Kolumbiens Datenschutzaufsichtsbehörde, die Superintendencia de Industria y Comercio (SIC), hat die Befugnis, Organisationen bei Missbrauch personenbezogener Daten mit schweren Sanktionen zu belegen. Kolumbiens SIC-Datenschutz...

Kolumbiens Datenschutzaufsichtsbehörde, die Superintendencia de Industria y Comercio (SIC), hat die Befugnis, Organisationen bei Missbrauch personenbezogener Daten mit schweren Sanktionen zu belegen. Kolumbiens SIC-Datenschutzbußgelder werden oft abstrakt diskutiert, doch ein genauerer Blick darauf, wie Gesetz 1581 durchgesetzt wird, zeigt, was Aufsichtsbehörden in der Praxis erwarten und warum die Regeln für jeden relevant sind, dessen Daten bei einem Unternehmen oder einem Drittanbieter liegen.

Ein Hinweis zur Quellenlage: Der Artikel, der zu diesem Beitrag geführt hat, ist eine kurze Übersicht darüber, was die Verletzung von Gesetz 1581 kosten kann. Dieser Beitrag stützt sich auf diese Darstellung und auf öffentlich verfügbare rechtliche Zusammenfassungen des Gesetzes und nennt keine einzelnen Unternehmen oder Bußgeldbeträge über das hinaus, was diese Zusammenfassungen angeben.

Kolumbiens SIC-Datenschutzbußgelder: Was Gesetz 1581 erlaubt

Gesetz 1581 von 2012 ist Kolumbiens allgemeines Gesetz zum Schutz personenbezogener Daten. Rechtliche Zusammenfassungen beschreiben die Sanktionsbefugnisse der SIC als sowohl für Datenverantwortliche (die Organisationen, die entscheiden, warum Daten erhoben werden) als auch für Datenverarbeiter (die, die sie in ihrem Auftrag verarbeiten) geltend.

Die in diesen Zusammenfassungen genannten Sanktionen umfassen:

• Bußgelder von bis zu 2.000 Mal des monatlichen Mindestlohns. Da die Obergrenze an den Mindestlohn gekoppelt ist, ändert sich der Betrag in Pesos und Dollar im Laufe der Zeit. Eine Zusammenfassung beziffert ihn auf etwa 2 Milliarden COP oder rund 500.000 US-Dollar. Ein älteres rechtliches Briefing aus dem Jahr 2015 nannte eine Obergrenze von 1.288.000.000 COP, damals etwa 450.000 US-Dollar.
• Aussetzung der Datenverarbeitungstätigkeiten. Zusammenfassungen beschreiben Aussetzungen von bis zu sechs Monaten.
• Vorübergehende oder dauerhafte Stilllegung der Verarbeitungsvorgänge in schwerwiegenderen Fällen.

Die Aussetzungsbefugnisse verdienen ebenso viel Aufmerksamkeit wie die Bußgelder. Für ein Unternehmen, dessen Geschäft auf Kundendaten basiert, kann die Anordnung, deren Verarbeitung einzustellen, mehr kosten als das Bußgeld selbst.

Die häufigsten Ursachen für Sanktionen

Die Durchsetzungsbilanz der SIC dreht sich nicht nur um spektakuläre Bußgelder. Eine Zusammenfassung der Rechtsbranche stellte fest, dass die Gesamtbußgelder der Aufsichtsbehörde 1 Million US-Dollar überschritten hatten und dass sie 1.094 Anordnungen zur Berichtigung, Aktualisierung und Löschung von Daten erlassen hatte. Das zeigt uns, dass ein Großteil der Arbeit der SIC darin besteht, dass Menschen Rechte an ihren eigenen Informationen geltend machen und Organisationen nicht ordnungsgemäß reagieren.

Basierend auf den Pflichten in Gesetz 1581 und der in öffentlichen Zusammenfassungen beschriebenen Durchsetzungstätigkeit sind die wiederkehrenden Problembereiche:

• Nichterfüllung von Betroffenenanträgen. Personen können verlangen, ihre Daten einzusehen, zu berichtigen, zu aktualisieren oder zu löschen. Das Ignorieren oder unsachgemäße Bearbeiten dieser Anträge führt zu Korrekturanordnungen.
• Versäumnis der Datenbankregistrierung. Kolumbien hat ein nationales Datenbankregister eingeführt, und rechtliche Kommentare haben gewarnt, dass die Nichterfüllung der Registrierungspflicht administrative Sanktionen nach sich ziehen kann.
• Schwache Einwilligungs- und Genehmigungspraktiken. Das Erheben oder Verwenden von Daten ohne ordnungsgemäße Grundlage ist ein zentrales Compliance-Risiko nach dem Gesetz.
• Unzureichende Sicherheit. Organisationen wird erwartet, dass sie die Daten schützen, die sie halten – hier werden Datenschutzverletzungen zu einem regulatorischen Problem.

Die meisten davon sind Prozessfehler, keine exotischen technischen. Das ist eine gute Nachricht für Organisationen, denn sie sind mit Dokumentation und Disziplin behebbar.

Wie Kolumbien im weiteren Datenschutz-Durchsetzungsumfeld abschneidet

Kolumbiens Höchststrafe von rund einer halben Million Dollar nach neueren Schätzungen ist bescheiden im Vergleich zu den umsatzbasierten Sanktionen in einigen anderen Datenschutzregimen. Eine an den Mindestlohn gekoppelte Obergrenze ist eine feste Grenze, nicht ein Prozentsatz dessen, was ein Unternehmen verdient, sodass sehr große Firmen sie möglicherweise weniger spüren.

Dennoch verfehlt der reine Vergleich der Höchststrafe den Punkt. Die SIC kombiniert Bußgelder mit Korrekturanordnungen und der Möglichkeit, die Verarbeitung auszusetzen. Sie wendet das Gesetz auch auf eine breite Palette von Organisationen an, und die Registrierungspflicht verschafft ihr Einblick darüber, wer was hält. Für multinationale Unternehmen ist Kolumbien eine weitere Jurisdiktion, in der eine Abkürzung beim Umgang mit Daten ein formelles Durchsetzungsproblem schaffen kann.

Was Datenschutzverletzungen wie Addi.com für die regulatorische Exposition bedeuten

Datenschutzverletzungen sind der Punkt, an dem Compliance-Lücken öffentlich werden. Wenn ein kolumbianisches Finanzdienstleistungsunternehmen ins Visier gerät, wie beim ShinyHunters-Angriff auf Addi.com, folgen natürlich Fragen zu Sicherheitsvorkehrungen und Datenhandhabung. Wir können nicht sagen, wie eine Aufsichtsbehörde auf einen bestimmten Vorfall reagieren wird, und eine behauptete Datenschutzverletzung ist kein Feststellung eines Verstoßes. Aber die Sicherheitspflichten in Gesetz 1581 sind der Rahmen, nach dem solche Ereignisse beurteilt würden.

Drittanbieter fügen eine weitere Ebene hinzu. Die Verantwortung für personenbezogene Daten verschwindet nicht, wenn ein Unternehmen sie einem Anbieter übergibt, und das Versagen eines Anbieters kann immer noch die Organisation bloßstellen, die sie erhoben hat. Die Trezor-Datenschutzverletzung im Zusammenhang mit seinem Versandpartner ShipMonk ist ein klares Beispiel dafür, dass Kundendaten über einen Lieferanten statt über die Marke selbst offengelegt werden.

Was das für Sie bedeutet

Wenn Sie in Kolumbien leben oder Daten mit kolumbianischen Unternehmen teilen, gibt Ihnen Gesetz 1581 Rechte, einschließlich der Möglichkeit zu fragen, was eine Organisation über Sie gespeichert hat, und Berichtigungen oder Löschung zu verlangen. Die Bilanz der Korrekturanordnungen der SIC zeigt, dass diese Anträge nicht nur eine Formalität sind.

Wenn Sie eine Organisation leiten, lautet die Lehre, dass die meisten Sanktionen aus grundlegenden Pflichten entstehen: Einwilligung, Registrierung, Reaktion auf Anträge und Sicherheit. Anbieter sollten an denselben Standards gemessen werden wie Ihre eigenen Systeme.

Umsetzbare Erkenntnisse

1. Fordern Sie Ihre Daten an. Fragen Sie Anbieter, welche personenbezogenen Informationen sie über Sie speichern, und verlangen Sie Berichtigungen oder Löschung, wenn sie ungenau oder nicht mehr erforderlich sind.
2. Teilen Sie weniger. Geben Sie Unternehmen nur das, was ein Dienst wirklich benötigt.
3. Fragen Sie nach Anbietern. Finden Sie heraus, ob Ihre Daten an Versand-, Zahlungs- oder Analyspartner weitergegeben werden.
4. Für Organisationen: Prüfen Sie die Datenbankregistrierung, dokumentieren Sie die Einwilligung und testen Sie, wie schnell Sie einen Betroffenenantrag beantworten können.
5. Achten Sie auf Datenschutzverletzungsmitteilungen und ändern Sie Passwörter umgehend, wenn eine eintrifft.

Um zu sehen, wie sich eine Datenschutzverletzung bei einem kolumbianischen Unternehmen in der Praxis auswirkt, lesen Sie unseren Bericht zum Addi.com-ShinyHunters-Vorfall und prüfen Sie dann, welche Daten Ihre eigenen Anbieter über Sie speichern. Das Verständnis der SIC-Datenschutzbußgelder in Kolumbien ist nützlich, aber zu wissen, wo Ihre Informationen liegen, ist das, was Ihr Risiko tatsächlich reduziert.

FAQ: Q1: Was ist das maximale Bußgeld, das die SIC nach Gesetz 1581 verhängen kann? A1: Bußgelder können bis zu 2.000 Mal des monatlichen Mindestlohns erreichen, was eine Zusammenfassung auf etwa 2 Milliarden COP oder rund 500.000 US-Dollar beziffert. Q2: Kann die SIC die Datenverarbeitungstätigkeiten eines Unternehmens aussetzen? A2: Ja, Zusammenfassungen beschreiben Aussetzungen von bis zu sechs Monaten sowie die vorübergehende oder dauerhafte Stilllegung von Verarbeitungsvorgängen in schwerwiegenderen Fällen. Q3: Wen kann die SIC nach Gesetz 1581 sanktionieren? A3: Die Sanktionsbefugnisse der SIC gelten sowohl für Datenverantwortliche, die entscheiden, warum Daten erhoben werden, als auch für Datenverarbeiter, die sie in ihrem Auftrag verarbeiten. Q4: Was sind die häufigsten Gründe, warum Unternehmen von der SIC sanktioniert werden? A4: Wiederkehrende Problembereiche sind die Nichterfüllung von Betroffenenanträgen, das Versäumnis der Datenbankregistrierung, schwache Einwilligungs- und Genehmigungspraktiken und unzureichende Sicherheit. Q5: Warum sind die Aussetzungsbefugnisse der SIC ebenso wichtig wie ihre Bußgelder? A5: Für ein Unternehmen, dessen Geschäft auf Kundendaten basiert, kann die Anordnung, deren Verarbeitung einzustellen, mehr kosten als das Bußgeld selbst. ---END---