Habeas Data Rights Exercise Request Colombia (SIC)

Conforme al artículo 22 del Decreto 1377 de 2013, las organizaciones colombianas deben responder las solicitudes de habeas data en plazos específicos. Para consultas (solicitudes de acceso donde el Titular pregunta qué datos se almacenan), el Responsable del Tratamiento debe responder en un máximo de diez (10) días hábiles contados desde la recepción de la solicitud. Para reclamos (reclamaciones de corrección, supresión o revocación), el plazo es de quince (15) días hábiles, prorrogable por ocho (8) días hábiles adicionales si el Responsable notifica al Titular por escrito antes de vencer el plazo inicial. Si la empresa no responde dentro de estos plazos, el Titular puede presentar una queja formal directamente ante la Superintendencia de Industria y Comercio (SIC) a través de su plataforma digital en www.sic.gov.co. La SIC puede iniciar una investigación administrativa e imponer sanciones de hasta 2.000 SMMLV a la organización incumplida bajo el artículo 23 de la Ley 1581 de 2012. Estos plazos aplican a todas las organizaciones que traten datos personales de residentes colombianos, independientemente de su tamaño o sector.

Sí, en determinadas circunstancias la ley colombiana permite a las organizaciones negar una solicitud de supresión de datos. Bajo el artículo 9 de la Ley 1581 de 2012, las organizaciones pueden negarse a eliminar datos personales cuando: (1) los datos son necesarios para cumplir una obligación legal o contractual (por ejemplo, conservación de registros contables exigida por el Estatuto Tributario por 5 años); (2) los datos son requeridos en procesos judiciales o administrativos en curso donde la organización sea parte o tenga obligación legal de conservarlos; (3) los datos están vinculados a un propósito de interés público autorizado por ley; o (4) en el caso de datos crediticios financieros bajo la Ley 1266 de 2008, el reporte negativo no ha alcanzado aún el período legal de permanencia (hasta 4 años desde que la deuda se hizo exigible). En todos los casos donde se deniegue una solicitud de supresión, el Responsable del Tratamiento debe informar al Titular por escrito la razón legal específica dentro del plazo de 15 días hábiles del Decreto 1377/2013. Si el Titular no está de acuerdo con la denegación, puede escalar ante la SIC mediante queja formal en www.sic.gov.co.

Colombia tiene dos regímenes separados de habeas data. La Ley 1266 de 2008 (Ley de Habeas Data Financiero) aplica específicamente al tratamiento de datos personales financieros, crediticios y comerciales por parte de centrales de riesgo como Datacrédito (Experian Colombia) y TransUnion Colombia. Establece reglas específicas para los reportes negativos: los reportes negativos solo pueden realizarse después de notificación previa al deudor, y deben eliminarse transcurridos 4 años desde la fecha en que se pagó la deuda o prescribió. La Ley 1581 de 2012 (Ley General de Protección de Datos) es la ley general que aplica a todo otro tratamiento de datos personales por cualquier organización: comercios, empleadores, prestadores de salud, instituciones educativas, entidades del Estado, plataformas digitales y otros. Diferencias clave: bajo la Ley 1266/2008, la SIC tiene competencia específica sobre disputas de reportes crediticios; bajo la Ley 1581/2012, la Delegatura de Protección de Datos de la SIC supervisa el cumplimiento en todos los sectores. Una sola solicitud puede invocar derechos bajo ambas leyes si, por ejemplo, el Titular quiere corregir tanto un error en un historial médico (Ley 1581) como un reporte crediticio erróneo relacionado (Ley 1266).

En Colombia, los datos personales de menores de edad (personas menores de 18 años) reciben protección especial bajo el artículo 7 de la Ley 1581 de 2012. El tratamiento de datos personales de menores requiere autorización de su representante legal (padres o tutores) y debe satisfacer el interés superior del menor establecido en el Código de la Infancia y la Adolescencia (Ley 1098 de 2006). Las organizaciones deben implementar medidas de seguridad reforzadas y no pueden tratar datos sensibles de menores (datos de salud, datos biométricos, datos sobre vida u orientación sexual) sin justificación explícita y requisitos de consentimiento reforzados. El ICBF tiene orientaciones regulatorias sobre protección de datos de niños bajo su tutela. Cuando una solicitud de habeas data concierne datos de un menor, debe ser presentada por el padre o representante legal en nombre del menor, con documentación que acredite la representación (registro civil de nacimiento). Al cumplir 18 años, la persona puede ejercer independientemente todos los derechos de habeas data sobre sus propios datos. Los registros escolares, médicos y de servicios sociales de menores quedan bajo este régimen de protección reforzada.

Si una empresa ignora o responde inadecuadamente a una solicitud de habeas data en Colombia, tiene varias vías de escalada. Primero, presentar una queja formal ante la Superintendencia de Industria y Comercio (SIC) a través de su plataforma digital en www.sic.gov.co. La Delegatura de Protección de Datos de la SIC investigará la queja y puede imponer sanciones de hasta 2.000 SMMLV (aproximadamente COP $2.500 millones en 2024) a las organizaciones incumplidas bajo el artículo 23 de la Ley 1581/2012, y puede ordenar la suspensión de actividades de tratamiento de datos. Segundo, puede interponer una acción de tutela ante cualquier juez, invocando el derecho constitucional al habeas data del artículo 15 de la Constitución Política de Colombia. La tutela es un mecanismo expedito con plazo de fallo de 10 días que obliga a la organización a proteger el derecho fundamental. Tercero, para disputas sobre datos crediticios bajo la Ley 1266/2008, la Defensoría del Consumidor Financiero de la entidad financiera correspondiente es una vía adicional, así como la Defensoría del Pueblo para violaciones sistemáticas que afecten a múltiples personas. Conserve copias de todas las solicitudes presentadas y los comprobantes de entrega para acreditar que la organización recibió su solicitud y no respondió dentro de los plazos legales.