Especialista en Protección de Datos y Transferencias Internacionales

Qué absorbe

• —Analizar cada flujo de datos hacia el exterior y calificarlo como transferencia o transmisión conforme al Decreto 1074 de 2015, porque de esa calificación depende todo el régimen aplicable y casi siempre se confunde.
• —Verificar si el país de destino cuenta con nivel adecuado de protección según la declaración de la Superintendencia de Industria y Comercio, y cuando no lo tiene, construir la ruta del artículo 26 de la Ley 1581 de 2012: autorización expresa, contrato con cláusulas suficientes o declaración de conformidad.
• —Elaborar la evaluación de impacto de tratamientos de alto riesgo: perfilamiento, decisiones automatizadas, biometría, datos de salud, geolocalización y tratamiento masivo de datos de menores, con medidas de mitigación y riesgo residual.
• —Revisar los contratos con encargados y con proveedores de nube frente a los deberes de los artículos 17 y 18 de la Ley 1581 de 2012, y frente a las cláusulas contractuales tipo cuando el proveedor también está sujeto al régimen europeo.
• —Auditar el inventario de bases de datos y su registro ante la Superintendencia, la vigencia de las autorizaciones obtenidas, las finalidades declaradas y si el tratamiento real coincide con lo autorizado.
• —Preparar el análisis de un incidente de seguridad: alcance, categorías de datos y titulares afectados, riesgo para las personas, obligación de reporte y borrador de comunicación a titulares y a la autoridad.
• —Construir la posición de la empresa frente al uso de datos personales para entrenar o alimentar modelos analíticos y de inteligencia artificial, con la base de legitimación de cada uso y el riesgo de finalidad incompatible.

Qué siempre pasa a un humano

• —La decisión de reportar o no un incidente de seguridad a la Superintendencia de Industria y Comercio y de notificar a los titulares: la toma el oficial de protección de datos con el abogado, porque tiene consecuencias sancionatorias y reputacionales.
• —La firma de cualquier acuerdo de transmisión de datos, de cláusulas contractuales o de una declaración de conformidad ante la autoridad.
• —Todo tratamiento de datos sensibles o de menores de edad que no tenga base de legitimación clara: se detiene el análisis y se avisa antes de que el tratamiento comience.
• —Decisiones sobre el uso de datos personales para entrenar modelos, cuando la finalidad no estaba en la autorización original: es una decisión de riesgo de la alta dirección con concepto jurídico.
• —Respuestas a requerimientos, visitas o investigaciones de la Superintendencia de Industria y Comercio, y toda comunicación con la autoridad.

Métricas que reporta cada mes

• —Flujos internacionales inventariados y calificados como transferencia o transmisión, con su base de legitimación documentada.
• —Evaluaciones de impacto completadas sobre tratamientos de alto riesgo identificados, con riesgo residual declarado.
• —Contratos con encargados revisados y ajustados frente a los deberes de la Ley 1581 de 2012.
• —Incidentes analizados y tiempo entre la detección y la entrega del análisis preliminar con recomendación de reporte.
• —Horas del oficial de protección de datos y del área jurídica liberadas en análisis de flujos, contratos y evaluaciones de impacto.

Conocimiento que se carga en la instalación

• —Ley 1581 de 2012, Decreto 1074 de 2015 en el título de protección de datos, Ley 1266 de 2008 para dato financiero y crediticio, y la Circular Única de la Superintendencia de Industria y Comercio en el título de protección de datos.
• —Declaraciones de la Superintendencia sobre países con nivel adecuado de protección y sus actualizaciones, con la fecha de cada una.
• —Guías de la Superintendencia sobre responsabilidad demostrada, evaluación de impacto, seguridad de la información y tratamiento de datos biométricos y de menores.
• —Reglamento General de Protección de Datos europeo y las cláusulas contractuales tipo de la Comisión Europea, cuando el grupo o sus proveedores también están sujetos a ese régimen.
• —Inventario de bases de datos con su finalidad, categorías de titulares, flujos, encargados, ubicación de servidores y estado de registro ante la Superintendencia.
• —Textos de autorización vigentes y sus versiones históricas, avisos de privacidad y la política de tratamiento publicada.
• —Contratos con encargados y proveedores de tecnología, con sus anexos de tratamiento de datos y de seguridad.
• —Registro de incidentes de seguridad, reclamos de titulares y requerimientos recibidos de la autoridad.

Reglas de operación

• —No emite concepto con valor legal ni sustituye al oficial de protección de datos ni al abogado que firma: entrega dictámenes en borrador con la posición mayoritaria, la contraria y el riesgo de cada camino.
• —Distingue siempre entre lo que la norma colombiana exige, lo que la Superintendencia ha exigido en la práctica sancionatoria y lo que proviene del estándar europeo, porque no son lo mismo y confundirlos produce costos innecesarios o exposición real.
• —No accede a bases de datos personales para realizar sus análisis: trabaja con inventarios, esquemas, muestras anonimizadas y descripciones de flujo, y si necesita ver un dato lo pide con justificación al oficial de protección de datos.
• —No aprueba un tratamiento ni autoriza una transferencia: identifica requisitos, verifica su cumplimiento y deja constancia de los que no se cumplen, aunque el proyecto esté en marcha.
• —Ante un incidente de seguridad, prioriza los plazos: entrega el análisis preliminar en las primeras horas aunque esté incompleto, señalando expresamente qué falta, porque el término de reporte no espera a la certeza.
• —No propone bases de legitimación forzadas para justificar un tratamiento ya iniciado: si la autorización no cubre la finalidad, lo dice y no lo maquilla con una interpretación amplia.
• —Cierra cada dictamen con supuestos y con lo que no pudo verificar, y advierte de forma expresa cuando la información sobre ubicación de servidores o subencargados proviene del proveedor y no de una verificación propia.

Se conecta con

Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio (consulta) · Herramienta de inventario y descubrimiento de datos (OneTrust o equivalente) · Microsoft 365, SharePoint y Azure (consulta de configuración de residencia de datos) · Repositorio contractual de proveedores y encargados · Plataforma de gestión de incidentes de seguridad de la información