Continuando con las recomendaciones impartidas por la Superintendencia de Industria y Comercio sobre el Tratamiento de Datos Personales en los Edificios o Conjuntos sometidos al Régimen de Propiedad Horizontal, compartimos la segunda parte de las pautas sugeridas por la entidad, para orientar a los administradores, consejos de administración, empresas de vigilancia y personal operativo sobre cómo recolectar, almacenar y proteger correctamente los datos personales, en los siguientes términos:
GARANTICE LA SEGURIDAD DE LOS DATOS PERSONALES
Debe ser protegida toda la información que se recolecte mediante plantillas, formularios, videovigilancia, huelleros, reconocimiento facial, sistemas biométricos o por cualquier otro medio físico o electrónico.
Sin seguridad no habrá debido Tratamiento de los Datos Personales. Es fundamental adoptar medidas tecnológicas, humanas, administrativas, físicas, contractuales y de cualquier otra índole que eviten:
◊ Accesos indebidos o no autorizados a la información
◊ Manipulación de la información
◊ Destrucción de la información
◊ Usos indebidos o no autorización de la información
◊ Circular o suministrar la información a personas no autorizadas
Las medidas de seguridad deben ser apropiadas considerando varios factores como:
(i) los niveles de riesgo del Tratamiento para los derechos y libertades de los Titulares de los datos;
(ii) la naturaleza de los datos;
(iii) Las posibles consecuencias que se derivarían de una vulneración para los Titulares y la magnitud del daño que se puede causar a ellos, al Responsable y a la sociedad en general;
(iv) el número de Titulares de los datos y la cantidad de información;
(v) el tamaño de la organización;
(vi) los recursos disponibles,
(vii) el estado de la técnica, y
(viii) el alcance, contexto y finalidades del Tratamiento de la información. Todas las medidas de seguridad, deben ser objeto de revisión, evaluación y mejora permanente.
ELIMINE LOS DATOS PERSONALES TAN PRONTO CUMPLAN LA FINALIDAD PARA LA CUAL FUERON RECOLECTADOS
La Corte Constitucional ha señalado que “los datos deberán ser conservados en una forma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de los datos personales no debe exceder del necesario para alcanzar la necesidad con que se han registrado”.
Teniendo en cuenta lo anterior, en el artículo 1119 del decreto 1377 de 2013 se establece que los “Responsables y Encargados del Tratamiento solo podrán recolectar, almacenar, usar o circular los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento”. La idea es no almacenar y usar datos indefinidamente. En otros términos, si expiró el tiempo del Tratamiento autorizado por el Titular o ya se cumplió la finalidad del mismo y no existe una norma legal que disponga lo contrario, “el Responsable y el Encargado deberán proceder a la supresión de los datos personales en su posesión”.
El citado artículo menciona algunos factores que se deben considerar en cada caso concreto para establecer el tiempo de conservación de la información como, entre otros, “las disposiciones aplicables a la materia de que se trate y a los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información”21. Adicionalmente, dice la norma que los datos “deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal o contractual”
Los edificios y conjuntos pueden tratar los datos por el tiempo necesario siempre y cuando justifiquen dicho término o período razonablemente. Ahora bien, en consonancia con el Principio de Responsabilidad Demostrada, el artículo en comento ordena a los Responsables y Encargados “documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate, así como las instrucciones que al respecto imparta la Superintendencia de Industria y Comercio”.
GARANTICE LA CONFIDENCIALIDAD DE LA INFORMACIÓN
Las personas involucradas en el Tratamiento de Datos Personales deben mantener en reserva o secreto los Datos Personales que conocen con ocasión de su trabajo o gestión (personas que viven en un inmueble, datos de contacto, vehículos, visitantes, videograbaciones, trabajadores). No pueden hacer de conocimiento público los datos privados a menos que lo autorice el titular o la ley o exista orden judicial.
En efecto, de conformidad con el literal h) del artículo 4 de la Ley 1581 de 2012 “todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma”.
ES IMPORTANTE QUE LOS EDIFICIOS Y CONJUNTOS:
◊ Capaciten a su equipo humano (empleados, contratistas), al perteneciente a empresas de vigilancia privada o seguridad, a contadores y a todos los que tienen acceso a Datos Personales contenidos en planillas, grabaciones, formularios, etc., para que no suministren ni permitan acceso a esa información a terceros no autorizados por los Titulares de los datos o la ley.
◊ Pacten cláusulas de confidencialidad en todos los contratos con sus empleados, contratistas, contadores, empresas de vigilancia o seguridad y terceros.
◊ No envíen comunicaciones electrónicas masivas que permitan a los destinatarios conocer información de otras personas (direcciones de correo electrónico, cuentas de cobro, etc). Remitan correos electrónicos de forma tal que el destinatario sólo pueda ver su dirección de correo y no tenga acceso a las direcciones de correo de otros destinatarios de la misma comunicación.
◊ Remitan mensajes únicamente a personas respecto de las cuales se tenga autorización previa, expresa e informada para enviarle comunicaciones a su dirección de correo electrónico. Para el efecto, antes de enviar el mensaje se debe verificar si se cuenta con dicha autorización, salvo que se trate de direcciones de correo que son datos públicos como, entre otras, direcciones corporativas o relacionadas con la profesión u oficio de una persona.
Fuente: https://sedeelectronica.sic.gov.co/noticias/superindustria-lanza-la-guia-para-el-tratamiento-de-datos-personales-en-la-propiedad-horizontal