SIC - Circular 2 de 2015

CIRCULAR EXTERNA No. - n O 't Bogotá o.e. O 3 NOV 2015

Para: RESPONSABLES DEL TRATAMIENTO DE DATOS PERSONALES: PERSONAS

JURÍDICAS DE NATURALEZA PRIVADA INSCRITAS EN LAS CÁMARAS DE COMERCIO Y SOCIEDADES DE ECONOMÍA MIXTA Asunto: Adicionar el Capítulo Segundo en el Título V de la Circular Única de la Superintendencia de Industria y Comercio

1. Objeto Impartir instrucciones a los Responsables del Tratamiento de datos personales, personas jurídica$ de naturaleza privada inscritas en las Cámaras de Comercio y sociedades de economía mixta, para efectos de realizar la inscripción de sus bases de datos en el Registro Nacional de Bases de. Datofi'.':,.

RNBD. •• •

2. Fundamento legal El artículo 19 de la Ley 1581 de 2012, Régimen General de Protección de DatoiLB§ designa a la Superintendencia de Industria y Comercio como la Autoridad de Protecéión:'cl,i dispuso que esta entidad "ejercerá la vigilancia para garantizar que en el Tf9tamiéfitg.f personales se respeten los principios, derechos, garantías y procedimientos Cvi. •• :' •• • •• ,. ley".

El artículo 21 de la Ley 1581 de 20l2, establece las funciones a _. Industria y ComerciO, entre Ifi.s qufi se encuentran, "(v)elar por materia de protec,c,ign.fi:·dfif-datos • personales", "(i)mparti procedimientós "' ne,Gesarios" "para la·· adecuación de -· ' Ttatamifin,t9 é>i)}:hcárgados del Tratamiento

materia de protec,c,ign.fi:·dfif-datos • personales", "(i)mparti procedimientós "' ne,Gesarios" "para la·· adecuación de -· ' Ttatamifin,t9 é>i)}:hcárgados del Tratamiento "(s)olici ·'''" • . fi;Responsables del Trat • • • • • J1rfi,et ejercicio, 'eñ : • • materia de protección de datos iseñó el Sistema Integral de Supervisión . ,eperah fin el país. _ , a esta compuesto por diferentes procesos, entre ellos, el m ormación acerca de las bases de datos personales sujetas a tratamiento que Mir.CIT ',· --,:·: ;..: =-=-·-: ':: -- - IPROSPERIDAD PARAT0DOSEl artículo 25 de la Ley 1581 de 2012 creó el Registro Nacional de Bases de Datos - RNBD-, el cual define como el directorio público de las bases de datos personales sujetas a Tratamiento que operan en el país y dispuso que sea administrado por la Superintendencia de Industria y Comercio. El Capítulo 26 del Decreto Único 107 4 de 2015 reglamentó el artículo 25 de la Ley 1581 de 2012 y estableció la información mínima que debe contener el Registro, así como los términos y condiciones de inscripción. En particular, en el artículo 2.2.2.26.2.1, el citado decreto señaló que "(l)a Superintendencia de Industria y Comercio, como autoridad de protección de datos personales, podrá establecer dentro del Registro Nacional de Bases de Datos información adicional a la mínima prevista en este artículo, acorde con las facultades que le atribuyó la Ley 1581 de 2012 en el líteral

establecer dentro del Registro Nacional de Bases de Datos información adicional a la mínima prevista en este artículo, acorde con las facultades que le atribuyó la Ley 1581 de 2012 en el líteral h) del artículo 21". Así mismo, en el artículo 2.2.2.26.3.2 dispuso que "(l)a Superintendencia de Industria y Comercio establecerá el procedimiento de inscripción en el Registro Nacional de Bases de Datos que deberán cumplir los Responsables del Tratamiento, previa validación de su identidad, de acuerdo con lo que para el efecto establezca esa entidad". .. Por lo expuesto, se hace necesario establecer la información adicional que contendrá el 'Registró. Nacional de Bases de Datos - RNBD - y el procedimiento de inscripción (i) _pa'ra "qúe: los;·<. Responsables del Tratamiento de datos personales, personas jurídicas de naturalfitfiá: ··: • ,· fi .... , inscritas en la Cámaras de Comercio y sociedades de economía mixta, cumplan con ésté: .. y (ii) la Superintendencia de Industria y Comercio ejerza de manera eficiente SHs;Jfi. vigilancia en materia de protección de datos personales. • • • •• Los Responsables del Trata miento no cargarán en el Registro Nacional de Basgfifif. _ ,, ., ,-fi•"'· sus bases de datos con información personal. Solamente inscribiráA la informaGi<m _estqble.cr • Capítulo 26 del Decreto Único 107 4 de 2015 y en la presente Circular. • •

3. Instructivo Adicionar eJ Capítulo §e9undo sobré el Registro Nacionaf la Circular Única, el cual quedárá así:' _ •

"CAPÍTÜt(j°$fiGONDO: REGISTRO N

3. Instructivo Adicionar eJ Capítulo §e9undo sobré el Registro Nacionaf la Circular Única, el cual quedárá así:' _ • "CAPÍTÜt(j°$fiGONDO: REGISTRO N . aleza privada inscritas en las , debellinscribir en el Registró Nacional de rmación, además de la establecida mediante el Capítulo M,r,OT ' - • - :. : -= ·-: ,: - - fi . - ,' - IPROSPEIIDAD PARA.TODOSO O 2 a) Información almacenada en la base de datos. Es la clasificación de los datos personales almacenados en cada base de datos, agrupados por categorías y subcategorías, de acuerdo con la naturaleza de los mismos. b) Medidas de seguridad de la información. Corresponde a los controles implementados por el Responsable del Tratamiento para garantizar la seguridad de las bases de datos que está registrando, teniendo en cuenta las preguntas dispuestas para el efecto en el RNBD. Tales preguntas no constituyen de ninguna manera instrucciones acerca de las medidas de seguridad que deben implementar los Responsables del Tratamiento de datos personales. c) Procedencia de los datos personales. La procedencia de los datos se refiere a si estos son recolectados del Titular de la información o suministrados por terceros y si se cuenta con la autorización para el tratamiento o existe una causal de exoneración, de acuerdo con lo establecido en el artículo 10 de la Ley 1581 de 2012. d) Transferencia internacional de datos personales. La información relacionada con. ta . • Transferencia internacional de datos personales comprende la identificación del desf1'n '. áffiH:, como Responsable del Tratamiento, el país en el que este se encuentra ubicgdO,:.Y .s(I

d) Transferencia internacional de datos personales. La información relacionada con. ta . • Transferencia internacional de datos personales comprende la identificación del desf1'n '. áffiH:, como Responsable del Tratamiento, el país en el que este se encuentra ubicgdO,:.Y .s(I operación está cobijada por una declaración de conformidad emitida por la Delegªfüfü Rfira;fit: la Protección de Datos Personales de la Superintendencia de Industria y Comerciq.fi;4> • • •• causal de excepción en los términos señalados en el artículo 26 de la Ley 15fiÍ:fifi''?Q1 e) Transmisión internacional de datos_ pers_onales., La información,fififaig( Transmisión internacional de datqs comprende la identificadón deLtd.fifi_fi"n _ ./l9;:,c,.,, '" Encargado del Tratamiento, el país en. ef que este se encuentra:•áf;>iéfigofi::si'J'';;, ·en:eJ.1 contrato de transmisión de datos en los términos señalados en • • 'díefilofi:2,2'¿fi(e." • • Sección 5 del Capítfilo 25 del Decreto Único 107 4 de _201 _ ·· • • ·;¡;sc:.1"N">•r;J\ '"t:fi,k;l'.,1 por una declaración de conformidad emitida por la Dele, Pfirsonale,figfi}a:-fi;µ1:3eripten,gencia de-lndufitr.!a.y . .,,,::, ··fifi '' . ,,' . . . . . : ?t , fj Ce$,!Qfi,,itransf,firfincia nacional de _, .. :;igfilb:l'o'!fansferenda r:iacion "· ,':i"'t"'"·:sldera'rá.Resporifi • , debe

. . . : ?t , fj Ce$,!Qfi,,itransf,firfincia nacional de _, .. :;igfilb:l'o'!fansferenda r:iacion "· ,':i"'t"'"·:sldera'rá.Resporifi • , debe .- _ cripción de la base de datos en el RNBD, _ reclamos presentados por los Titulares y los incidentes que fifecten la base de.datos, de acuerdo con las siguientes reglas: Reclamos presentados por los Titulares. Corresponde a la información de los re.ciamos presentados por los Titulares ante el Responsable y/o el Encargado del M,r-OT • - _•3 :: :.: -=-···- - ': - ; fi -fi , PROSPERIDAD MRAIODOSTratamiento, según sea el caso, dentro de un semestre calendario (enero - junio y julio - diciembre). Esta información se reportará teniendo en cuenta lo manifestado por los Titulares y los tipos de reclamos prestablecidos en el registro. El reporte deberá ser el resultado de consolidar los reclamos presentados por los Titulares ante el Responsable y el (los) Encargado (s) del Tratamiento. (ii) Incidentes de seguridad. Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos. La información relacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes reportados por los Responsables del Tratamiento no estará disponible para . consulta pública.

atenderlos. La información relacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes reportados por los Responsables del Tratamiento no estará disponible para . consulta pública. 2.2 Procedimiento de inscripción en el Registro Nacional de Bases de Datos - RNBD •,"'··,. Los Responsables del Tratamiento de datos personales, personas jurídicas de natymlfiH·ª'fi;pnyáfifi•:,, inscritas en las Cámaras de Comercio y sociedades de economía mixta, deberán''inscrif ' ··' 'fi;:'di:\½, de datos en el RNBD, de acuerdo con las instrucciones-contenidas en el "Manuar:: • • • Ritti'.f;'\ Registro Nacional de Bases de Datos - RNBD" publica"dc> en el sitio Web de la.,Sgl .. ,,.,,,.,,.,,.,, ..... :. ; __ é]l;;'.,. _ ', Industria y Comercio, www.sic.gov.co. x"· •• La inscripción se realizará en líne_a a partir del 9 de noviembre d entidad1. De acuerdo con lo establecido en el artículo 2.2:2.26.3.1 d •• Único 1074 de 2015, dicha inscripción podrá real' siguiente a)fi,-fepha en la que la Superintenderm· evitar éf ven.éfrniento de este plazo e· in sigüiefife~'Bronograma: ,;,:_ •. -i.'· e''.': " ,•·fi 1 ..... :·fi fi, Del 06/05/2016 a 08/08/2016 Del 09/08/2016 a 08/11/2016 1 www.sic.gov.co. Se ingresa por el micrositio de "Protección de datos personales" ubicado en la barra horizontal

Del 06/05/2016 a 08/08/2016 Del 09/08/2016 a 08/11/2016 1 www.sic.gov.co. Se ingresa por el micrositio de "Protección de datos personales" ubicado en la barra horizontal superior, luego "Sobre la Protección de Datos Personales" y, finalmente, "Registro Bases de Datos", en el menú vertical que se encuentra al lado izquierdo. ( (f) 11.fi,r-CH ', - ... - :::: _:- ' :'" - ' - - IPROSPERIDAD .PARATODOSA cada base de datos se le asignará un número de radicado, una vez se finalice el procedimiento de inscripción. La información inscrita en el RNBD estará sujeta a verificación de esta Superintendencia. En el 2016 se habilitará la inscripción en el RNBD de las bases de datos de las personas naturales, las entidades públicas, diferentes a las sociedades de economía mixta, y las personas jurídicas de naturaleza privada que no están inscritas en las Cámaras de Comercio, previa publicación de las instrucciones que para el efecto impartirá esta Superintendencia. 2.3 Actualización de la información contenida en el Registro Nacional de Bases de DatosRNBD La información contenida en el RNBD deberá actualizarse, como se indica a continuación: (i) Dentro de los primeros diez (1 O) días hábiles de cada mes, a partir de la inscripción de la. base de datos, cuando se realicen cambios sustanciales en la información registrada., (ii) Anualmente, entre el 2 de enero y el 31 de marzo, a partir de 2018. Son cambios sustanciales los que se relacionen con la finalidad de la base de dato del Tratamiento, los canales de atención al Titular, la clasificación o tipos de .d

(ii) Anualmente, entre el 2 de enero y el 31 de marzo, a partir de 2018. Son cambios sustanciales los que se relacionen con la finalidad de la base de dato del Tratamiento, los canales de atención al Titular, la clasificación o tipos de .d almacenados en cada base de datos, las medidas de seguridad de la información·¡fi Política de Tratamiento de la Información y Ja transferencia y transmisió • • •• •• personales. • • • Adicionalmente, dentro de l_os.quinfi:.(1-5:) primeros dí?IS hábiles de.lo cada año, a partir de su ::Jnsfiripci(>n, los Respons·ables • d • información de los rE!clainós::préseritados por,los Titulares,. numeral 2.1 anteijqr: EJ primer reporte de reclamos en el primetfifi&l1fififre'0e. 2017 con la informaci. •,.•. ..... fi:,,,/.;,,,:·•· ' -portal Web de cceder a los registr-0s de naturaleza privada inscritas emente en el 2016 la inscripción de las bases de datos de las personas naturales, entidades públicas, diferentes a las sociedades de economía mixta, y las personas jurídicas de .',2 -Ídem. Mir.CH ' - : fi ::: ---,· - -- . - fi • PROSPERIDAD PARAlODOSe; o .2 ! naturaleza privada que no están inscritas en las Cámaras de Comercio, se pondrá a disposición de los Titulares la consulta de la información registrada".

4. Vigencia La presente circular externa entra a regir a partir de la fecha de su publicación en el Diario Oficial.

Atentamente,

fiLO FELIPE ROBLEDO DEL CASTILLO

los Titulares la consulta de la información registrada".

4. Vigencia La presente circular externa entra a regir a partir de la fecha de su publicación en el Diario Oficial.

Atentamente, fiLO FELIPE ROBLEDO DEL CASTILLO Supenntenden1ITTteirt(!t1st-r.ia .y_Comercio

Elaboró: María C. Caviedes, Pablo Malagón y Aida rjii7

Hurtado fi

Revisó: Carlos Salazar, Jul ,fifiz y Dora Caro

Aprobó: Germán Enrique B_Í'\ edina" M1r.ClT . • =- - :: - - • ,: : :, - 1.: ' '

PROSPERIDAD PARAT0DOS