Privacy Policy (Política de Tratamiento de Datos) Colombia

Sí, prácticamente hablando. La Ley 1581 de 2012 aplica a cualquier persona natural o jurídica que recolecte, almacene, use, circule o procese datos personales de individuos en Colombia. Esto cubre prácticamente a toda empresa que tenga clientes, empleados, proveedores o visitantes de su sitio web. Las únicas excepciones establecidas en el artículo 2 de la Ley 1581/2012 son: bases de datos mantenidas exclusivamente para uso personal o doméstico; bases de datos mantenidas exclusivamente para seguridad y defensa nacional; y bases de datos mantenidas por agencias de inteligencia. Toda otra organización que maneje datos personales de residentes colombianos debe tener una política formal de tratamiento de datos, implementar sus requisitos (obtener consentimiento previo, habilitar ejercicio de derechos, registrar bases de datos de 5.000+ titulares en el RNBD de la SIC), y poder demostrar cumplimiento si es auditada por la Superintendencia de Industria y Comercio.

Conforme al artículo 8 de la Ley 1581 de 2012, los titulares de datos en Colombia tienen los siguientes derechos: (1) Derecho de acceso — conocer qué datos personales suyos están siendo tratados, de forma gratuita al menos una vez al mes; (2) Derecho de rectificación — solicitar la corrección de datos inexactos, incompletos o desactualizados; (3) Derecho de supresión — solicitar la eliminación de datos que ya no son necesarios para el fin original, fueron recolectados sin consentimiento válido, o cuyo tratamiento viola la Ley 1581/2012, salvo que exista obligación legal de conservación; (4) Derecho a prueba de la autorización — recibir evidencia de que su autorización fue debidamente obtenida; (5) Derecho de queja — ante la Superintendencia de Industria y Comercio (SIC) si consideran que sus derechos han sido violados; (6) Derecho de revocación del consentimiento — retirar su autorización para el tratamiento de datos en cualquier momento, sujeto a limitaciones contractuales y legales. Plazos de respuesta: 15 días hábiles para consultas, 15 días hábiles para reclamos formales (prorrogables por 8 días hábiles adicionales con aviso).

El Registro Nacional de Bases de Datos (RNBD) es un registro público administrado por la Superintendencia de Industria y Comercio (SIC) bajo el artículo 25 de la Ley 1581 de 2012 y el Decreto 1074 de 2015 (artículos 2.2.2.25.1 a 2.2.2.25.10). Las organizaciones (responsables del tratamiento de datos personales) que administren bases de datos con 5.000 o más titulares deben inscribir cada base de datos en el RNBD, proporcionando información sobre: la naturaleza de los datos tratados, las finalidades del tratamiento, las medidas de seguridad implementadas, la base legal del tratamiento, si se tratan datos sensibles y la información de transferencias internacionales. La inscripción se realiza a través del portal en línea del RNBD en rnbd.sic.gov.co. No inscribirse cuando se está obligado constituye una infracción sujeta a multas de la SIC. El registro debe actualizarse cuando haya cambios significativos en las condiciones de tratamiento de la base de datos. Las organizaciones con menos de 5.000 titulares no están obligadas a inscribirse, pero deben cumplir con todas las demás obligaciones de la Ley 1581/2012.

La Superintendencia de Industria y Comercio (SIC) tiene amplias facultades sancionatorias bajo los artículos 22 y 23 de la Ley 1581 de 2012. Las sanciones disponibles incluyen: (1) Multas institucionales de hasta 2.000 SMMLV (aproximadamente COP $2.600 millones a tasas de 2024, o aproximadamente USD $640.000); (2) Multas personales contra los representantes legales, directores u oficiales responsables de la infracción, de hasta 200 SMMLV; (3) Suspensión temporal de las actividades de tratamiento por hasta 6 meses; (4) Suspensión definitiva del tratamiento de bases de datos específicas; (5) Amonestaciones públicas con publicación obligatoria de la sanción en el sitio web de la SIC. La SIC ha usado activamente estos poderes contra importantes empresas colombianas y multinacionales. La SIC también puede ordenar la eliminación inmediata de datos tratados ilegalmente y exigir que se notifique a los afectados. Las sanciones se publican en el informe anual de la Delegatura para la Protección de Datos Personales de la SIC.

Las transferencias internacionales de datos personales desde Colombia están reguladas por el artículo 26 de la Ley 1581 de 2012 y los artículos 24-27 del Decreto 1377 de 2013. La regla general es que los datos personales no pueden transferirse a países que no proporcionen niveles adecuados de protección de datos. Las excepciones que permiten la transferencia sin autorización previa de la SIC incluyen: (1) el titular ha dado consentimiento expreso a la transferencia; (2) la transferencia es necesaria para un contrato entre el titular y el responsable; (3) la transferencia es necesaria para proteger intereses vitales del titular; (4) la transferencia es requerida por cooperación internacional entre estados; y (5) la transferencia se hace a países reconocidos como adecuados por la SIC (actualmente los estados miembros de la UE/EEE bajo el marco del RGPD). Para transferencias a países no adecuados sin consentimiento explícito, las empresas deben: obtener autorización previa de la SIC, o implementar cláusulas contractuales tipo entre el responsable y el destinatario, o garantizar que el destinatario se adhiere a normas corporativas vinculantes (BCR) para grupos multinacionales. Los proveedores de servicios en la nube (AWS, Google Cloud, Azure) con sede fuera de Colombia crean obligaciones de cumplimiento de transferencia internacional para sus clientes colombianos.

Los empleadores colombianos que traten datos personales de empleados deben cumplir con la Ley 1581 de 2012 y los lineamientos específicos de la SIC sobre datos laborales. Los requisitos clave incluyen: obtener una autorización específica e informada de los empleados (separada del contrato de trabajo) que cubra todas las finalidades del tratamiento (nómina, seguridad social, beneficios, registros disciplinarios, control de acceso biométrico); limitar la recolección de datos a lo estrictamente necesario para fines laborales (principio de minimización); mantener la confidencialidad de datos de salud, discapacidad, afiliación sindical y otros datos sensibles protegidos bajo el artículo 6 de la Ley 1581/2012; informar a los empleados de sus derechos sobre los datos y cómo ejercerlos; implementar medidas de seguridad proporcionales a la sensibilidad de los datos; y gestionar adecuadamente los datos de empleados al terminar la relación laboral (eliminación segura o anonimización de datos no requeridos legalmente). Para sistemas de asistencia biométrica (lectores de huella, reconocimiento facial), que procesan datos sensibles que requieren autorización explícita, la SIC exige medidas de seguridad reforzadas y ha emitido orientación específica a través de la Circular Externa SIC 003/2018.

El Habeas Data en Colombia es tanto un derecho constitucional (artículo 15 de la Constitución Política, que protege el derecho a conocer, actualizar y rectificar información personal almacenada en bases de datos) como un derecho estatutario bajo la Ley 1581 de 2012. El proceso administrativo de Habeas Data bajo la Ley 1581/2012 funciona en dos etapas: Etapa 1 — solicitud directa al responsable del tratamiento: el titular presenta una solicitud formal (consulta o reclamo) al contacto de privacidad designado del responsable. El responsable debe responder dentro de los 15 días hábiles para consultas y 15 días hábiles para reclamos formales (prorrogables una vez por 8 días hábiles con aviso escrito). Etapa 2 — queja ante la SIC: si el responsable no responde, da una respuesta insatisfactoria, o el titular considera que hay una violación, puede presentar queja ante la Delegatura para la Protección de Datos Personales de la SIC. La SIC investiga y puede imponer sanciones. Adicionalmente, la acción constitucional de Habeas Data (tutela, artículo 86 de la Constitución) provee un recurso judicial expedito de 10 días cuando derechos fundamentales están amenazados inmediatamente, tramitado por cualquier juez en Colombia. El Habeas Data financiero (relacionado con datos de centrales de riesgo como Datacrédito/TransUnión y Cifin/Experian) está específicamente regulado por la Ley 1266 de 2008.