Η ρυθμιστική αρχή προστασίας δεδομένων της Κολομβίας, η Superintendencia de Industria y Comercio (SIC), έχει την εξουσία να επιβάλλει σοβαρές κυρώσεις σε οργανισμούς όταν κακοδιαχειρίζονται προσωπικά δεδομένα. Τα πρόστιμα της SIC της Κολομβίας για την προστασία δεδομένων συζητούνται συχνά σε αφηρημένο επίπεδο, αλλά μια πιο προσεκτική ματιά στο πώς εφαρμόζεται ο Νόμος 1581 δείχνει τι αναμένουν οι ρυθμιστικές αρχές στην πράξη, και γιατί οι κανόνες έχουν σημασία για οποιονδήποτε τα δεδομένα του βρίσκονται σε μια εταιρεία ή σε τρίτο προμηθευτή.

Μια σημείωση για τις πηγές: το άρθρο που αποτέλεσε την αφορμή για αυτή την ανάρτηση είναι μια σύντομη επισκόπηση του τι μπορεί να κοστίσει η παραβίαση του Νόμου 1581. Αυτή η ανάρτηση βασίζεται σε αυτό το πλαίσιο και σε δημόσια διαθέσιμες νομικές περιλήψεις του νόμου, και δεν κατονομάζει μεμονωμένες εταιρείες ή ποσά προστίμων πέραν όσων αναφέρουν αυτές οι περιλήψεις.

Πρόστιμα της SIC της Κολομβίας για την Προστασία Δεδομένων: Τι Επιτρέπει ο Νόμος 1581

Ο Νόμος 1581 του 2012 είναι ο γενικός νόμος της Κολομβίας για την προστασία προσωπικών δεδομένων. Οι νομικές περιλήψεις περιγράφουν τις εξουσίες επιβολής κυρώσεων της SIC ως καλύπτουσες τόσο τους υπεύθυνους επεξεργασίας δεδομένων (τους οργανισμούς που αποφασίζουν γιατί συλλέγονται τα δεδομένα) όσο και τους εκτελούντες την επεξεργασία (εκείνους που τα χειρίζονται για λογαριασμό τους).

Οι κυρώσεις που αναφέρονται σε αυτές τις περιλήψεις περιλαμβάνουν:

  • Πρόστιμα έως 2.000 φορές τον μηνιαίο κατώτατο μισθό. Επειδή το ανώτατο όριο συνδέεται με τον κατώτατο μισθό, το ποσό σε πέσο και δολάρια αλλάζει με την πάροδο του χρόνου. Μια περίληψη το τοποθετεί σε περίπου 2 δισεκατομμύρια COP, ή περίπου 500.000 δολάρια ΗΠΑ. Ένα παλαιότερο νομικό ενημερωτικό σημείωμα του 2015 ανέφερε ανώτατο όριο 1.288.000.000 COP, περίπου 450.000 δολάρια ΗΠΑ εκείνη την εποχή.
  • Αναστολή των δραστηριοτήτων επεξεργασίας δεδομένων. Οι περιλήψεις περιγράφουν αναστολές έως έξι μηνών.
  • Προσωρινό ή μόνιμο κλείσιμο των εργασιών επεξεργασίας σε πιο σοβαρές περιπτώσεις.

Οι εξουσίες αναστολής αξίζουν τόση προσοχή όση και τα πρόστιμα. Για μια εταιρεία της οποίας η επιχείρηση βασίζεται σε δεδομένα πελατών, μια εντολή να σταματήσει την επεξεργασία τους μπορεί να κοστίσει περισσότερο από το ίδιο το πρόστιμο.

Τα Πιο Συνήθη Αίτια Επιβολής Κυρώσεων

Το ιστορικό επιβολής της SIC δεν αφορά μόνο τα πρόστιμα που προκαλούν πρωτοσέλιδα. Μια περιληπτική έκθεση του νομικού κλάδου σημείωσε ότι τα συνολικά πρόστιμα της ρυθμιστικής αρχής είχαν ξεπεράσει το 1 εκατομμύριο δολάρια ΗΠΑ και ότι είχε εκδώσει 1.094 εντολές για διόρθωση, ενημέρωση και διαγραφή δεδομένων. Αυτό μας λέει ότι μεγάλο μέρος του έργου της SIC αφορά άτομα που διεκδικούν δικαιώματα επί των δικών τους πληροφοριών και οργανισμούς που αποτυγχάνουν να ανταποκριθούν κατάλληλα.

Με βάση τις υποχρεώσεις του Νόμου 1581 και τη δραστηριότητα επιβολής που περιγράφεται σε δημόσιες περιλήψεις, τα επαναλαμβανόμενα προβληματικά σημεία είναι:

  • Μη συμμόρφωση με αιτήματα υποκειμένων δεδομένων. Τα άτομα μπορούν να ζητήσουν να δουν, να διορθώσουν, να ενημερώσουν ή να διαγράψουν τα δεδομένα τους. Η αγνόηση ή η κακή διαχείριση αυτών των αιτημάτων οδηγεί σε διορθωτικές εντολές.
  • Αποτυχία καταχώρισης βάσεων δεδομένων. Η Κολομβία εισήγαγε ένα εθνικό μητρώο βάσεων δεδομένων, και νομικά σχόλια έχουν προειδοποιήσει ότι η παράλειψη της απαίτησης καταχώρισης μπορεί να επιφέρει διοικητικές κυρώσεις.
  • Αδύναμες πρακτικές συγκατάθεσης και εξουσιοδότησης. Η συλλογή ή χρήση δεδομένων χωρίς κατάλληλη βάση αποτελεί βασικό κίνδυνο συμμόρφωσης βάσει του νόμου.
  • Ανεπαρκής ασφάλεια. Οι οργανισμοί αναμένεται να προστατεύουν τα δεδομένα που κατέχουν, και εδώ οι παραβιάσεις γίνονται ρυθμιστικό ζήτημα.

Τα περισσότερα από αυτά είναι αποτυχίες διαδικασιών, όχι εξωτικές τεχνικές. Αυτό είναι καλά νέα για τους οργανισμούς, καθώς είναι διορθώσιμα με τεκμηρίωση και πειθαρχία.

Πώς Συγκρίνεται η Κολομβία με την Ευρύτερη Επιβολή στην Ιδιωτικότητα

Το μέγιστο πρόστιμο της Κολομβίας, περίπου μισό εκατομμύριο δολάρια κατά πρόσφατες εκτιμήσεις, είναι μέτριο σε σύγκριση με τις κυρώσεις που βασίζονται στα έσοδα και παρατηρούνται σε ορισμένα άλλα καθεστώτα ιδιωτικότητας. Ένα ανώτατο όριο συνδεδεμένο με τον κατώτατο μισθό είναι ένα σταθερό πλαφόν, όχι ποσοστό των κερδών μιας εταιρείας, οπότε οι πολύ μεγάλες επιχειρήσεις μπορεί να το αισθάνονται λιγότερο.

Ωστόσο, η σύγκριση μόνο του ανώτατου προστίμου χάνει το νόημα. Η SIC συνδυάζει πρόστιμα με διορθωτικές εντολές και τη δυνατότητα αναστολής της επεξεργασίας. Εφαρμόζει επίσης τον νόμο σε ένα ευρύ φάσμα οργανισμών, και η απαίτηση καταχώρισης της δίνει ορατότητα ως προς το ποιος κατέχει τι. Για πολυεθνικές εταιρείες, η Κολομβία είναι άλλη μια δικαιοδοσία όπου μια συντόμευση στον χειρισμό δεδομένων μπορεί να δημιουργήσει ένα επίσημο πρόβλημα επιβολής.

Τι Σημαίνουν Παραβιάσεις όπως το Addi.com για τη Ρυθμιστική Έκθεση

Οι παραβιάσεις είναι εκεί όπου τα κενά συμμόρφωσης γίνονται δημόσια. Όταν μια κολομβιανή εταιρεία χρηματοοικονομικών υπηρεσιών στοχοποιείται, όπως στην επίθεση των ShinyHunters στο Addi.com, ερωτήματα σχετικά με τα μέτρα ασφαλείας και τον χειρισμό δεδομένων ακολουθούν φυσικά. Δεν μπορούμε να πούμε πώς θα ανταποκριθεί οποιαδήποτε ρυθμιστική αρχή σε ένα συγκεκριμένο περιστατικό, και μια aleged παραβίαση δεν αποτελεί διαπίστωση παράβασης. Αλλά οι υποχρεώσεις ασφαλείας του Νόμου 1581 αποτελούν το πλαίσιο βάσει του οποίου θα κριθούν τέτοια γεγονότα.

Οι τρίτοι προσθέτουν άλλο ένα επίπεδο. Η ευθύνη για τα προσωπικά δεδομένα δεν εξαφανίζεται όταν μια εταιρεία τα παραδίδει σε έναν προμηθευτή, και η αποτυχία ενός προμηθευτή μπορεί ακόμα να εκθέσει τον οργανισμό που τα συνέλεξε. Η παραβίαση της Trezor που συνδέεται με τον συνεργάτη αποστολής της ShipMonk είναι ένα σαφές παράδειγμα δεδομένων πελατών που εκτίθενται μέσω ενός προμηθευτή και όχι της ίδιας της μάρκας.

Τι Σημαίνει Αυτό για Εσάς

Αν ζείτε στην Κολομβία ή μοιράζεστε δεδομένα με κολομβιανές εταιρείες, ο Νόμος 1581 σας δίνει δικαιώματα, συμπεριλαμβανομένης της δυνατότητας να ρωτήσετε τι κατέχει ένας οργανισμός για εσάς και να ζητήσετε διορθώσεις ή διαγραφή. Το ιστορικό διορθωτικών εντολών της SIC δείχνει ότι αυτά τα αιτήματα δεν είναι απλώς τυπικότητα.

Αν διοικείτε έναν οργανισμό, το δίδαγμα είναι ότι τα περισσότερα πρόστιμα προέρχονται από βασικές υποχρεώσεις: συγκατάθεση, καταχώριση, ανταπόκριση σε αιτήματα και ασφάλεια. Οι προμηθευτές θα πρέπει να τηρούν τα ίδια πρότυπα με τα δικά σας συστήματα.

Πρακτικά Συμπεράσματα

  1. Ζητήστε τα δεδομένα σας. Ρωτήστε τους παρόχους ποιες προσωπικές πληροφορίες κατέχουν και ζητήστε διορθώσεις ή διαγραφή εάν είναι ανακριβείς ή δεν χρειάζονται πλέον.
  2. Μοιραστείτε λιγότερα. Δώστε στις εταιρείες μόνο ό,τι απαιτεί genuinely μια υπηρεσία.
  3. Ρωτήστε για τους προμηθευτές. Μάθετε αν τα δεδομένα σας διαβιβάζονται σε συνεργάτες αποστολής, πληρωμών ή αναλυτικών στοιχείων.
  4. Για οργανισμούς: ελέγξτε την καταχώριση βάσεων δεδομένων, τεκμηριώστε τη συγκατάθεση και δοκιμάστε πόσο γρήγορα μπορείτε να απαντήσετε σε ένα αίτημα υποκειμένου δεδομένων.
  5. Προσέξτε για ειδοποιήσεις παραβίασης και αλλάξτε κωδικούς πρόσβασης αμέσως εάν φτάσει κάποια.

Για να δείτε πώς μια παραβίαση σε μια κολομβιανή εταιρεία εκτυλίσσεται στην πράξη, διαβάστε την αναφορά μας για το περιστατικό ShinyHunters του Addi.com, και στη συνέχεια ελέγξτε ποια δεδομένα κατέχουν οι δικοί σας πάροχοι για εσάς. Η κατανόηση των προστίμων της SIC της Κολομβίας για την προστασία δεδομένων είναι χρήσιμη, αλλά το να γνωρίζετε πού βρίσκονται οι πληροφορίες σας είναι αυτό που πραγματικά μειώνει τον κίνδυνό σας.