La Ley Estatutaria 1581 de 2012 regula todo lo concerniente a la protección de datos personales. En el Capítulo VIII se determina el tema de la transferencia de datos personales a terceros países y en el artículo 26, de la prohibición de transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección para dichos datos. Pero los estándares para saber si un país ofrece un nivel adecuado de protección de datos personales los debía fijar la Superintendencia de Industria y Comercio (SIC), como así se estableció en el artículo 21 de la misma ley al decir que la Superintendencia tiene como una de sus funciones impartir las instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del Tratamiento y Encargados del Tratamiento sobre transferencia de datos personales. Por lo cual en el mes de agosto del presente año la SIC expidió la Circular Externa No. 005.
En dicha Circular la SIC estableció los estándares que debe tener un país para la transferencia y transmisión de datos personales. Fijando los requisitos que deben observarse previo al envío de datos a un país extranjero. A saber, A) La existencia de normas aplicable al tratamiento de datos personales. B) Consagración normativa de principios aplicables al Tratamiento de datos. C) Consagración normativa de derechos de los Titulares. D) Consagración normativa de deberes de los Responsables y Encargados. E) Existencia de medios y vías judiciales y administrativas para garantizar la tutela efectiva de los derechos de los Titulares y exigir el cumplimiento de la ley. F) Existencia de autoridades que se encarguen de la supervisión del Tratamiento de datos personales, del cumplimiento de la legislación aplicable y de la protección de los derechos de los titulares. Y que ejerzan de manera efectiva sus funciones.
Igualmente, la Circular contiene una lista de países que cuentan con un nivel adecuado de protección de datos personales. Esta lista la integran 36 países además de los ya declarados por la Comisión Europea. Sin embargo, la SIC reitera que cuenta con capacidad regulatoria para revisar la lista de países e incluir o excluir a quien se considere conveniente según lo establecido en la ley.
La lista de países la integran: Alemania; Austria; Bélgica; Bulgaria; Chipre; Costa Rica; Croacia: Dinamarca; Eslovaquia; Eslovenia; Estonia; España; Estados Unidos de América; Finlandia; Francia; Grecia; Hungría; Irlanda; Islandia; Italia; Letonia; Lituania; Luxemburgo; Malta; México; Noruega; Países Bajos; Perú; Polonia; Portugal; Reino Unido; República Checa; República de Corea; Rumania; Serbia y Suecia.
La Superintendencia de Industria y Comercio, dentro de la Circular, también desarrolla el principio de responsabilidad demostrada como una protección adicional a los datos personales. Dicho principio busca que los Responsables del Tratamiento sean capaces de demostrar que han implementado medidas apropiadas y efectivas para garantizar el adecuado tratamiento de los datos personales que transfieren a otro país y otorgar seguridad a los registros que son transferidos.
Por último, la Circular da las opciones que tiene el Responsable del Tratamiento que quiere compartir información personal con países que no estén en la lista mencionada anteriormente. Estos deberán, o solicitar una Declaración de Conformidad ante la SIC o celebrar un contrato con los Responsables del Tratamiento destinatario que contenga clausulas apropiadas de protección, señalando las condiciones que regirán la transferencia internacional de datos personales las cuales garanticen el cumplimiento de los principios, obligaciones y deberes de la transmisión de dicha información. En este último caso, se presumirá viable la operación y que cuenta con Declaración de Conformidad. Dicho contrato deberá comunicársele a la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio.
Circular Externa 005 del 10 de agosto de 2017.
