Proteção de dados na terceirização colombiana: entendendo a Ley 1581

O arcabouço em resumo

A Colômbia tem um regime de proteção de dados maduro. Seu alicerce é a Ley 1581 de 2012, a lei geral de proteção de dados, complementada pelo Decreto 1377 de 2013, que regulamenta aspectos de sua aplicação. A autoridade supervisora é a Superintendencia de Industria y Comercio, a SIC, que mantém o registro nacional de bases de dados e faz cumprir o regime. Este artigo é uma visão geral e não constitui aconselhamento jurídico. Arranjos específicos devem ser revisados por advogados colombianos qualificados.

Os conceitos centrais

O regime se centra no titular, o titular dos dados, cujos dados pessoais estão sendo tratados. Ele define o responsable, a parte que decide sobre o tratamento, e o encargado, a parte que trata os dados em nome do responsable. Em um arranjo de terceirização, esses papéis importam, porque determinam quem carrega qual obrigação. O regime se apoia no princípio da autorização prévia, expressa e informada: como regra geral, os dados pessoais só podem ser tratados com o consentimento do titular, obtido antes do tratamento e informado quanto à sua finalidade.

Os direitos do titular dos dados

O regime, muitas vezes referido pelo conceito constitucional de habeas data, concede aos titulares de dados um conjunto de direitos sobre suas informações. Entre eles estão o direito de saber quais dados são mantidos e como são tratados, de acessá-los, de tê-los retificados ou atualizados quando imprecisos, e de solicitar sua exclusão quando o tratamento não respeitar a lei. As organizações precisam oferecer um mecanismo para o exercício desses direitos e responder dentro dos prazos que o regime estabelece.

O que isso significa para a terceirização

Para uma empresa que terceiriza para a Colômbia, ou uma empresa colombiana que terceiriza no mercado interno, as implicações práticas são concretas. É preciso haver uma base legal e a autorização adequada para os dados pessoais que estão sendo tratados. O arranjo de tratamento entre as partes deve ser documentado, com papéis e obrigações claros. As medidas de segurança devem ser adequadas. Os direitos dos titulares de dados devem ser honrados por meio de um procedimento definido. E as transferências internacionais de dados carregam seus próprios requisitos sob o regime.

Um parceiro de terceirização sério que opera na Colômbia terá uma posição de compliance documentada: uma política de privacidade e de tratamento de dados, mecanismos definidos de consentimento e autorização, um procedimento para solicitações dos titulares de dados, cronogramas de

retenção, controles de segurança e um contato designado para assuntos de proteção de dados. Os compradores devem pedir para ver isso, e devem esperar que o parceiro aceite auditoria.

Por que isso é um recurso, não um obstáculo

É tentador ver a proteção de dados como atrito. É melhor entendê-la como garantia. Um parceiro com uma posição madura de compliance com a Ley 1581, operando como pessoa jurídica colombiana dentro de uma estrutura de governança responsável, dá às próprias funções de compliance e risco do comprador algo que elas podem examinar e no qual podem confiar. Para compradores regulados em particular, isso é muitas vezes o que transforma um fornecedor promissor em um fornecedor aprovável. O regime que protege o titular dos dados também protege o comprador que escolhe um parceiro que o leva a sério.

NOTA

Este artigo é uma visão geral e não constitui aconselhamento jurídico. Arranjos específicos de proteção de dados devem ser revisados por advogados colombianos qualificados.