Que reglamenta la Ley 81 de 2019 sobre Protección de Datos PersonalesTipoDecreto EjecutivoNúmero285Año2021Fecha28 may 2021Gaceta29296-AEmisorÓrgano EjecutivoArtículos65
Cinco lentes para estudiar este norma. Describen señales verificables; no califican su validez ni cambian el texto.
Sintaxis
Cómo está escrito
Carga, subordinación, condiciones y construcciones que afectan la lectura.
Mapa sintáctico
De la oración a sus funciones
Elige una oración para recorrer sus cláusulas y la función de cada fragmento.
CONSIDERANDO:**
Ver la estructura en palabras 4 nodos
Oración 1· Texto
Estructura· 1 cláusula
Cláusula principal· principal
Contenido de la cláusula· CONSIDERANDO:**
Lectura del mapa: las modalidades y los núcleos reconocidos tienen confianza alta; sujeto y complementos son una segmentación orientativa que siempre se coteja con el original.
310señales
7tipos presentes
67bloques señalados
11,106palabras · 629 oraciones
Texto
**CONSIDERANDO:**
Texto
Texto
Texto
Texto
Texto
Texto
Capítulo I. Disposiciones generales
Capítulo I. Disposiciones generales
Capítulo I. Disposiciones generales
Capítulo I. Disposiciones generales
Artículo 1
**Artículo 1.** *Objeto.* Este decreto ejecutivo tiene por objeto desarrollar las disposiciones que regulan el régimen general de protección de datos personales para la República de Panamá previstos en la .
Las disposiciones y postulados sobre protección de datos personales contenidos en la y el presente decreto, son mínimas y no excluyentes de otras leyes especiales sobre la materia, especialmente en lo relativo al tratamiento y custodia de datos.
Artículo 2
**Artículo 2.** *Ámbito de aplicación.* La y el presente decreto, resultarán aplicables :
1. Las bases de datos se encuentren en el territorio de la República de Panamá y almacenen o conserven datos personales de nacionales o extranjeros;
2. El responsable del tratamiento de los datos personales esté domiciliado en la república de Panamá.
3. Los tratamientos de datos cuyo origen o almacenamiento sea el territorio de la República de Panamá, con las excepciones previstas en la ; y
4.
Artículo 3
**Artículo 3.** *Sujetos protegidos.* Quedan sujetos a protección los tratamientos de datos personales de las personas naturales, estos datos los identifiquen o los hagan identificables. Los derechos de las personas fallecidas en relación con sus datos personales se rigen por las reglas generales del .
En el caso de tratamiento de datos personales de menores de edad, se dará prioridad al interés superior del menor conforme a las normas de la República de Panamá y a los tratados internacionales existentes en la materia.
Artículo 4
**Artículo 4.** *Definiciones.* Para los efectos de este decreto, además de los términos contenidos en la , también regirán los siguientes:
1. Autoridad de control. La Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), es el organismo de la administración pública responsable de supervisar, implementar y controlar el cumplimiento de la y el presente decreto, en todo el territorio nacional.
2. Datos biométricos. Datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona natural que permitan o confirmen la identificación única de persona.
3. Datos genéticos. Datos personales relativos a las características genéticas heredadas o adquiridas de una persona natural que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona.
4. Datos relativos a la salud. Datos personales relativos a la condición física o mental de una persona natural, que revelen información sobre su estado de salud.
5. Derechos ARCO. Derechos irrenunciables básicos de los titulares de datos personales, e identificados como: derechos de acceso, rectificación, cancelación y oposición.
6. Destinatario: La persona natural o jurídica, autoridad pública, servicio u organismo al que se transfieran datos personales.
7. Elaboración de perfiles.
8. Exportador. Persona natural o jurídica de carácter público o privado, domiciliado en el país, que efectúe transferencias de datos personales extrafronterizos, conforme a lo dispuesto en la y el presente decreto.
9. Evaluación de impacto en protección de datos. Documentación del responsable del tratamiento que contiene la descripción de los procesos con datos personales que pueden generar riesgos para los derechos y deberes individuales y sociales, así como medidas, salvaguardas y mecanismos de mitigación de riesgos.
10. Oficial de Protección de Datos Personales. Funcionario designado para atender la unidad de enlace.
11. Regulador: Entidad del Estado encargada de fiscalizar a los sujetos de sectores regulados por leyes especiales.
12. Violación de la seguridad de los datos personales. Toda infracción a la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a datos.
Sección Primera. Principios generales para el tratamiento
Sección Primera. Principios generales para el tratamiento
Sección Primera.
Sección Primera.
Artículo 5
**Artículo 5.** *Principios.*
Artículo 6
**Artículo 6.** *Principio de lealtad.* Los datos personales recabarse sin engaño o falsedad y sin utilizar medios fraudulentos, desleales o ilícitos.
Artículo 7
**Artículo 7.** *Principio de finalidad.* Los responsables del tratamiento recolectar datos con fines determinados y legítimos.
Los datos no utilizarse posteriormente de manera incompatible o diferente con fines. El tratamiento ulterior de los datos personales con fines de investigación, estudios, encuestas o conocimientos de interés público, no se considerará incompatible con los fines que motivaron la recogida.
Para determinar el plazo de conservación de los datos se acudirá a las leyes aplicables en cada caso y a las responsabilidades de todo orden que deban ser atendidas por el responsable del tratamiento o custodio de la base de datos.
En el caso de datos personales relativos a condenas por delitos, infracciones administrativas o faltas disciplinarias se atenderá a lo dispuesto en el .
Artículo 8
**Artículo 8.** *Principio de proporcionalidad.*
Con este fin realizar y documentar evaluaciones de impacto en protección de datos personales con el objeto de minimizar los datos objeto de tratamiento, conocer los riesgos que impliquen los tratamientos y adoptar las medidas y garantías necesarias para mitigarlos.
La autoridad de control definir aquellos supuestos en los que es recomendable realizar una evaluación de impacto y establecer las pautas o estándares a seguir en su desarrollo.
Artículo 9
**Artículo 9.** *Principio de veracidad y exactitud.*
Artículo 10
**Artículo 10.** *Principio de transparencia.*
Artículo 11
**Artículo 11.** *Principio de confidencialidad.* Todas las personas que intervengan en el tratamiento de datos personales están obligadas a guardar secreto o reserva respecto de estos, incluso hayan finalizado su relación con el titular o responsables del tratamiento de los datos, impidiendo el acceso o uso no autorizado.
Artículo 12
**Artículo 12.** *Principio de licitud.*
Artículo 13
**Artículo 13.** *Principio de portabilidad.* El titular de los datos tiene derecho a obtener de parte del responsable del tratamiento una copia de los datos personales de manera estructurada en un formato genérico de uso común.
Sección Segunda. Requisitos de la información
Sección Segunda. Requisitos de la información
Sección Segunda.
Sección Segunda.
Artículo 14
**Artículo 14.** *Contenido de la información.*
1. La identidad y datos de contacto del responsable del tratamiento.
2.
3. La condición que legitima el tratamiento conforme a los , 8 y 33 de la .
4. Los destinatarios o las categorías de destinatarios de los datos personales, en su caso.
5. La intención del responsable del tratamiento de transferir datos personales a un tercer país, así como la condición prevista en el que resulta aplicable.
6. El plazo durante el cual se conservarán los datos personales o, no sea posible, los criterios utilizados para determinar este plazo.
7. La existencia, forma y mecanismos o procedimientos a través de los cuales ejercer los derechos de acceso, rectificación, cancelación, oposición y portabilidad.
8.
9. Los datos de contacto del oficial de protección de datos personales.
Artículo 15
**Artículo 15.** *Plazos para facilitar la información.* los datos sean proporcionados por el titular, la información se facilitará en el momento de la recogida de los datos.
los datos se obtengan de otra fuente, la información se facilitará:
1. Si los datos personales se utilizan para comunicarse con el titular, a más tardar en el momento de la primera comunicación.
2. Si se comunica a otro destinatario, éste informar al titular en la primera comunicación que le dirija.
Artículo 16
**Artículo 16.** *Forma para facilitar la información.* El responsable del tratamiento elegir la forma en la que va a proporcionar la información al titular de los datos ésta le permita demostrar que cumplió con la obligación de informar.
La información proporcionada al titular ser suficiente y fácilmente accesible, así como redactarse y estructurarse en un lenguaje claro, sencillo y de fácil comprensión para los titulares a quienes va dirigida, especialmente si se trata de menores de edad. utilizarse recursos audiovisuales, sea apropiado, con el fin de proporcionar la información necesaria.
la información vaya a facilitarse a través de Internet o a través de dispositivos de pantalla reducida, y así lo considere el responsable del tratamiento, dar cumplimiento al deber de información mediante un sistema de información dividida en capas. De esta forma la política de privacidad y/o las condiciones de servicios accesibles, a las que se refiere la , se dividir en capas.
Sección Tercera. Condiciones de licitud para el tratamiento
Sección Tercera. Condiciones de licitud para el tratamiento
Artículo 17
**Artículo 17.** *Condiciones de licitud para el tratamiento.* proceder al tratamiento de los datos se cumplan, al menos, una de las condiciones siguientes:
1. el titular de los datos haya otorgado su consentimiento previo, inequívoco e informado por un medio que permita al responsable del tratamiento probar la trazabilidad de consentimiento.
2. el tratamiento tenga lugar en el marco de una relación contractual en la que el titular de datos sea parte o se celebre en su interés.
3. el tratamiento sea necesario para el cumplimiento de una obligación legal por parte del responsable del tratamiento. En estos casos, la ley que recoja la obligación debe disponer:
a. La finalidad del tratamiento.
b. La determinación del responsable o responsables del tratamiento.
c. Las limitaciones que rigen la licitud del tratamiento por parte del responsable.
d. Las categorías de datos objeto de tratamiento.
e. Los titulares de los datos afectados.
f. Las entidades a las que se pueden comunicar los datos y los fines de la comunicación;
g. Los plazos de conservación de los datos.
4. el tratamiento este autorizado en una ley especial o las normativas que las desarrollen. Estas leyes imponer condiciones especiales al tratamiento respetando lo previsto en la y el presente decreto.
5. el tratamiento sea necesario para proteger intereses vitales del titular de los datos o de otra persona natural.
6. sea requerido por una entidad pública en el ejercicio de sus funciones legales, para la salvaguarda de un interés público o por orden judicial.
7. el tratamiento sea necesario para satisfacer el interés legítimo perseguido por el responsable del tratamiento o por un tercero, prevalezcan los intereses o los derechos y libertades fundamentales del titular de los datos, en especial sea un menor de edad. Para justificar el interés legítimo el responsable del tratamiento demostrar que evaluó y ponderó los intereses o derechos involucrados y que adoptó las medidas necesarias para mitigar los riesgos derivados del tratamiento.
Esta condición de licitud no será aplicable al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
8. se trate de datos sensibles, se atenderá a las condiciones previstas en el para proceder a su transferencia a terceros.
Artículo 18
**Artículo 18.** *Condiciones para el consentimiento.* El consentimiento ir precedido de la información prevista en el del presente decreto, para cumplir las exigencias de ser informado e inequívoco.
El consentimiento obtenerse de forma que permita su trazabilidad. Esto es, el tratamiento se base en el consentimiento del interesado, el responsable del tratamiento ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos.
El consentimiento para el tratamiento de datos de salud, así como otros datos sensibles, la ley que los regule lo exija, ser irrefutable y expreso.
En el caso de tratamiento de datos de menores de edad e incapaces, el tratamiento llevarse a cabo con la autorización previa del acudiente, tutor o quien ejerza la guardia y crianza o tutela del menor o incapaz. En estos casos, el responsable del tratamiento demostrar que hizo todos los esfuerzos razonables para verificar esta autorización, teniendo en cuenta el estado de la tecnología disponible en cada momento.
Artículo 19
**Artículo 19.** *Revocación del consentimiento.* El consentimiento ser revocado en cualquier momento. El retiro del consentimiento no afectará la licitud del tratamiento basada en el consentimiento previo a su revocación, salvo las excepciones contenidas en la y cualquier otra disposición legal aplicable.
Antes de dar su consentimiento, el interesado será informado de ello. ser tan fácil retirar el consentimiento como otorgarlo.
Artículo 20
**Artículo 20.** *Fuentes de acceso público.* A los efectos de la , sólo ser consideradas fuentes de acceso público:
1. Las publicaciones estatales de carácter oficial públicadas en Gaceta Oficial.
2. Los medios de comunicación.
3. Los directorios telefónicos en los términos previstos por su normativa específica.
4. Las listas oficiales de profesionales mantenidas por las entidades que los agrupen en lo referente a nombre, título o profesión, actividad, dirección laboral o comercial y pertenencia a la entidad. Los colegios profesionales y demás entidades a las que corresponda elaborar estos listados estarán obligados a atender los derechos de los interesados en dejar constancia de su oposición al uso de sus datos con fines distintos al que responde la elaboración del citado listado.
Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista de profesionales en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su expedición.
Los interesados tendrán derecho a que la entidad responsable del mantenimiento de estos listados indique gratuitamente que se oponen a que sus datos personales puedan utilizarse para fines de mercadeo.
Capítulo II. Derechos de los titulares de datos personales
Capítulo II. Derechos de los titulares de datos personales
Artículo 21
**Artículo 21.** *Disposiciones generales sobre ejercicio de los derechos.* Los derechos de los titulares de datos personales ejercerse directamente por el titular de los datos o por medio de representante legal. Será nulo cualquier acto o convenio entre los responsables del tratamiento o custodios de la base de datos y los titulares de los datos que limiten esos derechos.
El responsable del tratamiento establecerá protocolos sencillos, accesibles y gratuitos que permitan al titular de los datos ejercer sus derechos y al responsable del tratamiento dar respuesta en tiempo y forma.
El responsable del tratamiento informará al titular de los datos sobre los medios a su disposición para ejercer los derechos que le correspondan. Los medios ser fácilmente accesibles y el responsable del tratamiento no denegar el derecho por el solo motivo de optar el titular de los datos por otro medio, no suponga un coste desproporcionado para el responsable del tratamiento.
El solicitante acreditar su identidad en el momento de la solicitud, así como los datos de contacto necesarios para enviarle la respuesta al ejercicio de su derecho. En el caso de ejercicio por medio de representante legal, acompañarse a la solicitud la documentación que acredite la misma conforme al ordenamiento jurídico vigente.
El custodio de la base de datos tramitar, por cuenta del responsable del tratamiento, las solicitudes de ejercicio a los derechos formuladas por los afectados, si así en el contrato o acto jurídico que les vincule.
El responsable del tratamiento dar respuesta al ejercicio de los derechos, incluso no obrasen datos en sus bases de datos relacionados con el solicitante. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de los derechos formulado por el afectado recaerá sobre el responsable del tratamiento.
Cada derecho ejercitarse separadamente sin que el ejercicio de uno excluya a los demás.
Artículo 22
**Artículo 22.** *Ejercicio de derechos de menores e incapaces.*
Artículo 23
**Artículo 23.** *Gratuidad de las actuaciones.* Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, con las limitaciones que este decreto establece y las que dispongan leyes especiales en su caso.
Artículo 24
**Artículo 24.** *Ejercicio del derecho de acceso del interesado.* El titular de los datos tendrá derecho a obtener, del responsable del tratamiento, confirmación de si se están tratando o no datos personales que le conciernen. Si en efecto los datos están siendo tratados, el responsable del tratamiento le indicará lo siguiente:
1. Los fines del tratamiento.
2. Las categorías de datos personales de que se trate.
3. Los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales.
4. El plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo.
5. El derecho al ejercicio de la rectificación o cancelación de datos personales, o a oponerse a tratamiento, o a la portabilidad de los datos.
6. Si los datos personales no se han obtenido del interesado, cualquier información disponible sobre su origen.
7.
Artículo 25
**Artículo 25.** *Identificación de la información solicitada.*
El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. el interesado presente la solicitud por medios electrónicos, y éste solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
El responsable percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos.
Artículo 26
**Artículo 26.** *Ejercicio del derecho de rectificación.* el titular de los datos ejercite el derecho de rectificación indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse. acompañar la documentación que sustente la inexactitud o el carácter incompleto de los datos objeto de tratamiento.
El responsable del tratamiento comunicará cualquier rectificación de datos personales a cada uno de los destinatarios a los que se hayan comunicado los datos personales, sea imposible o exija un esfuerzo desproporcionado. El responsable informará al interesado acerca de destinatarios, si así lo solicita.
Artículo 27
**Artículo 27.** *Ejercicio del derecho de cancelación.* el titular de los datos ejercite el derecho de cancelación indicar en su solicitud a qué datos se refiere. acompañar, sea preciso la documentación que sustente la cancelación.
Procederá la cancelación :
1. Los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo.
2. El interesado retire el consentimiento en que se basa el tratamiento y este no se base en otro fundamento jurídico.
3. El interesado se oponga al tratamiento y no prevalezcan otros motivos legítimos para el tratamiento.
4. Los datos personales hayan sido tratados ilícitamente.
5. Los datos personales deban suprimirse para el cumplimiento de una obligación legal que se aplique al responsable del tratamiento.
El responsable del tratamiento comunicará cualquier cancelación a cada uno de los destinatarios a los que se hayan comunicado los datos personales, sea imposible o exija un esfuerzo desproporcionado. El responsable informará al interesado acerca de destinatarios, si así lo solicita.
Artículo 28
**Artículo 28.** Excepciones al ejercicio al derecho de cancelación: No procederá la cancelación solicitada el tratamiento sea necesario:
1. Para el cumplimiento de una obligación legal que requiera el tratamiento de datos que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
2. Por razones de interés público en el ámbito de la salud pública.
3. Con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, en la medida en que el derecho de cancelación pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de tratamiento.
4. Para la formulación, el ejercicio o la defensa de reclamaciones.
Artículo 29
**Artículo 29.** *Ejercicio del derecho de oposición.* El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento.
En estos casos los datos personales dejarán de ser tratados para fines.
Artículo 30
**Artículo 30.** *Ejercicio del derecho de portabilidad.*
Son condiciones para el ejercicio de este derecho:
1. Que los datos los haya facilitado el titular directamente al responsable del tratamiento.
2. Que el tratamiento esté basado en el consentimiento o en un contrato.
3. Que sea un volumen relevante de datos y el tratamiento se efectúe por medios autorizados.
El interesado tendrá derecho a que los datos personales se transmitan directamente a él o que el responsable los transmita directamente a otro responsable sea técnicamente posible, por medios seguros e interoperables.
Quedan excluidos de este derecho los datos que deriven de otra condición de licitud para el tratamiento o los que resulten de la elaboración propia del responsable del tratamiento.
Artículo 31
**Artículo 31.** *Limitaciones al ejercicio de los derechos.* las limitaciones indicadas, en los artículos anteriores, limitarse el ejercicio de los derechos del titular de los datos personales, en cualquiera de los siguientes casos:
1. el tratamiento sea necesario para el cumplimiento de un objetivo de interés público.
2. el tratamiento impida o entorpezca el debido trámite dentro de un proceso administrativo o judicial o por seguridad del Estado.
3. sea necesario para el ejercicio de las funciones propias de las autoridades públicas.
4. sea solicitado por las autoridades judiciales competentes para el aseguramiento del cumplimiento de la ley, con las condiciones previstas en la .
5. el responsable del tratamiento acredite tener motivos legítimos para que el tratamiento prevalezca sobre los intereses, los derechos y las libertades del titular.
6. el tratamiento sea necesario para el cumplimiento de una ley.
7. los datos personales sean necesarios para el mantenimiento o cumplimiento de una relación jurídica o contractual.
Capítulo III. Utilización de datos personales
Capítulo III. Utilización de datos personales
Sección Primera. Obligaciones del regulador, del responsable del tratamiento y del custodio de los datos
Sección Primera. Obligaciones del regulador, del responsable del tratamiento y del custodio de los datos
Sección Primera.
Sección Primera.
Artículo 32
**Artículo 32.** *Obligaciones del regulador o autoridad reguladora.*
Artículo 33
**Artículo 33.** *Responsabilidad en el tratamiento.* El responsable del tratamiento y el custodio de la base de datos implementarán los mecanismos necesarios para acreditar el cumplimiento de los principios y obligaciones establecidas en la y en el presente decreto. Rendirán cuentas sobre el tratamiento de datos personales en su posesión al titular de los datos y a la autoridad de control.
Para ello, elaborar una ficha técnica que contendrá los protocolos, procesos y procedimientos de gestión y transferencia segura de los datos, que será fiscalizado y supervisado por la autoridad de control.
Los responsables del tratamiento y los custodios de la base de datos adoptar, entre otras, las siguientes medidas:
1. Elaborar protocolos y procesos de protección de datos personales obligatorios y exigibles al interior de la organización del responsable del tratamiento o custodios de la base de datos.
2. Revisar periódicamente los procedimientos de gestión y transferencia segura de los datos personales para determinar las modificaciones que se requieran. Para ello establecer un sistema de supervisión y vigilancia interna y/o externa, incluyendo auditorías, para comprobar el cumplimiento de las políticas de protección de datos personales.
3. Cumplir con las normas o estándares nacionales o internacionales en materia de protección de datos personales.
4. Adoptar mecanismos de autorregulación vinculantes en materia de protección de datos personales.
5. Elaborar y mantener actualizado el registro de bases de datos a que se refiere la .
6. Evaluar el impacto de los tratamientos de datos a realizar, antes de su ejecución, para garantizar la proporcionalidad minimización de datos en el tratamiento.
7. Establecer protocolos para la atención y respuesta al ejercicio de los derechos por los titulares de los datos.
8. Poner en práctica un programa de capacitación y actualización del personal sobre las obligaciones en materia de protección de datos personales.
9. Designar a un oficial de protección de datos, que participe de forma adecuada y en tiempo oportuno, en todas las cuestiones relativas a la protección de datos personales.
Artículo 34
**Artículo 34.** *Deber de confidencialidad.* Para tal fin, garantizarán que las personas autorizadas para tratar los datos personales se hayan comprometido a respetar la confidencialidad y así lo reflejarán en los protocolos de tratamiento de datos de sus entidades públicas y privadas.
Esta obligación será complementaria al secreto profesional de conformidad con la ley aplicable. Se aplicará durante todo el tiempo que dure el tratamiento y se mantendrá aun hubiese finalizado la relación del empleado o funcionario con el responsable del tratamiento o el custodio de la base de datos.
Artículo 35
**Artículo 35.** *Registro de las bases de datos.* El registro de las bases de datos transferidas a terceros constará por escrito, por cualquier medio, inclusive por medios electrónicos.
Respecto de cada base de datos se dejará constancia en registro de:
1. La identificación de la base de datos.
2. La identificación del responsable de la base de datos.
3. La naturaleza de los datos personales que contiene, esto es, la descripción del universo de personas que comprende la base de datos.
4. Las condiciones de legitimación aplicables.
5. La finalidad o finalidades del tratamiento.
6. Los procedimientos de obtención y tratamiento de los datos.
7. El plazo de conservación de los datos.
8. El destino de los datos y las personas naturales o jurídicas a las que pueden ser transferidos.
9. Las medidas técnicas y organizativas de seguridad adoptadas, al menos un resumen de ellas o la referencia a la política o protocolo donde se describen.
10. Los protocolos aplicables a la base de datos, tales como los referentes a la atención y respuesta del ejercicio de los derechos por los titulares de los datos.
11. La descripción técnica de la base de datos.
12. La identificación y periodo de todas las personas que han ingresado a los datos personales dentro de los quince días hábiles desde que se inicie la actividad.
Los responsables del tratamiento y/o los custodios de la base de datos mantendrán el registro actualizado, de forma que responda con veracidad a la realidad de los tratamientos que se lleven a cabo. Estará a disposición de la autoridad de control ésta lo requiera.
Artículo 36
**Artículo 36.** *Seguridad de los datos personales.* Las medidas técnicas y organizativas deben ser suficientes para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanente de los sistemas y servicios y tratamiento de los datos personales. Para ello se tomará como referencia las normas o estándares nacionales e internacionales en la materia, así como también los mecanismos de autorregulación vinculantes o cualquier otro mecanismo que se determine adecuado para tales fines.
Para determinar estas medidas, se considerarán los siguientes factores:
1. El riesgo para los derechos y libertades de los titulares, en particular, por el valor potencial cuantitativo y cualitativo que pudieran tener los datos personales tratados para una tercera persona no autorizada para su posesión.
2. El estado de la tecnología.
3. Los costos para la aplicación de las medidas.
4. La naturaleza de los datos personales tratados, en especial, si se trata de datos personales sensibles.
5. El alcance, contexto y las finalidades del tratamiento.
6. Las transferencias internacionales de datos personales que se realicen o pretendan realizar.
7. El número de los titulares afectados.
8. Las posibles consecuencias que se derivarían de una violación de seguridad de los datos para los titulares:
9. Las violaciones de seguridad de los datos previas, ocurridas en el tratamiento de datos personales.
Artículo 37
**Artículo 37.** *Notificación de violaciones de la seguridad de los datos personales.*
El custodio de la base de datos informar al responsable del tratamiento de manera inmediata tenga conocimiento de una violación de seguridad.
La notificación que realice el responsable del tratamiento a los titulares afectados estará redactada en un lenguaje claro y sencillo.
La notificación se realizará en el plazo de las setenta y dos horas a partir de que se conozca el incidente y contendrá, al menos, la siguiente información:
1. La naturaleza del incidente.
2. Los datos personales comprometidos.
3. Las acciones correctivas realizadas de forma inmediata.
4. Las recomendaciones al titular sobre las medidas que éste pueda adoptar para proteger sus intereses.
5. Los medios disponibles al titular para obtener mayor información al respecto.
Artículo 38
**Artículo 38.** Documentación de las violaciones de la seguridad de los datos personales. El responsable del tratamiento documentará toda violación de seguridad de los datos personales ocurrida en cualquier fase del tratamiento, identificado, como mínimo, la siguiente información y conservándola a disposición de la autoridad de control:
1. La fecha en que ocurrió.
2. El motivo de la violación.
3. Los hechos relacionados con ella y sus efectos
4. Las medidas correctivas implementadas de forma inmediata y definitiva.
la violación de seguridad tenga lugar en redes públicas de comunicación, se atenderá también a lo que se establezca en las normas especiales sobre telecomunicaciones, relacionadas con la seguridad pública y la defensa nacional.
Sección Segunda. Medidas de responsabilidad para el cumplimiento
Sección Segunda. Medidas de responsabilidad para el cumplimiento
Sección Segunda.
Sección Segunda.
Artículo 39
**Artículo 39.** *Mecanismos de autorregulación vinculante.*
Quienes promuevan la adopción de un mecanismo de autorregulación vinculante someterlo a la aprobación de la autoridad de control quien resolver en un plazo de cuarenta y cinco días hábiles.
Artículo 40
**Artículo 40.** *Contenido del mecanismo de autorregulación vinculante.* En el contenido de los mecanismos de autorregulación vinculante debe quedar consignado:
1. El cumplimiento de los principios de tratamiento.
2. Los protocolos de información y transparencia con el titular de los datos.
3. Los procedimientos de recogida, tratamiento, transferencias y conservación de datos.
4. Las condiciones de cumplimiento para las transferencias internacionales de datos.
5. La atención y respuesta al ejercicio de los derechos por los títulares de los datos.
6. Las medidas técnicas y organizativas dirigidas a garantizar la seguridad en el tratamiento y transferencia de los datos.
La adhesión a un mecanismo de autorregulación vinculante supondrá una garantía de cumplimiento para el custodio de la base de datos y para las transferencias internacionales de datos a los efectos previstos en la .
Una vez aprobados serán publicados en la Gaceta Oficial.
Artículo 41
**Artículo 41.** *Evaluaciones de impacto relativas a la protección de datos.* Atendiendo a la gravedad del riesgo que presente el tratamiento para los datos personales, así como a la novedad de la tecnología utilizada, la Autoridad de Control, ordenar que se presente un informe de evaluación de impacto en protección de datos.
El informe debe contener, como mínimo, una descripción de los tipos de datos recopilados, la metodología utilizada para la recopilación y garantía de seguridad de la información, y el análisis del responsable en relación con medidas, salvaguardas y mecanismos de mitigación de riesgos adoptados.
La autoridad de control solicitar a las entidades que publiquen los informes de evaluación de impacto en protección de datos que lleven a cabo y sugerirles la adopción de normas y buenas prácticas para el tratamiento de datos personales.
Artículo 42
**Artículo 42.** *Oficial de protección de datos.*
Las entidades privadas, designar un oficial de protección de datos, que ser personal laboral o profesional con contrato de servicios, suscrito con el responsable del tratamiento o el custodio de la base de datos.
La designación de un Oficial de Protección de Datos Personales para el sector privado no es obligatoria, no obstante, si fuera el caso, la autoridad de control la tomará en cuenta como criterio para la graduación de las sanciones.
Artículo 43
**Artículo 43.** *Perfil del oficial de protección de datos.* Para ser oficial de protección de datos se requiere una experiencia profesional previa en la materia y el conocimiento del sector de actividad de la entidad pública y privada en la que ejercerá sus funciones.
La designación del oficial de protección de datos personales se estimará válida por parte de la autoridad de control, sólo el responsable del tratamiento o el custodio de la base de datos lo notifique formalmente y de manera expresa. Lo mismo ocurrirá en el caso de que designación sea revocada.
La autoridad de control, llevará un registro de los oficiales de protección de datos y organizar capacitaciones dirigidas a fortalecer sus funciones.
Artículo 44
**Artículo 44.** *Desempeño y funciones del oficial de protección de datos.* El oficial de protección de datos desempeñará sus funciones con independencia, siendo obligación del responsable del tratamiento o del custodio de la base de datos garantizar esta independencia y evitar cualquier conflicto de interés. Debe tener una interlocución directa con la dirección u órgano de toma de decisión de la entidad a la que representa en esta materia y se le beberán proporcionar los medios necesarios para que pueda cumplir su misión.
Las funciones principales del oficial de protección de datos son:
1. Participar en tiempo y forma en las cuestiones a la protección de datos personales.
2. Informar y asesorar al responsable del tratamiento o al custodio de la base de datos en las cuestiones relacionadas con el cumplimiento de la , del presente decreto o de cualquier disposición legal aplicable en cada caso.
3. Supervisar el cumplimiento de la normativa.
4. Promover la capacitación de las personas que asuman tareas relacionadas con el tratamiento de los datos personales.
5. Cooperar con la autoridad de control.
6. Ser la unidad de enlace con la autoridad de control.
7. Asesorar al responsable del tratamiento o al custodio de la base de datos en la respuesta a los requerimientos y observaciones formalmente notificados por la autoridad de control.
8. Ser la unidad de enlace con los titulares de los datos para las cuestiones relativas al tratamiento de los datos y a sus derechos.
Artículo 45
**Artículo 45.** Límite de la responsabilidad del oficial de protección de datos personales. El oficial de protección de datos personales no tendrá la consideración de responsable del tratamiento o custodio de la base de datos por prestar sus servicios en la entidad correspondiente.
Sección Tercera. Relaciones del responsable del tratamiento con terceros
Sección Tercera. Relaciones del responsable del tratamiento con terceros
Artículo 46
**Artículo 46.** *Solicitud de transferencia de datos personales.* La solicitud de transferencias de datos será documentada.
Artículo 47
**Artículo 47.** *Contrato de custodio de la base de datos.*
El responsable del tratamiento y el custodio de la base de datos dejarán constancia por escrito o por cualquier medio admisible como prueba, inclusive por medios electrónicos, el contenido del mandato que implique tratamiento de datos por cuenta del responsable del tratamiento.
Artículo 48
**Artículo 48.** *Contenido del contrato de custodio de la base de datos.* Se estipularán, entre otras, las siguientes condiciones:
1. El tratamiento de los datos personales conforme a las instrucciones, debidamente documentadas, del responsable del tratamiento.
2. Implementar las medidas de seguridad conforme a los instrumentos jurídicos aplicables.
3. La obligación de informar al responsable del tratamiento ocurra una violación de la seguridad de los datos personales que trata según sus instrucciones.
4. La confidencialidad respecto de los datos personales tratados.
5. La prohibición de transferir datos personales, el responsable lo solicite o la transferencia derive de una subcontratación autorizada por el responsable del tratamiento.
6. La información que el custodio deba poner a disposición del responsable para que éste pueda acreditar el cumplimiento de sus obligaciones.
7. La colaboración con el responsable del tratamiento en todo lo relativo a garantizar el cumplimiento, en particular, en cuanto a la atención y respuesta al ejercicio de los derechos.
8. En este caso, los datos serán devueltos al responsable del tratamiento que garantizará su conservación por el tiempo establecido en la o en otras leyes especiales.
Artículo 49
**Artículo 49.** *Responsabilidad del custodio de la base de datos.* El custodio de la base de datos no recurrirá a otro custodio, sin la autorización previa por escrito, específica o general, del responsable del tratamiento. En este último caso, el custodio de la base de datos informará al responsable del tratamiento de cualquier cambio previsto en la incorporación o sustitución de otros custodios, dándole así la oportunidad de oponerse a cambios.
Se dejará constancia por escrito, por cualquier medio de prueba admisible. Si ese otro custodio incumple sus obligaciones de protección de datos personales, el custodio inicial de la base de datos inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones.
Artículo 50
**Artículo 50.** *Contratos de responsabilidad solidaria.* la base de datos sea alimentada por dos o más responsables que determinen conjuntamente los objetivos y los medios del tratamiento , responsables solidarios del tratamiento. acuerdo designar un punto de contacto para los titulares de los datos.
El acuerdo indicado en este artículo establecerá debidamente las funciones y relaciones respectivas de los responsables solidarios en relación con los titulares de los datos. Se pondrán a disposición de los titulares de los datos los aspectos esenciales del acuerdo.
Sección Cuarta. Transferencias extrafronterizas de datos
Sección Cuarta. Transferencias extrafronterizas de datos
Sección Cuarta.
Sección Cuarta.
Artículo 51
**Artículo 51.** *Condiciones para las transferencias extrafronterizas de datos.* Los datos objeto de tratamiento ser transferidos a otro país se reúna alguna de las condiciones siguientes:
1. Para países u organizaciones internacionales que brindan un grado de protección de datos personales equivalente o superior al previsto en la y el presente decreto;
2. el responsable ofrece y prueba garantías adecuadas de cumplimiento de los principios, los derechos del titular y el régimen de protección de datos personales previsto en la y el presente decreto.
3. Consentimiento del titular de los datos
4. Necesaria para la prevención o diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios.
5. Necesaria para la salvaguarda del interés público o para la representación legal del titular de los datos personales o administración de justicia.
6. Necesaria para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, o en casos de colaboración judicial internacional.
7. Necesaria para el mantenimiento o cumplimiento de una relación jurídica entre el responsable del tratamiento y el titular de los datos.
8. Que sea requerida para concretar transferencias bancarias o bursátiles en lo relativo a las transacciones respectivas y conforme a la legalización que les resulte aplicable.
9. Que tenga por objeto la cooperación internacional entre organismos de inteligencia para la lucha contra el crimen organizado, el terrorismo, el lavado de activos, los delitos informáticos, la pornografía infantil y el narcotráfico.
10. concurra alguna de las demás condiciones previstas en la .
Artículo 52
**Artículo 52.** *Nivel de protección equivalente o superior.* Para evaluar el cumplimento de la condición que establece el del artículo anterior, la autoridad de control, tomará en cuenta los criterios siguientes:
1. El respeto a los derechos humanos y las libertades fundamentales.
2. Las normas generales y sectoriales de la legislación vigente en el país de destino o en la organización internacional o supranacional;
3.
4.
La autoridad de control publicar el listado de destinos que reúnan estas condiciones.
Artículo 53
**Artículo 53.** *Garantías adecuadas.* Son garantías adecuadas para la transferencia de datos personales extrafronterizos los siguientes:
1. Las cláusulas contractuales suscritas entre el exportador y el destinatario que ofrezcan garantías suficientes y que permita demostrar el alcance del tratamiento de los datos personales, las obligaciones y responsabilidades asumidas por las partes y los derechos de los titulares.
2. Los modelos de cláusulas contractuales que valide la autoridad de control para ser utilizadas por exportador y destinatario como garantía de la transferencia.
3. Los mecanismos de autorregulación vinculante convenidos entre el exportador y el destinatario y aprobado por la autoridad de control o reconocida por ésta, siempre y éstos sean acordes con las disposiciones previstas en la y el presente decreto. La autoridad de control promulgar el listado de mecanismos de autorregulación vinculantes que se reconocen a estos efectos.
4. Si el exportador y el destinatario pertenecen al mismo grupo económico y los tratamientos queden sujetos a unas normas corporativas que les vinculen.
Capítulo IV. Autoridad de control
Capítulo IV. Autoridad de control
Artículo 54
**Artículo 54.** *Autoridad de control.* La Autoridad Nacional de Transparencia y de Acceso a la Información, a través de la Dirección de Protección de Datos Personales, es el organismo rector en materia de protección de datos personales. Contará con el apoyo de la Autoridad Nacional para la Innovación Gubernamental, se trate de aspectos relacionados con las Tecnologías de la Información y las Comunicaciones.
La Dirección de Protección de Datos Personales, resolverá, las quejas y peticiones presentadas a la Autoridad de Control. Sus decisiones pueden ser impugnadas mediante recurso de reconsideración ante o de apelación que se interpondrá ante el Director General de la Autoridad Nacional de Transparencia y Acceso a la Información.
Artículo 55
**Artículo 55.** *Composición de la Dirección de Protección de Datos Personales.* La Dirección de Protección de Datos Personales estar dotada de perfiles de nivel asesor y de nivel técnico para el desempeño de sus funciones.
Artículo 56
**Artículo 56.** *Miembros de la Dirección de Protección de Datos Personales.* Formarán parte de la Dirección de Protección de Datos Personales los servidores públicos que la Dirección General de autoridad de control designe.
Los servidores públicos asignados a la Dirección de Protección de Datos Personales desempeñarán sus funciones conforme al deber de confidencialidad.
Sección Primera. Designación y composición
Sección Primera. Designación y composición
Sección Primera.
Sección Primera.
Artículo 57
**Artículo 57.** *Atribuciones y facultades de la autoridad de control.* La Autoridad Nacional de Transparencia y Acceso a la Información, como autoridad de control, tiene las siguientes atribuciones y facultades, que serán ejercidas por la Dirección General:
1. Velar por la debida reserva y protección de los datos personales en poder del Estado o de las entidades privadas.
2. Promover la sensibilización de responsables del tratamiento y custodios de las bases de datos sobre las obligaciones que les incumben en la materia. Para ello realizar, directamente o a través de terceros, actividades de capacitación de servidores públicos en materia de protección de datos personales. Igualmente promover capacitaciones para responsables y custodios del tratamiento del sector privado con el objetivo de contribuir a la difusión y conocimiento de la normativa aplicable y de su interpretación. A tal fin celebrar convenios con entidades reguladoras, empresas y sectores de actividad.
3. La sensibilización del público para la comprensión de los riesgos, normas, garantías y derechos en relación con el tratamiento de sus datos personales. A tal fin, recibir informes, recomendaciones, observaciones y sugerencias que aporten los ciudadanos o la sociedad civil relacionadas con la protección de los datos personales y atenderlos e impulsarlos en las entidades involucradas para su atención.
4.
5. Solicitar el apoyo de la Autoridad Nacional para la Innovación Gubernamental, se trate de aspectos relacionados a las tecnologías de la información y la comunicación.
Estas atribuciones y facultades ser delegadas a la Dirección de Protección de Datos Personales.
Artículo 58
**Artículo 58.** Atribuciones y facultades de la Dirección de Protección de Datos Personales. las atribuciones y facultades que le pudiera delegar la Dirección General, conforme al artículo anterior del presente decreto, la Dirección de Protección de Datos Personales tiene las siguientes:
1. Fiscalizar y supervisar:
a.
b. Aprobar mecanismos de autorregulación vinculantes de conformidad con lo dispuesto en el y en el del presente decreto.
c. Llevar a cabo inspecciones sectoriales, por iniciativa propia o a petición de terceros, que le permitirán evaluar el cumplimiento de la y el presente decreto. La autoridad de control apoyarse en la colaboración de las entidades reguladoras del sector de actividad, en su caso. Y, en todo caso, con el apoyo de la Autoridad Nacional para la Innovación Gubernamental, se trate de aspectos relacionados con las Tecnologías de la Información y la Comunicación.
d. Previa solicitud, facilitar información a cualquier interesado en relación con el ejercicio de sus derechos reconocidos en el .
2. Sancionar:
a. Al responsable del tratamiento, así como al custodio de la base de datos por las infracciones de la .
b. En el caso de faltas leves, la citación tendrá por objeto que el responsable o custodio exponga los motivos del incumplimiento. Una vez analizados los motivos, la autoridad de control darle un plazo hasta de quince días hábiles para que le sea remitido lo requerido.
c. Sancionar a todo responsable del tratamiento, así como al custodio de la base de datos con una multa aplicando los criterios de graduación previstos en el presente decreto.
d. En el caso de faltas muy graves, la opinión formal del Consejo de Protección de Datos Personales será orientativa y no tendrá carácter vinculante.
e. Ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del titular de los datos reconocidos en el .
Sección Segunda. Poderes correctivos
Sección Segunda. Poderes correctivos
Artículo 59
**Artículo 59.** *Responsables.* Los responsables del tratamiento y/o custodios de las bases de datos son responsables del cumplimiento y quedan sujetos a la fiscalización y supervisión de la autoridad de control a través de la Dirección de Protección de Datos Personales.
Artículo 60
**Artículo 60.** Procedimiento vulneración de la normativa de protección de datos personales. El procedimiento administrativo sancionador se regirá por las normas generales previstas en la y las que resulten aplicables en su caso.
Artículo 61
**Artículo 61.** *Publicidad de las sanciones.*
Artículo 62
**Artículo 62.** *Criterios de graduación de las sanciones.* Las sanciones previstas en los y 3 del se aplicarán teniendo en cuenta los criterios de graduación siguientes:
1. La intencionalidad.
2. La reincidencia, por comisión de infracciones de la misma naturaleza, sancionadas mediante resolución en firme.
3. La naturaleza y cuantía de los perjuicios causados.
4. En plazo de tiempo durante el que se haya venido cometiendo la infracción.
5. El beneficio que haya reportado al infractor la comisión de la infracción.
6. El volumen de la facturación a que afecte la infracción cometida.
7. La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
8. La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
9. La afectación a los derechos de los menores de edad.
10. El haber designado un oficial de protección de datos personales.
11. La adopción reiterada y demostrada de mecanismos y procedimientos internos capaces de minimizar el daño, dirigidos al tratamiento seguro y adecuado de los datos, como, por ejemplo: la adopción de una política de buenas prácticas y gobernanza.
12. La pronta adopción de medidas correctivas.
13. La proporcionalidad entre la gravedad de la falta y la intensidad de la sanción.
Artículo 63
**Artículo 63.** *Prescripción de la acción.* La acción de las infracciones tipificadas en la prescriben en los siguientes plazos:
1. Las infracciones leves, prescriben en el plazo de un año.
2. Las infracciones graves prescriben en el plazo de tres años.
3. Las infracciones muy graves prescriben en el plazo de cinco años.
El plazo de prescripción de las infracciones comenzará a correr el día siguiente al que se haya cometido la acción que motiva la infracción.
Se interrumpe la prescripción de la infracción por el inicio de la investigación o del procedimiento sancionador.
Artículo 64
**Artículo 64.** *Prescripción de la sanción.* Las sanciones impuestas con arreglo a la prescriben en los siguientes plazos:
1. Las sanciones leves prescriben en un plazo de tres años.
2. Las sanciones graves prescriben en un plazo de cinco años.
3. Las sanciones muy graves son imprescriptibles.
El plazo de prescripción de las sanciones comenzará a correr el día siguiente al que se haya impuesto.
Se interrumpe la prescripción de la sanción por cualquier acto que tienda a la ejecución de la resolución que la impuso.
Artículo 65
**Artículo 65.** *Entrada en vigencia.* Este Decreto Ejecutivo comenzará a regir a partir de su promulgación.
**FUNDAMENTO DE DERECHO:** Constitución Política de la República; , y .