La mayoría de las empresas cree que cumple con la ley de datos personales porque puso una casilla de aceptación en un formulario. La casilla es apenas la punta del asunto: lo que la ley controla no es el consentimiento como gesto, sino la finalidad para la que se pidió el dato y lo que se hace con él después.
Conviene entonces mirar dos cosas. Qué autoriza el titular y qué no, que es donde se define el alcance real del permiso. Y qué derechos puede ejercer, con los plazos en que hay que responderle.
Qué autoriza el titular y qué no
El principio de finalidad
El artículo 4 de la Ley 1581 de 2012 enumera los principios del tratamiento: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.
El de finalidad es el que gobierna todo lo demás: el tratamiento debe obedecer a un propósito legítimo, informado al titular, y los datos no pueden usarse después para algo distinto. De ahí que la autorización no funcione como un cheque en blanco.
El artículo 9 exige que la autorización sea previa e informada, y que el responsable conserve prueba de haberla obtenido. El artículo 10 enumera los casos en que no se requiere, entre ellos:
- Información requerida por una entidad pública en ejercicio de sus funciones legales o por orden judicial.
- Datos de naturaleza pública.
- Casos de urgencia médica o sanitaria.
- Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos.
- Datos relacionados con el Registro Civil de las personas.
Los datos sensibles
El artículo 5 define como sensibles los datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, datos de salud, de vida sexual y biométricos.
| Dato | Regla |
|---|---|
| Dato personal común | Autorización previa e informada |
| Dato sensible | Tratamiento prohibido, salvo las excepciones del artículo 6, con autorización explícita y advirtiendo que no está obligado a autorizarlo |
| Datos de niños, niñas y adolescentes | Régimen especial del artículo 7 |
Esa fila del medio explica por qué la huella o el reconocimiento facial para controlar el ingreso a una oficina no se resuelve con la misma casilla que un correo de contacto.
Qué derechos puede ejercer
Los ocho del artículo 8
El artículo 8 reconoce al titular el derecho a:
- Conocer, actualizar y rectificar sus datos frente al responsable o al encargado.
- Solicitar prueba de la autorización otorgada.
- Ser informado sobre el uso que se ha dado a sus datos.
- Presentar quejas ante la Superintendencia de Industria y Comercio.
- Revocar la autorización y solicitar la supresión del dato.
- Acceder de forma gratuita a sus datos.
La revocatoria y la supresión tienen un límite razonable: no proceden cuando existe un deber legal o contractual de conservar la información. Pero ese límite hay que explicarlo, no simplemente invocarlo.
Los plazos y la sanción
| Actuación | Término | Prórroga |
|---|---|---|
| Consulta (art. 14) | 10 días hábiles | Hasta 5 días hábiles más |
| Reclamo (art. 15) | 15 días hábiles | Hasta 8 días hábiles más |
| Reclamo incompleto | Se requiere al titular para subsanar | Se entiende desistido si no lo hace |
La autoridad de vigilancia es la Superintendencia de Industria y Comercio, que puede imponer multas de hasta dos mil salarios mínimos mensuales legales vigentes, suspender las actividades relacionadas con el tratamiento y ordenar el cierre de las operaciones que involucren datos sensibles.
Del lado de la empresa, el cumplimiento se documenta con tres piezas que el Decreto 1377 de 2013 desarrolló: la política de tratamiento, el aviso de privacidad y el registro de las autorizaciones, además de la inscripción de las bases de datos en el registro nacional que administra la Superintendencia.
Conclusión
Qué autoriza el titular enseña que el permiso está atado a la finalidad declarada, que debe poder probarse, y que los datos sensibles tienen un régimen prohibitivo con excepciones. Qué derechos puede ejercer enseña que hay ocho derechos exigibles y plazos cortos para atenderlos.
De donde se sigue lo que hay que retener: la ley de datos personales no pregunta si el titular aceptó, pregunta para qué aceptó. Un consentimiento amplio y vago protege menos que una finalidad estrecha y bien escrita.
Revisar políticas de tratamiento, atender un reclamo o responder a una actuación de la Superintendencia es trabajo de constitucional económico.