En la actualidad, las compañías cada vez más apuestan por soluciones tecnológicas que ofrecen mayor eficiencia y efectividad que los métodos tradicionales. Un claro ejemplo de ello son los servicios de computación en la nube o Cloud Computing.
A través de estos servicios, una empresa puede compartir hardware, software, licencias, plataformas y capacidad de almacenamiento con otros usuarios para obtener un procesamiento de datos en línea. Esto permite una mayor accesibilidad —al poder consultarse desde cualquier lugar— y una optimización significativa de los procesos empresariales.
Sin embargo, cuando la información que se entrega al proveedor de servicios de computación en la nube contiene datos personales, la relación contractual debe cumplir con las normas establecidas por la legislación colombiana sobre Habeas Data.
Para comprender mejor las condiciones de esta relación y las garantías que deben brindarse a la información, es importante conocer los actores involucrados:
- El Responsable de los datos: persona natural o jurídica que decide sobre las bases de datos entregadas al proveedor.
- El Encargado del tratamiento: el proveedor del servicio en la nube, quien recibe las bases de datos para su almacenamiento, consulta y tratamiento.
Al realizar esta entrega se configura la figura del encargo de información personal, lo que convierte al proveedor en Encargado del tratamiento.
Por ello, para cumplir con la regulación colombiana en materia de protección de datos personales, se deben tener en cuenta los siguientes requisitos:
1. Contar con la autorización del titular de los datos personales
En la mayoría de las organizaciones se recopila información personal. Por tanto, es fundamental seguir la Ley 1581 de 2012 y sus decretos reglamentarios, que establecen que todo dato personal debe ser tratado conforme a las políticas de tratamiento de datos personales de la empresa.
El titular de la información debe conocer dichas políticas, así como la finalidad del uso de sus datos y la posibilidad de que sean entregados a terceros para su tratamiento.
Contar con políticas claras implica también cumplir con obligaciones adicionales, como:
- Registrar las bases de datos ante la Superintendencia de Industria y Comercio (SIC).
- Disponer de avisos de privacidad y autorizaciones.
- Implementar controles de seguridad físicos, lógicos y administrativos.
Por la complejidad del tema, se recomienda contar con el acompañamiento de un abogado especializado en protección de datos.
2. Verificar los niveles de seguridad del encargado del tratamiento
El titular autoriza el uso de sus datos confiando en que serán debidamente custodiados. Por ello, al contratar un proveedor de Cloud Computing, el Responsable del tratamiento debe asegurarse de que los niveles de seguridad ofrecidos por el proveedor cumplan con los estándares que él mismo aplica en su organización.
Esta verificación es esencial para garantizar la confidencialidad, integridad y disponibilidad de la información personal.
3. Celebrar un contrato de encargo de información personal
Una vez verificados los estándares de seguridad, debe formalizarse un contrato de encargo para el tratamiento de datos personales. En este documento se deben establecer:
- Los procedimientos que se ejecutarán con los datos.
- El tipo de información que se encargará.
- Las bases de datos objeto de tratamiento.
- La duración del encargo.
- Los compromisos del encargado respecto a la información recibida.
Asimismo, el Responsable del tratamiento debe reportar la situación de encargo ante la SIC.
Cuando el proveedor de servicios en la nube se encuentra en el extranjero, se debe suscribir un Contrato de Transmisión Internacional de Datos Personales, en el cual el encargado se comprometa a:
- Salvaguardar la seguridad de la base de datos.
- Cumplir los principios de tratamiento de datos personales.
- Mantener la confidencialidad sobre los datos a los que tenga acceso.
Si el proveedor no cumple estas condiciones, será necesario solicitar ante la Superintendencia de Industria y Comercio una Declaración de Conformidad que autorice la relación comercial.
Fuente: Superintendencia de Industria y Comercio
