SFC - Información reservada. Suministro y transferencia de datos Concepto 2010072240-009 del 24 de diciembre de 2010. id2010072240

INFORMACIÓN RESERVADA, SUMINISTRO Y TRANSFERENCIA DE DATOS Concepto 2010072240-009 del 24 de diciembre de 2010.

Síntesis: La información que entregan las entidades vigiladas por la SFC a las autoridades competentes continúa siendo reservada, y éstas también deben garantizar la reserva de la misma. Para el suministro de información de carácter financiero, comercial y crediticio que sobre una persona determinada posea una institución vigilada deben tenerse en cuenta los principios de administración de datos establecidos por la Ley de Hábeas Data. La obtención del consentimiento de los clientes para el intercambio de sus datos con terceras personas a través de la modalidad descrita (inclusión de cláusulas en ese sentido entre otras del reglamento de uso de los productos adquiridos con el banco), pueden limitar la autonomía de éstos para decidir si rechazan o no las condiciones impuestas por la entidad para el desarrollo de la relación contractual. Únicamente el cliente (titular de la información) es quien puede autorizar que la información personal que le ha suministrado a la entidad en virtud del formulario de vinculación, así como la derivada de su relación contractual, sea divulgada a quien él designe. «(…) formula algunas inquietudes relacionadas con la existencia de directrices emanadas de esta Entidad sobre la posibilidad de compartir información de sus clientes, y el almacenamiento de la misma en sistemas globales.

Para una mejor comprensión de las respuestas a los interrogantes planteados, se considera pertinente citar las normas aplicables a la información de los clientes de las entidades vigiladas dentro del ámbito de la prevención de actividades delictivas, a que se refiere el

Capítulo XVI del Estatuto Orgánico del Sistema Financiero (ESOF)

I. Normas aplicables.

1. CONSTITUCIÓN POLÍTICA Artículo 15. “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (…) Para efectos tributarios o judiciales y para los casos de inspección, vigilancia e intervención del Estado podrá exigirse la presentación de libros de contabilidad y demás documentos privados, en los términos que señale la ley”. (Cursiva y subrayado fuera de texto)

2. ESTATUTO ORGÁNICO DEL SISTEMA FINANCIERO (EOSF) “Capítulo XVI “Prevención de Actividades Delictivas “Artículo 102. - Régimen general. “1. Obligación y control a actividades delictivas. Las instituciones sometidas al control y vigilancia de la Superintendencia Financiera o quien haga sus veces, estarán obligadas a adoptar medidas de control apropiadas y suficientes, orientadas a evitar que en la realización de sus operaciones puedan ser utilizadas como instrumento para el ocultamiento, manejo, inversión o aprovechamiento en cualquier forma de dinero u otros bienes provenientes de actividades delictivas o destinados a su financiación, o para dar apariencia de legalidad a las actividades delictivas o a las transacciones y fondos vinculados con las mismas.

“2. Mecanismos de control. Para los efectos del numeral anterior, esas instituciones deberán adoptar mecanismos y reglas de conducta que deberán observar sus representantes legales, directores, administradores y funcionarios, con los siguientes propósitos: “a) Conocer adecuadamente la actividad económica que desarrollan sus clientes, su magnitud, las características básicas de las transacciones en que se involucran corrientemente y, en particular, la de quienes efectúan cualquier tipo de depósitos a la vista, a término o de ahorro, o entregan bienes en fiducia o encargo fiduciario; o los depositan en cajillas de seguridad; “b) Establecer la frecuencia, volumen y características de las transacciones financieras de sus usuarios; “c) Establecer que el volumen y movimientos de fondos de sus clientes guarde relación con la actividad económica de los mismos; “d) Reportar de forma inmediata y suficiente a la Unidad de Información y Análisis Financiero cualquier información relevante sobre manejo de activos o pasivos u otros recursos, cuya cuantía o características no guarden relación con la actividad económica de sus clientes, o sobre transacciones de sus usuarios que por su número, por las cantidades transadas o por las características particulares de las mismas, puedan conducir razonablemente a sospechar que los mismos están usando a la entidad para transferir, manejar, aprovechar o invertir dineros o recursos provenientes de actividades delictivas o destinados a su financiación. “e) Estar en consonancia con los estándares internacionales en la materia; “f) Los demás que señale el Gobierno Nacional”. (Subrayado y cursiva fuera del texto) “Articulo 104. Información periódica.

“Toda institución financiera deberá informar a la Unidad de Información y Análisis Financiero (UIAF), la totalidad de las transacciones en efectivo de que trata el artículo anterior, conforme a las instrucciones que al efecto imparta la Superintendencia Bancaria, en aplicación del artículo 10 de la Ley 526 de 1999”. (Cursiva fuera del texto) “Articulo 105. Reserva sobre la información reportada. “Sin perjuicio de la obligación de reportar de forma inmediata y suficiente a la unidad de información y análisis financiero la información a que se refiere la letra d) del numeral 2º del artículo 102, las instituciones financieras solo estarán obligadas a suministrar información obtenida en desarrollo de los mecanismos previstos en los artículos anteriores cuando así lo solicite la Unidad de Información y Análisis Financiero o la Fiscalía General de la Nación “Las autoridades, las entidades, sus administradores y sus funcionarios que tengan conocimiento por cualquier motivo de las informaciones y documentos a que se refieren los artículos anteriores deberán mantener reserva sobre los mismos. “Las autoridades, las entidades, sus administradores y sus funcionarios no podrán dar a conocer a las personas que hayan efectuado o intenten efectuar operaciones sospechosas, que se ha comunicado a la Unidad de Información y Análisis Financiero información sobre las mismas, y deberán guardar reserva sobre dicha información”. (Subrayado y cursiva fuera del texto)

3. CÓDIGO DE PROCEDIMIENTO PENAL. “Titulo I. La indagación y la investigación. “Capitulo I. Órganos de indagación e investigación “Artículo 200. Órganos. Modificado por el artículo 49 de la Ley 1142 de 2007. Corresponde a

la Fiscalía General de la Nación realizar la indagación e investigación de los hechos que revistan características de un delito que lleguen a su conocimiento por medio de denuncia, querella, petición especial o por cualquier otro medio idóneo. “En desarrollo de la función prevista en el inciso anterior a la Fiscalía General de la Nación, por conducto del fiscal director de la investigación, le corresponde la dirección, coordinación, control jurídico y verificación técnico-científica de las actividades que desarrolle la policía judicial, en los términos previstos en este código. (…) “Los organismos oficiales y particulares están obligados a prestar la colaboración que soliciten las unidades de policía judicial, en los términos establecidos dentro de la indagación e investigación para la elaboración de los actos urgentes y cumplimiento a las actividades contempladas en los programas metodológicos, respectivamente; so pena de las sanciones a que haya lugar”. (Subrayado y cursiva fuera del texto)

4. CÓDIGO DE COMERCIO “Artículo 61. Excepciones al derecho de reserva. Los libros y papeles del comerciante no podrán examinarse por personas distintas de sus propietarios o personas autorizadas para ello, sino para los fines indicados en la Constitución Nacional y mediante orden de autoridad competente. “Lo dispuesto en este artículo no restringirá el derecho de inspección que confiere la ley a los asociados sobre libros y papeles de las compañías comerciales, ni el que corresponda a quienes cumplan funciones de vigilancia o auditoría en las mismas”. (Cursiva fuera del texto) “Artículo 63. Los funcionarios de las ramas jurisdiccional y ejecutiva del poder público, solamente podrán ordenar de oficio la presentación o examen de los libros y papeles del

comerciante en los casos siguientes: “1. Para la tasación de los impuestos a fin de verificar la exactitud de las declaraciones; “2. Para la vigilancia de los establecimientos de crédito, las sociedades mercantiles y las instituciones de utilidad común (§ 1831); “3. En la investigación de delitos, conforme a las disposiciones del Código de Procedimiento Penal, y “4. En los procesos civiles conforme a las normas del Código de Procedimiento Civil”. (Subrayado y cursiva fuera del texto)

5. UNIDAD DE INFORMACIÓN Y ANÁLISIS FINANCIERO (UIAF) Ley 526 de 1999 “Artículo 4º. Funciones de la Dirección General. “Las siguientes serán las funciones generales de la Dirección General (…) “5. Solicitar a cualquier entidad pública o privada la información que considere necesaria para el cumplimiento de sus funciones, salvo la sujeta a reserva en poder de la Fiscalía General de la Nación.” (Cursiva fuera del texto) “Artículo 9o. Manejo de Información. (…) “Las entidades obligadas a cumplir con lo previsto en los artículos 102 a 107 del Estatuto Orgánico del Sistema Financiero deberán colocar en forma inmediata a disposición de la Unidad de que trata esta ley, la información atinente al conocimiento de un determinado cliente o transacción u operación cuando se les solicite. (…) “La información que recaude la Unidad de que trata la presente ley en cumplimiento de sus funciones y la que se produzca como resultado de su análisis, estará sujeta a reserva, salvo solicitud de las autoridades competentes y las entidades legitimadas para ejercitar la acción de extinción de dominio quienes deberán mantener la reserva aquí prevista.” (Subrayado y cursiva

fuera del texto)

6. RÉGIMEN ADMINISTRATIVO SANCIONATORIO EOSF “Articulo 107. Sanciones “El incumplimiento de lo dispuesto en los artículos anteriores por la no adopción o aplicación de los mecanismos de control dará lugar a la imposición de las sanciones administrativas correspondientes, sin perjuicio de las consecuencias penales a que hubiere lugar.” Ley 190 DE 1995. “Artículo 41. Quien incumpla la obligación contenida en el último inciso del artículo 105 del Estatuto Orgánico del Sistema Financiero (Decreto 663 de 1993), incurrirá en la sanción allí prevista (derogado), sin perjuicio de la sanción penal que por tal conducta pueda corresponder.”

(Subrayado, fuera del texto) Código de Comercio. “Artículo 62. El revisor fiscal, el contador o el tenedor de los libros regulados en este Título que violen la reserva de los mismos, será sancionado con arreglo al Código Penal en cuanto a la violación de secretos y correspondencia, sin perjuicio de las sanciones disciplinarias del caso”.

II. Desarrollo De las normas transcritas en precedencia y desde el ámbito de competencia de esta Delegatura, se considera pertinente efectuar las siguientes precisiones: • Información sujeta a Reserva.

En virtud del artículo 15 de la Constitución Nacional: a) Información personal y familiar En virtud del artículo 105 EOSF: a) La totalidad de la información y los documentos obtenidos en desarrollo de los artículos 102-104 del EOSF b) Los Reportes de Operaciones Sospechosas

c) Los demás reportes efectuados a la UIAF en desarrollo de los artículos 102104 citados y la información privada que ésta solicite • Obligación de suministrar información Las instituciones vigiladas por la SFC, sólo estarán obligadas a suministrar la información a que hacen referencia los artículos 102 -104 del EOSF a las siguientes autoridades en ejercicio de sus atribuciones legales: a) Unidad de Información y Análisis Financiero, UIAF. b) Fiscalía General de la Nación y a quien ésta expresamente designe para ejercer funciones de policía judicial para el efecto, de acuerdo con la Ley. c) A los organismos judiciales (Juzgados, Tribunales, Altas Cortes) d) A las autoridades administrativas con funciones de inspección, vigilancia y control respecto de las entidades obligadas a cumplir con los artículos 102 y siguientes del EOSF La información que entregan las entidades vigiladas por la SFC a las autoridades competentes continúa siendo reservada, y éstas también deben garantizar la reserva de la misma. En ningún caso, la información y los documentos recaudados y/o analizados, trabajados, manipulados, etc. por las entidades vigiladas en cumplimiento de sus obligaciones para prevenir actividades delictivas, pierde la condición de “reservada”.

III. Consulta Ahora bien, en relación con los temas puntuales de su consulta, pasamos a resolverlos en el orden en que fueron planteados.

P/1: “(…) S.A., subsidiaria de (…) N.A., está evaluando la posibilidad de implementar nuevos procesos de prevención de lavado de activos y financiación del terrorismo, teniendo en cuenta algunas recomendaciones de OCC (Office of the Comptroller of the Currency) a los bancos

norteamericanos. En desarrollo de las mismas y para optimizar nuestros procesos y hacer más eficientes nuestros controles (lo cual debe redundar en una mayor seguridad para nuestros reguladores y supervisores), (…) está desarrollando varios algunos proyectos globales que a continuación explicamos: “(…) “Teniendo en cuenta los proyectos antes descritos, solicitamos a su Despacho confirmarnos si esa Superintendencia tiene alguna directriz sobre la posibilidad o no de compartir con las entidades que a continuación se señala, el tipo de información y/o documentos igualmente abajo detallados, dentro del contexto del cabal cumplimiento a los preceptos normativos relacionados con la protección de la información de nuestros clientes (ej. reserva bancario) “(…) (Subrayado fuera del texto) R/1: En primer término, trascribimos el concepto de la Dirección Jurídica de esta Superintendencia sobre la inquietud referida1, y en segundo lugar, expondremos la posición de este Despacho sobre el asunto consultado. Señala la Dirección Jurídica lo siguiente: “De manera cordial exponemos la opinión solicitada a la Dirección Jurídica sobre la consulta formulada por (…) S.A. respecto de la posibilidad de compartir con otras entidades información y/o documentos correspondientes a los datos aportados por sus clientes al momento de su vinculación, ello, a efectos de implementar procesos de intercambio de información para la prevención del lavado de activos y de la financiación del terrorismo en el marco de las recomendaciones de la OCC1 a los bancos norteamericanos. “La inquietud puntual de esa Delegatura se encuentra referida a que las medidas que pretende adoptar dicho establecimiento bancario para el logro de los objetivos en comento, en principio

irían en contravía de la reserva bancaria que las instituciones vigiladas por este Organismo están llamadas a guardar sobre los datos que conozcan de sus clientes o sobre aquellos relacionados con el desarrollo de sus negocios. “Una vez revisados los planteamientos de la consulta de la referencia, consideramos del caso hacer los siguientes comentarios y observaciones en relación con los interrogantes en ella expuestos, así: “Inquietud referida a la existencia de directrices impartidas por este ente Supervisor en punto a la posibilidad de compartir o no con otras entidades la información personal aportada por los clientes de una entidad vigilada. “Al respecto, debemos anotar que no conocemos de instrucciones de esta Superintendencia que de modo específico aborden el tema. Sin embargo, debemos destacar que tanto en sus pronunciamientos como en las instrucciones impartidas a través de las circulares Básica Jurídica y Contable y Financiera, esta Entidad ha hecho énfasis en las garantías que el artículo 15 de la Constitución Política reconoce al derecho a la intimidad, a las normas que el legislador ha expedido para la protección de los datos personales (Ley 1266 de 2008 o Ley de Hábeas Data) y al carácter reservado atribuido a la información recibida por los profesionales del sector financiero, bursátil y asegurador para la ejecución de sus operaciones (artículo 61 del Código de Comercio). “En ese contexto normativo, procede manifestar que para el suministro de información de carácter financiero, comercial y crediticio que sobre una persona determinada posea una institución vigilada deben tenerse en cuenta los principios de administración de datos establecidos en el artículo 4º de la Ley de Hábeas Data, entre los cuales, particularmente para

los eventos a que alude ese banco, resulta pertinente hacer referencia a los principios de finalidad y circulación restringida (letras a y b). 1 Memorando del 20 de diciembre de 2010. 1 Office of the Comptroller of the Currency. “Según el primero, se tiene que la administración del dato personal debe obedecer a una finalidad legítima, la cual ha de darse a conocer a su titular de manera previa o concomitante con el otorgamiento de la autorización requerida para esos propósitos; y de acuerdo con el segundo, su manejo, debe corresponder a los fines informados a aquél, con la observancia en su recolección y divulgación de los límites que se derivan de la naturaleza de los datos y de las disposiciones de dicha ley. “En ese escenario y en lo concerniente al suministro de la información personal de los clientes del (…) S.A. a otras entidades pertenecientes a su grupo empresarial, a entidades reguladoras que desarrollen actividades en otros países, así como a compañías que prestan servicios outsourcing en el territorio nacional y fuera de él, estimamos que a la luz de nuestra legislación su entrega solo procederá si se reúnen las siguientes condiciones: i) que se cuente en cada caso con el consentimiento expreso y preciso obtenido del titular del dato y ii) que la administración de los datos del cliente consulte en todo momento la finalidad y propósitos informados a éste, 2 con estricta sujeción a los parámetros fijados por la Ley de Hábeas Data para la protección de sus derechos. “Mención relativa a la aceptación por parte de los clientes de ese banco de las estipulaciones contenidas en las cláusulas segunda y tercera del Reglamento General de Productos del (…)

S.A. (que se formaliza al momento de diligenciar y firmar la solicitud de los productos a ellos ofrecidos). “Estimamos que la gestión realizada por el banco en aras de obtener el consentimiento de sus clientes para transmitir e intercambiar sus datos personales con otras entidades del grupo (…) y con terceras personas, resulta insuficiente, debido a que las autorizaciones contenidas en las cláusulas precitadas son demasiado amplias e imprecisas y además, no señalan cuál es la finalidad que el banco persigue con ese tipo de tratamiento ni su justificación. Veamos: “La cláusula segunda del antedicho reglamento dispone en uno de sus apartes que el manejo de la información relacionada con los productos a que el mismo se refiere es confidencial, no obstante, y sin mayores explicaciones, expresa que el cliente autoriza al banco, a su casa matriz, a las sucursales, subsidiarias, oficinas de representación, filiales y agentes de ese banco y a terceras personas seleccionadas por cualquiera de ellos, a intercambiar información crediticia o de otra índole sobre aquél con otros bancos e instituciones financieras y agencias centralizadoras de información de riesgo y crédito, así como con terceras personas locales o extranjeras, sin importar de donde ésta provenga. “De otro lado, según la estipulación referida a las bases de datos, que se encuentra contenida en la cláusula tercera del mismo reglamento, el cliente acepta expresamente que el banco suministre su información a la casa matriz de éste, a sus compañías subordinadas o vinculadas en el país o en el exterior, así como las compañías externas nacionales o internacionales con las cuales el banco establezca relaciones comerciales o contractuales, sin que en la misma se

especifique de modo claro para qué usos se entregaría dicha información a tales terceros ni los límites en su entrega. “Por último, estimamos oportuno manifestar que, en nuestro criterio, la obtención del consentimiento de los clientes para el intercambio de sus datos con terceras personas a través de la modalidad descrita (inclusión de cláusulas en ese sentido entre otras del reglamento de uso de los productos adquiridos con el banco), pueden limitar la autonomía de éstos para decidir si rechazan o no las condiciones impuestas por la entidad para el desarrollo de la relación contractual. 2 Y, por supuesto, la jurisprudencia de la Corte Constitucional en torno a la misma (Sentencia C-1011 de 2008 y demás fallos dictados sobre la materia). “De esta manera dejamos expuesta nuestra opinión sobre el particular”. (Cursiva y subrayado fuera del texto) Además de lo anterior, en relación con la información obtenida en desarrollo de los preceptos normativos contemplados en el Capitulo XVI Prevención de Actividades Delictivas del EOSF, y la posibilidad o no de compartir con terceros información, debe señalarse lo siguiente: De las normas citadas en el numeral I de este documento, y del concepto trascrito, se desprende que únicamente el cliente (titular de la información) es quien puede autorizar que la información personal que le ha suministrado a la entidad en virtud del formulario de vinculación, así como la derivada de su relación contractual, esto es, la información relativa a sus transacciones y movimientos (consignaciones, pagos, retiros, extractos, etc.,) y a su comportamiento financiero, comercial y crediticio, sea divulgada a quien él designe. Por

tratarse de un derecho fundamental protegido por la Constitución y la ley, la autorización del cliente para que se divulgue a un determinado tercero la información de la cual puede disponer, debe ser clara y expresa; para poder probar que ello fue así, debe constar por escrito. En relación con el resto de la información, es decir aquella que ha sido “trabajada” “desarrollada” “analizada” “comparada” o “manipulada” por la entidad, como es la obtenida en desarrollo de los mecanismos previstos en los artículos. 102 a 104 del EOSF, la misma está sujeta a reserva de acuerdo con lo consagrado en el citado Art. 105. El cliente no tiene facultad para levantar tal reserva, pues este tipo de información no le pertenece; la Entidad tiene prohibición legal de divulgarla, salvo a las autoridades a quienes la ley expresamente haya señalado como usuarios o destinatarios de la misma, de acuerdo con lo señalado en el numeral II de este documento. P/2: “… queremos saber su punto de vista respecto al proceso de almacenamiento en sistemas globales de información internos de (…), donde quedarán guardados datos demográficos y transaccionales de nuestros clientes y cuyo soporte tecnológico no se encuentra en el país, teniendo en cuenta que esa información es analizada y utilizada por (…) S.A.” R/2: Respecto al proceso de almacenamiento en sistemas globales de información internos de (…) se pronuncia la Delegatura para Riesgo Operativo3 en los siguientes términos: “1. Protección de datos personales: “1.1. Antecedentes: “En primer término procede recordar que en el año de 2008 se promulgó la ley 1266 de 2008 la cual

reguló el tema del derecho al hábeas data previsto en el Artículo 15 de la Constitución Política. Dicha ley logra por primera vez en Colombia legislar sobre el citado derecho fundamental contemplando en su ámbito de aplicación que el articulado se aplicará especialmente a bases de datos de carácter financiero, comercial y proveniente de terceros países, sin delimitar la aplicación de los principios allí consignados en el reconocimiento del derecho de habeas data, en coherencia con la Corte Constitucional quien en sus sentencias ya se había pronunciado sobre los principios a desarrollar respecto del derecho de habeas data y la protección de los datos personales. 3 Memorando de fecha 7 de diciembre de 2010. “Precisamente en el examen efectuado por dicha Corporación en punto a la transferencia de datos sostuvo en la sentencia C-1011 de 2008 “(...) Por ende, la fuente que pretenda transferir datos personales de manera directa a los usuarios deberá contar con las condiciones previstas por el Proyecto para los operadores, de manera tal que puedan hacerse efectivas las facultades del titular del dato de conocimiento, actualización y rectificación, mediante los procedimientos de consultas, peticiones y reclamos antes mencionados. Es claro que a través del cumplimiento de estos requisitos, que en los términos de la norma estatutaria son predicables de las fuentes y de los operadores, resultan adecuadamente protegidos los derechos constitucionales de los titulares de la información.(...)” (…) “De forma similar a como se predica de la transmisión de datos personales entre operadores nacionales, la posibilidad de puesto a disposición de la información (sic) a un banco de datos extranjero deberá estar precedida, como sucede en todos los eventos de administración de datos

personales de contenido comercial y crediticio, de la autorización del titular ante la fuente para la inclusión de la información en los archivos y bancos de datos administrados por el operador. Por ende, de manera preliminar debe la Corte resaltar que esta autorización, como se ha explicado en apartado precedente de este fallo, tiene carácter calificado, pues deberá ser previa, expresa y suficiente. Bajo esas condiciones, es claro que para que proceda la transferencia del dato a un operador extranjero, el titular deberá consentir ante la fuente dicha puesta en disposición de la información personal”. “1.2 Nuevo Proyecto de ley estatutaria. “El Gobierno Nacional luego de un trabajo interinstitucional en el que intervino esta Superintendencia, redactó un nuevo proyecto de ley “por medio del cual se dictan disposiciones generales para la protección de datos personales”, el cual fue puesto a consideración del Congreso de la República, identificado en la Cámara con el número 046 y en el Senado con el 184. Hoy a dicho proyecto sólo le resta el último debate en la plenaria del Senado para que luego surta el examen por parte de la Corte Constitucional, antes de convertirse en Ley de la República. “Las consideraciones anteriores permiten poner en contexto el alcance de un pronunciamiento por parte de este Organismo frente a las inquietudes formuladas por el (…), a sabiendas que el tema relacionado con la transferencia de datos personales se encuentra previsto en el nuevo proyecto de ley, con un elemento adicional y es que la vigilancia sobre el cumplimiento de dicha ley estará a cargo de la SIC. En efecto, para una mayor ilustración procede retomar algunos apartes tanto de la ponencia como

del texto del articulado aprobado en el tercer debate en el Senado. Veamos: “En cuanto al Título VI denominado “Deberes de los Responsables del Tratamiento y Encargados del Tratamiento” establece los deberes del Responsable del Tratamiento, dentro de los cuales se destacan el solicitar y conservar la autorización otorgada por el Titular; conservar los datos bajo condiciones de seguridad necesarias para impedir su uso o acceso no autorizado o fraudulento; garantizar que la información que suministre sea veraz, completa, exacta, actualizada y rectificarla cuando sea incorrecta. De igual forma, el proyecto contempla la exigencia permanente para el Responsable del Tratamiento de respetar y exigir al Encargado, el acatamiento a las condiciones de seguridad y privacidad en el manejo de los datos del Titular. “El Titulo VII denominado “de los mecanismos de control y sanción” hace referencia a la Autoridad de Protección de Datos, a los procedimientos y sanciones y a la creación del Registro Nacional de Bases de Datos, este último tema del Registro Nacional es de suma importancia para el proceso de acreditación del Estado en el estándar Europeo, además de ser un mecanismo fundamental en: el proceso de estructuración de una legislación general de protección de datos de la mano con las facultades entregadas a la Superintendencia de Industria y Comercio como órgano superior de control en el tema. “El Título VIII denominado “transferencia de datos a terceros países” establece el carácter prohibitivo de transferir datos de ciudadanos colombianos a terceros países. Esta prohibición también aplica para datos de ciudadanos extranjeros que sean procesados en Colombia. La transferencia de datos a terceros países constituye uno de los principales elementos para la

protección efectiva de los datos personales ya que si bien se exige una protección efectiva en el territorio nacional también se protege que los datos de ciudadanos nacionales o extranjeros que se hayan tratado en el país no puedan ser enviados a países que no cumplen con los requisitos mínimos de protección tal y como lo contempla la legislación nacional.” “Complementariamente, procede retomar dos de los artículos aprobados y que en nuestra opinión alteran la posibilidad de emitir una opinión sobre el tema consultado. “(...) “ARTÍCULO 19. Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a través de una Deleqatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley. (Conviene advertir que la competencia atribuida a la Superintendencia Financiera en la Ley 1266 de 2008 se mantiene). (...) “ARTÍCULO 26. Prohibición. Se prohíbe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos. Se entiende que un país ofrece