Tras tres años de negociaciones, la Comisión Europea, el Parlamento Europeo y el Consejo de la Unión Europea llegaron a un acuerdo respecto del reglamento relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos – RGPD). El Reglamento reemplazará la Directiva 95/46/EC y será directamente aplicable en todos los países miembros de la Unión Europea, sin la necesidad de implementar legislaciones internas en cada uno de los países. Si bien el RGPD entrará en vigencia hasta el año 2018, este contiene obligaciones onerosas que tienen un impacto inmediato en todos los países de la comunidad.

Al comparar el nuevo RGPD con la legislación colombiana actual, se evidencian diferencias respecto de

1. el ámbito de aplicación,
2. el tratamiento de datos de menores de edad,
3. las sanciones,
4. las notificaciones ante violaciones de datos personales, entre otros.

A continuación, se analizará cada una dichas diferencias.

Ámbito de Aplicación

En primer lugar, el ámbito de aplicación del RGPD difiere de la legislación colombiana vigente. La nueva reglamentación de la Unión Europea no solo será aplicable al tratamiento de datos por parte de responsables y encargados de la Unión Europea, sino también al tratamiento de datos por parte de responsables que no se encuentren establecidos en la Unión, cuando sus actividades estén relacionadas con la oferta de bienes o servicios, o el control de la conducta de sujetos dentro de la UE.¹

Adicionalmente, el RGPD establece que, bajo determinadas circunstancias, los responsables del tratamiento que no se encuentren establecidos dentro de la Unión Europea deberán designar un representante que deberá residir en alguno de los Estados Miembros donde se encuentren los interesados del tratamiento.² El planteamiento del RGPD difiere de la legislación colombiana, en tanto que ésta limita su ámbito de aplicación al tratamiento de datos personales efectuado en territorio colombiano, o al tratamiento de datos efectuado por responsables o encargados en el exterior, siempre y cuando les sea aplicable la legislación colombiana en virtud de tratados o normas internacionales.³ A pesar de lo anterior, es importante tener en cuenta que el Congreso de la República de Colombia radicó en octubre de 2015 un proyecto de ley⁴ que pretende ampliar el ámbito de aplicación. De tal forma, el proyecto busca que la legislación colombiana sobre protección de datos personales también sea aplicable al tratamiento de datos efectuado por Responsables o Encargados del Tratamiento que no residan en Colombia pero que recolecten, almacenen, usen, circulen o realicen cualquier operación sobre datos personales de personas que residan o se encuentren ubicadas en Colombia.

Tratamiento de datos de menores de edad

Con relación al tratamiento de datos de menores de edad, el RGPD establece que, en principio, se requerirá el consentimiento de los padres para el tratamiento de datos de menores de 16 años. No obstante, los países miembros podrán reducir la edad requerida a 13 años.⁵

Por su parte, la legislación colombiana requiere el consentimiento de los padres para el procesamiento de datos de los menores de 18 años: Asimismo, considera que el tratamiento de datos personales de menores, al ser ellos sujetos de especial protección, debe responder al interés superior de los mismos y debe respetar sus derechos prevalentes.⁶

Incidentes de seguridad

En caso de violaciones de datos personales, la reglamentación europea obliga al responsable del tratamiento a notificar a la autoridad de control dentro de las 72 horas siguientes al tener conocimiento del incidente. En aquellos casos donde el responsable no notifique en el plazo anteriormente indicado, éste deberá notificar a la autoridad de control justificando la demora.⁷ La legislación colombiana, si bien establece la obligación de informar a la autoridad de datos cuando se presenten violaciones,⁸ no indica un procedimiento o periodo de tiempo específico para hacerlo.

Materia no contemplada por la normatividad Colombiana

Es importante mencionar que el RGPD regula explícitamente materias que no son contempladas en legislaciones como la colombiana, tales como el derecho al olvido, la elaboración de perfiles y la designación de delegados de protección de datos. De tal forma, el RGPD regula el derecho al olvido al establecer las circunstancias que permiten a cualquier interesado solicitar la supresión de datos personales.⁹ Asimismo, la reglamentación delimita las situaciones en las que la elaboración de perfiles (Data profiling) es permitida,¹⁰ e impone la obligación de designar delegados de protección de datos en 3 casos específicos, a saber; a) cuando el tratamiento sea realizado por un organismo, institución o autoridad pública, b) cuando las actividades principales del responsable o del encargado del tratamiento consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran un seguimiento periódico y sistemático de los interesados, y; c) cuando las actividades principales del responsable o encargado consistan en el tratamiento a gran escala de categorías especiales de datos.¹¹

Responsabilidad y sanciones

Finalmente, cabe añadir que el RGPD impone obligaciones directas sobre los encargados de la información, tema que ya ha sido regulado en Colombia, y define explícitamente los montos de las sanciones por incumplimiento en la protección de los datos personales. En consecuencia, las sanciones podrán ser de hasta 20 millones de euros o de hasta el 4% del volumen de negocios anual a nivel mundial de la empresa.

1.Artículo 3° del RGPD.
2.Artículo 25 del RGPD.
3.Artículo 2° de la Ley 1581 de 2015.
4.Proyecto de Ley 106 de 2015.
5.Artículo 8° del RGPD.
6.Artículo 2.2.2.25.2.9 del Decreto 1074 de 2015 y Artículo 12 del Decreto 1377 de 2013.
7.Artículo 31 del RGPD.
8.Literal n) del artículo 17 de la Ley 1581 de 2015 y Literal k) del artículo 18 de la Ley 1581 de 2015. 9.Artículo 17 del RGPD.
10.Artículo 20 del RGPD.
11.Artículo 35 del RGPD. 

Sobre Dentons

En más de 80 países, Dentons le ayuda a crecer, proteger, operar y financiar su organización mediante soluciones globales ancladas en la realidad local. Policéntricos, impulsados por nuestro propósito y comprometidos con la inclusión, diversidad, equidad y sostenibilidad, nos enfocamos en lo que es importante para usted. www.dentons.com