Mas allá del Registro Nacional de Bases de Datos

En el mes de junio se vencerá la tercera ampliación de plazo para que las personas jurídicas de naturaleza privada y las sociedades de economía mixta inscritas en la Cámara de Comercio cumplan con el requisito legal de efectuar el Registro Nacional de Bases de Datos ante la Superintendencia de Industria y Comercio, de acuerdo con los lineamientos contemplados en la Ley 1581 de 2012, el decreto 1074 de 2015 y demás normas concordantes y complementarias. Si bien muchos de los responsables de tratamiento de datos personales ya han cumplido con este requisito, la gran mayoría de las empresas aún no lo ha hecho y por ello, hemos decidido entregar algunos tips que vale la pena que sean tenidos en cuenta para que el proceso sea exitoso; veamos:

1. Cada responsable de tratamiento (Empresa en este caso), debe registrar las bases de datos que posea en las que tengan datos de personas naturales, que no sean de carácter público, incluso aquellas que tenga almacenadas, así no tenga un contacto con los titulares de los datos.
2. Las bases de datos físicas tales como formatos de creación de clientes, contratos, registros de visitantes y hojas de vida de candidatos, aspirantes o personal activo, deben ser registradas de manera independiente ante la Superintendencia de Industria y Comercio.
3. La autorización de tratamiento de datos debe obtenerse de cada titular (Persona natural). Por lo tanto, no es válido que el representante legal de una empresa autorice el tratamiento de datos de ninguno de sus empleados.
4. En muchas de las autorizaciones está circulando una frase de acuerdo con la cual, si el titular de datos no responde declarando su deseo de ser retirado de la base de datos, se entenderá que ha otorgado su autorización. En este sentido y de acuerdo con la legislación sobre el tema, debe entenderse que el silencio no obra como autorización y que, por el contrario, dicha autorización debe ser expresa y de carácter inequívoco.
5. Cada empresa debe definir e implementar un sistema de gestión de seguridad de la información con la finalidad de brindar protección efectiva a los datos a los cuales está dando tratamiento.
6. Debe entenderse que con la realización del registro el proceso no ha culminado, por el contrario, este es el inicio de todo un sistema al interior de las empresas que debe incluir altas dosis de formación y comunicación a todos los estamentos.
7. Hay que prestar especial atención a la creación y puesta a disposición de todos su visitantes y empleados, de los avisos de privacidad en los sistemas de videovigilancia. 
8. Recuerde que los sistemas de Gestión de Seguridad y Salud en el Trabajo exigen que al ingreso a las instalaciones las personas entreguen datos que pueden estar sometidos a tratamiento. Es importante que en ese momento ellos conozcan nuestro aviso de privacidad y puedan tener acceso a la Política de Tratamiento de Datos.
9. Vigile con especial atención el envío de correos masivos. Si debe enviarlos, cumpla con los criterios de hacer privadas las direcciones de correo, mediante la utilización de la línea “con copia oculta”
10. Sea muy cuidadoso en el manejo de dispositivos móviles y portátiles y tome las debidas precauciones para proteger la información en ellos contenida ante cualquier vulnerabilidad de seguridad.
11. Tenga precaución con las imágenes que publica de eventos y actividades de la empresa, por cuanto la publicación de fotografías y registros fílmicos debe contar con la autorización del titular de los datos
12. No olvide incluir en sus contratos laborales cláusulas de confidencialidad específicas y, por supuesto, obtener la autorización de tratamiento de sus colaboradores.
13. La Superintendencia de Industria y Comercio conceptuó que los servicios de hosting actúan como Encargados de tratamiento, razón por la cual todas las empresas deben incluir esto en su Registro Nacional de Bases de Datos, así como disponer de un contrato de transmisión de datos con este y todos sus encargados de tratamiento.

Recuerde que, en todo caso, las sanciones que ha impuesto la Superintendencia de Industria y Comercio son a la fecha multi-millonarias, y se desprenden mucho más del desconocimiento de la norma que de la mala fe. Evite que su empresa sea la próxima en recibir daños patrimoniales o de reputación por esta causa.