Tratamiento de datos personales: autorización, política y deberes

El tratamiento de datos personales es cualquier uso que se hace de la información de una persona: recogerla, guardarla, consultarla, compartirla o borrarla. En Colombia lo regula la Ley 1581 de 2012 y lo vigila la Superintendencia de Industria y Comercio. Esta guía le explica, en lenguaje sencillo, qué debe tener un negocio para cumplir y qué derechos tiene usted como titular.

Qué es el tratamiento de datos personales

La Ley 1581 de 2012 define el tratamiento como cualquier operación sobre datos personales, como la recolección, el almacenamiento, el uso, la circulación o la supresión. Un dato personal es cualquier información que se pueda asociar a una persona natural: nombre, cédula, celular, correo, dirección, foto, huella o historial de compras.

Por eso el tratamiento de datos personales no es un asunto exclusivo de bancos o grandes empresas. Una tienda que pide el celular para domicilios, un conjunto residencial que registra visitantes o un consultorio que guarda historias clínicas también tratan datos.

Puede consultar el texto completo de la Ley 1581 de 2012 en la Secretaría del Senado.

Quién es quién en el tratamiento

• Titular: la persona natural dueña de los datos.
• Responsable del tratamiento: quien decide sobre la base de datos y para qué se usa, por ejemplo el almacén.
• Encargado del tratamiento: quien procesa los datos por cuenta del responsable, por ejemplo la empresa de software o el call center.

El responsable responde ante el titular y ante la Superintendencia de Industria y Comercio, aunque haya contratado a un encargado.

La autorización de tratamiento de datos

El artículo 9 exige la autorización previa e informada del titular, obtenida por cualquier medio que pueda consultarse después: un formulario firmado, una casilla en una página web, una grabación telefónica o un mensaje de datos.

Según el artículo 12, al pedir la autorización de tratamiento de datos el responsable debe informar:

1. Qué tratamiento se hará y con qué finalidad.
2. Que responder preguntas sobre datos sensibles o de menores es facultativo.
3. Los derechos que tiene el titular.
4. La identificación, dirección y teléfono del responsable.

El responsable debe conservar prueba de la autorización y entregarle copia al titular cuando la pida.

Casos en que no se necesita autorización

El artículo 10 permite tratar datos sin autorización cuando se trata de información pedida por una entidad pública en ejercicio de sus funciones o por orden judicial, datos de naturaleza pública, urgencias médicas o sanitarias, fines históricos, estadísticos o científicos autorizados por la ley, y datos del registro civil.

Datos personales sensibles y datos de menores

Los datos personales sensibles son los que afectan la intimidad o pueden generar discriminación: origen racial o étnico, orientación política, convicciones religiosas, pertenencia a sindicatos u organizaciones sociales, salud, vida sexual y datos biométricos como huella o reconocimiento facial.

Su tratamiento está prohibido salvo excepciones, entre ellas la autorización explícita del titular. Un gimnasio que usa huella para el ingreso o una empresa que pide exámenes médicos debe explicar por qué los necesita y advertir que entregarlos es voluntario.

Los datos de niños, niñas y adolescentes solo pueden tratarse respetando sus derechos prevalentes. La Corte Constitucional ha entendido que se permite su tratamiento cuando responde a su interés superior.

Los 5 deberes básicos del responsable

La política de tratamiento de datos personales es un documento que explica quién es el responsable, qué datos recoge, para qué, cómo se ejercen los derechos y quién atiende las solicitudes. El Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015, desarrolla su contenido.

Nuestro formato de tratamiento de datos personales incluye la autorización y la política listas para adaptar al nombre de su negocio.

Cómo redactar la autorización de tratamiento de datos personales

Una buena autorización es corta y concreta. Evite textos genéricos copiados de otra empresa, porque la finalidad debe corresponder a lo que usted realmente hace con los datos. Un ejemplo para una tienda de barrio con domicilios:

Revise que su formato tenga:

• Nombre e identificación del responsable.
• Datos que se recogen, uno por uno.
• Finalidades separadas si son distintas, por ejemplo ventas y publicidad.
• Mención expresa de que responder sobre datos sensibles es voluntario.
• Canal para ejercer derechos y enlace a la política de tratamiento de datos personales.
• Fecha, firma o registro digital del titular.

Si contrata un software o un call center, firme también un contrato de transmisión de datos en el que el encargado se obligue a cumplir su política.

Derechos del titular y plazos de respuesta

Como titular, usted puede conocer, actualizar y rectificar sus datos, pedir prueba de la autorización, saber qué uso se les ha dado, revocar la autorización o pedir la supresión cuando no se respeten sus derechos, y presentar quejas ante la SIC.

• Consultas: se responden en un máximo de 10 días hábiles, prorrogables hasta 5 días hábiles más avisando el motivo.
• Reclamos de corrección, actualización o supresión: máximo 15 días hábiles, prorrogables hasta 8 días hábiles más.
• Antes de quejarse ante la SIC, debe haber agotado la consulta o el reclamo ante el responsable o el encargado.

Para hacer estas solicitudes puede apoyarse en el derecho de petición, que obliga también a muchas organizaciones privadas.

Tratamiento de datos personales y centrales de riesgo

Los datos financieros y crediticios tienen una ley especial, la Ley 1266 de 2008, modificada por la Ley 2157 de 2021. Allí se exige, por ejemplo, la autorización del titular para el reporte y una comunicación previa de 20 días antes de reportar en mora. Si a usted lo reportaron sin autorización, revise nuestra guía de reportes negativos en centrales de riesgo y la petición por falta de autorización previa.

Errores comunes en el tratamiento de datos personales

• Usar la base de clientes para fines distintos a los autorizados, como venderla a terceros.
• Pedir la cédula completa o la huella cuando no se necesita.
• Guardar hojas de vida y exámenes médicos en carpetas sin llave o en correos personales.
• No tener un canal para atender solicitudes o responder fuera de plazo.
• Publicar listas de morosos en carteleras o grupos de WhatsApp, lo que expone datos sin autorización.

Sanciones por incumplir la Ley 1581 de 2012

El artículo 23 faculta a la SIC para imponer a los particulares multas de hasta 2.000 salarios mínimos mensuales, que pueden ser sucesivas, además de suspensión de actividades por hasta seis meses, cierre temporal y cierre definitivo cuando se trata de datos sensibles. Frente a entidades públicas, la SIC remite el caso a la Procuraduría.

Además, de acuerdo con el Decreto 090 de 2018, las sociedades y entidades sin ánimo de lucro con activos superiores a 100.000 UVT, y las personas jurídicas públicas, deben inscribir sus bases de datos en el Registro Nacional de Bases de Datos que administra la SIC. Confirme en la SIC si su empresa está obligada.

Preguntas frecuentes sobre tratamiento de datos personales

¿Una persona natural con un negocio pequeño debe cumplir la Ley 1581 de 2012?

Sí, en cuanto a pedir autorización, informar la finalidad, proteger los datos y atender solicitudes. Lo que no tiene es la obligación de inscribir sus bases en el Registro Nacional de Bases de Datos, que hoy recae sobre sociedades con activos superiores a 100.000 UVT y entidades públicas.

¿Sirve una autorización verbal?

Puede servir si queda grabada o registrada de forma que se pueda consultar después. Lo recomendable es tener un formato escrito o una casilla digital con fecha y hora.

¿Puedo pedir que borren mis datos de una base de mercadeo?

Sí. Puede revocar la autorización y pedir la supresión cuando no exista un deber legal o contractual de permanecer en la base. El responsable debe tramitarlo como reclamo en el plazo de quince días hábiles.

¿Las cámaras de seguridad están incluidas?

Sí. La imagen de una persona es un dato personal. Quien tiene cámaras debe avisar con letreros visibles que el lugar está vigilado, explicar la finalidad y limitar el acceso a las grabaciones.

¿Qué hago si una empresa vendió mis datos?

Presente primero un reclamo ante la empresa pidiendo información sobre el uso y la supresión. Si no responde o la respuesta es insatisfactoria, presente queja ante la Superintendencia de Industria y Comercio con las pruebas.

Información general sobre tratamiento de datos personales según la ley colombiana. No reemplaza la asesoría de un abogado para su caso concreto.

¿Le sirvió? Compártalo: