha sido habilitado por esa entidad y no se tiene una fecha esperada o prevista para que ello suceda. 

Para las bases de datos nuevas que se creen después del plazo señalado anteriormente, el término para realizar la inscripción en el Registro será de dos (2) meses, contados a partir de la creación de la base.