Artículo 31

Obligaciones del regulador o autoridad reguladora. El regulador o autoridad reguladora de cada sector, contará con un periodo de nueve meses, a partir de la entrada en vigencia del presente decreto, para establecer dentro de su normativa todos los protocolos, procesos y los procedimientos de tratamiento y transferencias segura que deban cumplir los sujetos regulados.

Ejercicio del derecho de portabilidad. El interesado tendrá derecho a recibir los datos personales que le incumben, en un formato estructurado, genérico, de uso común y lectura mecánica, bien para reutilizarlos para sí mismo, o para transmitirlos a otro responsable del tratamiento sin que el responsable pueda impedirlo. Son condiciones para el ejercicio de este derecho: 1. Que los datos los haya facilitado el titular directamente al responsable del tratamiento. 2. Que el tratamiento esté basado en el consentimiento o en un contrato. 3. Que sea un volumen relevante de datos y el tratamiento se efectúe por medios automatizados. El interesado tendrá derecho a que los datos personales se transmitan directamente a él o que el responsable los transmita directamente a otro responsable cuando sea técnicamente posible, por medios seguros e interoperables. Quedan excluidos de este derecho los datos que deriven de otra condición de licitud para el tratamiento o los que resulten de la elaboración propia del responsable del tratamiento.

Ejercicio del derecho de oposición. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento, que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. Cuando el tratamiento de datos personales tenga por objeto fines de mercado, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada actividad de mercado. En estos casos los datos personales dejarán de ser tratados para dichos fines. Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público.

Responsabilidad en el tratamiento. El responsable del tratamiento y el custodio de la base de datos implementarán los mecanismos necesarios para acreditar el cumplimiento de los principios y obligaciones establecidas en la Ley 81 de 2019 y en el presente decreto. Rendirán cuentas sobre el tratamiento de datos personales en su posesión al titular de los datos y a la autoridad de control. Para ello, deberán elaborar una ficha técnica que contendrá los protocolos, procesos y procedimientos de gestión y transferencia segura de los datos, que será fiscalizado y supervisado por la autoridad de control. Los responsables del tratamiento y los custodios de la base de datos podrán adoptar, entre otras, las siguientes medidas: 1. Elaborar protocolos y procesos de protección de datos personales obligatorios y exigibles al interior de la organización del responsable del tratamiento o custodios de la base de datos. 2. Revisar periódicamente los procedimientos de gestión y transferencia segura de los datos personales para determinar las modificaciones que se requieran. Para ello podrán establecer un sistema de supervisión y vigilancia interna y/o externa, incluyendo auditorías, para comprobar el cumplimiento de las políticas de protección de datos personales. 3. Cumplir con las normas o estándares nacionales o internacionales en materia de protección de datos personales. 4. Adoptar mecanismos de autorregulación vinculantes en materia de protección de datos personales. 5. Elaborar y mantener actualizado el registro de bases de datos a que se refiere la Ley 81 de 2019. 6. Evaluar el impacto de los tratamientos de datos a realizar, antes de su ejecución, para garantizar la proporcionalidad y minimización de datos en el tratamiento. 7. Establecer protocolos para la atención y respuesta al ejercicio de los derechos por los titulares de los datos. 8. Poner en práctica un programa de capacitación y actualización del personal sobre las obligaciones en materia de protección de datos personales. 9. Designar a un oficial de protección de datos, que participe de forma adecuada y en tiempo oportuno, en todas las cuestiones relativas a la protección de datos personales.