REP27 · Artículo 27 RGPD · Colombia
Artículo 27 RGPD · Colombia
Colombia tiene una de las autoridades de protección de datos más activas de la región y un registro obligatorio de bases de datos que no existe en Europa. Eso lleva a muchas empresas colombianas a dar por hecho que, cumpliendo en casa, cumplen fuera. No funciona así: el Reglamento europeo se aplica por separado y pide una figura que la ley colombiana no contempla.
La tabla siguiente pone una al lado de la otra las dos listas de obligaciones. Ninguna casilla de la izquierda satisface una de la derecha.
| Aspecto | Colombia | Unión Europea |
|---|---|---|
| Quién vigila | Superintendencia de Industria y Comercio | Autoridad de control del Estado miembro donde esté el representante |
| Norma aplicable | Ley 1581 de 2012 | Reglamento (UE) 2016/679 |
| Registro previo | Sí, RNBD ante la SIC | No hay registro; sí un representante designado por escrito |
| Figura obligatoria | Responsable y encargado | Representante en la Unión, artículo 27 |
| Sanción máxima | 2.000 salarios mínimos mensuales | 20 millones de euros o el 4% de la facturación mundial |
| Autorización previa | Sí, consentimiento previo y expreso | No siempre: hay seis bases jurídicas, el consentimiento es una de ellas |
Ley 1581 de 2012, desarrollada por el Decreto 1377 de 2013
Superintendencia de Industria y Comercio (SIC), Delegatura para la Protección de Datos Personales
Registro Nacional de Bases de Datos (RNBD), obligatorio para responsables con activos superiores a determinados topes
No. Colombia no figura entre los países con decisión de adecuación de la Comisión Europea, de modo que las transferencias desde la Unión necesitan cláusulas contractuales tipo u otra garantía del artículo 46.
Sectores desde los que más nos escriben: software y desarrollo a medida, BPO y centros de contacto, turismo receptivo, exportación de flores y café, fintech y servicios profesionales.
El precio es cerrado y no depende del número de solicitudes que reciba.
Firmada conforme al artículo 27, con el territorio cubierto sin ambigüedad y firma electrónica reconocida.
Con código público que su cliente europeo, su banco o su auditor pueden comprobar sin pasar por usted.
Los párrafos de los artículos 13 y 14, redactados en cada idioma en que usted se dirige al público.
Recibimos, registramos y le trasladamos el expediente traducido en dos días hábiles.
Lo conservamos con la información que nos facilite y lo exhibimos si la autoridad lo pide.
No. El Registro Nacional de Bases de Datos es una obligación colombiana ante la Superintendencia y no produce ningún efecto ante las autoridades europeas. Son dos regímenes que corren en paralelo: uno no sustituye al otro ni lo atenúa.
Poco. El Reglamento protege a las personas físicas, y en una venta entre empresas usted sigue tratando datos de personas: quien firma, quien recibe la factura, quien escribe desde su correo corporativo. Si esas personas están en la Unión, el artículo 3.2 se aplica.
El representante es el destinatario de las comunicaciones y puede ser objeto de acciones de ejecución, pero la responsabilidad sustantiva por el tratamiento sigue siendo suya. Nosotros recibimos, registramos y le trasladamos; las decisiones sobre los datos las toma usted.
Es lo habitual desde hace dos años: el equipo de compras lo pide antes de aprobar al proveedor. Le entregamos la designación firmada y el certificado con código verificable el mismo día, y esa es la prueba que su cliente archiva.
El del interesado, entre ocho. Un ciudadano alemán escribe en alemán y recibe respuesta en alemán; a usted le llega el expediente traducido con el plazo del artículo 12 ya calculado.
Veinticuatro horas desde el formulario completo. Una persona revisa cada expediente antes de firmar; si no podemos aceptarlo, se devuelve el importe íntegro y se explica el motivo por escrito.