El Registro Nacional de Bases de Datos (RNBD) es el directorio público administrado por la Superintendencia de Industria y Comercio (SIC) en el que deben inscribirse las bases de datos personales sujetas a tratamiento en Colombia cuando su responsable se encuentra dentro de los sujetos obligados por la normativa. El registro permite identificar, entre otros aspectos, quién trata la información, con qué finalidad y cuáles son los canales habilitados para que los titulares ejerzan sus derechos.
La inscripción en el RNBD no reemplaza las demás obligaciones previstas en el régimen colombiano de protección de datos personales. El responsable también debe contar, según corresponda, con una política de tratamiento, avisos de privacidad, mecanismos para obtener y conservar las autorizaciones, procedimientos para atender consultas y reclamos, y medidas de seguridad adecuadas.
¿Qué es una base de datos personales?
Una base de datos es un conjunto organizado de datos personales que es objeto de tratamiento. Puede encontrarse en medios físicos o electrónicos y no depende de una cantidad mínima de registros. Los archivos de empleados, clientes, proveedores, contratistas, usuarios, alumnos o pacientes pueden constituir bases de datos cuando contienen información asociada o asociable a personas naturales.
Para efectos del RNBD, resulta esencial identificar cada base de datos, su finalidad, la forma en que se realiza el tratamiento, las categorías de datos almacenados y las personas que intervienen como responsables o encargados.
¿Quiénes están obligados a registrar sus bases de datos?
De acuerdo con el ámbito definido por el Decreto 90 de 2018, deben inscribir sus bases de datos en el RNBD:
- Las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT.
- Las personas jurídicas de naturaleza pública.
Una organización que no alcance el umbral de activos puede estar excluida de la obligación de inscripción, pero no por ello queda exonerada de cumplir la Ley 1581 de 2012 y las demás normas aplicables al tratamiento de datos personales. Esta distinción es fundamental: no estar obligado a registrar una base de datos no equivale a estar excluido del régimen de protección de datos.
¿Qué información se reporta en el RNBD?
La inscripción exige recopilar y reportar información precisa sobre el responsable y sobre cada base de datos. Dependiendo de las características del tratamiento, el registro comprende principalmente:
- Identificación y datos de contacto del responsable y de los encargados del tratamiento.
- Nombre, finalidad y forma de tratamiento de la base de datos.
- Canales dispuestos para que los titulares ejerzan sus derechos.
- Categorías y naturaleza de los datos personales almacenados.
- Procedencia de los datos y existencia de autorización o de una excepción legal.
- Medidas de seguridad implementadas para proteger la información.
- Transferencias y transmisiones nacionales o internacionales de datos personales, cuando existan.
- Política de tratamiento de la información.
La calidad del registro depende de un inventario previo y confiable. Antes de diligenciarlo conviene verificar qué bases existen, dónde están almacenadas, quién tiene acceso, cuál es su finalidad, de dónde provienen los datos y con qué terceros se comparten.
Plazos para registrar y actualizar la información
Inscripción de nuevas bases de datos
Las bases de datos creadas después del vencimiento de los plazos iniciales deben inscribirse dentro de los dos meses siguientes a su creación, siempre que el responsable sea uno de los sujetos obligados.
Actualización anual
La información registrada debe actualizarse anualmente entre el 2 de enero y el 31 de marzo. El responsable debe revisar cada registro incluso cuando considere que la información continúa vigente.
Cambios sustanciales
Cuando se presenten cambios sustanciales en la información reportada, la actualización debe realizarse dentro de los primeros diez días hábiles del mes siguiente a aquel en el que ocurrió el cambio. Se consideran sustanciales, entre otros, los cambios relacionados con la finalidad, los encargados, los canales de atención, los tipos de datos almacenados, las medidas de seguridad, la política de tratamiento y las transferencias o transmisiones internacionales.
Reclamos e incidentes de seguridad
Los reclamos de los titulares deben actualizarse semestralmente dentro de los primeros quince días hábiles de febrero y agosto. Los incidentes de seguridad que afecten una base de datos deben reportarse en el RNBD dentro de los quince días hábiles siguientes a su detección y puesta en conocimiento de la persona o del área encargada de atenderlos.
Sanciones por incumplimiento
El artículo 23 de la Ley 1581 de 2012 faculta a la SIC para imponer, previo procedimiento administrativo, las siguientes sanciones a los responsables o encargados del tratamiento:
- Multas de carácter personal e institucional hasta por el equivalente a 2.000 salarios mínimos mensuales legales vigentes, las cuales pueden ser sucesivas mientras subsista el incumplimiento.
- Suspensión de las actividades relacionadas con el tratamiento hasta por seis meses, con indicación de los correctivos que deben adoptarse.
- Cierre temporal de las operaciones relacionadas con el tratamiento si no se adoptan los correctivos ordenados durante la suspensión.
- Cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles, en los casos previstos por la ley.
La eventual sanción depende de las circunstancias del caso, los criterios legales de graduación y el procedimiento adelantado por la autoridad. Por ello, el registro debe integrarse a un programa de cumplimiento efectivo y no tratarse como un trámite aislado.
Nuestra asesoría en el Registro Nacional de Bases de Datos
En Cárdenas Vega Asesores acompañamos a empresas y entidades en la preparación, inscripción y actualización del RNBD. Nuestra asesoría puede comprender:
- Verificación de la obligación de registro y del umbral aplicable.
- Inventario, identificación y clasificación de las bases de datos personales.
- Revisión o elaboración de la política de tratamiento de datos personales y de los documentos necesarios para el cumplimiento.
- Identificación de responsables, encargados, finalidades, canales, categorías de datos y flujos nacionales o internacionales de información.
- Inscripción de las bases de datos en la plataforma de la SIC y obtención de las constancias correspondientes.
- Actualización anual, reporte de cambios sustanciales, reclamos e incidentes de seguridad.
Preguntas frecuentes sobre el RNBD
¿Todas las empresas deben registrar sus bases de datos?
No. La obligación de inscripción recae sobre las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y sobre las personas jurídicas de naturaleza pública. Sin embargo, quienes no están obligados a inscribirse deben cumplir las demás disposiciones aplicables sobre protección de datos personales.
¿El registro se realiza una sola vez?
No. Además de la inscripción inicial, existen obligaciones de actualización anual y de reporte de cambios sustanciales, reclamos e incidentes de seguridad dentro de los plazos aplicables.
¿Registrar las bases de datos acredita el cumplimiento de toda la ley?
No. El RNBD es una obligación específica. El responsable debe cumplir también los principios, deberes, procedimientos y medidas exigidos por la normativa de protección de datos personales.