Ley 1581 de 2012: la ley de protección de datos de Colombia

A quién se aplica

A los datos personales de cualquier base de datos que pueda ser tratada por entidades públicas o privadas, cuando el tratamiento se hace en territorio colombiano. También cuando a un responsable o encargado de fuera del país le sea aplicable la legislación colombiana por normas y tratados internacionales (art. 2).

No se aplica a las bases de datos de ámbito exclusivamente personal o doméstico. Si van a cederse a terceros, hay que informar antes al titular y pedir su autorización. Tampoco a las de seguridad y defensa nacional, inteligencia o información periodística, ni a las reguladas por la Ley 1266 de 2008 o la Ley 79 de 1993, entre otras. Aun así, los principios de la ley valen también para ellas, con los límites de la propia ley y respetando la reserva legal.

Conceptos básicos

• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Titular: la persona natural cuyos datos se tratan.
• Responsable: quien decide sobre la base de datos o el tratamiento.
• Encargado: quien trata los datos por cuenta del responsable.

Los principios del tratamiento

1. art. 4.bFinalidadEl tratamiento debe tener una finalidad legítima, que hay que informar al titular.
2. art. 4.cLibertadSolo con el consentimiento previo, expreso e informado del titular, salvo mandato legal o judicial.
3. art. 4.dVeracidad o calidadLa información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
4. art. 4.fAcceso y circulación restringidaSolo pueden tratar los datos las personas autorizadas por el titular o por la ley. Los no públicos no pueden estar en Internet ni en medios masivos salvo acceso técnicamente controlable.
5. art. 4.gSeguridadMedidas técnicas, humanas y administrativas para proteger los registros.
6. art. 4.hConfidencialidadQuien trate datos no públicos debe guardar su reserva, incluso después de terminar la relación.

El artículo 4 recoge también los principios de legalidad (a) y transparencia (e).

La autorización del titular

Como regla, tratar datos exige la autorización previa e informada del titular, obtenida por un medio que se pueda consultar después (art. 9).

No hace falta autorización en cinco casos (art. 10):

• la información que pide una entidad pública en sus funciones o un juez;
• los datos de naturaleza pública;
• las urgencias médicas o sanitarias;
• los fines históricos, estadísticos o científicos autorizados por la ley;
• los datos del Registro Civil.

Quien acceda a los datos sin autorización previa en estos casos debe cumplir igualmente el resto de la ley.

Qué hay que informar al pedir la autorización

El responsable debe informar de forma clara y expresa de cuatro cosas (art. 12):

• el tratamiento y su finalidad;
• que responder sobre datos sensibles o de menores es facultativo;
• los derechos del titular;
• su identificación, dirección física o electrónica y teléfono.

Además, debe conservar prueba de que informó y entregar copia al titular si la pide.

Datos sensibles

Son los que afectan a la intimidad o cuyo mal uso puede discriminar, como los de salud, vida sexual o biométricos (art. 5). Su tratamiento está prohibido salvo excepciones, como la autorización explícita del titular (art. 6).

Registro Nacional de Bases de Datos

Es el directorio público de las bases de datos que se tratan en el país. Lo administra la SIC y es de libre consulta para los ciudadanos. Para registrar una base de datos hay que aportar las políticas de tratamiento de la información (art. 25).

Transferencias internacionales

Está prohibido transferir datos a países que no ofrezcan un nivel adecuado de protección, salvo excepciones como la autorización expresa e inequívoca del titular. El nivel adecuado lo fijan los estándares de la SIC (art. 26).

Los derechos del titular y cómo ejercerlos están en el hábeas data en Colombia.