La aplicación del GDPR en Colombia, un año después

Es relevante que las compañías del país tengan presente el Reglamento de Protección de Datos Europeo (Gdpr) (por sus siglas en inglés) que entró en vigencia desde el 25 de mayo de 2018 y que tiene como finalidad la protección de los datos personales de las personas que se encuentren en los estados que hacen parte de la Unión Europea (UE).

¿Aplica a empresas en ubicadas en Colombia?

El Gdpr se aplica por fuera de la UE en los siguientes eventos: (i) ante el tratamiento de datos personales en el contexto de un establecimiento ubicado en la UE, si es realizado por fuera de esta; y (ii) ante el tratamiento de datos personales por actividades relacionadas con oferta de bienes y servicios a personas que se encuentren en la UE o con ocasión del control de comportamiento de dichas personas, si dicho control tiene lugar en ella .

¿Incluye novedades respecto de nuestra legislación de datos actual?

El Gdpr establece una protección especial en favor de los menores de 16 años que consiste en que el tratamiento de datos personales requerirá el consentimiento previo de la persona que detente la patria potestad del menor.

De otro lado, el Gdpr prevé el derecho a la portabilidad de los datos personales a favor del titular de la información, que consiste en permitirle a este el acceso a los mismos, en un formato común, y a transferirlos a otro responsable de tratamiento sin su autorización.

Otra novedad consiste en la necesidad de celebrar un contrato u otro acto jurídico entre el encargado de la información y el responsable de la misma y que regule el relacionamiento entre estos actores para el tratamiento, pudiendo la autoridad de control establecer cláusulas tipo.

A su vez, el Gdpr establece la obligación del responsable del tratamiento de notificar cualquier violación a la seguridad de los datos personales y que represente un riesgo a los derechos y libertades del titular, a las autoridades de control, en las 72 horas siguientes al evento al que haya lugar.

Finalmente, se exige al responsable la elaboración de una evaluación previa al tratamiento. Así pues, si la evaluación puede representar riesgos, aquel deberá elevar una consulta a la autoridad de control para adelantar el tratamiento de los datos personales.

¿Cuáles son las consecuencias de su aplicación en Colombia?

Los principales efectos para las compañías que deban aplicar el Gdpr, son: (i) el ajuste de sus contratos y políticas de datos personales, (ii) la designación de un representante que se establezca en la UE que atienda las consultas de las autoridades de control y de los interesados, salvo que el tratamiento de datos personales sea ocasional, (iii) la elaboración de un registro de las actividades de tratamiento por escrito y en formato electrónico y (iv) la posibilidad de imposición de multas por parte de las autoridades de control de protección de datos personales de la UE.

¿Han sido sancionadas empresas ubicadas en Colombia por aplicación del Gdpr?

No se conocen casos. A pesar de lo anterior, en reciente decisión contra Facebook, la SIC tuvo en cuenta casos de Irlanda, Francia y Países Bajos, en donde se aplica el Gdpr, lo que refleja que estamos frente a una nueva realidad en la protección de datos personales.