Este artículo fue publicado hace más de un año, por lo que es importante prestar atención a la vigencia de sus referencias normativas.
Para dar cumplimiento a lo dispuesto en los artículos 19 a 26 de la Ley 1581 de octubre del 2012, la Superintendencia de Industria y Comercio –SIC– dispuso en su Circular 002 de noviembre del 2015, que todas las personas jurídicas de naturaleza privada que posean cualquier tipo de base de datos (ya sea con información de sus clientes, empleados, proveedores, etc.) deben efectuar, antes de noviembre 9 del 2016, un reporte especial en el Registro Nacional de Bases de Datos –RNBD– administrado por la SIC.
De acuerdo con lo dispuesto en los artículos 19 a 26 de la Ley 1581 de octubre del 2012 (ley estatutaria que regula el uso de la información de las personas o empresas recopilada en bases de datos), y de conformidad con la reglamentación que se hizo a dicha ley con el Decreto 886 de mayo 13 del 2014 (el cual fue luego recopilado entre los artículos 2.2.2.26.1.1 hasta 2.2.2.26.3.4 del Decreto Único 1074 de mayo del 2015 expedido por el Ministerio de Comercio, Industria y Turismo), la Superintendencia de Industria y Comercio expidió en noviembre 3 del 2015 su Circular 002. A través de esta se dispuso que todas las personas jurídicas de naturaleza privada inscritas en las Cámaras de Comercio, al igual que todas las sociedades de economía mixta, si terminan siendo poseedoras de algún tipo de base de datos (ya sea con información de sus clientes, empleados, proveedores o accionistas, etc.)tendrían que realizar, antes de noviembre 9 del 2016, un reporte especial dentro del Registro Nacional de Bases de Datos administrado por la SIC.
La Circular 002 del 2015 aclara que la tarea consiste simplemente en reportar de forma virtual, en la sección especial del portal de la SIC, la información básica a que se refiere el artículo 5 del Decreto 886 de mayo del 2014 (actualmente recopilado en el artículo 2.2.2.26.2.1 del Decreto 1074 de mayo del 2015) junto con la información adicional que se solicitó en la misma Circular 002.
Por tanto, en ningún caso se tiene que reportar la información contenida en las múltiples bases de datos. Lo único que se tiene que reportar es la siguiente información (véase el video tutorial publicado en mayo del 2016 por la misma SIC, al igual que el “Manual del usuario del registro nacional de bases de datos” publicado en febrero del 2016, los cuales explican paso a paso cómo obtener un usuario y contraseña para poder efectuar esta tarea virtualmente y la forma en que se suministrarán los datos solicitados por la circular):
1. Datos de identificación, ubicación y contacto del responsable del tratamiento de la base de datos.
2. Datos de identificación, ubicación y contacto del o de los encargados del tratamiento de la base de datos.
3. Cantidad de bases de datos (ya sean manuales o automatizadas) con información personal que estén administrando.
4. Cantidad de titulares que contiene cada base de datos (sin importar si están activos o inactivos).
5. Tipos de canales que se tienen para atender las peticiones, consultas y reclamos de los titulares que figuran en las bases de datos.
6. Tipos de datos contenidos en cada base de datos.
7. Ubicación física de las bases de datos.
8. Medidas de seguridad que se tienen sobre las bases de datos para evitar usos inadecuados de la información contenida en las mismas.
9. Información sobre si se cuenta con la autorización de los titulares a quienes se les ha recopilado información en las bases de datos.
10. Procedencia y/o forma de recolección de los datos personales. Es decir, si son recolectados directamente del titular o mediante terceros.
11. Si se ha hecho transferencia internacional o cesión de los datos, se informarán los datos básicos de los destinatarios de dicha transferencia o cesión.
Cuando se consulta la sección de “Preguntas frecuentes” que la SIC creó en la zona especial de su portal en la que se administra el RNBD, se confirma que el no cumplimiento de la tarea impuesta en la Circular 002 del 2015 se podrá castigar con las sanciones establecidas en el artículo 23 de la Ley 1581 del 2012. En la pregunta 13 del cuestionario que allí se resuelve se lee lo siguiente:
“¿Qué pasa si no lo hago?
Es importante tener en cuenta que el artículo 23 de la Ley 1581 de 2012 indica que la Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones:
a. Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó.
b. Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar.
c. Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio.
d. Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles”.
De igual forma, en la respuesta a la pregunta 17 de dicho cuestionario, se aclaró que por ahora la tarea se le exigió solamente a las personas jurídicas de derecho privado inscritas en las Cámaras de Comercio. Sin embargo, se indica que a lo largo del presente 2016 esa misma tarea se le terminará exigiendo a quienes no están inscritos en las Cámaras de Comercio (como algunas personas jurídicas privadas, o personas naturales o entidades públicas), para lo cual se deberá estar pendiente de alguna nueva circular que al respecto termine expidiendo la SIC.
De acuerdo con lo indicado en el numeral 2.3 de la Circular Externa No. 002 del 2015, la información contenida en el RNBD deberá actualizarse como se indica a continuación:
1. Entre los primeros diez (10) días hábiles de cada mes, a partir de la inscripción de la base de datos, cuando se realicen cambios sustanciales en la información registrada.
2. Anualmente, entre el 2 de enero y el 31 de marzo, a partir del 2018. Se aclara que los cambios sustanciales están definidos en la misma circular, así:
“Son cambios sustanciales los que se relacionen con la finalidad de la base de datos, el Encargado del Tratamiento, los canales de atención al Titular, la clasificación o tipos de datos personales almacenados en cada base de datos, las medidas de seguridad de la información implementadas, la Política de Tratamiento de la Información y la transferencia y transmisión internacional de datos personales”.
La actualización se realiza por la opción de “Modificar registro”.
Adicionalmente, entre los primeros 15 días hábiles de los meses de febrero y agosto de cada año, a partir de su inscripción, los responsables del tratamiento deben actualizar la información de los reclamos semestrales presentados por los titulares. El primer reporte se hará durante el primer semestre del 2017, con la información que corresponda a los reclamos presentados durante el segundo semestre del 2016.
El numeral 2.4 de la Circular 002 del 2015 indica que los titulares que figuren en las diferentes bases de datos administradas por personas jurídicas podrán acceder al servicio virtual gratuito de “Consultas del RNBD”, en el cual podrán consultar qué tipos de bases de datos han terminado siendo reportadas por alguna persona jurídica en particular.
Fundada en el año 2000 con la misión de “elevar el nivel profesional del Contador Público”
