Manual de políticas y procedimientos internos de protección de datos personales

A través de esta Ley se regula el manejo de la información contenida en bases de datos personales, especialmente la de carácter financiero, crediticio, comercial y de servicios.

Esta Ley tiene por objeto regular el tratamiento de los datos personales que se aplique a finalidades diferentes a las tratadas en la Ley Especial 1266 de 2008, asimismo dispone que los principios sobre protección de datos serán aplicables a todas las bases incluyendo las manejadas de conformidad con la Ley Especial.

Por medio del cual se compilan los Decretos 866 de 2014 y 1377 de 2015 a través de los cuales se reglamentan la Ley 1581 de 2012.

La cual tiene por objeto fijar estándares de un nivel adecuado de protección en la transferencia internacional de datos personales.

A través de la cual se incluye un país dentro de la lista de países que cuentan con un nivel adecuado de protección de datos personales, de acuerdo con los estándares fijados por la Superintendencia de Industria y Comercio.

A través de la cual se analizó la constitucionalidad de la Ley 1266 de 2008.

A través de la cual se analizó la Constitucionalidad del Proyecto de Ley Estatutaria de Protección de Datos Personales.

Dispone que la reserva bancaria es una de las garantías más valiosas que tienen los clientes o usuarios que transfieren a las entidades vigiladas su información personal e intimidad económica. A su vez, establece la obligación de las entidades vigiladas de guardar discreción sobre los datos de los consumidores financieros.

En todo caso, para la aplicación e interpretación de las reglas desarrolladas en el presente Manual, se aplicarán las demás normas que regulen lo concerniente a la protección de datos personales.

Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.

Conjunto organizado de datos personales que sea objeto de Tratamiento.

Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Es el dato calificado como tal, según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la Ley 1266 de 2008. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.

Persona natural o jurídica cuyos datos personales sean objeto de Tratamiento; dentro de los cuales se encuentran clientes, proveedores, accionistas, candidatos de procesos de selección, empleados y cualquier otra persona cuyos datos sean objeto de Tratamiento por parte de LA ENTIDAD.

Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

Es el dato que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación.

Es el directorio público de las bases de datos sujetas a tratamiento que operan en el país. El cual será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.

Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.

La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

Comunicación verbal o escrita generada por el responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa la existencia de políticas de Tratamiento de Datos personales que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento.

Se refiere al documento aplicable por LA ENTIDAD a través del cual se establecen los criterios para la recolección, procesamiento, individualización, validación, custodia, transmisión, transferencia, supresión de los datos personales.

Es la persona cuya función es la vigilancia y control de la aplicación de la Política de Protección de Datos Personales.

LA ENTIDAD aplicará el Tratamiento a que se refiere la Ley 1581 de 2012, la cual es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen.

LA ENTIDAD tratará los datos con una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al Titular.

LA ENTIDAD ejercerá el Tratamiento de la información con el consentimiento, previo, expreso e informado del Titular. Los Datos Personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

La información sujeta a Tratamiento por parte de LA ENTIDAD debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

LA ENTIDAD garantiza el derecho del Titular a obtener en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los Datos Personales, de las disposiciones de la Ley 1581 de 2012 y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las que la ley autorice. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la Ley 1581 de 2012.

LA ENTIDAD garantizará que todas las personas que intervengan en el Tratamiento de Datos Personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en Ley 1581 de 2012 y en los términos de la misma.

La información sujeta a Tratamiento por parte de LA ENTIDAD a que se refiere la Ley 1581 de 2012, se manejará con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La información del Titular no podrá ser suministrada a usuarios o terceros cuando deje de servir para la finalidad del banco de datos.

El presente Manual se interpretará en el sentido de que se amparen adecuadamente los derechos constitucionales, como son el hábeas data, el derecho al buen nombre, el derecho a la honra, el derecho a la intimidad y el derecho a la información. Los derechos de los Titulares se interpretarán en armonía y en un plano de equilibrio con el derecho a la información previsto en el artículo 20 de la Constitución y con los demás derechos constitucionales aplicables.

La información que sea tratada por LA ENTIDAD se podrá suministrar a:

• El Titular, sus representantes legales o sus causahabientes.
• A las entidades públicas o administrativas que en ejercicio de sus funciones legales la requieran.
• A los terceros autorizados por el Titular o la Ley.

LA ENTIDAD aplica las siguientes reglas para el tratamiento de los datos sensibles:

• Se le informa al Titular que al tratarse de datos sensibles no está obligado a autorizar el tratamiento de estos.
• Se le informa al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles datos objeto de Tratamiento son de carácter sensible y la finalidad del tratamiento, con el fin de obtener el consentimiento expreso.
• No se condiciona ninguna actividad a que el Titular suministre datos personales sensibles (salvo que exista una causa legal o contractual para hacerlo).

LA ENTIDAD, se asegura de respetar los derechos de los niños, niñas y adolescentes entendiendo que estos son prevalentes.

En caso de que LA ENTIDAD realice el tratamiento de datos personales de niños, niñas y adolescentes, debe respetar el interés superior de estos, así como sus derechos fundamentales.

En todo caso, el representante legal del niño, niña o adolescente debe otorgar la autorización, previo a escuchar al menor.

LA ENTIDAD en su calidad de Responsable de los datos debe cumplir con los siguientes deberes:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

b) Solicitar y conservar, en las condiciones previstas en el Manual, copia de la respectiva autorización otorgada por el Titular.

c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.

f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.

g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.

h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en el presente Manual.

i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.

j) Tramitar las consultas y reclamos formulados en los términos señalados en el presente Manual.

k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de lo dispuesto en este Manual y las Leyes de protección de datos personales en especial, para la atención de consultas y reclamos.

l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.

m) Informar a solicitud del Titular sobre el uso dado a sus datos.

n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los Códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

o) Cumplir las instrucciones y requerimientos que impartan las autoridades competentes.

En caso de que LA ENTIDAD actúe como Encargado del Tratamiento de los datos, deberá tener en cuenta lo siguiente:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos del presente Manual.

d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo.

e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en este Manual.

f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento del presente Manual y de las leyes de protección de datos personales y, en especial, para la atención de consultas y reclamos por parte de los Titulares.

g) Registrar en la base de datos la leyenda “reclamo en trámite” en la forma en que se regula en la ley.

h) Insertar en la base de datos la leyenda “información en discusión judicial” una vez sea notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal.

i) Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por las autoridades competentes.

j) Permitir el acceso a la información únicamente a las personas que estén autorizadas para tener acceso a ella.

k) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

l) Cumplir las instrucciones y requerimientos que imparta la autoridad competente en materia de protección de datos.

Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en la base de datos de LA ENTIDAD, a través del correo electrónico: servicio_cliente@iris.com.co.

Se garantiza que los Titulares o sus causahabientes puedan consultar de forma gratuita sus datos personales en los siguientes eventos:

• Al menos una vez cada mes calendario.
• Cada vez que existan modificaciones sustanciales de las Políticas de Tratamiento de la información que motiven nuevas consultas.

La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

Los Titulares o sus causahabientes que consideren que la información contenida en la base de datos de LA ENTIDAD debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en este Manual, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas:

a). El reclamo se formulará mediante solicitud dirigida al correo electrónico: servicio_cliente@dannregional.com.co, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañado de los documentos que se quieran hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del este para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

b). Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.

c). El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

En todo caso, el Titular o su causahabiente sólo podrá elevar queja ante la autoridad competente, una vez haya agotado el trámite de consulta o reclamo ante el Responsable o Encargado del Tratamiento.

LA ENTIDAD designa como responsable de la atención de peticiones, consultas y reclamos que realicen los Titulares sobre sus derechos a conocer, actualizar, rectificar y suprimir sus datos y revocar la autorización al Oficial de Protección de Datos Personales, quien tendrá un equipo de apoyo para garantizar una adecuada gestión de sus deberes.

En caso de que se presenten cambios sustanciales en el contenido de las Políticas de Tratamiento de datos personales de LA ENTIDAD, dichas modificaciones serán comunicadas a los Titulares de los datos a más tardar al momento de su implementación a través de los medios que estime convenientes para tal fin.

En caso de que el Encargado realice por cuenta de LA ENTIDAD el tratamiento de los datos personales bajo su control y responsabilidad, se deberá suscribir un contrato en el cual se deben señalar lo siguiente:

• Que los datos se tratarán conforme a la Política de Tratamiento de Datos de LA ENTIDAD.
• Las actividades que el Encargado realizará por cuenta de LA ENTIDAD.
• Las obligaciones del Encargado con respecto al Titular de los datos y con LA ENTIDAD.
• El deber de salvaguardar las bases de datos y guardar confidencialidad respecto del tratamiento de los datos personales.
• Que el tratamiento de los datos personales se hará conforme a los principios señalados en este Manual y en las Leyes de protección de datos personales.

La persona que sea designada como Oficial de Protección de datos personales debe tener formación en aspectos de protección de datos personales.

• Velar por la implementación efectiva de las políticas y procedimientos adoptados para cumplir las normas. Así como la implementación de buenas prácticas de gestión de datos personales dentro de la empresa.
• Promover la elaboración e implementación de un sistema que permita administrar los riesgos del tratamiento de datos personales.
• Coordinar la definición e implementación de los controles del Programa Integral de Gestión de Datos Personales.
• Servir de enlace y coordinador con las demás áreas de la organización para asegurar una implementación transversal del Programa Integral de Gestión de Datos Personales.
• Impulsar una cultura de protección de datos dentro de la organización.
• Mantener un inventario de las bases de datos personales en poder de la organización y clasificarlas según su tipo.
• Registrar las bases de datos de la organización en el Registro Nacional de Bases de Datos y actualizar el reporte atendiendo a las instrucciones que sobre el particular emita la Superintendencia de Industria y Comercio.
• Revisar los contenidos de los contratos de transmisiones internacionales de datos que se suscriban con Encargados no residentes en Colombia.
• Analizar las responsabilidades de cada cargo de la organización, para diseñar un programa de entrenamiento en protección de datos personales específico para cada uno de ellos.
• Realizar un entrenamiento necesario a los nuevos empleados, que tengan acceso por las condiciones de su empleo, a datos personales gestionados por la organización.
• Integrar las políticas de protección de datos dentro de las actividades de las demás áreas de la organización (talento humano, seguridad, call centers y gestión de proveedores, etc).
• Medir la participación, y calificar el desempeño, en los entrenamientos de protección de datos.
• Velar por la implementación de planes de auditoría interna para verificar el cumplimiento de sus políticas de tratamiento de la información personal y al Programa de Gestión Integral de Datos Personales.
• Acompañar y asistir a la organización en la atención de las visitas y los requerimientos que realice la Superintendencia de Industria y Comercio.
• Realizar seguimiento al Programa Integral de Gestión de Datos Personales.

El Oficial de Protección de Datos Personales debe presentar reportes a la organización de manera semestral acerca del seguimiento y cumplimiento de la normatividad vigente de acuerdo con las políticas de tratamiento de datos personales.

• Informar o reportar al oficial de protección de datos la creación de nuevas bases de datos.
• Acceder a los datos personales única y exclusivamente en los eventos en que sea requerido para el cumplimiento de sus funciones.
• Hacer un uso debido de los datos personales a los que tenga acceso únicamente bajo los fines autorizados por el titular de los datos, teniendo claridad de que estos pertenecen al titular y la autorización de su uso y tratamiento es dada a la Compañía.
• Reportar al oficial de Tratamiento de Datos los incidentes de seguridad de la información que se presenten, de conformidad con el procedimiento establecido para estos reportes.
• Mantener en condiciones de seguridad las bases de datos personales.
• Acatar las políticas de seguridad de la información y ciberseguridad diseñadas por la Compañía.