En junio pasado hubo expectativa por el vencimiento del plazo para la inscripción de las bases de datos personales ante el Registro Nacional de Bases de Datos (RNBD), plazo que ya se había extendido en noviembre del año pasado. El proceso de registro debe ser adelantado por todos aquellos que actúan como responsables de la información, y precisamente el pasado 30 de junio se vencía el plazo para realizar el registro por parte de las personas jurídicas de naturaleza privada y las sociedades de economía mixta que están inscritas en las Cámaras de Comercio de las diferentes ciudades. Como era de esperarse, antes de que se cumpliera la fecha prevista, se dio a conocer el decreto 1115 de 2017 del Ministerio de Comercio, Industria y Turismo, conforme al cual se informó que el plazo para realizar el registro de bases de datos personales cuyos responsables sean personas jurídicas de naturaleza privada y sociedades de economía mixta inscritos en Cámara de Comercio se ampliaba nuevamente, y ahora va hasta el 31 de enero de 2018.
Adicionalmente, para el caso de las personas naturales, entidades de naturaleza pública distintas de las Sociedades de Economía Mixta y personas jurídicas de naturaleza privada que no están inscritas en la Cámara de Comercio, la extensión va hasta el 31 de enero de 2019.
Al ser esta la segunda vez que se extiende el plazo, es recomendable que las empresas que aún no han avanzado en este proceso empiecen a identificar los pasos a seguir para dar cumplimiento a la regulación. Sobra decir que esta regulación ya tiene más de cinco años de haber sido expedida por lo que las autoridades esperarían que al menos se haya dado inicio a parte del cumplimiento.
En todo caso, la aplicación de la regulación en comento ha generado muchas dudas en su aplicación por lo que recomendaríamos empezar por verificar el cumplimiento de la regulación de protección de datos al interior de la compañía realizando talleres o capacitaciones que permitan a los funcionarios empezar a entender la importancia de dicha regulación. Igualmente, a fin de empezar a trabajar en el registro, será importante que la empresa pueda generar un inventario de las bases de datos por cada uno de los departamentos que componen la operación, identificando además si frente a la información que se tiene en dichas bases de datos se cuenta con autorización, y en caso de no tenerla, implementar las medidas adecuadas para obtenerlas. Es importante que se puedan identificar y determinar las políticas internas de seguridad que implementa la compañía, a fin de poder certificar dichas prácticas al momento de realizar el registro.
Adicionalmente, es clave tener en cuenta que dentro del registro, bajo ninguna circunstancia, se suministrarán datos personales, así pues por cada una de las bases de datos que se registren, las compañías deben suministrar la siguiente información: datos del responsable del tratamiento, datos del encargado del tratamiento, canales para el ejercicio de derechos, nombre y finalidad de la base de datos, forma del tratamiento de datos (manual y/o automatizada), política de tratamiento de la información, información almacenada en la base de datos, medidas de seguridad de la información (la RNBD realiza una serie de preguntas específicas al respecto), procedencia de datos personales, información sobre realización de transferencias y/o transmisiones internacionales de datos personales, cesión o transferencia nacional de la base de datos y reporte de novedades (reclamos de titulares y/o incidentes de seguridad).
Los empresarios y ejecutivos de las compañías deben entender que esta reglamentación está enfocada en proteger a los titulares de los datos personales y garantizar que se está cumpliendo con las disposiciones de ley, pero que en todo caso genera beneficios para las compañías buscando mejoramientos de los procesos internos y adaptándose a las regulaciones internacionales en la materia
Por último, deben tener en cuenta que el éxito de la inscripción dentro del registro está en la óptima realización de los procesos internos de recolección, almacenamiento, utilización y administración de los datos. La aplicación de una política sólida de protección de datos al interior de las organizaciones es clave. Sobrar recordar que las multas por incumplir la regulación en materia de protección de datos, lo cual incluye el incumplimiento de realizar el registro, pueden llegar hasta los 2000 salarios mínimos legales mensuales vigentes (COP$1.475.434.000 para 2017).
Las firmas que están adelantando este proceso se han encontrado con inconvenientes como no contar con una política de privacidad o tener una que no estaba acorde a la regulación vigente, no tener las autorizaciones necesarias para el tratamiento de los datos y no tener claridad sobre el uso de los datos con los que cuentan, entre otros. Es por esto que es de la mayor importancia poder identificar los procedimientos internos y aplicar los correctivos del caso.
Para completar los procesos de inscripción de las bases de datos al RNBD y verificar que las políticas internas y la aplicación de la normativa son correctas, es recomendable contar con el acompañamiento profesional, que estará orientado a la preparación de documentos requeridos por la regulación para dar cumplimiento a la misma, estandarizar el tratamiento interno de los datos, identificar posibles fallas en los procesos y aplicaciones y definir, tras un inventario, qué bases de datos deben ser registradas y cuáles no.
El procedimiento para realizar el registro y empezar a cumplir con la regulación no es nada fácil e implica inversión de tiempo y dedicación por parte de todos los miembros de la organización, por lo que recomendamos que, aprovechando este nuevo plazo, empiece a hacer sus evaluaciones internas y a identificar las bases de datos, de tal forma que con tiempo y tranquilidad pueda dar un adecuado cumplimiento a la regulación.
