Por la cual se establecen las condiciones para transferir la información relacionada con el Impuesto de Industria y Comercio Consolidado a los municipios y distritos en el marco del Impuesto Unificado bajo el Régimen Simple de Tributación, sus características técnicas y se dictan otras disposiciones.
RESOLUCIÓN NÚMERO ( ) DE 2021
DIAN
Por la cual se establecen las condiciones para transferir la información relacionada con el Impuesto de Industria y Comercio Consolidado a los municipios y distritos en el marco del Impuesto Unificado bajo el Régimen Simple de Tributación, sus características técnicas y se dictan otras disposiciones.
EL DIRECTOR GENERAL DE LA UNIDAD ADMINISTRATIVA ESPECIAL DIRECCIÓN DE IMPUESTOS Y ADUANAS NACIONALES -DIAN
En uso de las facultades legales y en especial las dispuestas en el numeral 12 del artículo 6 del Decreto 4048 de 2008, en concordancia con el artículo 83 del Decreto 1742 de 2020, en desarrollo del parágrafo 2 del artículo 903 y del inciso 2 del parágrafo 3 del artículo 908 del Estatuto Tributario, reglamentado por el artículo 2.1.1.19. del Decreto 1625 de 2016, Único Reglamentario en Materia Tributaria, y
CONSIDERANDO
Que el artículo 74 de la Ley 2010 de 2019 sustituyó el Libro Octavo del Estatuto Tributario y creó a partir del 1 de enero de 2020 “el impuesto unificado bajo el Régimen Simple de Tributación (Simple)”, que constituye un modelo de tributación opcional de determinación integral, de declaración anual y anticipo bimestral, que sustituye el impuesto sobre la renta, e integra el impuesto nacional al consumo y el impuesto de industria y comercio consolidado, a cargo de los contribuyentes que opten voluntariamente el mismo.
Que el inciso 2 del artículo 903 del Estatuto Tributario estableció que “(…) El impuesto de industria y comercio consolidado comprende el impuesto complementario de avisos y tableros y las sobretasas bomberil que se encuentren autorizadas a los municipios”.
Que el inciso 2 del parágrafo 3 del artículo 908 del Estatuto Tributario señala que “(…) El contribuyente debe informar a la Dirección de Impuestos y Aduanas Nacionales (DIAN) en el formulario que esta prescriba, el municipio o los municipios a los que corresponde el ingreso declarado, la actividad gravada, y el porcentaje del ingreso total que le corresponde a cada autoridad territorial. Esta información será compartida con todos los municipios para que puedan adelantar su gestión de fiscalización cuando lo consideren conveniente”.
Que el inciso 3 del parágrafo transitorio del artículo 907 del Estatuto Tributario señala que “A partir el 1 de enero de 2021, todos los municipios y distritos recaudarán el impuesto de industria y comercio a través del sistema del régimen simple de tributación – SIMPLE respecto de los contribuyentes que se hayan acogido al régimen SIMPLE (…)”
Que el inciso 1 del artículo 583 del Estatuto Tributario determina que: “La información tributaria respecto de las bases gravables y la determinación privada de los impuestos que figuren en las declaraciones tributarias, tendrá el carácter de información reservada; (…)”
Que, no obstante, lo anterior, el artículo 585 del Estatuto Tributario estableció que: “Para los efectos de liquidación y control de impuestos nacionales, departamentales o municipales, podrán intercambiar información sobre los datos de los contribuyentes, el Ministerio de Hacienda y las Secretarias de Hacienda Departamentales y Municipales (…)”
Que el inciso 2 del parágrafo 3 del artículo 908 del Estatuto Tributario establece: “El contribuyente debe informar a la Dirección de Impuestos y Aduanas Nacionales (DIAN) en el formulario que esta prescriba, el municipio o los municipios a los que corresponde el ingreso declarado, la actividad gravada, y el porcentaje del ingreso total que le corresponde a cada autoridad territorial. Esta información será compartida con todos los municipios para que puedan adelantar su gestión de fiscalización cuando lo consideren conveniente”.
Que con fundamento en el parágrafo 2 del artículo 903 del Estatuto Tributario, el Gobierno nacional reglamentó mediante el artículo 2.1.1.19. del Decreto 1625 de 2016, Único Reglamentario en Materia Tributaria, la información que la Unidad Administrativa especial Dirección de Impuestos y Aduanas Nacionales -DIAN (en adelante DIAN) debe poner a disposición de los municipios y distritos.
Que los recursos del impuesto de industria y comercio consolidado recaudados y determinados de manera integral mediante el Impuesto Unificado bajo el Régimen Simple de Tributación son de propiedad de los municipios y distritos, por lo cual se hace necesario que estas entidades dispongan de información oportuna y permanente que les permita, en ejercicio de la autonomía fiscal que establece el artículo 287 de la Constitución: i) identificar, ubicar y conocer en forma suficiente a los contribuyentes para desarrollar mecanismos adecuados de atención y servicios eficientes, ii) verificar las transferencias recibidas frente a las actividades desarrolladas y las liquidaciones presentadas. Lo anterior, con el fin de administrar, manejar y utilizar los tributos recaudados en el ámbito de su jurisdicción, en las obras y programas que consideren necesarias.
Que, con base en los considerandos anteriores y en atención al principio de colaboración establecido en el artículo 113 de la Constitución Política, el cual señala que: “(…) Los diferentes órganos del Estado tienen funciones separadas pero colaboran armónicamente para la realización de sus fines”, es necesario implementar la transferencia de información en forma segura, eficiente y oportuna, entre la autoridad tributaria nacional y las autoridades municipales y distritales, quienes al recibirla se convierten en responsables de la información reservada, del tratamiento de los datos personales y asumen los deberes establecidos en el artículo 17 de la Ley 1581 de 2012 y entre otras, las obligaciones señaladas en los Capítulos 25 y 26 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 de 2015, Único Reglamentario del Sector Comercio, Industria y Turismo o en la norma que lo adicione, modifique o sustituya.
Que el parágrafo del artículo 16 del Decreto Ley 2150 de 1995, modificado por el artículo 14 de la Ley 962 de 2005 establece que: “Las entidades de la Administración Pública a las que se les solicite información, (…) deberán establecer sistemas telemáticos compatibles que permitan integrar y compartir la información”.
Que el artículo 2.2.35.3. del Decreto 1083 de 2015 Único Reglamentario del Sector de Función Pública, adicionado por el artículo 1° del Decreto 415 de 2016, dispone que para lograr el fortalecimiento institucional en materia de tecnologías de la información las entidades públicas deberán adelantar, entre otras acciones, la siguiente:
“11. Desarrollar estrategias de gestión de información para garantizar la pertinencia, calidad, oportunidad, seguridad e intercambio con el fin de lograr un flujo eficiente de información disponible para el uso en la gestión y la toma de decisiones en la entidad y/o sector.
Que la información de los contribuyentes constituye una herramienta relevante para que las entidades públicas del poder ejecutivo puedan cumplir su misión y competencias funcionales, por lo tanto debe proveerse a las autoridades públicas que la requieran para el adecuado desarrollo de sus funciones, incluso se podrán suministrar datos personales sin que se requiera autorización de la persona para su tratamiento, en los términos del literal d) del artículo 5 de la Ley 1266 de 2008, los artículos 10 literal a) y, 13 literal b), de la Ley 1581 de 2012, siempre que la remisión de información se lleve a cabo dentro del marco regulatorio y se observen las condiciones fijadas por la Corte Constitucional en las sentencias C-1011 de 2008 y C-748 de 2011, que señalan:
“(…) la entidad administrativa receptora cumpla con las obligaciones de protección y garantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida. Por lo tanto, debe encontrarse demostrado (i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y (ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información”.
Que la no exigencia de autorización previa del titular en relación con el cumplimiento de funciones de carácter misional en los municipios y distritos, no sustrae a estas entidades de la observancia de las obligaciones de protección y garantía que se derivan del citado derecho de hábeas data, en especial, los deberes establecidos en los artículos 17 y 18 de la Ley 1581 de 2012, ya que al realizar la transferencia de información que contenga datos personales, la entidad receptora toma el rol de responsable y/o encargado del tratamiento de datos personales. Por tanto, no significa que los datos personales puedan ser divulgados, pues esta información que involucra derechos a la privacidad e intimidad de las personas, gozan de reserva de conformidad con la Constitución y la Ley.
Que el artículo 7 de la Ley 1581 de 2012 señala que está proscrito el tratamiento de datos personales de niños, niñas y adolescentes, sin embargo, la Corte Constitucional en la sentencia C-748 de 2011 señaló: “(…) no debe entenderse en el sentido de que existe una prohibición casi absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello, daría lugar a la negación de otros derechos superiores de esta población (…) En definitiva, el inciso segundo del artículo objeto de estudio es exequible, si se interpreta que los datos de los niños, las niñas y adolescentes pueden ser objeto de tratamiento siempre y cuando no se ponga en riesgo la prevalencia de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior, cuya aplicación específica devendrá del análisis de cada caso en particular”.
Que la circulación de datos entre entidades recaudadoras de impuestos para tratar, recolectar y procesar datos con efectos estrictamente tributarios corresponde a la autorización contemplada en el inciso final del artículo 15 Constitucional. Al respecto la corte Constitucional en la sentencia C-981/05 señaló: “(…) Debe distinguirse cuando el dato se pone en circulación al interior del Estado, entre las entidades encargadas de recaudar los impuestos a fin de controlar la respectiva carga impositiva, lo cual no contraría la Constitución, siempre y cuando se respete el derecho de las personas de conocer, actualizar y rectificar tales datos, pero sin que deba mediar su autorización para ello pues se trata de la colaboración armónica que debe mediar entre los diferentes órganos del Estado con el fin de proteger el patrimonio público”.
Que el inciso 2 del artículo 63 del Decreto 019 del 10 de enero de 2012 preceptúa: “Para el ejercicio de las funciones públicas, la información contenida en el Registro Único Tributario podrá ser compartida con las entidades públicas y los particulares que ejerzan funciones públicas”.
Que acorde con lo expuesto en los considerandos anteriores y al literal a) del artículo 10 de la Ley 1581 de 2012, para facilitar a los municipios o distritos la realización de los procedimientos de gestión tributaria sobre el impuesto de industria y comercio consolidado a cargo de los contribuyentes que sean niños, niñas y adolescentes, es necesario establecer el mecanismo para solicitar los datos personales de los menores de edad y garantizar la protección de sus derechos.
Que la información que podrán solicitar los municipios y distritos en los términos del artículo 2.1.1.19. del Decreto 1625 de 2016, Único Reglamentario en Materia Tributaria, corresponde a la información relacionada con el recaudo del impuesto de industria y comercio consolidado suministrada por los contribuyentes en el marco del régimen simple de tributación y que ha sido recolectada en los servicios informáticos de la DIAN. Lo anterior, no implica para la entidad la obligación de entregar la totalidad de la información de que dispone, sino aquella que se circunscriba estrictamente con los contribuyentes del impuesto unificado bajo el Régimen Simple de Tributación y la determinación del impuesto de industria y comercio consolidado.
Que la información requerida por los municipios y distritos para adelantar la fiscalización del impuesto de industria y comercio consolidado podrá efectuarse mediante transferencia, siempre que estas entidades, antes de recolectar la información y mientras se mantenga vigente el mandato legal que ordena el suministro de información, implementen un programa integral de protección de datos personales, un sistema de gestión de riesgos y manejo de incidentes, la aplicación del principio de responsabilidad demostrada, así como medidas preventivas de naturaleza técnica, humana o administrativa.
Que se requiere prescribir la estructura, el contenido, los mecanismos empleados para la generación de la información que será suministrada por la DIAN a los municipios y distritos, los instrumentos y condiciones que deben aplicar para solicitar y descargar la información a través de los servicios informáticos, así como algunos lineamientos y acciones que complementen las medidas que le corresponde implementar y ejecutar a estas entidades para llevar a cabo cualquier operación o conjunto de operaciones sobre los datos personales.
Que para suministrar la información que la DIAN pone a disposición de los municipios y distritos, la entidad cuenta con herramientas tecnológicas de registro, diligenciamiento o reporte de información, que se podrán utilizar y/o adaptar para facilitar el cumplimiento de los procedimientos, sin perjuicio de desarrollar nuevas funcionalidades en su servicio informático que complementen la solicitud o descargue de la información.
Que por medio de CONPES 3854 de 2016 se fijó la política nacional de seguridad digital, para que las entidades del Estado constituyan mecanismos que se enfoquen en la gestión de los riesgos digitales.
Que mediante la Circular 000001 del 25 de enero de 2019, la DIAN en su condición de responsable del tratamiento de la información, estableció la política de tratamiento de datos personales, que deberá ser tenida en cuenta por los funcionarios de la DIAN que intervienen en la transferencia de la información a los municipios y distritos.
Que en cumplimiento de la formalidad prevista en el numeral 8 del artículo 8 de la Ley 1437 de 2011 y de lo dispuesto por el artículo 32 de la Resolución 204 de 2014, modificado por la Resolución 37 de 2018, el proyecto de resolución fue publicado para comentarios de la ciudadanía, en la página web de la DIAN, con el objeto de recibir opiniones, sugerencias o propuestas alternativas, las cuales fueron revisadas en cuanto a su procedencia, previamente a la expedición de esta reglamentación.
En mérito de lo expuesto, el Director General de la DIAN.
RESUELVE:
ARTÍCULO 1. Información que la DIAN pone a disposición de los municipios y distritos relacionada con el impuesto de industria y comercio consolidado. La información a la que se refiere la presente resolución corresponde a la enunciada en los numerales 1 y 4 del artículo 2.1.1.19. del Decreto 1625 de 2016, Único Reglamentario en Materia Tributaria, la cual podrá ser solicitada por los entes territoriales ya sea respecto de todos los contribuyentes que liquiden el impuesto de industria y comercio consolidado en sus propios municipios o distritos, o individualmente por cada una de las personas objeto de fiscalización y/o control a nivel nacional, siempre y cuando se hayan acogido al impuesto unificado bajo el Régimen Simple de Tributación.
El acceso por parte de los municipios y distritos a la herramienta tecnológica para efectos de solicitar, descargar y visualizar la información que se transfiere, se realizará a través de los servicios informáticos de la DIAN mientras se mantenga vigente el mandato legal que ordena el suministro de la misma, conforme con las disposiciones de la presente resolución y los lineamientos establecidos en el Anexo que hace parte integral de la presente resolución.
Parágrafo. Los municipios y distritos deberán actualizar en el Registro Único Tributario -RUT para incluir máximo dos funcionarios delegados por el representante legal para acceder a la herramienta tecnológica de la DIAN, quienes deben tener a cargo competencias funcionales relacionadas con la finalidad para la cual se transfiere la información.
Antes de solicitar, descargar, visualizar o realizar el tratamiento de la información, el representante legal y los funcionarios delegados deberán suscribir en el sitio web de la DIAN, el compromiso de usuario, de que trata el artículo siguiente, mediante el cual además de aceptar las condiciones y los lineamientos que este instrumento indica, se obligan a cumplir las leyes y reglamentos aplicables, al igual que el Anexo y las disposiciones contenidas en la presente resolución, de lo contrario deberán abstenerse de ingresar a esta página web.
La DIAN podrá verificar en cualquier tiempo el cumplimiento de las obligaciones adquiridas por el representante legal o el funcionario delegado, así como las facultades en las que actúan quienes suscriben este documento.
ARTÍCULO 2. Prescripción del Formato No. 2642 “Compromiso de Uso del Servicio, Confidencialidad y No Divulgación de la Información Reservada o Clasificada”. Prescribir para la aceptación de los términos y condiciones de uso del servicio, políticas de privacidad y confidencialidad y no divulgación de la información reservada o clasificada que se transfiere, el Formato No. 2642 “Compromiso de Uso del Servicio, Confidencialidad y No Divulgación de la Información Reservada o Clasificada”, diseño anexo que forma parte integral de la presente resolución. La DIAN pondrá en la página web, www.dian.gov.co el Formato No. 2642, para su diligenciamiento y presentación en forma virtual a través del servicio informático, que debe contener al menos lo siguiente:
1. Datos Generales
2. Objeto
3. Descripción del objeto
4. Cláusulas
5. Firma
ARTÍCULO 3. Procedimiento previo a la solicitud, descargue o visualización de la información a través de los Servicios Informáticos. El representante legal o los funcionarios delegados por el municipio o distrito para realizar la solicitud, descargue o visualización de la información a través de los Servicios Informáticos de la DIAN, deberán:
1. Inscribir o actualizar, de ser necesario, su Registro Único Tributario -RUT personal, informando su correo electrónico e incluyendo la responsabilidad, “Obligados a cumplir deberes formales a nombre de terceros”.
2. Adelantar, de ser necesario, el trámite de emisión y activación de la Firma Electrónica (FE), siguiendo el procedimiento señalado en la Resolución 70 de 2016 de la DIAN, modificada por las Resoluciones 0022 de 2019 y 0080 de 2020 o en la norma que las adicionen, modifiquen o sustituyan.
ARTÍCULO 4. Alcance del tratamiento y finalidades de la información. Sin perjuicio de las tecnologías utilizadas, la recolección, el almacenamiento, uso, circulación, supresión, disposición final o cualquier otra actividad que se realice sobre la información objeto de la presente resolución, es responsabilidad exclusiva de los municipios y distritos, quienes garantizarán la reserva y realizarán el tratamiento sobre datos personales en forma autónoma, en nombre propio, bajo su control y responsabilidad y en ningún caso por cuenta o en nombre de la DIAN, quien no será responsable frente al titular y las autoridades, por el eventual tratamiento indebido o violación a la reserva de los datos personales transferidos, por parte de los municipios y distritos.
Los municipios y distritos solo podrán usar los datos transferidos para adelantar la gestión de fiscalización del impuesto de industria y comercio consolidado, conforme a lo señalado en el parágrafo 3 del artículo 908 del Estatuto Tributario; por lo tanto, solo podrá ser usada para el monitoreo, auditoría, control, ejecución de los procedimientos de gestión tributaria y defensa judicial de este impuesto, así como el cumplimiento de las ordenes o autorizaciones de las autoridades competentes, en consecuencia, deben asegurar y garantizar que la información suministrada por la DIAN, no sea utilizada para fines comerciales o de explotación económica, ni para fines diferentes a los previstos en la Ley.
Cualquier otro uso diferente al establecido en el inciso anterior deberá ser autorizado mediante consentimiento previo y escrito por parte del Titular, de conformidad con el artículo 9 de la Ley 1581 de 2012.
Parágrafo. Para los efectos de la presente resolución, se entiende realizada la transferencia de la información cuando los funcionarios delegados por el municipio o distrito tengan acceso a la misma, mediante su visualización en formato pantalla o descarga de los archivos que la contienen, en la plataforma que pone a disposición la DIAN.
A partir de la visualización en formato pantalla o descarga de los archivos que contienen la información, el respectivo municipio o distrito adquiere la calidad de responsable de su tratamiento y asume los deberes y obligaciones establecidos en el artículo 17 de la Ley 1581 de 2012.
ARTÍCULO 5. Obligaciones del responsable de la información. Los municipios y distritos en calidad de responsables de la información transferida, además de velar por el cumplimiento de las disposiciones constitucionales y legales, en particular las Leyes 1581 de 2012 y 1712 de 2014, sus reglamentos o las normas que las adicione, modifique o sustituya, la doctrina constitucional, así como lo dispuesto en la presente resolución, adquieren las obligaciones que se exponen a continuación:
1. Disponer de todos los requerimientos técnicos, administrativos, físicos o de cualquier otra índole que sean necesarios para que la solicitud, transferencia y el tratamiento de la información se lleve a cabo en forma segura, idónea y oportuna.
2. Garantizar el carácter reservado y/o clasificado de la información conforme lo previsto en las normas constitucionales y legales aplicables. En consecuencia, se compromete a no publicar, difundir, comentar o analizar frente a terceros, copiar, reproducir o hacer uso diferente al definido en la presente resolución, de la información que se entregue o se llegue a conocer, ya sea en forma impresa, electrónica, verbal o de cualquier otra manera.
3. Adoptar todas las precauciones y medidas de naturaleza técnica, humana o administrativa que sean útiles, apropiadas y efectivas para garantizar la conservación, integridad, custodia y buen manejo de la información, evitando su adulteración, pérdida, consulta, copia, uso o acceso no autorizado o fraudulento o cualquier operación que pueda generar algún perjuicio al Titular de los datos personales.
4. Guardar la reserva y confidencialidad respecto del tratamiento de los datos personales y responder por el uso restringido de la información y por los actos u omisiones que conlleven al tratamiento indebido de la misma.
5. Mantener actualizadas las versiones de las bases de datos sobre las cuales se realice el tratamiento.
6. Delegar mediante acto administrativo, la solicitud, descarga o visualización de la información en los funcionarios que tengan a cargo competencias funcionales relacionadas con el uso y la finalidad para la cual se transfiere la misma.
7. Actualizar la información en el Registro Único Tributario -RUT del representante y los funcionarios delegados, con el fin de otorgar o revocar el acceso o uso de la herramienta tecnológica de transferencia de la información, dispuesta para el efecto por la DIAN.
8. Suscribir los compromisos de uso y confidencialidad de que trata el artículo 2 de la presente resolución y extender dichos instrumentos a los funcionarios que destine para ejecutar el tratamiento de la información, quienes también deberán cumplir sus disposiciones y las relacionadas en la presente resolución, incluso después de la terminación de su vinculación con el respectivo municipio o distrito.
9. Realizar cada año auditorías relacionadas con el uso de la información, la protección de datos personales, las medidas de seguridad y privacidad, la gestión de riesgos, aplicación del principio de responsabilidad demostrada, los actos de delegación, las solicitudes y descargas de información realizadas, los tratamientos ejecutados, la suscripción de los compromisos de uso y confidencialidad, entre otros. Los resultados de estas Auditorías deberán estar a disposición de la DIAN cuando esta lo solicite.
10. Emitir un informe anual por parte del representante legal o su delegado, sobre el cumplimiento de las cláusulas establecidas en el compromiso de uso y confidencialidad de que trata el artículo 2 de la presente resolución y certificar que las solicitudes de información visualizadas en formato pantalla y la descarga de archivos se han realizado dentro del marco de las delegaciones. Este informe deberá estar a disposición de DIAN cuando esta lo solicite.
11. Responder las solicitudes, reclamaciones y peticiones realizadas por los titulares de la información, que se deriven del tratamiento de los datos.
12. Mantener indemne a la DIAN, en caso de reclamación por parte de los titulares de la información respecto al uso indebido o violación de la reserva de la misma.
13. Reportar a las instancias internas u organismos competentes y a la DIAN, a través de los canales habilitados para tal fin, cualquier incidente, violación a los códigos de seguridad, pérdida, robo y/o acceso no autorizado o fraudulento de la información que se transfiere, con el fin de generar el reporte del incidente ante la Superintendencia de Industria y Comercio, cuando haya lugar a ello.
14. Prevenir y orientar a sus funcionarios y contratistas sobre las limitaciones de acceso al módulo “Información RST Municipios y Distritos” del sistema informático de la DIAN, el cual estará habilitado exclusivamente a las personas que estén delegadas, así como respecto al uso indebido tanto de estas herramientas tecnológicas como de la información que se transfiere.
ARTÍCULO 6. Tratamiento de datos personales. El tratamiento de los datos personales deberá realizarse de manera legal, lícita, confidencial y segura, dando estricto cumplimiento a las reglas y principios establecidos en la Ley 1581 de 2012, el Decreto 1074 de 2015, Único Reglamentario del Sector Comercio, Industria y Turismo o en la norma que los adicione, modifique o sustituya, las instrucciones que al respecto imparta la Superintendencia de Industria y Comercio y la política interna de tratamiento de datos personales del respectivo municipio o distrito. Dicha política en ningún caso podrá ser inferior a los deberes y principios establecidos en el Régimen Legal de Protección de datos personales.
Para la realización del tratamiento los municipios y distritos deben tener a disposición un programa integral de manejo y protección de datos personales que genere resultados verificables, contar con un sistema de gestión de riesgos, manejo de incidentes, medidas de seguridad y privacidad, entre otros compromisos y acciones, conforme con los lineamientos de la Superintendencia de Industria y Comercio, en particular los consagrados en la “Guía para implementación del principio de responsabilidad demostrada”.
ARTÍCULO 7. Transmisión de la información. Cuando la información transferida por la DIAN requiera transmitirse a un encargado, para efectos de lo establecido en el artículo 586 del Estatuto Tributario, dicho tratamiento solo podrá realizarse para los fines y uso establecidos en la presente resolución; el encargado ejecutará el tratamiento por cuenta y en nombre del municipio o distrito, quien mantendrá la calidad de responsable del tratamiento y la reserva de los datos personales, además de verificar y asegurar que el respectivo encargado cumpla los deberes del artículo 18 de la Ley 1581 de 2012.
ARTÍCULO 8. Disposición final de los datos personales. Los municipios y distritos dejarán de utilizar los datos una vez se hayan cumplido las obligaciones y finalidades que originaron su transferencia o cuando cese la necesidad del mismo, para lo cual deberán eliminar los archivos que contienen las bases de datos que se descargaron desde el servicio informático de la DIAN o cualquier repositorio de la misma, sin perjuicio de atender en cualquier momento las solicitudes que presenten los titulares de los datos personales respecto al ejercicio de sus derechos o los requerimientos de los organismos de control.
Los municipios y distritos exigirán a los encargados del tratamiento de la información, una vez cesen los servicios contratados, la supresión definitiva de los datos personales suministrados, sistemas de información, archivos físicos, electrónicos u otros repositorios, como medida de seguridad apropiada y conforme con los lineamientos y políticas en materia de gestión documental, para tal efecto tomarán las medidas que aseguren su eliminación de manera segura y que ha cesado su utilización, so pena de considerarse una apropiación indebida de datos personales y/o circulación no autorizada. Para el efecto, los municipios o distritos podrán solicitar las certificaciones, actas o cualquier otro instrumento que permita establecer que los datos fueron eliminados y que ha cesado su tratamiento.
ARTÍCULO 9. Responsabilidad. La DIAN no será responsable frente al titular y/o las autoridades por el eventual tratamiento indebido de los datos personales transferidos, por lo tanto, los responsables y/o encargados del tratamiento de la información serán responsables por todo daño o perjuicio material e inmaterial, que las personas que contrate o vincule causen a los titulares de información personal por su dolo o culpa relacionada directa o indirectamente con el incumplimiento de sus obligaciones legales y contractuales o por el tratamiento indebido de los datos personales transferidos o trasmitidos según corresponda, en virtud de esta resolución.
En consecuencia, estas entidades deberán garantizar, proteger, defender y mantener indemne a la DIAN y a sus representantes y servidores públicos con respecto a cualquier reclamación, queja, demanda, acción, pretensión, perjuicio, daño, pasivo y/o contingencia, que surja al respecto.
ARTÍCULO 10. Confidencialidad y reserva de la información. Corresponde a los municipios y distritos mantener la más estricta reserva sobre la información transferida y tratar la misma con la reserva y confidencialidad que establecen las disposiciones constitucionales y legales, en consecuencia, no deberán divulgarla, publicarla, cederla, venderla, directa o indirectamente, ni ponerla a disposición de terceros, cualquiera que sea el formato o soporte en el que se encuentre la información.
Los municipios y distritos asumen la responsabilidad respecto de los funcionarios o encargados que no mantengan bajo reserva o confidencialidad la información que la DIAN transfiera y que, por razón de su empleo, cargo, función u obligación, tengan acceso o conserven bajo su cuidado.
Para tales efectos, las personas que realicen actividades de tratamiento de datos personales a nombre y por cuenta del municipio o distrito no podrán publicar, difundir, comentar o analizar frente a terceros esta información, ni podrán manipularla para beneficio propio o de terceros, ni utilizarla para fines personales, comerciales, de explotación económica y/o cualquier otro uso, ajeno a los fines establecidos en la presente resolución.
Parágrafo. Las obligaciones previstas en las cláusulas de protección de datos personales y confidencialidad se mantendrán vigentes en forma permanente, aún después de finalizada la entrega de la información.
ARTÍCULO 11. Seguimiento y acompañamiento. Con el propósito de identificar avances, así como determinar acciones de mejoramiento y sin perjuicio de las auditorías que realicen los municipios o distritos o las autoridades competentes, la DIAN a través de la Dirección de Gestión de Ingresos con el concurso de sus subdirecciones, la Subdirección de Gestión de Tecnologías Información y Telecomunicaciones y la Oficina Seguridad de la Información o las áreas que hagan sus veces, de acuerdo con la capacidad operativa disponible, solicitarán en forma aleatoria a los municipios y distritos evidencias que demuestren:
1. La existencia de políticas de tratamiento de datos personales y de medidas de seguridad y privacidad de la información de naturaleza administrativas, físicas y técnicas.
2. La aplicación de un sistema de gestión de riesgos asociados a la seguridad de la información objeto de transferencia, según las directrices de la Superintendencia de Industria y Comercio.
3. La debida delegación a los funcionarios que realizarán la visualización en formato pantalla o descargue de los archivos que contienen la información transferida.
4. Los resultados de las auditorías practicadas en los términos del numeral 9 del artículo 5 de la presente resolución.
5. La expedición del informe anual del representante legal o su delegado, sobre el cumplimiento de las cláusulas establecidas en el compromiso de uso y confidencialidad y la certificación de las solicitudes de información mediante visualización en formato pantalla y descarga de archivos.
6. Las demás que consideren pertinentes para el seguimiento y acompañamiento, de que trata este artículo.
Parágrafo. La Dirección de Gestión de Ingresos de la DIAN, en concurso con sus subdirecciones, la Subdirección de Gestión de Tecnologías Información y Telecomunicaciones y la Oficina Seguridad de la Información o las áreas que hagan sus veces deberán adelantar evaluaciones de impacto en la protección de los datos personales transferidos y en la implementación de los principios de privacidad por diseño y por defecto, bajo un enfoque de mejoramiento continuo en los términos del artículo 2.2.2.25.6.1. del Decreto 1074 de 2015, Único Reglamentario del Sector Comercio, Industria y Turismo.
La implementación de estas actividades acogerá las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio, sin perjuicio de la metodología, periodicidad y procedimientos que la entidad determine.
ARTÍCULO 12. Suspensión. El incumplimiento por parte de los municipios o distritos, en calidad de responsables o de los encargados del tratamiento de la información suministrada, del régimen general de protección de datos personales, de las disposiciones contenidas en la presente resolución, de las acciones de mejoramiento derivadas del seguimiento, la suscripción sin facultades del compromiso de uso y confidencialidad, se consideran razones suficientes para que la DIAN, suspenda de manera temporal la entrega de la información, sin perjuicio de que las autoridades competentes ordenen la misma medida y/o realicen las investigaciones a que haya lugar.
La DIAN podrá reanudar la transferencia de la información una vez los municipios o distritos cumplan con el reporte del incidente de seguridad, acorde a lo previsto en el numeral 13 del artículo 5 de la presente resolución, siempre y cuando no existan riesgos de seguridad para la herramienta tecnológica y la seguridad y privacidad de la información, o cuando el municipio o distrito demuestre la implementación de medidas que permitan corregir los hechos o situaciones que ocasionaron el evento.
Parágrafo. Los municipios y distritos una vez conozcan la ocurrencia de incidentes de seguridad asociados al tratamiento de datos personales, deben reportarlos a la Dirección de Gestión de Ingresos de la DIAN, para la gestión en concurso con sus subdirecciones, la Subdirección de Gestión de Tecnologías Información y Telecomunicaciones y la Oficina Seguridad de la Información o las áreas que hagan sus veces, para que determinen las acciones que correspondan de conformidad con las disposiciones y los procedimientos vigentes, en los términos establecidos en el Manual para la protección de datos personales definido por la entidad, mediante el Servicio Informático Peticiones, Quejas, Sugerencias, Reclamos – PQSR y Denuncias en el portal de la DIAN (www.dian.gov.co).
ARTÍCULO 13. Publicación. Publicar la presente resolución de conformidad con el artículo 65 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo o la norma que lo adicione, modifique o derogue.
ARTÍCULO 14. Vigencia. La presente resolución rige a partir de la fecha de su publicación en el Diario Oficial.
PUBLÍQUESE Y CÚMPLASE.
Dada en Bogotá, D. C., a los
GABRIELA BARRIGA LESMES
Director General (E)