Guía detallando designación y funciones del oficial de protección de datos personales
La reciente publicación de la Superintendencia de Industria y Comercio (SIC) presentó una guía enfocada en el Oficial de Protección de Datos Personales (OPD). Esta guía tiene como propósito ofrecer recomendaciones a organizaciones interesadas en designar un OPD, en línea con el principio de responsabilidad demostrada.
En ese sentido, el marco colombiano de Protección de Datos, incluyendo la Ley Estatutaria 1581 de 2012 y la normativa sectorial, se basa en la rendición de cuentas para salvaguardar la información personal. Se exige a los sujetos obligados demostrar la implementación de medidas efectivas para cumplir con las obligaciones de estas normativas.
Conforme el artículo 2.2.2.25.4.4. del Decreto 1074 de 2015, todo Responsable y Encargado del Tratamiento debe designar a un tercero para atender las solicitudes de los Titulares, con relación a la protección de sus derechos de datos personales, según la Ley 1581 de 2012. Esto evidencia la necesidad de tener el OPD, a pesar de que dicha figura no esté contemplada en nuestra legislación.
A continuación, se presenta un compendio de algunas recomendaciones ofrecidas por la SIC en su Guía:Principio del formulario
SOBRE EL OFICIAL DE PROTECCIÓN DE DATOS PERSONALES
El OPD actúa como intermediario entre diversas partes interesadas, sin embargo, no asume responsabilidad directa en caso de incumplimiento de la regulación colombiana de protección de datos, siendo los Responsables y Encargados del Tratamiento los responsables. Su función primordial radica en supervisar la implementación de políticas y procedimientos adoptados por la organización para cumplir con dicha regulación. Esto implica estructurar, diseñar y administrar programas que garanticen el cumplimiento de las normas de protección de datos, además de establecer controles, y evaluar continuamente dichos programas.
RECOMENDACIONES SOBRE LA DESIGNACIÓN DE UN OFICIAL DE PROTECCIÓN DE DATOS PERSONALES
El papel del OPD puede extenderse a varias organizaciones, como en el caso de un Grupo Empresarial que designa un OPD único para asistir a todos sus miembros, asegurando su accesibilidad a cada parte del grupo. Asimismo, existe la posibilidad de tercerizar estas responsabilidades a organizaciones externas especializadas, como firmas legales o empresas de servicios profesionales, para brindar servicios de OPD a múltiples Responsables y Encargados del Tratamiento. Además, esta función puede ejercerse a través de un contrato con una persona externa a la organización del Responsable o Encargado del Tratamiento.
Es crucial asegurar la accesibilidad y la facilidad de localización del OPD para garantizar la efectividad de sus funciones. Para lograrlo, es recomendable proporcionar información clara y directa, como la dirección física para atención al público, un número de teléfono de la oficina y una dirección de correo electrónico específica destinada al ejercicio de sus responsabilidades, permitiendo así que los interesados se comuniquen directamente con el OPD sin necesidad de intermediarios dentro de la organización.
El OPD debe poseer conocimiento especializado en el Régimen General de Protección de Datos de Colombia, así como en normativas internacionales, mejorando la competitividad de la organización en el cumplimiento de regulaciones donde opere. Su comprensión del sector empresarial y de la organización del Responsable del Tratamiento también es útil.
Es crucial involucrar al OPD desde el inicio en todas las fases de proyectos, productos, servicios o evaluaciones de impacto relacionadas con la protección de datos. Esta participación temprana garantiza el cumplimiento del Régimen General de Protección de Datos, promoviendo un enfoque de privacidad desde el diseño y siendo parte integral de los grupos de trabajo de la organización en temas de tratamiento de datos.
El respaldo adecuado a un OPD implica proporcionar recursos esenciales para sus funciones, como acceso a datos y operaciones de tratamiento. Esto incluye apoyo financiero, infraestructura, personal y acceso a áreas como recursos humanos, legal y tecnología. Además, es fundamental asegurar una formación continua, fomentando su actualización en protección de datos y desarrollo profesional.
El apoyo a la autonomía del Oficial de Protección de Datos es crucial para su eficacia. Se sugiere asegurar su independencia dentro de la organización, evitando instrucciones sobre sus funciones. Si la organización toma decisiones que contradicen la regulación, el OPD debe tener canales para expresar preocupaciones.
Se recomienda prevenir conflictos de interés cuando el OPD desempeñe múltiples roles en la organización. Es esencial que la empresa asegure que estas responsabilidades adicionales no generen conflictos de interés.
RECOMENDACIONES SOBRE LAS FUNCIONES DEL OFICIAL DE PROTECCIÓN DE DATOS PERSONALES
La función del OPD en la organización es supervisar el cumplimiento del marco de protección de datos. Su rol es clave para los Responsables y Encargados del Tratamiento. El OPD debe conocer en detalle las obligaciones que deben cumplirse para lograr este objetivo.
El OPD es un punto clave de cooperación con la autoridad de control. Actúa como enlace para consultas sobre el Tratamiento de datos. Aunque debe mantener la confidencialidad, puede contactar a la autoridad Nacional de Protección de Datos para orientación en el cumplimiento normativo.
El OPD debe considerar los riesgos del Tratamiento al desempeñar sus funciones, teniendo en cuenta la naturaleza, alcance, contexto y fines de las operaciones de tratamiento.
Se sugiere que el OPD encabece un comité que involucre las distintas áreas de la organización para la toma de decisiones sobre el Tratamiento de Datos. Esto permite abordar el ciclo de vida de la información considerando perspectivas holísticas y decisiones conjuntas entre las áreas involucradas.
Las recomendaciones previas se dirigen a organizaciones que buscan nombrar un OPD para cumplir con la regulación colombiana y garantizar la Responsabilidad Demostrada. Esto no excluye la implementación de otras medidas necesarias para cumplir con lo establecido en el Decreto 1074 de 2015 del Sector Comercio, Industria y Turismo.
La guía objeto del presente artículo se encuentra disponible para su consulta haciendo clic:
Si quiere profundizar más sobre el tema lo invitamos a ingresar al Código General del Proceso de Legis Xperta.
