En octubre de 2016, la Superintendencia de Industria y Comercio publicó una guía con el propósito de establecer los parámetros que deben observar las personas naturales y/o jurídicas que deseen solicitar una declaración de conformidad para la transferencia internacional de datos personales. En consecuencia, aquellos que requieran una declaración de conformidad, deben proporcionar la siguiente información:

1. El nombre y finalidad de las bases de datos personales que serán objeto de la transferencia internacional, así como una descripción del tratamiento.
2. Los tipos de datos personales que serán objeto de la transferencia.
3. Una copia de la política de tratamiento de la información tanto del remitente de la información como del destinatario.
4. El nombre o razón social del destinatario de las bases de datos, así como copia que acredite su existencia y representación legal.
5. Una copia del contrato, acuerdo o documento en el que se expliquen las condiciones de la transferencia y las medidas de seguridad y confidencialidad que se implementarán para la protección de la información personal.
6. El tratamiento que dará a la información transferida el destinatario de las bases de datos y finalidad del mismo. Igualmente, deberá determinarse el periodo de almacenamiento de las bases de datos.
7. Una copia de la política de seguridad de la información del destinatario de la información. En caso de no contar con dicho documento, deberán señalarse las medidas técnicas, humanas y administrativas que se implementarán para la protección de la información.
8. Los mecanismos implementados por el destinatario para atender las solicitudes y/o reclamos en materia de Habeas Data.
9. La calidad de las personas, naturales y/o jurídicas, que tendrán acceso a la información transferida, así como los correspondientes acuerdos de confidencialidad.
10. Una copia de la normatividad en materia de protección de datos personales del país al cual se transferirá la información, así como la regulación correspondiente a las facultades de la autoridad de protección de datos personales. Igualmente, deben describirse los mecanismos existentes en el país destinatario para garantizar los derechos de los titulares de la información, las autoridades competentes, y el carácter gratuito u oneroso de dichos mecanismos. Deben remitirse los soportes que acreditan la anterior información.
11. El último informe o reporte publicado por la autoridad de protección de datos personales del país destinatario, relacionado al rendimiento de cuentas de sus funciones.
12. Cualquier otro documento y/o información pertinente para comprender la operación que se desea realizar.

Por regla general, están prohibidas las transferencias internacionales de datos personales a países que no garanticen un nivel adecuado de protección de datos. No obstante, dicha prohibición no aplica en casos específicos determinados por la ley, como cuando existen autorizaciones expresas de los titulares para la transferencia o cuando la Superintendencia profiera una declaración de conformidad, entre otros.

Para mayor información, no dude en contactarnos.