CIRCULAR EXTERNA 2 DE 2015

(noviembre 3)

Diario Oficial No. 49.686 de 4 de noviembre de 2015

SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO

Bogotá, D. C., 3 de noviembre de 2015

1. Objeto

Impartir instrucciones a los Responsables del Tratamiento de datos personales, personas jurídicas de naturaleza privada inscritas en las Cámaras de Comercio y sociedades de economía mixta, para efectos de realizar la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos (RNBD).

2. Fundamento legal

El artículo 19 de la Ley 1581 de 2012, Régimen General de Protección de Datos Personales, designa a la Superintendencia de Industria y Comercio como la Autoridad de Protección de Datos y dispuso que esta entidad “ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.

El artículo 21 de la Ley 1581 de 2012, establece las funciones a cargo de la Superintendencia de Industria y Comercio, entre las que se encuentran “(v)elar por el cumplimiento de la legislación en materia de protección de datos personales”, “(i)mpartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley”, “(s)olicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones”, y “(a)dministrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento”.

Para el adecuado cumplimiento de sus funciones de vigilancia en materia de protección de datos personales, la Superintendencia de Industria y Comercio diseñó el Sistema Integral de Supervisión Inteligente (SISI) basado en riesgos, el cual está compuesto por diferentes procesos, entre ellos, el de recolección de información acerca de las bases de datos personales sujetas a tratamiento que operan en el país.

El artículo 25 de la Ley 1581 de 2012 creó el Registro Nacional de Bases de Datos (RNBD), el cual define como el directorio público de las bases de datos personales sujetas a Tratamiento que operan en el país y dispuso que sea administrado por la Superintendencia de Industria y Comercio.

El Capítulo 26 del Decreto Único número 1074 de 2015 reglamentó el artículo 25 de la Ley 1581 de 2012 y estableció la información mínima que debe contener el Registro, así como los términos y condiciones de inscripción. En particular, en el artículo 2.2.2.26.2.1, el citado decreto señaló que “(l)a Superintendencia de Industria y Comercio, como autoridad de protección de datos personales, podrá establecer dentro del Registro Nacional de Bases de Datos información adicional a la mínima prevista en este artículo, acorde con las facultades que le atribuyó la Ley 1581 de 2012 en el literal h) del artículo 21”. Así mismo, en el artículo 2.2.2.26.3.2 dispuso que “(l)a Superintendencia de Industria y Comercio establecerá el procedimiento de inscripción en el Registro Nacional de Bases de Datos que deberán cumplir los Responsables del Tratamiento, previa validación de su identidad, de acuerdo con lo que para el efecto establezca esa entidad”.

Por lo expuesto, se hace necesario establecer la información adicional que contendrá el Registro Nacional de Bases de Datos (RNBD) y el procedimiento de inscripción (i) para que los Responsables del Tratamiento de datos personales, personas jurídicas de naturaleza privada inscritas en las Cámaras de Comercio y sociedades de economía mixta, cumplan con este deber legal y (ii) la Superintendencia de Industria y Comercio ejerza de manera eficiente sus funciones de vigilancia en materia de protección de datos personales.

Los Responsables del Tratamiento no cargarán en el Registro Nacional de Bases de Datos (RNBD) sus bases de datos con información personal. Solamente inscribirán la información establecida en el Capítulo 26 del Decreto Único número 1074 de 2015 y en la presente Circular.

3. Instructivo

Adicionar el Capítulo Segundo sobre el Registro Nacional de Bases de Datos (RNBD) al Título V de la Circular Única, el cual quedará así:

“CAPÍTULO SEGUNDO: REGISTRO NACIONAL DE BASES DE DATOS (RNBD)

2.1 Información adicional que deberá inscribirse en el Registro Nacional de Bases de Datos (RNBD)

Los Responsables del Tratamiento, personas jurídicas de naturaleza privada inscritas en las Cámaras de Comercio y sociedades de economía mixta, deben inscribir en el Registro Nacional de Bases de Datos (RNBD) la siguiente información, además de la establecida mediante el Capítulo 26 del Decreto Único número 1074 de 2015.

a) Información almacenada en la base de datos. Es la clasificación de los datos personales almacenados en cada base de datos, agrupados por categorías y subcategorías, de acuerdo con la naturaleza de los mismos;

b) Medidas de seguridad de la información. Corresponde a los controles implementados por el Responsable del Tratamiento para garantizar la seguridad de las bases de datos que está registrando, teniendo en cuenta las preguntas dispuestas para el efecto en el RNBD. Tales preguntas no constituyen de ninguna manera instrucciones acerca de las medidas de seguridad que deben implementar los Responsables del Tratamiento de datos personales;

c) Procedencia de los datos personales. La procedencia de los datos se refiere a si estos son recolectados del Titular de la información o suministrados por terceros y si se cuenta con la autorización para el tratamiento o existe una causal de exoneración, de acuerdo con lo establecido en el artículo 10 de la Ley 1581 de 2012;

d) Transferencia internacional de datos personales. La información relacionada con la Transferencia internacional de datos personales comprende la identificación del destinatario como Responsable del Tratamiento, el país en el que este se encuentra ubicado y si la operación está cobijada por una declaración de conformidad emitida por la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio o por una causal de excepción en los términos señalados en el artículo 26 de la Ley 1581 de 2012;

e) Transmisión internacional de datos personales. La información relacionada con la Transmisión internacional de datos comprende la identificación del destinatario como Encargado del Tratamiento, el país en el que este se encuentra ubicado, si se tiene un contrato de transmisión de datos en los términos señalados en el artículo 2.2.2.25.5.2 de la Sección 5 del Capítulo 25 del Decreto Único número 1074 de 2015 o si la operación está cobijada por una declaración de conformidad emitida por la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio;

f) Cesión o transferencia nacional de la base de datos. La información relacionada con la cesión o transferencia nacional de datos incluye la identificación del cesionario, quien se considerará Responsable del Tratamiento de la base de datos cedida a partir del momento en que se perfeccione la cesión. No es obligatorio para el cedente registrar la cesión de la base de datos. Sin embargo, el cesionario, como Responsable del Tratamiento, debe cumplir con el registro de la base de datos que le ha sido cedida;

g) Reporte de novedades. Una vez finalizada la inscripción de la base de datos en el RNBD, se reportarán como novedades los reclamos presentados por los Titulares y los incidentes de seguridad que afecten la base de datos, de acuerdo con las siguientes reglas:

(i) Reclamos presentados por los Titulares. Corresponde a la información de los reclamos presentados por los Titulares ante el Responsable y/o el Encargado del Tratamiento, según sea el caso, dentro de un semestre calendario (enero-junio y julio-diciembre). Esta información se reportará teniendo en cuenta lo manifestado por los Titulares y los tipos de reclamos prestablecidos en el registro. El reporte deberá ser el resultado de consolidar los reclamos presentados por los Titulares ante el Responsable y el (los) Encargado (s) del Tratamiento;

(ii) Incidentes de seguridad. Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.

La información relacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes reportados por los Responsables del Tratamiento no estará disponible para consulta pública.

2.2 Procedimiento de inscripción en el Registro Nacional de Bases de Datos (RNBD)

Los Responsables del Tratamiento de datos personales, personas jurídicas de naturaleza privada inscritas en las Cámaras de Comercio y sociedades de economía mixta, deberán inscribir sus bases de datos en el RNBD, de acuerdo con las instrucciones contenidas en el “Manual del Usuario del Registro Nacional de Bases de Datos (RNBD)” publicado en el sitio web de la Superintendencia de Industria y Comercio, www.sic.gov.co.

La inscripción se realizará en línea a partir del 9 de noviembre de 2015 en el portal web de esta entidad_[1].

De acuerdo con lo establecido en el artículo 2.2.2.26.3.1 de la Sección 3 del Capítulo 26 del Decreto Único número 1074 de 2015, dicha inscripción podrá realizarse en cualquier momento dentro del año siguiente a la fecha en la que la Superintendencia de Industria y Comercio habilite el registro. Para evitar el vencimiento de este plazo e inscribir las bases de datos oportunamente, se sugiere el siguiente cronograma:

A cada base de datos se le asignará un número de radicado, una vez se finalice el procedimiento de inscripción.

La información inscrita en el RNBD estará sujeta a verificación de esta Superintendencia.

En el 2016 se habilitará la inscripción en el RNBD de las bases de datos de las personas naturales, las entidades públicas, diferentes a las sociedades de economía mixta, y las personas jurídicas de naturaleza privada que no están inscritas en las Cámaras de Comercio, previa publicación de las instrucciones que para el efecto impartirá esta Superintendencia.

2.3 Actualización de la información contenida en el Registro Nacional de Bases de Datos (RNBD)

La información contenida en el RNBD deberá actualizarse, como se indica a continuación:

(i) Dentro de los primeros diez (10) días hábiles de cada mes, a partir de la inscripción de la base de datos, cuando se realicen cambios sustanciales en la información registrada;

(ii) Anualmente, entre el 2 de enero y el 31 de marzo, a partir de 2018.

Son cambios sustanciales los que se relacionen con la finalidad de la base de datos, el Encargado del Tratamiento, los canales de atención al Titular, la clasificación o tipos de datos personales almacenados en cada base de datos, las medidas de seguridad de la información implementadas, la Política de Tratamiento de la Información y la transferencia y transmisión internacional de datos personales.

Adicionalmente, dentro de los quince (15) primeros días hábiles de los meses de febrero y agosto de cada año, a partir de su inscripción, los Responsables del Tratamiento deben actualizar la información de los reclamos presentados por los Titulares, referida en el número (i) del literal g) del numeral 2.1 anterior. El primer reporte de reclamos presentados por los Titulares se deberá realizar en el primer semestre de 2017 con la información que corresponda al segundo semestre del 2016.

2.4 Consulta del Registro Nacional de Bases de Datos (RNBD)

La consulta del RNBD también se habilitará a partir del 9 de noviembre de 2015 en el portal web de esta entidad_[2], con el fin de que los Titulares de información puedan acceder a los registros efectuados por los Responsables del Tratamiento, personas jurídicas de naturaleza privada inscritas en las Cámaras de Comercio y sociedades de economía mixta.

Una vez se implemente en el 2016 la inscripción de las bases de datos de las personas naturales, las entidades públicas, diferentes a las sociedades de economía mixta, y las personas jurídicas de naturaleza privada que no están inscritas en las Cámaras de Comercio, se pondrá a disposición de los Titulares la consulta de la información registrada”.

4. Vigencia

La presente circular externa entra a regir a partir de la fecha de su publicación en el Diario Oficial.

Atentamente,

El Superintendente de Industria y Comercio,

PABLO FELIPE ROBLEDO DEL CASTILLO.

* * *

1. www.sic.gov.co. Se ingresa por el micrositio de “Protección de datos personales” ubicado en la barra horizontal superior, luego “Sobre la Protección de Datos Personales” y, finalmente, “Registro Bases de Datos”, en el menú vertical que se encuentra al lado izquierdo.

2. Ídem.