Kolumbiens Gesetz 1581 Datenschutzleitfaden

Kolumbien war eines der ersten lateinamerikanischen Länder, das einen umfassenden Datenschutzrahmen eingeführt hat. Das Gesetzesgesetz 1581 von 2012 (Ley Estatutaria 1581 de 2012) bildet den Eckpfeiler des Schutzes personenbezogener Daten in Kolumbien und legt die Grundsätze, Rechte und Pflichten fest, die die Verarbeitung personenbezogener Informationen regeln. Für jede Organisation, die in Kolumbien tätig ist oder Daten kolumbianischer Einwohner verarbeitet, ist das Verständnis dieses Gesetzes unerlässlich, um die Einhaltung der Vorschriften zu gewährleisten und erhebliche Strafen zu vermeiden.

Anwendungsbereich

Das Gesetz 1581 gilt für die gesamte Verarbeitung personenbezogener Daten, die auf kolumbianischem Territorium durchgeführt wird oder wenn der Verantwortliche oder Auftragsverarbeiter in Kolumbien ansässig ist. Das Gesetz erfasst sowohl natürliche als auch juristische Personen, ob öffentlich oder privat, die personenbezogene Daten erheben, speichern, verwenden, verbreiten oder löschen. Wichtig ist, dass das Gesetz auch extraterritoriale Auswirkungen hat, wenn internationale Verträge oder Übereinkommen seine Anwendung erfordern.

Bestimmte Arten der Datenverarbeitung sind vom Anwendungsbereich des Gesetzes 1581 ausgenommen, darunter Datenbanken, die für persönliche oder häusliche Zwecke geführt werden, solche im Zusammenhang mit der nationalen Sicherheit und Verteidigung sowie Datenbanken, die durch spezifische Finanzsektor-Vorschriften gemäß Gesetz 1266 von 2008 geregelt werden.

Grundlegende Prinzipien der Datenverarbeitung

Das Gesetz 1581 legt acht grundlegende Prinzipien fest, die alle Aktivitäten der Verarbeitung personenbezogener Daten leiten müssen. Diese Prinzipien bilden die Grundlage des kolumbianischen Datenschutzregimes und müssen von jedem Verantwortlichen und Auftragsverarbeiter beachtet werden.

1. Grundsatz der Rechtmäßigkeit

Alle Datenverarbeitungsaktivitäten müssen dem geltenden kolumbianischen Recht entsprechen. Eine Verarbeitung, die gesetzliche Anforderungen umgeht oder zu rechtswidrigen Zwecken durchgeführt wird, ist verboten.

2. Grundsatz der Zweckbindung

Personenbezogene Daten dürfen nur für einen bestimmten, ausdrücklichen und rechtmäßigen Zweck erhoben und verarbeitet werden. Die betroffene Person muss vor der Datenerhebung über den Zweck informiert werden, und jede Zweckänderung erfordert eine erneute Einwilligung.

3. Grundsatz der Freiheit

Personenbezogene Daten dürfen nur mit der vorherigen, ausdrücklichen und informierten Einwilligung der betroffenen Person verarbeitet werden. Die Einwilligung muss frei und ohne Zwang erteilt werden, und die Betroffenen müssen ihre Einwilligung jederzeit widerrufen können.

4. Grundsatz der Wahrhaftigkeit

Die erhobenen und verarbeiteten Informationen müssen wahrheitsgemäß, vollständig, genau, aktuell, überprüfbar und verständlich sein. Die Verarbeitung irreführender oder unvollständiger Daten ist nicht gestattet.

5. Grundsatz der Transparenz

Betroffene Personen haben das Recht, jederzeit und ohne Einschränkung Informationen über die Existenz von sie betreffenden Daten zu erhalten. Verantwortliche müssen klare und zugängliche Informationen über ihre Datenverarbeitungsaktivitäten bereitstellen.

6. Grundsatz des eingeschränkten Zugangs

Personenbezogene Daten dürfen nur von Personen abgerufen und verarbeitet werden, die von der betroffenen Person oder durch Gesetz autorisiert sind. Der unbefugte Zugriff auf personenbezogene Daten ist streng verboten und kann zu Sanktionen führen.

7. Grundsatz der Sicherheit

Verantwortliche und Auftragsverarbeiter müssen angemessene technische, personelle und administrative Maßnahmen ergreifen, um die Sicherheit personenbezogener Daten zu gewährleisten. Diese Maßnahmen sollen den unbefugten Zugriff, die Veränderung, den Verlust oder die Zerstörung von Daten verhindern.

8. Grundsatz der Vertraulichkeit

Alle an der Verarbeitung personenbezogener Daten beteiligten Personen sind zur Vertraulichkeit verpflichtet, auch nachdem ihre Beziehung zum Verantwortlichen oder Auftragsverarbeiter beendet ist. Diese Verpflichtung gilt unbefristet.

Kategorien personenbezogener Daten

Das kolumbianische Recht klassifiziert personenbezogene Daten in vier verschiedene Kategorien, die jeweils unterschiedlichen Schutzniveaus und Verarbeitungsanforderungen unterliegen.

• Öffentliche Daten: Informationen, die nicht halbprivat, privat oder sensibel sind. Dazu gehören Daten in öffentlichen Dokumenten, Amtsblättern und Gerichtsurteilen, die keinen Vertraulichkeitsbeschränkungen unterliegen
• Halbprivate Daten: Informationen, die nicht streng öffentlich sind, aber für einen bestimmten Sektor oder eine bestimmte Personengruppe von Interesse sind, wie Finanz- und Kreditinformationen
• Private Daten: Informationen, die nur für die betroffene Person relevant sind, wie Telefonaufzeichnungen, persönliche E-Mails und Krankengeschichte
• Sensible Daten: Informationen, die die Privatsphäre der betroffenen Person berühren und deren Missbrauch zu Diskriminierung führen könnte. Dazu gehören Daten, die die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheitsdaten, sexuelle Orientierung und biometrische Daten offenbaren

Die Verarbeitung sensibler Daten ist grundsätzlich verboten, es sei denn, die betroffene Person hat ihre ausdrückliche Einwilligung erteilt, die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person erforderlich, wird von einer gemeinnützigen Organisation für ihre Mitglieder durchgeführt, die Daten sind für Gerichtsverfahren erforderlich oder die Verarbeitung dient historischen, statistischen oder wissenschaftlichen Zwecken.

Pflichten der Verantwortlichen und Auftragsverarbeiter

Das Gesetz 1581 unterscheidet klar zwischen Verantwortlichen (responsables del tratamiento) und Auftragsverarbeitern (encargados del tratamiento) und weist jedem spezifische Pflichten zu.

Pflichten des Verantwortlichen

Verantwortliche tragen die Hauptverantwortung für die Einhaltung der Vorschriften und müssen sicherstellen, dass betroffene Personen ihre Rechte wirksam ausüben können. Zu den Hauptpflichten gehören:

1. Gewährleistung des Rechts der betroffenen Person auf jederzeitigen Zugang, Aktualisierung und Berichtigung personenbezogener Daten
2. Pflege und Aktualisierung personenbezogener Daten zur Sicherstellung ihrer Genauigkeit und Vollständigkeit
3. Bereitstellung einer klaren Mitteilung über die Datenschutzrichtlinie und den Zweck der Datenverarbeitung
4. Aufbewahrung des Nachweises der von betroffenen Personen erteilten Einwilligung
5. Information der Auftragsverarbeiter über Aktualisierungen, Berichtigungen oder Löschungen von Daten
6. Registrierung der Datenbanken im Nationalen Datenbankregister (RNBD)

Pflichten des Auftragsverarbeiters

Auftragsverarbeiter müssen streng nach den Anweisungen des Verantwortlichen handeln. Ihre Kernpflichten umfassen die Umsetzung angemessener Sicherheitsmaßnahmen, die Verarbeitung von Daten nur im autorisierten Umfang, die Wahrung der Vertraulichkeit und die Unterstützung des Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen.

Registrierung im RNBD

Ein besonderes Merkmal des kolumbianischen Datenschutzrechts ist die Verpflichtung der Verantwortlichen, ihre Datenbanken im RNBD zu registrieren, das von der Superintendencia de Industria y Comercio (SIC) verwaltet wird. Dieses Register dient als öffentliche Aufzeichnung aller Datenbanken, die personenbezogene Daten in Kolumbien enthalten.

Die Registrierung muss innerhalb der von der SIC festgelegten Fristen erfolgen und Einzelheiten über die Datenbanken, die Arten der verarbeiteten Daten, die Verarbeitungszwecke, die implementierten Sicherheitsmaßnahmen und die Datenübermittlungsrichtlinien enthalten. Die Nichtregistrierung oder die fehlende Aktualisierung der Registrierungsinformationen kann zu Sanktionen führen. Unser Data Protection Manager kann Ihnen helfen, genaue Aufzeichnungen für die RNBD-Registrierung zu führen.

SIC-Aufsicht und Durchsetzung

Die SIC dient als Kolumbiens Datenschutzbehörde und verfügt über weitreichende Befugnisse zur Untersuchung von Beschwerden, Durchführung von Inspektionen, Erteilung von Anordnungen und Verhängung von Strafen. Die SIC kann von Amts wegen oder auf Beschwerden betroffener Personen hin tätig werden.

Die Strafen für die Nichteinhaltung des Gesetzes 1581 können erheblich sein. Die SIC kann Geldbußen von bis zu 2.000 Mal dem aktuellen gesetzlichen monatlichen Mindestlohn verhängen, was beträchtliche Summen ergeben kann. Zusätzlich zu Geldbußen kann die SIC die Aussetzung von Datenverarbeitungsaktivitäten und die Schließung von Datenbanken anordnen, die das Gesetz dauerhaft verletzen.

Dekret 1377 von 2013: Durchführungsverordnungen

Das Dekret 1377 von 2013 enthält detaillierte Vorschriften zur Umsetzung des Gesetzes 1581. Zu den wichtigsten Bestimmungen gehören:

• Einwilligungsmechanismen: Das Dekret klärt, wie die Einwilligung eingeholt, dokumentiert und verwaltet werden soll, einschließlich Bestimmungen für vor dem Inkrafttreten des Gesetzes erteilte Einwilligungen
• Datenschutzhinweise: Detaillierte Anforderungen an Datenschutzhinweise, einschließlich der Identität des Verantwortlichen, des Verarbeitungszwecks, der Rechte der Betroffenen und deren Ausübung
• Interne Richtlinien: Organisationen müssen interne Datenschutzrichtlinien entwickeln, die dem Gesetz entsprechen, und diese den betroffenen Personen zugänglich machen
• Internationale Datenübermittlungen: Das Dekret legt die Bedingungen für die Übermittlung personenbezogener Daten in Länder fest, die kein angemessenes Schutzniveau bieten
• Datenspeicherung: Richtlinien darüber, wie lange personenbezogene Daten gespeichert werden dürfen, und die Verfahren zur Löschung nach Ablauf der Speicherfrist

Praktische Schritte zur Einhaltung

Die Einhaltung des Gesetzes 1581 erfordert einen strukturierten Ansatz. Hier sind die wesentlichen Schritte, die Organisationen befolgen sollten:

1. Dateninventar durchführen: Erfassen Sie alle personenbezogenen Daten, die Ihre Organisation erhebt, verarbeitet und speichert. Identifizieren Sie die Datenkategorien, Verarbeitungszwecke und die Rechtsgrundlage für jede Aktivität
2. Datenschutzrichtlinie entwickeln: Erstellen Sie eine umfassende Datenschutzrichtlinie, die alle Anforderungen des Gesetzes 1581 und des Dekrets 1377 erfüllt. Stellen Sie sicher, dass sie öffentlich zugänglich und in klarer Sprache verfasst ist
3. Einwilligungsmechanismen implementieren: Etablieren Sie robuste Verfahren zur Einholung, Erfassung und Verwaltung der Einwilligung betroffener Personen
4. Im RNBD registrieren: Schließen Sie die Registrierung aller Datenbanken, die personenbezogene Daten enthalten, im Nationalen Datenbankregister der SIC ab
5. Verfahren für Betroffenenrechte einrichten: Erstellen Sie Workflows zur Bearbeitung von Rechteansprüchen, einschließlich Auskunft, Berichtigung, Löschung und Beschwerden, innerhalb der gesetzlich vorgeschriebenen Fristen
6. Sicherheitsmaßnahmen einsetzen: Implementieren Sie technische und organisatorische Maßnahmen, die der Sensibilität der verarbeiteten Daten angemessen sind
7. Personal schulen: Stellen Sie sicher, dass alle Mitarbeiter, die personenbezogene Daten verarbeiten, ihre Pflichten durch regelmäßige Sensibilisierungsschulungen verstehen
8. Datenschutzverantwortlichen bestellen: Benennen Sie eine Person oder ein Team, das für die Überwachung der Datenschutz-Compliance verantwortlich ist. Erwägen Sie die Beauftragung eines externen Datenschutzbeauftragten für fachkundige Beratung
9. Überwachen und überprüfen: Prüfen Sie regelmäßig Ihre Datenverarbeitungsaktivitäten und aktualisieren Sie Ihre Richtlinien und Verfahren, um Änderungen im Recht oder in Ihren Geschäftsabläufen zu berücksichtigen

Fazit

Kolumbiens Gesetz 1581 von 2012 schafft einen robusten Rahmen für den Schutz personenbezogener Daten, der sich an internationalen Best Practices orientiert. Die Einhaltung ist nicht optional, und die SIC hat ihre Bereitschaft gezeigt, das Gesetz durch Inspektionen und Strafen durchzusetzen. Durch das Verständnis der Prinzipien, die korrekte Klassifizierung Ihrer Daten, die Erfüllung der Registrierungsanforderungen und die Implementierung starker Governance-Praktiken kann Ihre Organisation die Einhaltung erreichen und aufrechterhalten und gleichzeitig Vertrauen bei Kunden und Partnern auf dem kolumbianischen Markt aufbauen.