Proyecta modificar el régimen de protección de datos personales en Colombia
El proyecto de Ley modificaría parcialmente la Ley Estatutaria 1581 de 2012 relacionada con la protección de datos personales.. Aplicaría a cualquier persona natural o jurídica, pública o privada, sin importar su domicilio ni dónde estén los datos, cuando el tratamiento ocurra en Colombia, se relacione con la oferta de bienes o servicios a titulares en Colombia o con el monitoreo de su comportamiento. Incorporaría nuevos principios, bases de legitimación distintas a la autorización, nuevos derechos de los titulares, deberes reforzados y un régimen sancionatorio actualizado.Algunas de las obligaciones:
- Contar con una base jurídica que legitime el tratamiento (autorización, deber legal, contrato, vida o salud, funciones públicas o interés legítimo); este último exigiría ponderación previa y documentada.
- Ampliar la información al titular: destinatarios, transferencias internacionales, plazo de conservación, decisiones automatizadas y fuente de los datos.
- Reportar incidentes de seguridad a la autoridad en 72 horas y avisar a los titulares en casos de alto riesgo.
- Hacer evaluaciones de impacto en tratamiento a gran escala, automatizado, perfiles y datos sensibles automatizados.
- Designar oficial de protección de datos en tratamiento a gran escala, datos sensibles como actividad principal o entidades públicas.
- Contratar formalmente al encargado, aplicar protección por diseño y por defecto y revisar los sistemas cada 2 años.
- Los no domiciliados en Colombia deberían designar representante y/o abrir sucursal.
Aspectos de interés:
- Nuevos principios: responsabilidad demostrada, lealtad y no discriminación, minimización, limitación del plazo de conservación, proporcionalidad y explicabilidad.
- Datos sensibles ampliados: neurodatos, biométricos, genéticos, de salud, geolocalización, identidad o expresión de género y orientación sexual.
- Mayores de 14 años podrían autorizar directamente; para menores de 14 se requeriría al representante legal.
- Nuevos derechos: oposición, portabilidad, supresión, limitación, revocatoria, no ser objeto de decisiones automatizadas sin intervención humana e indemnización por daños.
- Sanciones hasta 10.000 SMLMV o el 5 % de los ingresos operacionales del año anterior, y cierre definitivo de operaciones; aplicarían a privados, sociedades de economía mixta y empresas industriales y comerciales del Estado.
- Transferencias internacionales: solo a países con nivel adecuado, con garantías adicionales o en casos excepcionales (autorización expresa, datos médicos, operaciones bancarias o bursátiles, defensa judicial).
Fechas y plazos:
- 72 horas: reporte de incidentes. 2 días hábiles: respuesta del encargado al titular.
- 6 meses: reglamentación del representante o sucursal y puesta en marcha de la Procuraduría Delegada.
