Habeas data en Colombia: cómo proteger sus datos personales.
Sus datos no son de libre uso: así puede exigir protección en Colombia.
La Constitución y las leyes colombianas permiten conocer, actualizar y rectificar la información almacenada por empresas y entidades. Conozca qué datos están protegidos, cuándo pueden utilizarlos y cómo presentar un reclamo.
Cada vez que una persona abre una cuenta bancaria, compra por internet, se registra en una aplicación o entrega su hoja de vida, comparte información que puede quedar almacenada en bases de datos de empresas y entidades públicas.
Sin embargo, entregar el número de cédula, el teléfono o el correo electrónico no significa que una organización pueda utilizar esa información de cualquier manera. En Colombia existe el habeas data, un derecho fundamental que protege los datos personales y permite a los ciudadanos conocer qué información tienen sobre ellos, solicitar su actualización o corrección y reclamar cuando consideran que está siendo utilizada indebidamente.
Esta garantía está reconocida en el artículo 15 de la Constitución Política y desarrollada, principalmente, por las leyes 1581 de 2012 y 1266 de 2008.
¿Qué es el habeas data y cómo funciona en Colombia?
El habeas data es el derecho que tiene toda persona a conocer, actualizar y rectificar la información que se haya recopilado sobre ella en archivos y bases de datos de entidades públicas o privadas.
En términos prácticos, permite que un ciudadano pregunte qué información conserva una empresa, solicite que se corrija un dato equivocado y conozca para qué se está utilizando su información personal.
La protección no se limita a impedir que los datos sean divulgados. También busca que su recolección, almacenamiento, circulación y utilización respeten la intimidad, el buen nombre y las garantías constitucionales.
El artículo 15 de la Constitución establece esta protección. La Ley 1581 de 2012 desarrolla las reglas generales para el tratamiento de datos personales, mientras que la Ley 1266 de 2008 regula especialmente la información financiera, crediticia, comercial y de servicios, como la que administran las centrales de riesgo.
¿Qué datos personales están protegidos?
La información protegida comprende los datos que permiten identificar a una persona o que están relacionados con aspectos de su vida. Entre ellos se encuentran:
- Nombres, apellidos y número de identificación.
- Dirección de residencia y números telefónicos.
- Correo electrónico.
- Información financiera y crediticia.
- Datos laborales y académicos.
- Información relacionada con la salud.
- Datos biométricos, como huellas dactilares y reconocimiento facial.
La legislación también contempla los datos sensibles, que requieren una protección especial porque su utilización indebida puede afectar la intimidad o generar discriminación.
En esta categoría están, entre otros, los datos sobre salud, orientación política, convicciones religiosas, origen racial o étnico y vida sexual.
Como regla general, el tratamiento de datos sensibles está restringido, salvo las excepciones establecidas por la ley.
¿Las empresas pueden utilizar los datos personales sin autorización?
Como regla general, las organizaciones deben solicitar una autorización previa e informada para tratar los datos personales, además de explicar la finalidad de su recolección y utilización.
Esto significa que una persona que entrega su teléfono para recibir información sobre un producto no está autorizando automáticamente cualquier otro uso de ese número.
La autorización debe permitir que el titular conozca para qué se recopila la información y bajo qué condiciones será utilizada. También debe existir una finalidad legítima y respetarse los principios de protección de datos.
No obstante, la Ley 1581 contempla excepciones en las que no se requiere autorización, como determinados tratamientos de datos públicos, solicitudes de autoridades en ejercicio de sus funciones legales, órdenes judiciales y situaciones de urgencia médica o sanitaria, entre otros casos previstos en la norma.
Por eso, no todos los tratamientos de información requieren el mismo tipo de autorización, pero sí deben ajustarse a las condiciones legales aplicables.
¿Qué puede hacer si una empresa utiliza mal sus datos personales?
Cuando una persona considera que una empresa está utilizando indebidamente su información, puede ejercer sus derechos directamente ante la organización responsable del tratamiento.
La Ley 1581 reconoce, entre otros, estos derechos:
- Conocer: solicitar información sobre los datos personales almacenados y el uso que se les está dando.
- Actualizar: pedir que se incorporen cambios cuando la información esté desactualizada.
- Rectificar: solicitar la corrección de datos incompletos, inexactos o equivocados.
- Solicitar prueba de autorización: pedir evidencia del consentimiento cuando sea exigible.
- Revocar la autorización o solicitar la supresión: cuando proceda de acuerdo con las condiciones legales.
El primer paso consiste en presentar una consulta o un reclamo ante la empresa o entidad que administra la información. Es recomendable identificar el dato cuestionado, explicar qué ocurrió y señalar con claridad qué solución se solicita.
¿Cuánto tiempo tiene una empresa para responder?
Los plazos dependen del tipo de solicitud:
Si se trata de una consulta, por ejemplo, para conocer qué información tiene una empresa sobre una persona, el responsable debe responder en un máximo de diez días hábiles contados desde la recepción. Si no puede hacerlo dentro de ese periodo, debe informar las razones y señalar una nueva fecha, que no puede superar los cinco días hábiles siguientes al vencimiento del plazo inicial.
Si se presenta un reclamo, por ejemplo, para corregir un dato equivocado, actualizar información o solicitar la supresión cuando corresponda, el plazo máximo de respuesta es de quince días hábiles contados desde el día siguiente a la recepción. Si no es posible responder dentro de ese término, la organización debe explicar los motivos y establecer una fecha de respuesta que no supere los ocho días hábiles siguientes al vencimiento del plazo inicial.
Estos términos corresponden al régimen general de la Ley 1581 de 2012. Para información financiera y crediticia también deben revisarse las reglas específicas de la Ley 1266 de 2008.
¿Dónde puede presentar una queja si no respetan sus derechos?
Si la persona no recibe respuesta dentro de los términos legales o considera que su solicitud no fue atendida adecuadamente, puede acudir a la Superintendencia de Industria y Comercio (SIC), autoridad encargada de vigilar el cumplimiento del régimen general de protección de datos personales.
Antes de presentar la queja ante la SIC, debe agotar el trámite de consulta o reclamo ante el responsable o encargado del tratamiento, según corresponda.
La solicitud debe explicar los hechos, identificar a la organización involucrada y adjuntar los soportes disponibles, como comunicaciones, respuestas, autorizaciones o constancias de radicación.
En los asuntos relacionados con información financiera y crediticia, también deben tenerse en cuenta las disposiciones especiales de la Ley 1266 de 2008 y las competencias de las autoridades correspondientes.
¿Se puede pedir que una empresa elimine los datos personales?
Sí. Los ciudadanos pueden solicitar la supresión de su información o la revocatoria de la autorización cuando se cumplan las condiciones legales para hacerlo.
Sin embargo, esto no significa que una empresa esté obligada a borrar inmediatamente todos los datos de una persona. Existen situaciones en las que debe conservar determinada información por obligaciones legales, contractuales o por otras excepciones previstas en la normativa.
Por ejemplo, una entidad financiera puede tener obligaciones de conservación documental que impidan eliminar ciertos registros de manera inmediata, incluso si el cliente ya no desea recibir comunicaciones comerciales.
La organización debe evaluar la solicitud y explicar las razones por las cuales procede o no la eliminación de los datos.
¿Qué debe revisar antes de entregar información personal?
Antes de diligenciar un formulario, registrarse en una aplicación o compartir documentos, conviene verificar quién solicita la información y para qué la necesita.
También es recomendable:
- Leer la política de tratamiento de datos personales de la empresa.
- Revisar la finalidad para la cual se solicita la información.
- Comprobar si los datos requeridos son necesarios para el trámite o servicio.
- Identificar los canales de contacto para consultas y reclamos.
- Evitar compartir fotografías de documentos o información sensible con personas o plataformas cuya identidad no haya sido verificada.
El habeas data no impide que las organizaciones recopilen información necesaria para prestar sus servicios. Lo que establece es que deben hacerlo con una finalidad legítima, respetando los derechos de los ciudadanos y las condiciones previstas en la ley.
En un entorno donde los datos personales circulan constantemente, conocer esta garantía permite a los colombianos tener mayor control sobre su información y contar con mecanismos para reclamar cuando consideran que sus derechos han sido vulnerados.
