<
Cr Consultores

Ley 1581 de 2012

RESOLUCIÓN NÚMERO (     ) DE 2019

MINISTERIO DE COMERCIO, INDUSTRIA Y TURISMO

SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO

 

 

Por la cual se establece el procedimiento para el Registro Nacional de Bases de Datos

 

 

EL SUPERINTENDENTE DE INDUSTRIA Y COMERCIO

En ejercicio de las facultades legales que le confiere el Decreto 4886 de 2011, la Ley 1581 de 2012 y el Decreto Único 1074 de 2015, y

 

 

CONSIDERANDO

Que con forme a lo establecido en el artículo 1 de la Ley 1581 de 2012 “por la cual se dictan disposiciones generales para la Protección de Datos Personales”, se tiene por objeto “(…) desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política así como el derecho a la información consagrado en el artículo 20 de la misma”.

 

Que el artículo 25 de la Ley 1581 de 2012 crea el Registro Nacional de Bases de Datos (en adelante RNBD), el cual se define como el directorio público de las bases de datos personales sujetas a Tratamiento que operan en el país, administrado por la Superintendencia de Industria y Comercio, y será de libre consulta para los ciudadanos.

Que en el Capítulo 26 del Decreto Único 1074 de 2015 se reglamenta la información mínima que debe contener el Registro Nacional de Bases de Datos (RNBD), así como los términos y condiciones bajo los cuales se deben inscribir en este, los Responsables del Tratamiento.

Que el artículo 1 del Decreto 090 de 2018, que modifica el ámbito de aplicación señalado en el artículo 2.2.2.26.1.2 del Decreto Único 1074 de 2015, dispone que son objeto de inscripción en el Registro Nacional de Bases de Datos (RNBD), las bases de datos que contengan datos personales cuyo tratamiento automatizado o manual sea realizado por los Responsables del Tratamiento, con las siguientes características: i) sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario (UVT); y ii) Personas jurídicas de naturaleza pública.

Que la Superintendencia de Industria y Comercio en su página web ha implementado una plataforma electrónica para efectuar gratuitamente la inscripción de las bases de datos. En el sitio web está disponible la siguiente información y las herramientas necesarias para lograr dicho objetivo: (i) Formulario de inscripción; (ii) Video tutorial; (iii) Preguntas frecuentes sobre el RNBD; (d) Manual de ayuda para efectuar el registro, y (e) Consulta del RNBD.

Que de conformidad con lo previsto en el artículo 6 del Decreto Ley 19 de 2012, “Los trámites establecidos por las autoridades deberán ser sencillos, eliminarse toda complejidad innecesaria y los requisitos que se exijan a los particulares deberán ser racionales y proporcionales a los fines que se persigue cumplir”. Para efectos del cumplimiento de lo establecido en el artículo 40 del Decreto Ley 19 de 2012, se hace necesario expedir un acto administrativo que contenga el procedimiento para realizar la inscripción de bases de datos en el Registro Nacional de Bases de Datos (RNBD).

Que en virtud de lo de lo dispuesto en el artículo 1 de la Ley 962 de 2005, modificado por el artículo 39 del Decreto-Ley 019 de 2012, y el artículo 2.1.2.1.11 del Decreto Único 1609 de 2015 se sometió el proyecto de la presente resolución a consideración previa del Departamento Administrativo de la Función Pública, entidad que mediante oficio (número y fecha), emitió concepto favorable sobre trámite de Registro Nacional de Bases de Datos.

 

 

RESUELVE

 

Artículo 1. Objeto. La presente resolución establece el procedimiento para inscribir las bases de datos ante el Registro Nacional de Bases de Datos (en adelante RNBD), administrado por la Superintendencia de Industria y Comercio (en adelante SIC), y creado mediante el artículo 25 de Ley 1581 de 2012.

El Responsable del Tratamiento evitará enviar, cargar o entregar a la SIC sus bases de datos, sino suministra cierta información sobre cada una de ellas. Tales como, Información sobre sus medidas de seguridad y aportar las políticas de tratamiento de la información personal.

 

Artículo 2. Ámbito de aplicación y sujetos obligados a realizar el registro en RNBD. Serán objeto de inscripción en el RNBD, las bases de datos que contengan datos personales, cuyo tratamiento automatizado o manual sea realizado por los Responsables del Tratamiento que reúnan las siguientes características:

  1. Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario (UVT).
  2. Personas jurídicas de naturaleza pública.

 

Artículo 3. Definiciones. Para los efectos de la presente resolución se adoptan las siguientes definiciones:

 

Dato personal. Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

 

Base de datos. Conjunto organizado de datos personales que son objeto de tratamiento.

 

Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación, o supresión.

 

Titular. Persona natural cuyos datos personales son objeto de tratamiento.

 

Responsable del tratamiento. Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.

 

Encargado del Tratamiento. Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

 

Transferencia. Envío de información o de datos personales por parte del Responsable y/o Encargado del Tratamiento a un receptor, que a su vez es Responsable del Tratamiento. La transferencia se hace desde Colombia a un Responsable ubicado dentro o fuera de dicho país.

 

Transmisión. Envío o comunicación de datos personales por parte del Responsable a un Encargado para que realice Tratamiento de dicha información por cuenta del Responsable. La transmisión se hace desde Colombia a un Encargado ubicado dentro o fuera de dicho país.

 

Incidente de seguridad. Violación a los códigos de seguridad de información del Responsable o del Encargado que generen riesgos en la administración de los datos personales de los Titulares. El incidente comprende, entre otros, la pérdida, el hurto, el acceso, la consulta, el uso, la divulgación, la modificación, la adulteración, la manipulación o la destrucción no autorizada o fraudulenta de información de una base de datos del Responsable o del Encargado del Tratamiento. También incluye un impedimento en la operación normal de las redes, sistemas o recursos informáticos; o una violación a la Política de Seguridad del Responsable o del Encargado del Tratamiento.

 

Sujetos obligados. Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario (UVT) o personas jurídicas de naturaleza pública.

 

Manual de Usuario del Registro Nacional de Bases de Datos (RNBD). Guía que detalla todos los aspectos y pasos necesarios para: (i) administrar usuarios del RNBD; (ii) efectuar la inscripción de bases de datos en el RNBD, y (iii) reportar novedades como los reclamos de los titulares de los datos; (iv) informar incidentes de seguridad o eliminación de bases de datos. Puede consultarse en http://www.sic.gov.co/proteccion-de-datos-personales ingresando a la opción “Registro Nacional de Bases de Datos”, “Manual de Usuario”.

 

Artículo 4. Forma de Inscripción. El registro de usuarios del sistema, la inscripción de las bases de datos, las actualizaciones voluntarias y obligatorias y los reportes de novedades de reclamos, incidentes de seguridad y eliminación de bases de datos se realizan en el portal web de la Superintendencia de Industria y Comercio.

 

Artículo 5. Requisitos. Los sujetos obligados deberán contar con la siguiente información, previo a iniciar el registro del usuario:

  • Dirección electrónica que el Responsable del Tratamiento de datos personales (persona jurídica que reúne los requisitos establecidos en el artículo 2 de la presente resolución) tiene inscrita en el Registro Único Tributario –RUT-.
  • Identificar a la persona que tiene la administración de la citada dirección electrónica, la cual será el usuario al que se enviará la clave de acceso y las notificaciones del resultado del registro de cada base de datos, así como su modificación o eliminación y del reporte de reclamos o incidentes de seguridad.
  • Contar con el RUT expedido directamente en la plataforma de la DIAN con una vigencia inferior a tres (3) meses, el cual se deberá subir al sistema al momento de hacer el registro inicial del Responsable del Tratamiento para que el mismo valide la información a través de los datos consignados en ese archivo.
  • Se recomienda realizar, previamente al registro, un inventario de las bases de datos con información personal a cargo del Responsable del Tratamiento, bien sea en medio físico o electrónico. El resultado de ese inventario debería contener como mínimo la siguiente información:

(i) Cantidad de bases de datos;

(ii) Cantidad de Titulares por cada base de datos;

(iii) Información detallada de los canales o medios que se tienen previstos para atender a los Titulares;

(iv) Tipos de datos personales contenidos en cada base de datos, como: datos de identificación, ubicación, socioeconómicos, sensibles, otros;

(v) Ubicación física de las bases de datos;

(vi) Datos de identificación y ubicación de los Encargados del tratamiento, si los hay;

(vii) Medidas de seguridad y/o controles implementados en la base de datos para minimizar los riesgos de un uso no adecuado de los datos personales,

(viii) Información sobre si se cuenta con la autorización de los titulares de los datos contenidos en las bases de datos;

(ix) Forma de obtención de los datos;

(x) Información del destinatario de los datos cuando se realiza transferencia o transmisión internacional de la base de datos.

Para obtener más información sobre las especificaciones técnicas requeridas para el acceso al sistema, deberá consultar el Manual de Usuario del Registro Nacional de Bases de Datos – RNBD.

 

Artículo 6. Registro de usuarios del sistema. Para iniciar el trámite del registro de bases de datos, los sujetos obligados deben crear un usuario y contraseña en el sistema, ingresando a la página web de la Superintendencia de Industria y Comercio www.sic.gov.co y al módulo de Protección de Datos Personales, panel RNBD y en el enlace “inscripción”. Esto direcciona al login en donde encontrarán el enlace “Regístrese” que dirige al formulario “registro nuevo usuario”, donde deberán ingresar la información pertinente cargando el archivo RUT con el que se validarán los datos de la persona jurídica Responsable del Tratamiento que registrará las bases de datos.

Una vez diligenciado el formulario, el nombre de usuario y la contraseña temporal serán remitidos a la dirección electrónica que figura en el archivo RUT.

 

Parágrafo 1. Las personas de naturaleza pública subordinadas presupuestalmente, es decir las entidades públicas que no cuenten con RUT y se identifican con el NIT de una entidad que tiene mayor jerarquía y si cuenta con personería jurídica, denominada entidad principal, deben solicitar las cuentas de usuario para el acceso al sistema del RNBD a las entidades principales. Por tanto, serán estas últimas las que deberán efectuar el registro de usuario de cada entidad pública de inferior jerarquía que dependa presupuestalmente de ella y entregar a las personas correspondientes las credenciales de acceso para que sean las subordinadas las que efectúen la inscripción de sus bases de datos.

 

Parágrafo 2. Las personas jurídicas extranjeras que no tienen sucursal o representación jurídica en el país, y que por cualquier medio recolectan o tratan datos personales en el territorio Colombiano, podrán hacer el registro de usuario en el RNBD, diligenciando los datos del formulario inicial y cargando el certificado de existencia de la compañía de su país de origen. Esas entidades solo deben registrar las bases de datos que contengan información recolectada o tratada en el territorio de Colombia.

Artículo 7. Registro de bases de datos. Una vez diligenciada toda la información del Responsable del Tratamiento, se relaciona la cantidad de bases de datos que va a registrar en el sistema para que este genere automáticamente un listado de las posibles bases a registrar con él enlace en cada una de “continuar registro” donde debe hacer click y comenzar a diligenciar la siguiente información por cada base de datos a registrar:

(i) Información sobre el Encargado del tratamiento;

(ii) Canales de atención del Responsable y Encargado;

(iii) Política de tratamiento del Responsable;

(iv) Forma de tratamiento de datos;

(v) Información contenida en la base de datos;

(vi) Medidas de seguridad;

(vii) Autorización del Titular;

(viii) Información acerca de la Transferencia Internacional de Datos (si aplica);

(ix) Información acerca de la Transmisión Internacional de Datos (si aplica);

(x) Finalizar registro de información de la base de datos.

Para diligenciar la información completando el paso a paso, recomendamos consultar el Manual de Usuario del Registro Nacional de Bases de Datos (RNBD) disponible en http://www.sic.gov.co/proteccion-de-datos-personales, ingresando a la opción “Registro Nacional de Bases de Datos”, “Manual de Usuario”.

 

Artículo 8. Resultado del Registro de bases de datos. Una vez culmine el registro, seleccione la opción “Finalizar Registro”, para que se genere el número de radicación que acredita que se cumplió el trámite de inscripción de la base de datos. La generación del número de radicación puede tardar cuarenta y ocho (48) horas.

 

Artículo 9. Actualización de las bases de datos cuando se presenten cambios sustanciales en la información registrada. Son cambios sustanciales las modificaciones sobre los siguientes aspectos:

(i) Finalidad de la base de datos;

(ii) Encargados del Tratamiento;

(iii) Canales de atención al Titular;

(iv) Clasificación o tipos de datos personales tratados en la base de datos;

(v) Medidas de seguridad de la información implementadas;

(vi) Política de Tratamiento de la Información; y,

(vii) Transferencia y transmisión internacional de datos personales.

En caso de presentarse alguno de los cambios mencionados respecto de la información registrada, deberá efectuarse la actualización dentro de los primeros diez (10) días hábiles del mes siguiente al que tuvo lugar la modificación.

 

Artículo 10. Actualización anual obligatoria. Los Responsables del Tratamiento de Datos Personales deben actualizar la información de las bases de datos cada año. La primera actualización de la información se deberá realizar entre el 1 de enero y el 31 de marzo del año 2020. En adelante y para las bases de datos que se creen con posterioridad al vencimiento de los plazos establecidos en el Decreto 090 de 2018, la actualización deberá realizarse entre el 1 de enero y el 31 de marzo del año siguiente al primer registro de la base de datos.

 

Artículo 11. Actualización voluntaria. Si los usuarios lo consideran necesario, pueden realizar cualquier actualización de la información registrada en el momento que lo deseen, teniendo en cuenta que el sistema está disponible de forma permanente.

 

Artículo 12. Actualización por creación de una nueva base de datos. En el evento de crearse una nueva base de datos, el Responsable del Tratamiento debe ingresar la información referente a la misma, máximo dentro de los dos (2) meses siguientes a su creación.

 

Artículo 13. Reporte de reclamos presentados por los Titulares. Corresponde a la información de los reclamos relacionados con el tratamiento de datos personales presentados por los Titulares ante el Responsable y/o el Encargado del Tratamiento, dentro de un semestre calendario (enero a junio y julio a diciembre). Esta información se reportará teniendo en cuenta lo manifestado por los Titulares y los tipos de reclamos prestablecidos en el registro.

El reporte comprenderá el total de los reclamos presentados por los Titulares ante el Responsable y el (los) Encargado (s) del Tratamiento en cada período. Solo se presentará un informe por período dentro de los primeros quince (15) días hábiles de los meses de febrero y agosto de cada año.

 

Artículo 14. Reporte de incidentes de Seguridad. Para reportar los incidentes de seguridad, quienes están obligados a inscribir las bases de datos personales en el RNBD, pueden realizarlo a través de la opción que prevé el sistema del RNBD, por el aplicativo habilitado para tal fin en la página web de la Superintendencia de Industria y Comercio (SIC) en el micrositio de la Delegatura para la Protección de Datos Personales, o mediante cualquiera de los canales habilitados por la entidad para recibir comunicaciones, dentro de los quince (15) días hábiles posteriores al momento en que se detecta el incidente y se pone en conocimiento de la persona o área encargada de atenderlo.

Los Responsables y Encargados del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD, deberán hacer el reporte de incidentes a través de los canales citados salvo la opción que prevé el RNBD, dentro del mismo término previsto en el párrafo anterior.

El reporte de incidente de seguridad debe especificar lo siguiente:

(i) Nombre de la(s) base(s) de datos afectada(s)

(ii) Ubicación de la bases (sic) de datos

(iii) Lugar o medio en que se encuentran los datos afectados (servidor de un proveedor de computación en la nube –cloud computing-, computador, memoria USB, servidor propio del Responsable o Encargado, página web, etc.)

(iv) Sitio, ciudad y país en donde se originó el incidente

(v) Resumen de los hechos relevantes alrededor del incidente

(vi) Causa(s) que generó (aron) el incidente según lo establecido en el Manual de Usuario del Registro Nacional de Bases de Datos –RNBD-

(vii) Tipo de incidente según lo establecido en el Manual de Usuario del Registro Nacional de Bases de Datos –RNBD-

(viii) Número de titulares de datos afectados por el incidente

(ix) Clase de datos personales comprometidos (datos privados, semiprivados, sensibles, públicos, de menores de edad, etc.)

(x) Fecha del incidente

(xi) Fecha en que se tuvo conocimiento del incidente

(xii) Comunicar si el Responsable o el Encargado cuentan con un protocolo o proceso documentado para gestionar incidentes de seguridad de la información

(xiii) Acciones correctivas efectuadas de forma inmediata para cesar o minimizar los efectos adversos del incidente en el tratamiento de los datos personales

(xiv) Planes de acción de mediano y largo plazo para prevenir la ocurrencia de futuros incidentes o, según el caso, evitar que se generen futuros riesgos en el tratamiento de los datos personales.

(xv) Manifestar si se ha informado del incidente a los titulares de los datos o a otras autoridades nacionales (Fiscalía General de la Nación, Policía Nacional, Procuraduría General de la Nación, Superintendencia Financiera) o extranjeras (otras autoridades de protección de datos)

Parágrafo. Las personas jurídicas extranjeras que no tienen sucursal o representación jurídica en el país, y que por cualquier medio recolectan o tratan datos personales en el territorio Colombiano, deberá reportar los incidentes de seguridad de la forma y en el tiempo señalado mediante esta resolución. Esas entidades solo reportan los incidentes respecto de bases de datos que contengan información recolectada o tratada en Colombia.

 

Artículo 15. Registro de eliminación de base de datos. Corresponde a la(s) Base(s) de Datos que el usuario ha eliminado dentro de su organización por algún motivo, por ejemplo: cesión de información (sin conservar la titularidad), cumplimiento de tablas de retención documental, depuración de información, desuso/Inhabilitación de datos, liquidación de persona Jurídica, orden Judicial o Administrativa o no contar con autorización del titular para el tratamiento de datos personales. El registro de la novedad de eliminación deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la eliminación de la base de datos.

Artículo 16. Consulta del Registro Nacional de Bases de Datos. La opción de Consulta del RNBD está habilitada con el fin de que los Titulares de información y terceros puedan acceder a los registros efectuados por los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos, de acuerdo con lo establecido en el artículo 2 de la presente resolución. Para el acceso a esta opción no se requiere usuario ni contraseña, se debe ingresar al portal web de la Superintendencia de Industria y Comercio, www.sic.gov.co, por el micrositio de “Protección de datos personales” ubicado en la barra horizontal superior y luego por “Registro Nacional de Bases de Datos” y “Consulta RNBD” e indicar el número de identificación, nombre o parte del nombre o razón social del Responsable del tratamiento que se pretenda consultar.

Con el fin de obtener mayor información para el registro de usuarios del sistema, la inscripción de las bases de datos, las actualizaciones voluntarias y obligatorias y los reportes de novedades de reclamos, incidentes de seguridad y eliminación de bases de datos, se puede consultar el Manual de Usuario del Registro Nacional de Bases de Datos – RNBD disponible en http://www.sic.gov.co/proteccion-de-datos-personales.

 

Artículo 17. Vigencia. La presente resolución entra a regir a partir de la fecha de su publicación en el Diario Oficial.

Salvo que se quiera establecer un plazo diferente o adicional …

 

 

 

 

 

PUBLÍQUESE Y CÚMPLASE

Dado en Bogotá, D.C.

EL SUPERINTENDENTE DE INDUSTRIA Y COMERCIO

 

ANDRÉS BARRETO GONZÁLEZ