Protección de datos en la tercerización colombiana: entender la Ley 1581

El marco en resumen

Colombia tiene un régimen de protección de datos maduro. Su fundamento es la Ley 1581 de 2012, la ley general de protección de datos, complementada por el Decreto 1377 de 2013 que reglamenta aspectos de su aplicación. La autoridad de supervisión es la Superintendencia de Industria y Comercio, la SIC, que mantiene el Registro Nacional de Bases de Datos y hace cumplir el régimen. Este artículo es una visión general y no constituye asesoría legal. Los arreglos específicos deben ser revisados por asesores jurídicos colombianos calificados.

Los conceptos centrales

El régimen gira en torno al titular, la persona cuyos datos personales están siendo tratados. Define al responsable, la parte que decide sobre el tratamiento, y al encargado, la parte que trata los datos en nombre del responsable. En un arreglo de tercerización estos roles importan, porque determinan quién carga con cada obligación. El régimen se apoya en el principio de autorización previa, expresa e informada: como regla general, los datos personales solo pueden tratarse con el consentimiento del titular, obtenido antes del tratamiento e informado en cuanto a su finalidad.

Los derechos del titular de los datos

El régimen, al que suele hacerse referencia mediante el concepto constitucional de habeas data, otorga a los titulares un conjunto de derechos sobre su información. Estos incluyen el derecho a conocer qué datos se tienen y cómo se tratan, a acceder a ellos, a que se rectifiquen o actualicen cuando sean inexactos, y a solicitar su supresión cuando el tratamiento no respete la ley. Las organizaciones deben proporcionar un mecanismo para ejercer estos derechos y deben responder dentro de los plazos que el régimen establece.

Qué significa esto para la tercerización

Para una empresa que terceriza hacia Colombia, o una empresa colombiana que terceriza a nivel nacional, las implicaciones prácticas son concretas. Debe existir una base lícita y una autorización adecuada para los datos personales que se tratan. El arreglo de tratamiento entre las partes debe estar documentado, con roles y obligaciones claros. Las medidas de seguridad deben ser apropiadas. Los derechos del titular deben respetarse mediante un procedimiento definido. Y las transferencias internacionales de datos conllevan sus propios requisitos bajo el régimen.

Un socio de tercerización serio que opere en Colombia tendrá una posición de cumplimiento documentada: una política de privacidad y una política de tratamiento de datos, mecanismos de consentimiento y autorización definidos, un procedimiento para las solicitudes de los titulares, cronogramas de retención, controles de seguridad y un contacto designado para asuntos de protección de datos. Los compradores deben pedir verlo, y deben esperar que el socio acepte auditoría.

Por qué esto es una virtud, no un obstáculo

Es tentador ver la protección de datos como fricción. Se entiende mejor como garantía. Un socio con una posición madura de cumplimiento de la Ley 1581, que opera como entidad jurídica colombiana dentro de una estructura de gobernanza responsable, le da a las propias funciones de cumplimiento y riesgo del comprador algo que pueden examinar y en lo que pueden confiar. Para los compradores regulados en particular, esto suele ser lo que convierte a un proveedor prometedor en uno aprobable. El régimen que protege al titular de los datos también protege al comprador que elige un socio que lo toma en serio.

NOTA

Este artículo es una visión general y no constituye asesoría legal. Los arreglos específicos de protección de datos deben ser revisados por asesores jurídicos colombianos calificados.