SIC - Guía para implementación del principio de responsabilidad en las transferencias de datos personales

guía para la implementación del principio de responsabilidad DEMOSTRADA

EN LAS TRANSFERENCIAS INTERNACIONaLES DE DATOS PERSONALES

1

DELEGATURA PARA LA PROTECCIÓN

DE DATOS PERSONALES

2019-2021

GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA EN LAS TRANSFERENCIAS

INTERNACIONALES DE DATOS PERSONALES 2 guía para la implementación del principio de responsabilidad DEMOSTRADA en las transferencias 3 internacioanles de datos personales DELEGATURA PARA LA PROTECCIÓN DE DATOS PERSONALES GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA EN LAS TRANSFERENCIAS

INTERNACIONALES DE DATOS PERSONALES contenido

PÁG . Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Objetivos y precisiones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

Transferencias internacionales de datos personales . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 Transmisiones internacionales de datos personales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 Objetivos de las reglas sobre transferencias internacionales de datos personales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10 4 Recomendaciones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11

I . Efectuar estudios de impacto de privacidad antes de enviar los datos a otro país . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 II . Incorporar la privacidad, la ética y la seguridad desde el diseño y por defecto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12

III. Verificar que está facultado para transferir o transmitir los datos personales a otro país . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

IV. Establecer cómo se probarán las medidas de accountability para transferir los datos personales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14

V. Asegurar el cumplimiento de las finalidades que se deben alcanzar con las medidas de accountability . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 contenido VI . Prever las transferencias ulteriores de datos personales . . . . . . . . . . . . . . . . . . . . 15

VII . Replicar medidas proactivas del tratamiento de datos personales a las transferencias internacionales de dicha información . . . . . . . . . . . . . . . . . . . . . . . . . . . 16

VIII . Articular las herramientas de accountability en un contrato ajustado a las particularidades de cada transferencia . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17

IX. Incrementar la confianza y la transparencia con sus clientes y terceros titulares 5 de datos personales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19

Glosario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20

Documentos consultados . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22

GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA EN LAS TRANSFERENCIAS

INTERNACIONALES DE DATOS PERSONALES INTRODUCCIÓN Para efectos de la circulación transfronteriza de datos, la Superintendencia de Industria y Comercio (SIC) — autoridad colombiana de protección de datos personales— ha establecido que los siguientes países tienen nivel adecuado de protección de datos1: Alemania, Australia, Austria, Bélgica, Bulgaria, Chipre, Costa Rica, Croacia, Dinamarca, Eslovaquia, Eslovenia, Estonia, España, Estados Unidos de América, Finlandia, Francia, Grecia, Hungría, Irlanda, Islandia, Italia, Japón, Letonia, Lituania, Luxemburgo, Malta, México, Noruega, Países Bajos, Perú, Polonia, Portugal, Reino Unido, República Checa, República de Corea,Rumania, Serbia, Suecia y los países que han sido declarados con el nivel adecuado de protección por la Comisión Europea (Suiza, Canadá, Argentina, Guernsey, Isla de Man, Jersey, Islas Feroe, Andorra, Israel, Uruguay y Nueva Zelanda). Al mismo tiempo, la SIC, mediante la Circular Externa 5 del 10 de agosto del 2017, ordenó lo siguiente en el

parágrafo primero del numeral 3.2: “Sin perjuicio de que las transferencias de datos personales se realicen a países que tienen un nivel adecuado de protección, Los responsables del tratamiento, en virtud del principio de responsabilidad demostrada, deben ser capaces de demostrar que han implementado medidas apropiadas y efectivas para garantizar el adecuado tratamiento de los datos personales que transfieren a otro país y para 6 otorgar seguridad a los registros al momento de efectuar dicha transferencia2”. Como se observa, para transferir datos a otros países no es suficiente que el país de destino esté catalogado por la SIC como un país con nivel adecuado de protección, sino que además es necesario que el responsable del tratamiento pueda demostrar que ha tomado medidas adecuadas, útiles y prácticas para lograr estos dos objetivos: (1) Garantizar el adecuado tratamiento de los datos personales que se transfieren a otro país. (2) Conferir la seguridad de “los registros al momento de efectuar dicha transferencia”. No obstante lo anterior, la guía de la SIC del 28 de mayo del 2015 sobre responsabilidad demostrada (accountability) no dice nada sobre las transferencias internacionales —sólo menciona las transmisiones que son sustancialmente diferentes—. En efecto, si bien los datos pueden salir del territorio de la República de Colombia porque han sido transferidos, transmitidos o recolectados internacionalmente, en el caso de las transmisiones internacionales el exportador de la información sigue siendo responsable del debido tratamiento de los datos que transmitió a un encargado ubicado o domiciliado en otro país. Así las cosas, se hace necesario expedir una guía complementaria que desarrolle lo atinente a la responsabilidad demostrada en las transferencias internacionales de datos personales . 1 Cfr. SIC Circulares externas 5 y 8 de 2017 y 2 de 2018.

2 Cfr. el numeral 3.2 de la Circular 5 del 2017 de la SIC. Objetivos y precisiones Esta guía3 tiene como propósito presentar algunas sugerencias a quienes envían datos personales desde Colombia a otros países, con el fin de orientarlos para que implementen medidas de responsabilidad demostrada con miras a dar cumplimiento a la regulación colombiana . Este documento no es un concepto legal, ni constituye asesoría jurídica . Tampoco pretende ser un listado exhaustivo de recomendaciones específicas sobre todos los temas que involucran las transferencias y las transmisiones internacionales de datos, pues ello es un asunto interno que define cada organización a la luz de las particularidades de cada exportación de datos personales . Las orientaciones contenidas en este texto solo comprenden algunos de los temas más relevantes sobre transferencias. Por consiguiente, el lector debe tener claro que este documento no incluye todos los deberes legales sobre la materia y que la omisión de algunos de ellos en esta guía no lo exime de cumplir todos los 7 requerimientos legales.

3. Para la elaboración de esta guía se siguió el formato y se usaron contenidos de: (i) Red Iberoamericana de Protección de Datos (2019) Recomendaciones generales para el tratamiento de datos personales en la inteligencia; y (ii) Universidad de los Andes, Grupo de Estudios en internet, Comercio electrónico, Telecomunicaciones e Informática -GECTI- (2018) Guía GECTI para la implementación del principio de responsabilidad demostrada —accountability— en las transferencias internacionales de datos personales . Recomendaciones para los países latinoamericanos .

GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA EN LAS TRANSFERENCIAS

INTERNACIONALES DE DATOS PERSONALES

TRANSFERENCIAS INTERNACIONALES DE DATOS PERSONALES Existe pluralismo terminológico para referirse a las transferencias y a las transmisiones internacionales de datos . así, por ejemplo, en varios documentos internacionales se les denomina de la siguiente manera: “Circulación transfronteriza de datos personales” (OCDE, 1980),“Flujos transfronterizos de datos de carácter personal” (Convenio 108 de 1981), “Transferencia de datos personales a países terceros” (Directiva 95/46), “Transferencia de datos a destinatarios no sometidos a las partes del Convenio” (Protocolo adicional del 2001 al convenio 108), “Flujo de datos a través de las fronteras” (Resolución 45/95 de 1990 de la ONU), “Transferencia a otra persona u organización internacional” (APEC, 2004), “Transferencia internacional de datos” (APEC, 2013), “Transferencias internacionales” (Resolución de Madrid del 2009), Transferencias de datos personales a terceros 8 países u organizaciones internacionales” (Reglamento UE 2016/679),“Transferencias internacionales de datos personales” (Red Iberoamericana de Protección de Datos, 2017) y “Flujo transfronterizo de datos” (OEA, 2021). Al margen de su denominación, las transferencias internacionales se refieren al envío de datos personales desde un país por un responsable a otro responsable ubicado en otro u otros países . En últimas, los datos personales son remitidos o exportados desde un país a empresas y organizaciones ubicadas en un territorio diferente al del país de envío. Se trata de un proceso de exportación de datos personales. No obstante, según la regulación colombiana, las expresiones para referirse a este fenómeno difieren cuando

se exporta de un responsable a otro responsable (caso en el cual se denomina transferencia) o cuando se envían datos de un responsable a un encargado (situación que se denomina transmisión). A continuación nos referiremos brevemente a este último . TRANSMISIONES INTERNACIONALES DE DATOS PERSONALES La transmisión de datos consiste en la entrega o el contar con su consentimiento cuando exista un contrato” envío de datos personales por un responsable al de transmisión entre el responsable y el encargado . encargado del tratamiento de ellos . El artículo 24 del Dicho contrato de transmisión internacional de datos Decreto 1377 del 2013 —incorporado en el Decreto personales está regulado en el artículo 25 de dicho 1074 del 2015— establece que las transmisiones decreto, del cual se deriva lo siguiente: internacionales “no requerirán ser informadas al titular ni En primer lugar, se recalca que el encargado realizará el tratamiento bajo la responsabilidad y el control Alcances del Tratamiento del responsable del tratamiento . Por eso, en el contrato se debe definir el alcance del tratamiento, sus finalidades y las obligaciones del encargado CONTRATO DE respecto del titular del dato y el responsable . En TRANSMISIÓN DE DATOS Actividades DEBE CONTENER: del Encargado segundo lugar, se precisa que las obligaciones fijadas [ Dec 1377/13 Art. 25] en la Política de Tratamiento de Información (PTI) del responsable deben ser cumplidas por el encargado observando la mencionada PTI . En otras palabras, la Obligaciones del PTI del responsable hace parte del contrato y debe ser Encargado para con: observada por el encargado . El Titular del dato El Responsible del En tercer lugar, la finalidad del tratamiento debe ser la

Tratamiento autorizada por el titular del dato o por la ley. El responsable debe asegurarse de estar legitimado para tratar los datos y de encomendar al encargado OBLIGACIONES LEGALES DEL ENCARGADO realizar actividades autorizadas por el titular o 9 QUE SE DEBEN INCLUIR EN EL CONTRATO: permitidas por la ley. Se recalca que el uso de la información no es ilimitado sino que depende de los supuestos mencionados (autorización o ley). Finalmente, y en adición a lo anterior, en el contrato es Dar aplicación a las obligaciones obligatorio incluir, por lo menos, estas obligaciones a 01 del Responsable bajo la Política de cargo del encargado, de acuerdo con lo dispuesto por Tratamiento de Información el citado artículo 25: Realizar el Tratamiento de acuerdo con la finalidad autorizada por los Titulares 02 y con las leyes Tratar los datos, a nombre del 03 Responsable, conforme a los principios que los tutelan. Salvaguardar la seguridad de las 04 bases de datos Guardar la confidencialidad respecto 05 del tratamiento de los datos personales GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA EN LAS TRANSFERENCIAS

INTERNACIONALES DE DATOS PERSONALES

OBJETIVOS DE LAS REGLAS SOBRE TRANSFERENCIAS INTERNACIONALES DE DATOS PERSONALES Las regulaciones sobre transferencia internacional de datos o “flujo transfronterizo de datos” procuran garantizar que el nivel de protección de los datos personales de los ciudadanos de un país no disminuya o desaparezca cuando esa información es exportada a otro u otros países . Esta regla se conoce como el principio de continuidad de la protección de datos, el cual se fundamenta en que “la transferencia internacional de datos no debe afectar

la protección de los interesados por lo que respecta al tratamiento de sus datos personales”4. La regulación colombiana prohíbe: LEY 1581 la transferencia de datos personales de cualquier tipo DE 2012 a países que no proporcionen niveles adecuados de protección de datos 5 10 La regulación colombiana es enfática en señalar con La exportación de información personal no absoluta claridad que los estándares fijados para pueden convertirse en un escenario reductor del establecer si un país tiene dicho nivel “en ningún caso nivel de protección que se le confiere al titular podrán ser inferiores”5 a los que contempla la Ley 1581 del dato en el país desde donde se exportan de 2012. Como se observa, para el caso colombiano datos personales. Dichas actividades no deben no se puede enviar datos a un país que tenga un facilitar, permitir ni tolerar la vulneración de los grado de protección inferior al previsto en la precitada derechos de las personas ni la disminución de las norma. garantías con que cuentan en el país exportador. 5 Cfr. República de Colombia. Ley 1581 de 2012, artículo 26 4 De Frutos, José Manuel. 2008. Globalización de la privacidad: hacia unos estándares comunes. Conferencia realizada en el VI Encuentro Iberoamericano de Protección de Datos, 27-30 de mayo del 2008, Cartagena, Colombia. Recomendaciones

I. EFECTUAR ESTUDIOS DE IMPACTO DE PRIVACIDAD ANTES DE ENVIAR LOS DATOS A OTRO PAÍS Previo a la exportación de los datos, y en la medida Es fundamental que las organizaciones desarrollen en que sea probable que el mismo entrañe un alto y pongan en marcha, entre otros, un “sistema de riesgo de afectación del derecho a la protección administración de riesgos asociados al tratamiento de

de datos personales de los Titulares, se sugiere datos personales”6 que les permita “identificar, medir, efectuar una evaluación de impacto en la privacidad controlar y monitorear todos aquellos hechos o situaciones (Privacy Impact Assessment - PIA por sus siglas en que puedan incidir en la debida administración del riesgo inglés), con el fin de poner en funcionamiento un a que están expuestos en desarrollo del cumplimiento sistema efectivo de manejo de riesgos y controles de las normas de protección de datos personales”7 . internos para garantizar que los datos se tratarán debidamente y conforme con la regulación existente . Las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad, diseño de Dicha evaluación debería incluir, como mínimo, lo software, tecnologías y mecanismos que garanticen la siguiente: protección de datos personales, teniendo en cuenta los derechos e intereses legítimos de los Titulares de los Una descripción detallada de las operaciones de datos y de otras personas eventualmente afectadas . 11 Tratamiento de datos personales que involucra la transferencia internacional de los datos . Los resultados de este estudio, junto con las medidas para mitigar los riesgos, hacen parte de la aplicación del Una evaluación de los riesgos específicos para los principio de privacidad desde el diseño y por defecto . derechos y libertades de los Titulares de los datos personales . La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos, son elementos cardinales del Principio de Responsabilidad Demostrada. SISTEMA DE ADMINISTRACIÓN DE RIESGOS identificar MEDIR Controlar Monitorear 6 Superintendencia de Industria y Comercio (2015) “Guía para

implementación del principio de responsabilidad demostrada (accountability)”. Págs 16-18. 7 Ibid. Pág. 16

GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA EN LAS TRANSFERENCIAS

INTERNACIONALES DE DATOS PERSONALES

II. INCORPORAR LA PRIVACIDAD, LA ÉTICA Y LA SEGURIDAD DESDE EL DISEÑO Y POR DEFECTO La privacidad desde el diseño y por defecto (Privacy by Design and by Default), es considerada una medida proactiva para cumplir con el Principio de Responsabilidad Demostrada. Al introducir la privacidad desde el diseño, se está buscando garantizar el correcto Tratamiento de los datos objeto de transferencia internacional.

La Privacidad por Diseño “promueve la visión de que el Lo anterior también debe predicarse de la seguridad en el Tratamiento de datos personales. Sin seguridad futuro de la privacidad no puede ser garantizada sólo no habrá debido Tratamiento de los mismos. [sic] por cumplir con los marcos regulatorios; más bien, Es fundamental adoptar medidas tecnológicas, idealmente el aseguramiento de la privacidad debe humanas, administrativas, físicas, contractuales y de convertirse en el modo de operación predeterminado cualquier otra índole que eviten: de una organización”8. Por eso, desde antes que se recolecte información y durante todo el ciclo de vida Las medidas de seguridad deben ser apropiadas considerando varios factores como: (i) los niveles de de la misma, se deberían adoptar medidas preventivas riesgo del Tratamiento para los derechos y libertades de diversa naturaleza (tecnológica, organizacional, de los Titulares de los datos; (ii) la naturaleza de los humana, procedimental, entre otras) con el objeto de

datos; (iii) las posibles consecuencias que se derivarían evitar vulneraciones al derecho a la privacidad o a la de una vulneración para los Titulares y la magnitud del confidencialidad de la información, así como fallas daño que se puede causar a ellos, al Responsable y a 12 de seguridad o indebidos Tratamientos de datos la sociedad en general; (iv) el número de Titulares de personales . los datos y la cantidad de información; (v) el tamaño de la organización; (vi) los recursos disponibles, (vii) La ética desde el diseño y por defecto debe irradiar los el estado de la técnica, y (viii) el alcance, contexto y procesos de exportación de datos, teniendo que ser finalidades del Tratamiento de la información. parte del ADN de cualquier aspecto relacionado con esa actividad . Todas las medidas de seguridad deben ser objeto de revisión, evaluación y mejora permanente .

I n c o r p o r a r : PRIVACIDAD ÉTICA SEGURIDAD Desde el diseño y por defecto

8. Cfr. Cavoukia, Ann. Privacidad por Diseño: Los 7 principios fundamentales. Disponible en: http://mediascope.nl/wp-content/uploads/2015/08/ privacidad-por-dise%C3%B1o.pdf http://mediascope.nl/wp-content/ uploads/2015/08/privacidad-por-dise%C3%B1o.pdf

III. VERIFICAR QUE ESTÁ FACULTADO PARA TRANSFERIR O TRANSMITIR LOS DATOS PERSONALES A OTRO PAÍS Si va a exportar datos personales a otros países es necesario que establezca si usted está facultado para enviar la información fuera territorio de la República de Colombia.

Si no está facultado, tenga presente que se expone Como se observa, son diversas las conductas que

a investigaciones administrativas o de naturaleza generan responsabilidad penal en el tratamiento de penal. Sobre este último aspecto, recuerde que la datos personales. Esto hace que tanto los responsables Ley 1273 del 2009 creó algunos tipos penales que como los encargados del tratamiento tengan que sancionan, entre otros, ciertos aspectos relacionados realizar una gestión muy cuidadosa y diligente para no con el tratamiento de datos personales como el incurrir en un delito. Lo anterior es aún más grave si acceso no autorizado a sistemas de información, la se tiene en cuenta que la pena señalada se aumenta destrucción o manipulación de datos, la suplantación de la mitad a las tres cuartas partes si la conducta la de sitios virtuales para capturar datos personales y cometiere “[…] el responsable de la administración, la violación de datos personales . Este último delito manejo o control de dicha información”. Además, sanciona con prisión de cuatro a ocho años y multa dicha persona se expone a que se le imponga “hasta de 100 a 1000 salarios mínimos legales mensuales por tres años la pena de inhabilitación para el ejercicio a quien “sin estar facultado para ello, con provecho de profesión relacionada con sistemas de información propio o de un tercero, obtenga, compile, sustraiga, procesada con equipos computacionales”. 13 ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique o emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes” (destacamos).

GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA EN LAS TRANSFERENCIAS

INTERNACIONALES DE DATOS PERSONALES

IV. ESTABLECER CÓMO SE PROBARÁN LAS MEDIDAS DE

ACCOUNTABILITY PARA TRANSFERIR LOS DATOS PERSONALES Desde el inicio, su organización debe establecer la Se trata de una actividad constante que exige manera como probará que ha adoptado medidas demostrar un cumplimiento real y efectivo en la útiles para cumplir las reglas sobre transferencias práctica de sus labores. internacionales de datos . Es necesario tener presente que, “los responsables del tratamiento de datos En este aspecto es esencial realizar entrenamientos personales deben ser capaces de demostrar, a petición periódicos y especializados al equipo humano de de la Superintendencia de Industria y Comercio, que la organización para proveerles la experticia, guía y han implementado medidas apropiadas y efectivas herramientas que requieren para el correcto desarrollo para cumplir con las obligaciones establecidas en de las tareas que involucren cualquier Tratamiento de la Ley 1581 de 2012”9 y en el Decreto 1377 de 2013. datos personales . (Incorporada en el decreto 1074 de 2015) Medidas “apropiadas” son aquellas ajustadas a las necesidades del Tratamiento de datos . Y “efectivas”, son las que permiten lograr el resultado o efecto que se desea o espera . En otras palabras, no se deben 14 adoptar medidas inoperantes, inservibles, inanes o infructuosas. Solo se deben instaurar aquellas adecuadas, correctas, útiles, oportunas y eficientes con el propósito de cumplir los requerimientos legales para realizar tratamiento de datos personales. En suma, quienes exporten datos deben establecer medidas útiles, apropiadas y efectivas para cumplir sus obligaciones legales. Adicionalmente, tendrán que evidenciar y demostrar el correcto cumplimiento de sus deberes. Dichas herramientas deben ser objeto de

revisión y evaluación permanente a fin de determinar su nivel de eficacia en cuanto al cumplimiento y grado de protección de los datos personales. El reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas . 9 Cfr. Artículo 26 del Decreto 1377 de 2013.

V. ASEGURAR EL CUMPLIMIENTO DE LAS FINALIDADES QUE SE

DEBEN ALCANZAR CON LAS MEDIDAS DE ACCOUNTABILITY.

Debe recordarse que las medidas de accountability, El adecuado tratamiento de los datos personales por lo menos deben ser adecuadas y pertinentes para supone, por lo menos, que en el país de destino de garantizar los siguientes objetivos establecidos en la la exportación se respeten los derechos del titular del circular 5 de 2017 de la SIC: dato y que el tratamiento de datos en ese país garantice el cumplimiento de los principios de tratamiento de (I) Garantizar el adecuado tratamiento de los datos datos que exige la regulación del país desde donde se personales que se transfieren a otros países. exporta la mencionada información . (II) Conferir seguridad a “los registros al momento de efectuar dicha transferencia” 15

VI. PREVER LAS TRANSFERENCIAS ULTERIORES DE DATOS PERSONALES Se deben establecer reglas para el reenvío de los final del día los datos pueden terminar en países o datos del territorio de destino inicial (país A) de la empresas que en el práctica no garantizan un nivel exportación de los datos a otros (países B, C, D, etc). adecuado de protección de datos .

Tenga presente que si esto se deja sin control, al GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA EN LAS TRANSFERENCIAS

INTERNACIONALES DE DATOS PERSONALES

VII. REPLICAR MEDIDAS PROACTIVAS DEL TRATAMIENTO DE DATOS

PERSONALES A LAS TRANSFERENCIAS INTERNACIONALES DE DICHA INFORMACIÓN Internacionalmente se ha recomendado la implementación de medidas proactivas de protección de datos con miras a mejorar el cumplimiento de las normas respectivas, así como consolidar y fortalecer el debido tratamiento de datos personales en las organizaciones. Dentro de dichas herramientas se encuentran, entre otras, las siguientes: Designación de un delegado de protección de datos Esta persona podría ser, entre otras, la encargada de verificar que en la organización se cumplan todos los requerimientos legales y las exigencias de la autoridad de protección de datos para transferir datos a otros países. Además, sería la que se responsabilizaría de realizar planes de monitoreo y evaluación respecto del tratamiento de los datos exportados. Evaluación de impacto de privacidad o de protección de datos. Según el caso, estos estudios son útiles en proyectos de gran impacto o de alto riesgo que involucren, por ejemplo, el tratamiento de datos personales 16 sensibles o de menores de edad. Capacitación y entrenamientos especializados. Realizar periódicamente actividades de educación y entrenamientos específicos a las personas a cargo de enviar datos personales a otros países con el fin de verificar si cuentan con la preparación suficiente y especializada para realizar transferencias o transmisiones internacionales de datos personales. Implementación de planes de monitoreo, evaluación y contingencia Según el caso, resulta pertinente que el responsable (exportador de los datos) pueda realizar monitoreo o auditorías al responsable o encargado ubicado en

el país destinatario de los datos para que verifique si éste está cumplimiento adecuadamente con sus obligaciones respecto de, entre otras, seguridad, uso debido de los datos y confidencialidad. Se deben fijar las pautas o acciones que seguirá frente a situaciones graves o inesperadas respecto de los datos enviados a otro estado. Por ejemplo: ¿qué haría en caso de que se presente un ataque informático que comprometa la seguridad y confidencialidad de los datos transferidos o transmitidos a otro país?

VIII. ARTICULAR LAS HERRAMIENTAS DE ACCOUNTABILITY EN

UN CONTRATO AJUSTADO A LAS PARTICULARIDADES DE CADA

TRANSFERENCIA.

Los contratos representan una alternativa jurídica para demostrar la implementación de medidas de accountability en las transferencias internacionales de datos. Aunque existen cláusulas tipo10 en esta materia, es crucial que el contrato sea consistente con las peculiaridades y necesidades de cada organización. Así mismo, es relevante que el exportador de los datos trate de establecer si el receptor de los mismos en otro país es una empresa u organización confiable que cumplirá las obligaciones . ¿Cuáles son los principios del tratamiento de datos Para la redacción del contrato tenga presente varios 17 personales que el destinatario de los datos debe aspectos: observar o garantizar? La naturaleza jurídica de los datos que se exportarán a otro país. Dependiendo de la ¿Quiénes podrán tener acceso a la información misma (sensibles, de menores de edad, exportada? privados, semiprivados, públicos) pacte medidas especiales de protección . Recuerde, Los mecanismos para que el titular del dato pueda por ejemplo, que para el tratamiento de ejercer sus derechos de manera sencilla y expedita datos sensibles se exige una responsabilidad ante el destinatario de los datos exportados .

reforzada, es decir, mayores medidas de seguridad, mayores restricciones de acceso, Las finalidades para las cuales se transfiere.la uso y circulación . información. Es muy importante dejar claro qué puede y qué no puede hacer el destinatario de los Las medidas de seguridad que debe cumplir el destinatario de los datos exportados a otro país . datos transferidos . La cantidad de datos que se exportarán. ¿Cuál será el límite de tiempo durante el cual el destinatario de los datos transferidos podrá ¿Cuáles son los derechos que el destinatario tratarlos? de la información debe garantizar al titular del dato? 10 La Comisión Europea, por el ejemplo, el 4de junio de 2021 adoptó la Decisión de Ejecución (UE) 2021/914relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el Reglamento (UE) 2016/679. En: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?locale=es GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA EN LAS TRANSFERENCIAS INTERNACIONALES DE DATOS PERSONALES La ley de protección de datos