De acuerdo con lo expresado por la Corte Constitucional en la Sentencia C-748 de 2011, recae sobre la autoridad en materia de protección de datos personales el deber de identificar los diferentes agentes que participan en el tratamiento del dato y establecer sus responsabilidades y obligaciones, en vista de que, por definición el Responsable y/o el Encargado del tratamiento puede conformarse por un numero plural de sujetos.
Conozca aquí toda la normativa de Protección de Datos y Seguridad de la información
Bajo esta perspectiva, en una sociedad legalmente constituida, quien ostenta la calidad de administrador debe cumplir con ciertas obligaciones jurídicas, incluyendo aquellas relacionadas con el tratamiento de datos personales, según lo establecido en las leyes estatutarias 1266 de 2008, 1581 de 2012, 2157 de 2021 y sus respectivos decretos reglamentarios, al actuar como corresponsables junto con la persona jurídica en la toma de decisiones sobre los medios y fines del tratamiento de los datos.
Por tal razón, la Superintendencia impartió instrucciones específicas para estos agentes, en relación con el tratamiento de datos personales, con el fin de garantizar una correcta administración de la información en las empresas. Estas pautas están contenidas en la Circular Externa 003 de 2024 y establecen el alcance de las obligaciones en el tratamiento de datos personales de la siguiente manera:
- Los administradores societarios deben cumplir con lo establecido en las regulaciones referentes a la protección de datos personales.
- Las Políticas Internas Efectivas, establecidas por los administradores, deben contemplar medidas monitoreo y control para verificar que efectivamente se cumplen.
- Las Políticas Internas Efectivas deben poder ser conocidas y promovidas por los administradores. Entre los posibles mecanismos para cumplir con esta premisa se encuentra:
- Designar una persona o área que se encargue de la protección de Datos personales en la organización.
- Aprobar y verificar que se cumpla el manual interno de políticas y procedimientos
- Disponer de canales de comunicación para informar a los administradores sobre las Políticas Internas Efectivas y su ejecución.
Podría interesarle: ¿Por qué sancionan a las empresas en Colombia? Análisis Actos Administrativos
4. Los administradores societarios deben implementar lineamientos para la adopción de medidas preventivas en procura de proteger los derechos de los titulares de Datos Personales. La SIC presenta como ejemplo de los estudios de impacto de privacidad que debe tener como mínimo una descripción de las operaciones de Tratamiento, una evaluación en la cual se identifiquen y clasifiquen “los riesgos específicos para los derechos y libertades de los Titulares de los Datos Personales” y unas medidas que eviten la materialización de esos riesgos.
5. Los administradores societarios deben establecer lineamientos que fortalezcan las medidas de seguridad de la información, especialmente, la gestión de riesgos que debe contener el manual interno de políticas.
Además, en la Circular se hizo referencia a la sentencia C-213 de 2006 de la Corte Constitucional para señalar que los administradores de sociedades en el ejercicio de sus funciones deben actuar con la diligencia de un hombre de negocios, es decir, una diligencia mayor de la común y corriente, para orientar el cumplimiento de las metas que la sociedad se propone. De esta manera, se establece que los administradores en su actuar diligente están obligados a “adoptar medidas útiles, oportunas, eficientes y demostrables” en virtud del principio de responsabilidad demostrada o «accountability«.
REFERENCIA.
Circular Externa No. 003 de 2024 [Superintendencia de Industria y Comercio]. Instrucciones para los administradores societarios en relación con el Tratamiento de Datos personales. 22 de agosto de 2024.
