La protection des données dans l'externalisation colombienne : comprendre la Ley 1581

Le cadre en bref

La Colombie dispose d'un régime mûr de protection des données. Son fondement est la Ley 1581 de 2012, la loi générale de protection des données, complétée par le Décret 1377 de 2013 qui en régit certains aspects d'application. L'autorité de supervision est la Superintendencia de Industria y Comercio, la SIC, qui tient le registre national des bases de données et fait appliquer le régime. Cet article est un aperçu général et ne constitue pas un avis juridique. Les arrangements spécifiques devraient être examinés par un conseil colombien qualifié.

Les concepts fondamentaux

Le régime est centré sur le titular, la personne concernée, dont les données personnelles sont traitées. Il définit le responsable, la partie qui décide du traitement, et l'encargado, la partie qui traite les données pour le compte du responsable. Dans un arrangement d'externalisation, ces rôles importent, car ils déterminent qui porte quelle obligation. Le régime repose sur le principe de l'autorisation préalable, expresse et éclairée : en règle générale, les données personnelles ne peuvent être traitées qu'avec le consentement de la personne concernée, obtenu avant le traitement et éclairé quant à sa finalité.

Les droits de la personne concernée

Le régime, souvent désigné à travers le concept constitutionnel d'habeas data, accorde aux personnes concernées un ensemble de droits sur leurs informations. Ceux-ci incluent le droit de savoir quelles données sont détenues et comment elles sont traitées, d'y accéder, de les faire rectifier ou mettre à jour lorsqu'elles sont inexactes, et de demander leur suppression lorsque le traitement ne respecte pas la loi. Les organisations doivent fournir un mécanisme pour l'exercice de ces droits et doivent répondre dans les délais fixés par le régime.

Ce que cela signifie pour l'externalisation

Pour une entreprise qui externalise vers la Colombie, ou pour une entreprise colombienne qui externalise sur son territoire, les implications pratiques sont concrètes. Il doit exister une base légale et une autorisation appropriée pour les données personnelles traitées. L'arrangement de traitement entre les parties devrait être documenté, avec des rôles et des obligations clairs. Les mesures de sécurité doivent être appropriées. Les droits des personnes concernées doivent être honorés par une procédure définie. Et les transferts internationaux de données comportent leurs propres exigences au titre du régime.

Un partenaire d'externalisation sérieux opérant en Colombie disposera d'une position de conformité documentée : une politique de confidentialité et une politique de traitement des données, des mécanismes définis de consentement et d'autorisation, une procédure pour les demandes des personnes concernées, des calendriers de conservation, des contrôles de sécurité et un contact désigné pour les questions de protection des données. Les acheteurs devraient demander à en prendre connaissance, et devraient s'attendre à ce que le partenaire accepte un audit.

Pourquoi c'est un atout et non un obstacle

Il est tentant de voir la protection des données comme une friction. Il vaut mieux la comprendre comme une assurance. Un partenaire doté d'une position de conformité mûre à la Ley 1581, opérant en tant qu'entité juridique colombienne au sein d'une structure de gouvernance responsable, donne aux propres fonctions conformité et risque de l'acheteur quelque chose qu'elles peuvent examiner et sur quoi s'appuyer. Pour les acheteurs réglementés en particulier, c'est souvent ce qui transforme un prestataire prometteur en un prestataire approuvable. Le régime qui protège la personne concernée protège aussi l'acheteur qui choisit un partenaire qui le prend au sérieux.

NOTE

Cet article est un aperçu général et ne constitue pas un avis juridique. Les arrangements spécifiques de protection des données devraient être examinés par un conseil colombien qualifié.