ligios tic personales - camarabaq.org.co · • especialista en gestión y regulación de...

www.iustic.co Propiedad intelectual de Velasco & Calle D´Aleman. Abogados. Prohibido todo uso no autorizado www.iustic.co Propiedad intelectual de Velasco & Calle D´Aleman. Abogados. Prohibido todo uso no autorizado

Ges$ón de la Propiedad Intelectual e Inmaterial

Derecho de Competencia y del Consumo Videovigilancia Empresarial

Seguridad de la Información Arbitraje y Li$gios

Prop

ieda

d Intelectua

l

Protección de Datos Personales

Comercio E

lectrónico

TIC Datos Personales

Videovigilancia

Segurid

ad de la In

form

ación

TIC Negociación y Contratación de Tecnología Comercio Electrónico Arbitraje y Li$gios

Cumplimiento en la Seguridad de la Información

Arbitraje y Li$gios Derecho de Competencia y del Consumo Datos Videovigilancia Arbitraje y Li$gios


Taller en Protección de Datos Personales y Habeas Data

Por. Arean Hernando Velasco Melo, Ms.ID

Octubre 19 de 2015


•  Abogado de la Universidad del Norte. •  Magíster en Informática y Derecho de la Universidad Complutense

de Madrid. •  Candidato a MBA en EUDE •  Especialista en Gestión y Regulación de Telecomunicaciones y las

Nuevas Tecnologías de la Universidad Externado de Colombia. •  Especialista en Negociación de la Universidad del Norte y con estudios de

negocación avanzada en Harvard University. •  Docente de la materia Cumplimiento y Protección de Datos

Personales en la Maestría y Especialización de Seguridad Informática de la Universidad Pontificia Bolivariana.

•  Pasante invitado por la Agencia de Protección de Datos de Madrid. •  Miembro de la International Association Privacy Professional –

IAPP. •  Auditor certificado de la Norma ISO 27000. •  Consultor en Seguridad de la Información, Gestión de la Propiedad

Intelectual y en Derecho de las Tecnologías de la Información y las Comunicaciones TIC.

•  Socio de la firma Velasco & Calle D’Aleman. Abogados

Arean Hernando Velasco Melo Ms.ID


Quienes Somos

Misión

Somos una firma de abogados y consultores que, a partir de la solida compresión de la Tecnología, entrega soluciones innovadoras a nuestros clientes para hacer viables y seguros sus modelos de negocios basados en la información y el conocimiento

Pr o tecc ión de Datos Personales

Contratación de Tecnología

P r o p i e d a d Intelectual

I n n o v a c i ó n b a s a d a e n información

A rb i t r a j e s y Litigios en TI

Seguridad de la Información


Protección de Datos Personales

Algunos clientes que hemos apoyado en


Agenda - Auto-evaluación - Reflexiones y - Desafíos sobre el Registro Nacional de Base de Datos Personales


¿Qué sabe usted sobre las bases de datos de su empresa?

Aprenda para que:

ü Monetice sus BD ü Cumpla la Ley ü Compita por el consumidor


Video


¿La privacidad y la Seguridad de la Información le importan hoy al

mundo?


El Presidente Obama en su discurso sobre el estado de la Unión del 20 de enero de 2015 expresó:

…ningún país extranjero, ningún hacker, debería ser capaz de paralizar nuestras redes, robar nuestros secretos comerciales o invadir la privacidad …

Conocimiento e información: activos a proteger en el Siglo XXI


Antecedentes – Sanciones por indebido tratamiento de datos personales

Fuente. Medios de Comunicación

Multas hasta 2000 SMMVL

($1.298 millones) personal e

institucional

Suspensión o Cierre de BD

privadas

Cierre inmediato y

definitivo: datos sensible

Criterios de graduación de

la sanción


Antecedentes – Sanciones por indebido tratamiento de datos personales

Art. 269 F C.P. Violación de datos personales. El que, sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modif ique o emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes.


Antecedentes – Multas Impuestas por mal tratamiento de Datos Personales

•  544 multas por infracciones a la Ley 1266 de 2008 sobre Habeas Data Financiero

•  Multas por valor 4.700 millones de pesos Ley 1266

•  Multas a otros actores 5.793 millones

348 M

Multa por 719 millones

348 millones 348 millones

123 millones

43 personas condenadas por

cometer el Delito de Violación de

Datos Personales en Colombia

Fuente. Medios de Comunicación

Multa por Datos en Internet por $

96.000.000


Marco Jurídico

•  Artículo 15 de la Constitución Política

•  Ley Estatutaria 1581 de 2012

–  Decreto 1377 de 2013 (Dec 1074/15)

–  Decreto 886 de 2014 (Dec 1074/15)

–  Proyecto de Circular de la SIC

•  Sentencia C – 748 de 2011

•  Jurisprudencia de la Corte Constitucional desde 1992

Régimen de Protección de Datos Personales en Colombia


Marco Jurídico

•  ¿Cuántos de uds conocen la L e y d e H a b e a s D a t a Financiero?

•  ¿Cuántos de uds conocen la norma de PD Ley 1581?

•  ¿Cuántos de uds conocen la primera reglamentación de esta ley?

•  ¿Cuántos de uds conocen la segunda reglamentación de la Ley?

Régimen de Protección de Datos Personales en Colombia


PRIVACIDAD

HABEAS DATA

PROTECCION DE DATOS PERSONALES


De la recolección de Datos Personales

ü  Las bases de datos deben limitarse a

datos personales que sean pertinentes y adecuados a la finalidad

ü  LA SIC podrá solicitar los procedimientos usados para el tratamiento, como también la descripción de las finalidades y la explicación de la necesidad de la recolección de datos personales

ü  Prohibición Legal de usar medios engañosos o fraudulentos para recolectar y tratar datos personales

Importante recordar del Decreto 1377 de 2013 (Primera reglamentación de la Ley 1581)


De la Protección de Datos Personales

ü  Tratar datos personales sin

consentimiento del Titular o sin Autorización Legal

ü  Tratar datos personales sin cumplir con los principios legales y jurisprudenciales aplicables al Tratamiento

ü  Prohibición de tratar datos personales sensibles

ü  Prohibición de tratar datos de Menores de Edad

ü  Prohibición de transferir datos personales a países no seguros

Restricciones en el Tratamiento de Datos Personales



ü  Consentimiento se puede obtener por

medio Físico, Grabación, Digital o Conducta Inequívoca

ü  En ningún caso el silencio podrá asimilarse a una conducta inequívoca o consentimiento

ü  Los Responsables deberán conservar prueba del Consentimiento otorgado por los Titulares y entregar copia de este cuando lo soliciten

De la Obtención del Consentimiento para el Tratamiento de Datos Personales



ü  Los Responsable deben haber obtenido el

Consentimiento de los Titulares a la fecha, a través de los Mecanismos Eficientes usados en su operación

ü  Debió haberse comunicado las Políticas y los

Procedimientos para Ejercer el Habeas Data

ü  Debió Informarse las finalidades de los Tratamientos, según las bases de datos existentes

ü  A la fecha deben estar cumpliendo con todos

los principios de la Protección de Datos Personales

De los Datos Recolectados antes de Junio de 2013.



•  Mecanismo Excepcionales Alternos para obtener el

consentimiento, cuando:

ü  Exista una carga desproporcionada, que implique un costo excesivo, que comprometa la estabilidad financiera del Responsable

ü  Sea imposible obtener el consentimiento de los Titulares cuando el Responsable no disponga de los Datos de Contacto o estos están desactualizados

–  Autorización Transitoria para el Tratamiento

de datos personales

ü  Debió informarse a la SIC en cual situación de las situaciones excepcionales se encontraba la empresa, demostrando la misma http://velascocalle.co/blog/category/ebooks/

Interpretación del Artículo 10 del Decreto 1377 de 2013


DESCARGUE SIN COSTO EN NUESTRO PORTAL WEB

http://velascocalle.co/blog/reflexiones-sobre-el-decreto-1377-de-2013-ebook/

EBOOK

Sobre Protección de Datos Personales


Y nuestras empresas…¿cómo se encuentran en esta materia?


Régimen de Protección de Datos Personales

ü Es el Directorio Público de las Bases de Datos que tratan datos personales, salvo las exceptuadas

•  Sistema Inteligente de Protección

de Datos Personales a cargo de la SIC

ü Obligación de Responsable y

Encargados de aportar las Políticas de Protección de Datos Personales

Articulo 25 de la Ley 1581 de 2012 Del Registro Nacional de Bases de Datos Personales – Dto.886 de 2014 (segunda reglamentación de la Ley 1581)


Régimen de Protección de Datos Personales

ü Datos de identificación, ubicación

y contacto del Responsable y/o del Encargado del Tratamiento

ü Canales para el ejercicio del Habeas Data

ü Nombre y Finalidad de la Base de Datos

ü Forma de Tratamiento ü Política de Tratamiento

* La SIC podrá exigir información adicional para el Registro

Información MINIMA del Registro Nacional de Bases de Datos


Registro Nacional de Base de Datos

ü Nombre o Razón Social e identificación

ü Datos de Ubicación ü Datos de Contacto (Estructura

Administrativa Responsable)

ü El Responsable deberá indicar los datos de los Encargados del Tratamiento, en los casos que aplique.

Información del RESPONSABLE



ü  Es el proceso logístico para recibir Peticiones, Quejas, Reclamos y dar Respuestas al Ejercicio del Habeas Data, dispuesto por el Responsable y en Encargado del tratamiento de los Datos.

ü  Debe estar disponible para los Titulares de los Datos Personales

ü  Debe permitir ejercer el Derecho a Conocer, Actualizar, Rectificar, Oponerse y Cancelar los datos personales, en los términos de Ley.

ü  Al menos debe permitirse usar el mismo canal, usado para la recolección de los datos personales

ü  Documentarse la trazabilidad del Ejercicio del Habeas Data

ü  En los casos en que exista un Encargado del Tratamiento, el Responsable deberá registrar los datos del Encargado en cuanto a este aspecto.

Canales para Ejercer los Derechos



ü El Responsable, respecto de cada

base de datos a inscribir, informará:

ü Nombre de la Base de Datos

ü Finalidad(es)

•  ¿Como vamos a gestionar este inventario?

Nombre y Finalidad de la Base de Datos



ü Tratamiento Automatizado

ü Audiovisual ü Magnetofónico ü Informático

ü Tratamiento Manual

ü Tratamiento Manual y Automatizado

Formas de Tratamiento de los Datos Personales



ü Deposito de la Política de Protección

de Datos Personales ü  Contenido Mínimo

ü Nombre y datos de contacto del Responsable

ü  Tratamiento al cual serán sometidos los datos y la finalidad, cuando no hayan sido informadas mediante aviso de privacidad

ü Derechos del Titular ü Área gestora del Habeas Data ü  Procedimiento para el Habeas Data ü  Fecha de entrada en vigencia de la Ley y

Período de vigencia de la Base de Datos

Política de Tratamiento de Datos Personales



•  Un (1) año desde la habilitación del

Registro para las bases de datos existentes

•  Dos (2) meses después de la creación

de una nueva Base de Datos

•  El procedimiento de registro esta por definirse por la SIC

•  Deberá actualizar en el Registro los cambios sustanciales que sufra la información comunicada

Plazo de Inscripción y Condiciones del Registro y Actualización


Proyecto de Circular sobre el Registro Nacional

de Base de Datos

ü Descripción de los Tipos de Datos

Personales

ü Agrupados por Categorías y Subcategorías

Información Almacenada en la Base de Datos


Proyecto de Circular sobre el Registro Nacional de Base de Datos

ü Descripción de los controles

implementados por el Responsable

•  De acuerdo a las preguntas dispuestas en el Registro Nacional de Bases de Datos

Medidas de Seguridad de la información



ü Entregados directamente por el

Titular?

ü Entregados por Terceros?

ü Existe autorización para el tratamiento?

ü Existe causal de exoneración?

Procedencia de los Datos Personales



ü  Identificación del destinatario

como Responsable del Tratamiento

ü País de ubicación del Responsable

ü La operación esta cobijada o no por una Declaración de Conformidad por parte de la SIC o por una causal de excepción en los términos del artículo 26 de la Ley 1581/2012

Transferencia Internacional de

Datos Personales



ü  Identificación del destinatario

como Encargado del del Tratamiento

ü País de ubicación del Encargado

ü Especificar si existe un Contrato de Trasmisión de Datos o si existe una Declaración de Conformidad por parte de la SIC

Trasmisión Internacional de Datos Personales



•  Identificación del Cesionario de la

Base de Datos

•  El cesionario adquiere la condición de Responsable, desde el momento en que se perfecciona la Cesión

Cesión de la Base de Datos



•  Finalizado la inscripción de la Base

de Datos en el Registro Nacional de Base de Datos, se debe:

–  Reporte consolidado de las quejas y reclamos presentados durante el semestre

–  Los incidentes de seguridad deben reportarse dentro de las 24 horas siguientes al momento en que se detecten

Reporte de Novedades



De acuerdo con el Nit de su empresa, identifique el período probable en que debe cumplir con el Registro


¿Esta la Organización preparada para Cumplir? ¿Qué metodología debe seguirse? ¿ Desde que enfoque debe abordarse el Desafío?


El Principio de Responsabilidad Demostrada es la medida que

permite evidenciar el Cumplimiento del Régimen de Protección de Datos Personales


Principio de la Responsabilidad Demostrada

ü  Los Responsables del Tratamiento

deben estar en capacidad de demostrar, a petición de la SIC, que han implementado medidas apropiadas y efectivas para cumplir con la Ley, considerando:

Artículo 26 del Decreto 1377 de 2013


Mínimos de un Programa de Responsabilidad Demostrada

Componentes Generales a Desarrollar desarrollar

1.  Estrategia y Gobierno de la Privacidad. Art 13 y 27 - Decreto 1377/2013 2.  Capacitación en Privacidad. Numeral 2 Art 27 Decreto 1377/2013 3.  Inventario de las Bases de Datos Personales. Art 5 – Decreto 886/2014 4.  Privacidad en la Operación de la empresa. Art 26 Decreto 1377/2013 5.  Cumplimiento de los Procedimientos de Habeas Data. Art. 27 Decreto

1377/2013 6.  Gestión de Incidentes de Seguridad que comprometan datos personales.

Literal n) Art. 17 Ley 1581/2012 7.  Respuesta a requerimientos de autoridades. Art. 19 Ley 1581/2012

¿Existe una Línea Base de Protección de Datos Personales? ¿Es Solida?



¿Existe una Línea Base de Protección de Datos Personales? ¿Es Solida?

Línea base de cumplimiento Creada a par4r de talleres de aprendizaje situacional



Capacitación en Privacidad

Curso on-‐line Empresarial en Protección de Datos Personales y Habeas Data



Inventario de las Bases de Datos Personales

Taller empresarial sobre Inventario de Bases de datos Personales con miras al Registro Nacional de BD



1.  Estrategia y Gobierno de la Privacidad. Art 13 y 27 - Decreto 1377/2013

2.  Privacidad en la Operación de la empresa. Art 26 Decreto 1377/2013

3.  Cumplimiento de los Procedimientos de Habeas Data. Art. 27 Decreto 1377/2013

4.  Gestión de Incidentes de Seguridad que comprometan datos personales. Literal n) Art. 17 Ley 1581/2012

5.  Respuesta a requerimientos de autoridades. Art. 19 Ley 1581/2012

Asesoría, consultoría, atención de li4gios


VIDEO


Datos de Contacto

Arean Velasco Melo [email protected]

Velasco & Calle D´Aleman. Abogados Tel (574) 3523180 - 3522540 Cra 34 No. 11 B –70 Medellín www.iustic.co

Síguenos en

https://www.youtube.com/

user/iusticvelascocalle

ligios tic personales - camarabaq.org.co · • especialista en gestión y regulación de...

Documents