RETOS DE CUMPLIMIENTO Y RESPONSABILIDADES EN LA LEY DE DATOS PERSONALES

Transcripción

1 RETOS DE CUMPLIMIENTO Y RESPONSABILIDADES EN LA LEY DE DATOS PERSONALES Foro Información y Administración de Datos Hotel J.W. Marriott, Bogotá, Colombia 16 de mayo de 2012 María Carolina Pardo Cuellar Socia Baker & McKenzie Colombia S.A. Baker & McKenzie International is a Swiss Verein with member law firms around the world. In accordance with the common terminology used in professional service organizations, reference to a partner means a person who is a partner, or equivalent, in such a law firm. Similarly, reference to an office means an office of any such law firm.

2 Conceptos [change title in View/Header and Footer] 2

3 Premisa constitucional Derecho fundamental de los titulares respecto de sus datos personales: Conocer Actualizar Rectificar Revocar

4 No aplica a ciertas bases de datos Ámbito personal o doméstico mientras no se comparta Información crediticia Ley 1266 Seguridad y defensa, lavado de activos, terrorismo, penal, investigación judicial Información periodística o contenido editorial Archivo Nacional Registro Civil Información estadística - DANE

5 Aplicación Cualquier tratamiento de datos personales (individuos) Datos personales: Información que permita identificar a uno o más titulares una o más personas naturales Tratamiento En territorio colombiano, o Cuando la ley le sea aplicable al Responsable

6 Tratamiento / procesamiento Cualquier operación sobre datos personales, tales como: Recolección Almacenamiento Uso Circulación Supresión

7 Definiciones en sentido amplio Aplica a todos los datos asociados a todo tipo de personas naturales Sin importar el vínculo contractual por medio del cual se obtuvo Clientes Proveedores Empleados Contratistas Entre otros

8 Procesadores de datos Responsable Toma decisiones o controla el tratamiento Encargado Procesa los datos personales por cuenta del Responsable Públicas o Privadas Naturales o Jurídicas

9 Principios del Tratamiento de Datos Personales Legalidad actividad reglada Finalidad propósito legítimo límites a la recolección Libertad consentimiento del Titular o mandato legal o judicial Veracidad integridad del dato para evitar inducción al error Transparencia acceso al titular a la información sobre los registros Acceso & circulación restringida por personas autorizadas Seguridad necesaria para proteger los datos Confidencialidad incluso aún después de finalizada la labor

10 Obligaciones y Responsabilidades en el Tratamiento de Datos Personales Obtención de consentimiento calificado para el tratamiento Información al Titular sobre finalidad del Tratamiento Delineación de finalidades y propósitos Restricción en el acceso Quiénes pueden acceder y para qué Deber de implementar medidas adecuadas de seguridad en el tratamiento Carácter facultativo de la entrega de ciertos datos Transferencia transfronteriza prohibida salvo excepciones de la ley Garantizar el derecho de habeas data de los titulares

11 Retos & Desafíos [change title in View/Header and Footer] 11

12 Recolección Al momento de la recolección se debe: Contar con la autorización Haber dado al Titular información necesaria para que la autorización sea informada.

13 Recolección consentida Obtener la autorización del Titular Previa Informada Escrita o verbal expresa Inequívoca? Es posible dentro del contexto digital Es posible dentro de ciertos contextos Cámaras en ascensores

14 Deber de información al Titular Información dada a más tardar al momento de la recolección La finalidad del Tratamiento No pueden reciclarse las autorizaciones Los derechos del Titular Recolector debe ser fuente de información La identificación del Responsable Dirección y teléfono Carácter facultativo de respuestas sobre datos de niños/as y sensibles

15 Relaciones laborales y con contratistas Tercerización de manejo y administración de información de empleados y contratistas (i.e. recursos humanos, pago de nómina, beneficios, información de seguridad social). Sistemas de monitoreo de actividades de empleados y contratistas. Líneas whistleblower para reportar actividades irregulares de empleados y contratistas. Manejo de información en servidores fuera del país.

16 Relaciones laborales (Cont ) Acceso a información personal almacenada en equipos de la compañía. Sentencia T-405/2007 El empleador puede intervenir y acceder a datos personales almacenados en equipos proporcionados a los empleados como herramientas de trabajo, siempre y cuando el empleado haya sido previamente informado y haya consentido a dichas prácticas de monitoreo.

17 Bases de datos de terceros Verificación de que el proveedor de la base de datos haya obtenido consentimiento de los titulares de los datos recolectados en la base. Cuál es el alcance del consentimiento otorgado por los titulares? Es suficiente para el uso que voy a darle? Problema latente en bases de datos para transmisión de mensajes promocionales y de mercadeo.

18 Registro Nacional de Bases de Datos Administrado por la SIC Deber de aportar Políticas de tratamiento Vinculantes para el Responsable y el Encargado Estándares no inferiores a los de Ley Pendiente de reglamentación No debería implicar duplicar la información contenida en las bases de datos

19 Régimen de transición Seis meses desde la entrada en vigencia Plazo para adecuarse Qué implica esta adecuación? Qué hacer con bases de datos anteriores? Se requieren nuevos consentimientos expresos? Se deben eliminar bases de datos cuya finalidad se haya agotado? Mecanismos de notificación y de listas de exlcusión

20 Redes sociales Límites a la responsabilidad de la información subida por los usuarios de las redes sociales. Cuál es la legislación aplicable si el usuario está domiciliado en otra jurisdicción y pone a disposición de los usuarios de la red información de titulares domiciliados en Colombia?

21 Datos personales de menores de edad Prohibición absoluta del tratamiento en la nueva ley. Modulación en fallo de la Corte Constitucional (sentencia C-147/2011 Se permite el tratamiento siempre y cuando se garanticen los derechos fundamentales del menor.

22 Retos y oportunidades Modelo formalista puede dificultar la aplicación de la ley Modelo demasiado laxo no garantizará la protección del habeas data Aproximación aplicación Finalidad del tratamiento Naturaleza del dato personal (sensibilidad) Basada en la dinámica del procesamiento Modelo de responsabilidad demostrable (accountability) Sistema de principios y no de fórmulas únicas

23 Protección en la era del BIG DATA Efectos de los avances tecnológicos información Velocidad en el procesamiento Cantidad Ubicuidad Big Data Retos Protección del habeas data nuevas connotaciones Equilibrio adecuado entre Protección eficiente / dinámica de la información

24 Equilibrio entre protección y dinamismo Tratamiento debe basarse en los principios de protección La velocidad y masificación de los datos no pueden ser excusa para reducir las garantías de los titulares Las garantías no deben anular la dinámica de los datos La teconología debe permitir al titular mantener el control sobre sus datos personales herramientas para restringir o revocar el consentimiento Dar información suficiente sobre los métodos y formas del tratamiento

25 Gracias María Carolina Pardo Cuellar Baker & McKenzie Colombia S.A. Baker & McKenzie International is a Swiss Verein with member law firms around the world. In accordance with the common terminology used in professional service organizations, reference to a partner means a person who is a partner, or equivalent, in such a law firm. Similarly, reference to an office means an office of any such law firm.