Título

Ley 1581 de 2012: nuevo régimen general de protección de datos personales

José Alejandro Bermúdez Durana Superintendente Delegado para la

Protección de Datos Personales

Bogotá, febrero de 2013

19/03/13 2

El desarrollo tecnológico

como motor del avance

legislativo

19/03/13 3

19/03/13 4

19/03/13 5

1. Ley 1581 de 2012

19/03/13 6

Ámbito de aplicación La ley se aplica al tratamiento de datos personales

efectuado por entidades públicas o privadas, dentro del país o cuando el Responsable o Encargado no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

Delegatura para la Protección de Datos Personales

19/03/13 7

Exclusiones

   

Ø Bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico

Ø Bases de datos que tengan para seguridad y defensa nacional y la prevención, y control del lavado de activos y financiamiento del terrorismo.

Ø Bases de datos de inteligencia y contrainteligencia. Ø Bases de datos y archivos periodísticos y otros

contenidos editoriales. Ø Bases de datos reguladas por la ley 1266 de 2008

(datos financieros – crediticios). Ø Bases de datos del DANE (Ley 79 de 1993).

Delegatura para la Protección de Datos Personales

19/03/13 8

Principios Ley 1581 de 2012

Legalidad Finalidad Libertad

Veracidad o calidad Transparencia

Acceso y circulación restringida

Seguridad Confidencialidad

Delegatura para la Protección de Datos Personales

19/03/13 9

Categorías especiales de datos

Ø  Datos sensibles Aquellos que afectan la intimidad de la personas o cuyo uso indebido puede generar discriminación. (Origen racial o étnico, orientación política, convicciones filosóficas o religiosas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, datos de salud, vida sexual y biométricos).

Delegatura para la Protección de Datos Personales

19/03/13 10

Categorías especiales de datos Ø  Datos personales de menores

Se proscribe el tratamiento de datos personales de menores de edad salvo aquellos datos que sean de naturaleza pública. La Corte Constitucional precisó que tal prohibición debe interpretarse en el sentido de que los datos personales de los menores de 18 años, pueden ser tratados, siempre y cuando no se ponga en riesgo la prevalencia de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior.

19/03/13 11

Derechos de los titulares

•  Conocer, actualizar y rectificar sus datos personales frente a Responsables y Encargados

•  Solicitar prueba de la autorización al Responsable

•  Ser informado respecto del uso de los datos

•  Presentar quejas ante la SIC

•  Revocar la autorización y/o solicitar la supresión del dato (no sólo por intermedio de la SIC), y

•  Acceder en forma gratuita a sus datos personales

Delegatura para la Protección de Datos Personales

19/03/13 12

Sanciones

•  Multas de carácter personal e institucional hasta por 2000 SMLMV.

•  Suspensión de actividades relacionadas con el tratamiento hasta por 6 meses. En acto de cierre se indicarán los correctivos.

•  Cierre temporal de las operaciones si no se adoptan los correctivos.

•  Cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles.

Delegatura para la Protección de Datos Personales

19/03/13 13

Registro Nacional de Bases de Datos

•  Directorio público de las bases de datos sujetas a Tratamiento que operan en el país

•  Permitirá conocer:

- Realidad de las bases de datos del país - Flujo y tipo de datos - Quién o quiénes adelantan su tratamiento - Finalidad y - Políticas de tratamiento

•  Sujeto a reglamentación

Delegatura para la Protección de Datos Personales

19/03/13 14

Normas corporativas vinculantes

•  Corresponde al Gobierno Nacional expedir la reglamentación sobre Normas Corporativas Vinculantes para la certificación de buenas practicas en protección de datos personales y su transferencia a terceros países

•  En Europa, la BCR son reglas internas de conducta adoptadas por compañías multinacionales para definir la forma como se realizan sus flujos de datos a países con un nivel no adecuado fuera de la UE.

 

Delegatura para la Protección de Datos Personales

19/03/13 15

Proyecto de Decreto

Delegatura para la Protección de Datos Personales

•  Autorización:

•  Bases de datos anteriores a la Ley 1581 de 2012.

•  Transferencias Internacionales

•  Datos de menores de edad

•  Responsabilidad demostrada

19/03/13 16

2. Delegatura para la Protección de Datos Personales

Delegatura para la Protección de Datos Personales

•  Creación: Decreto 4886 de 2011 (Reestructuración) •  Estructura:

- Despacho Delegado - Dirección (1ª. Instancia)

•  Grupos internos de trabajo: - De Hábeas Data - De Investigaciones Administrativas

19/03/13 17

Delegatura para la Protección de Datos Personales

Ley 1581 de 2012: •  Adelantar investigaciones de oficio o a petición de parte, impartir

órdenes de acceso, rectificación, actualización y/o supresión de datos.

•  Disponer el bloqueo temporal de datos por riesgo de violación de derechos fundamentales.

•  Promover y divulgar derechos de los titulares. •  Impartir instrucciones. •  Proferir declaraciones de conformidad sobre transferencias

internacionales. •  Administrar el RNBD. •  Requerir colaboración de entidades internacionales.

19/03/13 18

Funciones de la SIC

Delegatura para la Protección de Datos Personales

•  Universo de vigilados – indeterminado

•  Mecanismos de priorización

ü  Modelo de supervisión inteligente

•  Registro Nacional de Bases de Datos – RNBD:

ü  Directorio público de las bases de datos sujetas a tratamiento

ü  Administrado por la SIC ü  Permitirá mejorar el conocimiento sobre las bases de datos

del país (flujo y tipo de información, naturaleza, medidas de seguridad, etc.)

ü  Información mínima debe ser definida por decreto. SIC remitió proyecto al MCIT

19/03/13 19

Retos de la vigilancia

Delegatura para la Protección de Datos Personales

19/03/13 20

3. Estadísticas

Delegatura para la Protección de Datos Personales

19/03/13 21

QUEJAS PRESENTADAS POR VIOLACIÓN A LAS NORMAS DE PROTECCIÓN DE DATOS

Delegatura para la Protección de Datos Personales

*: Cifras a 31 de diciembre de 2012

654  

1215  

1987  2296  

0  

500  

1000  

1500  

2000  

2500  

2009   2010   2011   2012  

19/03/13 22

Sanciones AÑO NO. VALOR 2010 27 $633.450.150 2011 177 $2.300.402.400 2012 141 $1.408.110.660

TOTAL 345 $4.341.963.210

$633.450.150  

$2.300.402.400  

$      1.408.963.210      

$0  

$500.000.000  

$1.000.000.000  

$1.500.000.000  

$2.000.000.000  

$2.500.000.000  

2010   2011   2012  

Delegatura para la Protección de Datos Personales

19/03/13 23

COMPARATIVO TRÁMITE DE QUEJAS 2010 A 2012

Delegatura para la Protección de Datos Personales

149  201  

682  

56   45  

226  

349  

792  

174  

100  

685  

372  

597  

507  

109  

0  

100  

200  

300  

400  

500  

600  

700  

800  

900  

•Preliminares   •Inves:gaciones  abiertas  

•Rechazos   •Traslados            •Derechos  de  pe:ción  

No.  de  Que

jas  A

tend

idas  

2010  

2011  

2012  

19/03/13 24

MOTIVOS DE SANCIÓN CONCEPTO NO. PORCENTAJE

Veracidad

314

55%

Resolver los reclamos y peticiones del titular 116 21%

Comunicación previa 64 11%

Autorización 46 8%

Cumplir con las instrucciones que imparta la autoridad de control 11 2%

Informar al operador que determinada información se encuentra en discusión por parte de su titular 12 2%

Acceso a la información por parte de los usuarios 4 1%

TOTAL 567 100%

Delegatura para la Protección de Datos Personales