Proteção de dados na terceirização colombiana: entendendo a Ley 1581

O arcabouço em resumo

A Colômbia tem um regime de proteção de dados maduro. Seu alicerce é a Ley 1581 de 2012, a lei geral de proteção de dados, complementada pelo Decreto 1377 de 2013, que regulamenta aspectos de sua aplicação. A autoridade supervisora é a Superintendencia de Industria y Comercio, a SIC, que mantém o registro nacional de bases de dados e faz cumprir o regime. Este artigo é uma visão geral e não constitui aconselhamento jurídico. Arranjos específicos devem ser revisados por advogados colombianos qualificados.

Os conceitos centrais

O regime se centra no titular, o titular dos dados, cujos dados pessoais estão sendo tratados. Ele define duas figuras do regime colombiano: o responsable, a parte que decide sobre o tratamento, e o encargado, a parte que trata os dados em nome do responsable. Os termos são mantidos no espanhol original da lei, porque não correspondem exatamente às figuras equivalentes da LGPD brasileira. Em um arranjo de terceirização, esses papéis importam, porque determinam quem carrega qual obrigação. O regime se apoia no princípio da autorização prévia, expressa e informada: como regra geral, os dados pessoais só podem ser tratados com o consentimento do titular, obtido antes do tratamento e informado quanto à sua finalidade.

Os direitos do titular dos dados

O regime, muitas vezes referido pelo conceito constitucional de habeas data, concede aos titulares de dados um conjunto de direitos sobre suas informações. Entre eles estão o direito de saber quais dados são mantidos e como são tratados, de acessá-los, de tê-los retificados ou atualizados quando imprecisos, e de solicitar sua exclusão quando o tratamento não respeitar a lei. As organizações precisam oferecer um mecanismo para o exercício desses direitos e responder dentro dos prazos que o regime estabelece.

O que isso significa para a terceirização

Para uma empresa que terceiriza para a Colômbia, ou uma empresa colombiana que terceiriza no mercado interno, as implicações práticas são concretas. É preciso haver uma base legal e a autorização adequada para os dados pessoais que estão sendo tratados. O arranjo de tratamento entre as partes deve ser documentado, com papéis e obrigações claros. As medidas de segurança devem ser adequadas. Os direitos dos titulares de dados devem ser honrados por meio de um procedimento definido. E as transferências internacionais de dados carregam seus próprios requisitos sob o regime.

Um parceiro de terceirização sério que opera na Colômbia terá uma posição de compliance documentada: uma política de privacidade e de tratamento de dados, mecanismos definidos de consentimento e autorização, um procedimento para solicitações dos titulares de dados, cronogramas de retenção, controles de segurança e um contato designado para assuntos de proteção de dados. Os compradores devem pedir para ver isso, e devem esperar que o parceiro aceite auditoria.

Por que isso é um recurso, não um obstáculo

É tentador ver a proteção de dados como atrito. É melhor entendê-la como garantia. Um parceiro com uma posição madura de compliance com a Ley 1581, operando como pessoa jurídica colombiana dentro de uma estrutura de governança responsável, dá às próprias funções de compliance e risco do comprador algo que elas podem examinar e no qual podem confiar. Para compradores regulados em particular, isso é muitas vezes o que transforma um fornecedor promissor em um fornecedor aprovável. O regime que protege o titular dos dados também protege o comprador que escolhe um parceiro que o leva a sério.

NOTA

Este artigo é uma visão geral e não constitui aconselhamento jurídico. Arranjos específicos de proteção de dados devem ser revisados por advogados colombianos qualificados.