Sobre el presente tema debemos decir que el régimen colombiano de protección de datos personales (RCPDP) no establece, explícitamente, la designación de un OPD. Sin embargo, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), el cual reglamentó la Ley 1581 de 2012, prevé que, tanto los encargados como los responsables del tratamiento tienen la obligación de designar a una persona o área que asuma la función de protección de datos personales. Además, los responsables del tratamiento están obligados a informar la existencia de dicha área o persona en sus políticas de privacidad.
Asimismo, de acuerdo con las últimas actualizaciones al Registro Nacional de Bases de Datos, se habilitó una función para que los responsables del tratamiento incluyan los datos de contacto de su OPD, el cual puede ser una persona natural o jurídica. Vale recalcar que dicha actualización se produjo con ocasión de los postulados del Decreto 1074 de 2015 en comento.
En conclusión, pese a que el RCPDP no prevé la designación de un OPD bajo esta acepción particular, lo cierto es que en la práctica los encargados y los responsables del tratamiento deben designar a una persona natural o jurídica que asuma este tipo de funciones.
Así las cosas, el RCPDP únicamente dispone que el OPD debe tramitar las peticiones, consultas y reclamos de los titulares en ejercicio de sus derechos.
Ahora, de forma no vinculante, la Superintendencia de Industria y Comercio (SIC) ha publicado una guía del OPD, la cual presenta directrices frente a su designación y las funciones que se esperaría que asumiera. Dentro de ellas se destaca la cooperación con la SIC; la realización de evaluaciones de impacto de privacidad; el análisis y comprobación del estado de cumplimiento del RCPDP; la implementación de un sistema de administración de riesgos derivados del tratamiento de información personal, así como la emisión de recomendaciones en materia de protección de datos personales al interior de la organización.
En principio, el OPD no está sujeto al cumplimento de las obligaciones del RCPDP a título personal, sino que asume la vigilancia en el cumplimiento de estas al interior de la entidad. Por ejemplo, si el OPD omitiera atender las solicitudes de los titulares, la SIC solo podría reprochar tal omisión a la organización que actúa como encargado o responsable del tratamiento, mas no al OPD.
Fuente: Ámbito Jurídico.
