Colombias databeskyttelsesmyndighed, Superintendencia de Industria y Comercio (SIC), har beføjelse til at pålægge organisationer alvorlige sanktioner, når de mishandler personoplysninger. Colombias SIC-databeskyttelsesbøder diskuteres ofte i abstrakte vendinger, men et nærmere blik på, hvordan lov 1581 håndhæves, viser, hvad tilsynsmyndigheden forventer i praksis, og hvorfor reglerne er vigtige for alle, hvis data ligger hos en virksomhed eller en tredjepartsleverandør.

En bemærkning om kilder: artiklen, der gav anledning til dette indlæg, er en kort oversigt over, hvad overtrædelse af lov 1581 kan koste. Dette indlæg bygger på den ramme og på offentligt tilgængelige juridiske resuméer af loven, og det nævner ikke enkelte virksomheder eller bødebeløb ud over, hvad disse resuméer angiver.

Colombias SIC-databeskyttelsesbøder: Hvad lov 1581 tillader

Lov 1581 af 2012 er Colombias generelle lov om beskyttelse af personoplysninger. Juridiske resuméer beskriver SIC's sanktionsbeføjelser som dækkende både dataansvarlige (de organisationer, der beslutter, hvorfor data indsamles) og databehandlere (dem, der behandler dem på deres vegne).

De sanktioner, der rapporteres i disse resuméer, omfatter:

  • Bøder på op til 2.000 gange den månedlige mindsteløn. Fordi loftet er knyttet til mindstelønnen, ændrer beløbet i pesos og dollars sig over tid. Et resumé anslår det til cirka COP 2 milliarder, eller omkring 500.000 USD. En ældre juridisk briefing fra 2015 citerede et loft på COP 1.288.000.000, omkring 450.000 USD på det tidspunkt.
  • Suspension af databehandlingsaktiviteter. Resuméer beskriver suspensioner på op til seks måneder.
  • Midlertidig eller permanent nedlukning af behandlingsaktiviteter i mere alvorlige sager.

Suspensionsbeføjelserne fortjener lige så meget opmærksomhed som bøderne. For en virksomhed, hvis forretning kører på kundedata, kan et påbud om at stoppe behandlingen koste mere end selve bøden.

De mest almindelige årsager til sanktioner

SIC's håndhævelseshistorik handler ikke kun om overskrifter med store bøder. Et juridisk brancheresumé bemærkede, at tilsynsmyndighedens samlede bøder havde passeret 1 million USD, og at den havde udstedt 1.094 påbud om at rette, opdatere og slette data. Det fortæller os, at en stor del af SIC's arbejde involverer personer, der håndhæver rettigheder over deres egne oplysninger, og organisationer, der undlader at reagere korrekt.

Baseret på forpligtelserne i lov 1581 og den håndhævelsesaktivitet, der beskrives i offentlige resuméer, er de tilbagevendende problemområder:

  • Manglende efterlevelse af anmodninger fra registrerede. Folk kan bede om at se, rette, opdatere eller slette deres data. At ignorere eller mishandle disse anmodninger fører til påbud om rettelse.
  • Manglende registrering af databaser. Colombia indførte et nationalt databaseregister, og juridisk kommentar har advaret om, at manglende overholdelse af registreringskravet kan medføre administrative sanktioner.
  • Svag praksis for samtykke og bemyndigelse. Indsamling eller brug af data uden et ordentligt grundlag er en central compliance-risiko efter loven.
  • Utilstrækkelig sikkerhed. Organisationer forventes at beskytte de data, de opbevarer, og det er her, brud bliver et regulatorisk spørgsmål.

De fleste af disse er procesfejl, ikke eksotiske tekniske fejl. Det er godt nyt for organisationer, da de kan udbedres med dokumentation og disciplin.

Hvordan Colombia klarer sig sammenlignet med bredere håndhævelse af privatlivsregler

Colombias maksimale bøde, omkring en halv million dollars efter nyere skøn, er beskeden sammenlignet med de omsætningsbaserede sanktioner, man ser i visse andre privatlivsregimer. Et loft knyttet til mindstelønnen er et fast maksimum, ikke en procentdel af, hvad en virksomhed tjener, så meget store firmaer kan mærke det mindre.

Alligevel rammer det ved siden af pointen kun at sammenligne den højeste bøde. SIC kombinerer bøder med påbud om rettelse og muligheden for at suspendere behandling. Den anvender også loven på en bred vifte af organisationer, og registreringskravet giver den indsigt i, hvem der har hvad. For multinationale selskaber er Colombia endnu en jurisdiktion, hvor en genvej i datahåndteringen kan skabe et formelt håndhævelsesproblem.

Hvad brud som Addi.com betyder for regulatorisk eksponering

Brud er der, hvor compliance-huller bliver offentlige. Når en colombiansk finansiel servicevirksomhed bliver udsat for et målrettet angreb, som i ShinyHunters-angrebet på Addi.com, følger spørgsmål om sikkerhedsforanstaltninger og datahåndtering naturligt. Vi kan ikke sige, hvordan en tilsynsmyndighed vil reagere på en bestemt hændelse, og et påstået brud er ikke en konstatering af en overtrædelse. Men sikkerhedsforpligtelserne i lov 1581 er den ramme, hvorunder sådanne hændelser ville blive bedømt.

Tredjeparter tilføjer endnu et lag. Ansvaret for personoplysninger forsvinder ikke, når en virksomhed overdrager dem til en leverandør, og en leverandørs fejl kan stadig udsætte den organisation, der indsamlede dem. Trezor-bruddet knyttet til deres forsendelsespartner ShipMonk er et klart eksempel på kundedata, der blev eksponeret gennem en leverandør snarere end gennem selve brandet.

Hvad dette betyder for dig

Hvis du bor i Colombia eller deler data med colombianske virksomheder, giver lov 1581 dig rettigheder, herunder muligheden for at spørge, hvad en organisation har om dig, og anmode om rettelser eller sletning. SIC's historik med påbud om rettelse viser, at disse anmodninger ikke bare er en formalitet.

Hvis du driver en organisation, er læren, at de fleste sanktioner kommer fra grundlæggende forpligtelser: samtykke, registrering, reaktion på anmodninger og sikkerhed. Leverandører bør holdes til samme standarder som dine egne systemer.

Handlingsorienterede pointer

  1. Anmod om dine data. Spørg udbydere, hvilke personoplysninger de har, og anmod om rettelser eller sletning, hvis de er unøjagtige eller ikke længere nødvendige.
  2. Del mindre. Giv kun virksomheder, hvad en tjeneste reelt kræver.
  3. Spørg om leverandører. Find ud af, om dine data videregives til forsendelses-, betalings- eller analysepartnere.
  4. For organisationer: tjek databaseregistrering, dokumentér samtykke, og test, hvor hurtigt du kan besvare en anmodning fra en registreret.
  5. Hold øje med brudmeddelelser, og skift adgangskoder hurtigt, hvis en kommer.

For at se, hvordan et brud hos en colombiansk virksomhed udspiller sig i praksis, kan du læse vores rapport om Addi.com ShinyHunters-hændelsen og derefter tjekke, hvilke data dine egne udbydere har om dig. Det er nyttigt at forstå Colombias SIC-databeskyttelsesbøder, men at vide, hvor dine oplysninger ligger, er det, der faktisk reducerer din risiko.