Nuevo estándar para el cumplimiento de la ley de datos personales

En febrero pasado la SIC sometió a discusión un borrador de la guía que incluirá parámetros generales para la implementación de actividades y procesos al interior de las organizaciones que les permitan evidenciar que procesan datos con “responsabilidad demostrada”. 

¿Qué es el principio de responsabilidad demostrada?

Es la carga que tienen los Responsables del tratamiento de demostrar, a petición de la SIC, que han adoptado medidas apropiadas y efectivas para cumplir con las obligaciones previstas en la Ley 1581 de 2012 y el Decreto 1377 de 2013, y con las instrucciones de la SIC. Se trata de medidas más allá del cumplimiento literal de la ley, pues una verdadera protección de los datos personales requiere que todas las instancias de la organización demuestren capacidad y responsabilidad para cumplir con ella. 

Con ello, adicional a la implementación de la Política y los Consentimientos, las medidas que implementen las organizaciones para cumplir con el principio de “responsabilidad demostrada” deben ser proporcionales a la naturaleza jurídica y tamaño de la empresa, la naturaleza de los datos personales tratados, el tipo y finalidad del tratamiento dado, y los riesgos potenciales que el tratamiento podría causar sobre los derechos de los titulares. No todas las organizaciones deben implementar las mismas medidas y la SIC evaluará en cada caso su proporcionalidad. 

Aunque las medidas concretas señaladas en la guía no son obligatorias, la SIC ha anunciado que la guía será el estándar que tendrá en cuenta para determinar si un Responsable del tratamiento está cumpliendo con la ley y con el principio de “responsabilidad demostrada”. 

Contenido de la guía

La versión preliminar de la guía explica el principio de “responsabilidad demostrada” y describe los beneficios que su implementación trae para la organización. 

¿Cuál es el mayor beneficio?

El más importante de los beneficios, en concordancia con el Decreto 1377 de 2013, es que cuando la SIC entre a evaluar la imposición de sanciones a la organización por fallas en el tratamiento de datos personales, un factor para moderar la sanción será la verificación de si la organización cumple con el principio de “responsabilidad demostrada”, habiendo adoptado medidas y políticas concretas adicionales a la literalidad de la ley, para el manejo adecuado de los datos personales. 

La guía invita a establecer un Programa Integral de Gestión de Datos Personales al interior de los Responsables del tratamiento, que puede incluir, por ejemplo, la inclusión del deber de elaboración de informes internos sobre el cumplimiento del Programa a nivel directivo, el establecimiento de controles -y su correspondiente verificación- al interior de la organización, o estrategias para la capacitación de los empleados y para la evaluación y revisión del Programa.

La guía, de la mano con el Registro Nacional de Base de Datos, que próximamente será habilitado, serán los instrumentos con base en los cuales la SIC fiscalizará el cumplimiento de lo establecido en las normas de protección de datos personales.