Artículo 49

Contrato de custodio de la base de datos. El responsable del tratamiento elegirá únicamente un custodio de la base de datos que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos de la Ley 81 de 2019, del presente decreto y se garantice la protección de los derechos del titular de los datos. Se entenderán por garantías suficientes, entre otras, contar con un mecanismo de autorregulación vinculante; haber designado un oficial de protección de datos; contar con una certificación en materia de seguridad de los datos personales o haberse sometido a una auditoría de cumplimiento por parte del responsable del tratamiento. El responsable del tratamiento y el custodio de la base de datos dejarán constancia por escrito o por cualquier medio admisible como prueba, inclusive por medios electrónicos, el contenido del mandato que implique tratamiento de datos por cuenta del responsable del tratamiento.

Contenido del contrato de custodio de la base de datos. Se estipularán, entre otras, las siguientes condiciones: 1. El tratamiento de los datos personales conforme a las instrucciones, debidamente documentadas, del responsable del tratamiento. 2. Implementar las medidas de seguridad conforme a los instrumentos jurídicos aplicables. 3. La obligación de informar al responsable del tratamiento cuando ocurra una violación de la seguridad de los datos personales que trata según sus instrucciones. 4. La confidencialidad respecto de los datos personales tratados. 5. La prohibición de transferir datos personales, salvo que el responsable lo solicite o la transferencia derive de una subcontratación autorizada por el responsable del tratamiento. 6. La información que el custodio deba poner a disposición del responsable para que éste pueda acreditar el cumplimiento de sus obligaciones. 7. La colaboración con el responsable del tratamiento en todo lo relativo a garantizar el cumplimiento, en particular, en cuanto a la atención y respuesta al ejercicio de los derechos. 8. La eliminación, devolución o comunicación, al responsable del tratamiento o a un nuevo custodio de la base de datos designado por el responsable del tratamiento, los datos personales objeto de tratamiento, una vez cumplida la relación jurídica con el responsable del tratamiento, excepto que una ley exija la conservación de los datos personales. En este caso, los datos serán devueltos al responsable del tratamiento que garantizará su conservación por el tiempo establecido en la Ley 81 de 2019 o en otras leyes especiales.

Contratos de responsabilidad solidaria. Cuando la base de datos sea alimentada por dos o más responsables que determinen conjuntamente los objetivos y los medios del tratamiento serán considerados, responsables solidarios del tratamiento. Los responsables solidarios determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por la Ley 81 de 2019 y el presente decreto, en particular en cuanto al ejercicio de los derechos del titular y a sus respectivas obligaciones de suministro de información a que se refiere el artículo 10 del presente decreto, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por la ley que les sea aplicable. Dicho acuerdo podrá designar un punto de contacto para los titulares de los datos. El acuerdo indicado en este artículo establecerá debidamente las funciones y relaciones respectivas de los responsables solidarios en relación con los titulares de los datos. Se pondrán a disposición de los titulares de los datos los aspectos esenciales del acuerdo. Indistintamente del acuerdo en la determinación de los objetivos y los medios del tratamiento, los titulares de los datos personales podrán ejercer los derechos que se les reconoce en la Ley 81 de 2019 frente a, y en contra de, cada uno de los responsables del tratamiento.

Condiciones para las transferencias extraordinarias de datos. Los datos objeto de tratamiento podrán ser transferidos a otro país siempre que se reúna alguna de las condiciones siguientes: 1. Para países u organizaciones internacionales que brindan un grado de protección de datos personales equivalente o superior al previsto en la Ley 81 de 2019 y el presente decreto; 2. Cuando el responsable ofrece y prueba garantías adecuadas de cumplimento de los principios, los derechos del titular y el régimen de protección de datos personales previsto en la Ley 81 de 2019 y el presente decreto. 3. Consentimiento del titular de los datos 4. Necesaria para la prevención o diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios. 5. Necesaria para la salvaguarda del interés público o para la representación legal del titular de los datos personales o administración de justicia. 6. Necesaria para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, o en casos de colaboración judicial internacional. 7. Necesaria para el mantenimiento o cumplimiento de una relación jurídica entre el responsable del tratamiento y el titular de los datos. 8. Que sea requerida para concretar transferencias bancarias o bursátiles en lo relativo a las transacciones respectivas y conforme a la legislación que les resulte aplicable. 9. Que tenga por objeto la cooperación internacional entre organismos de inteligencia para la lucha contra el crimen organizado, el terrorismo, el lavado de activos, los delitos informáticos, la pornografía infantil y el narcotráfico. 10. Cuando concurra alguna de las demás condiciones previstas en la Ley 81 de 2019.