Implementación de la Ley General de Protección de Datos Personales

José Miguel De La Calle Superintendente de Industria y Comercio

Desde la aprobación en diciembre del 2010 del proyecto de ley general de protección de datos personales, y faltando solo la publicación de la sentencia por parte de la Corte Constitucional, la Superintendencia de Industria y Comercio (SIC) se ha venido preparando para su entrada en vigencia. Esta novedosa legislación, que está llamada a posicionar a Colombia como un país con los más altos estándares de protección de información personal, recoge todo el desarrollo jurisprudencial que se ha venido produciendo desde la consagración del derecho de hábeas data, así como las mejores prácticas internacionales.

Los retos de implementación de la ley para asegurar una supervisión sólida y eficiente son de gran envergadura. La SIC, que desde el año pasado incorporó a su estructura una nueva delegatura de protección de datos personales, ha venido trabajando en la puesta a punto de su estructura para anticiparse a la entrada en vigencia de la nueva ley. En esta columna, se plantean algunos de los más importantes retos. 

Sistema Integral de Supervisión Inteligente

Considerando que el universo de vigilados, a diferencia de lo que ocurre actualmente con la Ley 1266 del 2008, es indeterminado, la SIC está diseñando y estructurando un nuevo sistema integral de supervisión inteligente para ejercer eficientemente la vigilancia de los responsables y encargados del tratamiento de datos personales.

Este sistema permitirá introducir criterios de priorización basados en la identificación de riesgos para focalizar los esfuerzos de gestión en tratamientos de datos con mayor impacto y frecuencia. El sistema prevé adicionalmente un alto componente de autogestión y se alimentará en gran medida por la información suministrada por los sujetos vigilados.

Registro Nacional de Bases de Datos

Un segundo gran reto es la estructuración, puesta en funcionamiento y administración del Registro Nacional de Bases de Datos (RNBD) que será, según la ley, el “directorio público de las bases de datos sujetas a tratamiento que operan en el país”. Este registro, cuyo contenido mínimo será reglamentado por el Gobierno dentro del año siguiente a la entrada en vigencia de la ley, deberá ser un instrumento útil y funcional para una adecuada implementación del modelo de supervisión.

Entre otros aspectos, el RNBD idealmente deberá permitirle al supervisor conocer la realidad de las bases de datos del país, el flujo y el tipo de información personal sujeta a tratamiento, los datos de contacto de los responsables o encargados del tratamiento, la finalidad de la recolección y las condiciones de seguridad de la información.

Categorías relevantes de clasificación de la información

El proyecto de ley estableció dos categorías de datos que reciben especial protección: (i) los datos sensibles y (ii) los datos personales de los niños, niñas y adolescentes.

Los datos sensibles son aquellos que afectan la intimidad de las personas o cuyo uso indebido puede generar discriminación (origen racial o étnico, orientación política, convicciones filosóficas o religiosas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, datos de salud, de la vida sexual y datos biométricos). Su tratamiento está, en términos generales, prohibido salvo que concurra alguna de las excepciones previstas por el proyecto: (i) autorización explícita del titular o necesidad de salvaguardar su interés vital, (ii) realización del tratamiento en actividades legítimas relacionadas con el derecho de asociación, (iii) el ejercicio o defensa de un derecho en un proceso judicial o (iv) tratamientos con finalidad histórica, estadística o científica.

En lo que se refiere a los datos de menores de edad, se debe tener en cuenta que aunque el proyecto proscribe su tratamiento (con la excepción de aquellos que son de naturaleza pública) la Corte Constitucional precisó que tal prohibición debe interpretarse de forma tal que sí se pueda llevar a cabo pero siempre con plena protección de los derechos fundamentales del menor y con miras a la “realización del principio de su interés superior”. Esta modulación de la Corte permitirá superar los escollos de una norma excesivamente estricta que hubiera generado enormes dificultades prácticas de aplicación.

Normas corporativas vinculantes

Por último, es importante destacar la consagración legal de las normas corporativas vinculantes como un instrumento que permitirá fomentar las buenas prácticas empresariales y facilitará las transferencias internacionales de datos.

La reglamentación de este importante artículo del proyecto fijará las pautas para que las empresas puedan acceder a mecanismos de certificación. Esta novedosa inclusión legal, desarrollada ya en otras legislaciones, alinea a Colombia con las mejores prácticas internacionales en protección de datos.