Datenschutz im kolumbianischen Outsourcing: Ley 1581 verstehen

Der Rahmen in Kürze

Kolumbien verfügt über ein ausgereiftes Datenschutzregime. Seine Grundlage ist das Gesetz Ley 1581 von 2012, das allgemeine Datenschutzgesetz, ergänzt durch das Dekret 1377 von 2013, das Aspekte seiner Anwendung regelt. Die Aufsichtsbehörde ist die Superintendencia de Industria y Comercio, die SIC, die das nationale Datenbankregister führt und das Regime durchsetzt. Dieser Artikel ist ein allgemeiner Überblick und keine Rechtsberatung. Konkrete Vereinbarungen sollten von qualifizierten kolumbianischen Rechtsberatern geprüft werden.

Die Kernbegriffe

Das Regime stellt den titular in den Mittelpunkt, die betroffene Person, deren personenbezogene Daten verarbeitet werden. Es definiert den responsable, die Partei, die über die Verarbeitung entscheidet, und den encargado, die Partei, die Daten im Auftrag des responsable verarbeitet. In einer Outsourcing-Vereinbarung sind diese Rollen wichtig, denn sie bestimmen, wer welche Pflicht trägt. Das Regime beruht auf dem Grundsatz der vorherigen, ausdrücklichen und informierten Einwilligung: In der Regel dürfen personenbezogene Daten nur mit Zustimmung der betroffenen Person verarbeitet werden, die vor der Verarbeitung eingeholt und über deren Zweck aufgeklärt wird.

Die Rechte der betroffenen Person

Das Regime, oft über den verfassungsrechtlichen Begriff des Habeas Data angesprochen, gewährt betroffenen Personen eine Reihe von Rechten an ihren Informationen. Dazu gehören das Recht zu erfahren, welche Daten gespeichert sind und wie sie verarbeitet werden, auf sie zuzugreifen, sie berichtigen oder aktualisieren zu lassen, wenn sie unrichtig sind, und ihre Löschung zu verlangen, wenn die Verarbeitung das Gesetz nicht achtet. Organisationen müssen einen Mechanismus zur Ausübung dieser Rechte bereitstellen und innerhalb der vom Regime gesetzten Fristen reagieren.

Was das für das Outsourcing bedeutet

Für ein Unternehmen, das nach Kolumbien auslagert, oder ein kolumbianisches Unternehmen, das im Inland auslagert, sind die praktischen Konsequenzen konkret. Es muss eine rechtmäßige Grundlage und eine angemessene Einwilligung für die verarbeiteten personenbezogenen Daten geben. Die Verarbeitungsvereinbarung zwischen den Parteien sollte dokumentiert sein, mit klaren Rollen und Pflichten. Die Sicherheitsmaßnahmen müssen angemessen sein. Die Rechte der betroffenen Personen müssen über ein festgelegtes Verfahren gewahrt werden. Und internationale Datenübermittlungen bringen unter dem Regime ihre eigenen Anforderungen mit sich.

Ein ernsthafter Outsourcing-Partner mit Betrieb in Kolumbien wird eine dokumentierte Compliance-Position vorweisen: eine Datenschutzrichtlinie und eine Datenverarbeitungsrichtlinie, festgelegte Einwilligungs- und Autorisierungsmechanismen, ein Verfahren für Anfragen betroffener Personen, Aufbewahrungsfristen,

Sicherheitskontrollen und einen benannten Ansprechpartner für Datenschutzangelegenheiten. Einkäufer sollten sich dies zeigen lassen und erwarten, dass der Partner Prüfungen zulässt.

Warum das ein Vorzug ist und kein Hindernis

Es ist verlockend, Datenschutz als Reibung zu betrachten. Besser versteht man ihn als Absicherung. Ein Partner mit einer ausgereiften Compliance-Position nach Ley 1581, der als kolumbianische juristische Person innerhalb einer verantwortlichen Governance-Struktur agiert, gibt den eigenen Compliance- und Risikofunktionen eines Einkäufers etwas an die Hand, das sie prüfen und auf das sie sich verlassen können. Gerade für regulierte Einkäufer ist dies oft das, was aus einem vielversprechenden Anbieter einen genehmigungsfähigen macht. Das Regime, das die betroffene Person schützt, schützt auch den Einkäufer, der einen Partner wählt, der es ernst nimmt.

HINWEIS

Dieser Artikel ist ein allgemeiner Überblick und keine Rechtsberatung. Konkrete Datenschutzvereinbarungen sollten von qualifizierten kolumbianischen Rechtsberatern geprüft werden.