Introducción
El derecho a la protección de datos personales en Colombia se ha consolidado como pilar estratégico de la responsabilidad corporativa y la gestión de riesgos. Bajo la estricta vigilancia de la Superintendencia de Industria y Comercio (SIC), las organizaciones de todos los tamaños deben garantizar el tratamiento lícito, seguro y transparente de la información de sus clientes, colaboradores y proveedores.
En un entorno digital donde los datos son un activo de alto valor, el cumplimiento no debe verse como un simple trámite administrativo, sino como una ventaja competitiva que genera credibilidad y previene millonarias sanciones. A continuación, presentamos los aspectos más relevantes del régimen general de protección de datos para evaluar y fortalecer las políticas internas de tu empresa con un enfoque práctico y actualizado.
1. Rol central del titular del dato en el régimen legal
La base fundamental del tratamiento de datos personales en Colombia es la voluntad del titular, sin su consentimiento el tratamiento de datos puede ser ilegítimo. Salvo excepciones legales muy puntuales (como los datos de naturaleza pública definidos por la ley o requerimientos de autoridades judiciales y administrativas), las empresas no pueden recolectar, almacenar, usar ni circular datos personales sin una autorización previa, expresa e informada.
Para cumplir cabalmente con la norma y la doctrina de la SIC, la autorización debe ser:
- Previa: otorgada con antelación al uso de la información.
- Expresa: contener la voluntad del titular de forma clara e inequívoca.
- Informada: indicar con claridad qué datos se recolectan y para qué finalidades exactas se usarán.
- Demostrable (accountability): documentada en medios físicos, electrónicos para probar su obtención ante la autoridad.
Implicación empresarial: revisa los formularios web, contratos, avisos de privacidad y procesos de prospección comercial. Si tu empresa gestiona bases de datos históricas, valida que cuenten con la debida evidencia de autorización u otra forma de legitimación como el cumplimiento de una obligación legal.
2. Sanciones de la SIC: multas de hasta 2.000 salarios mínimos y medidas correctivas
El régimen sancionatorio de la Ley 1581 de 2012 faculta a la Superintendencia de Industria y Comercio para imponer medidas drásticas ante incumplimientos en la custodia o tratamiento de datos, tales como:
- Multas sucesivas de hasta 2.000 Salarios Mínimos Mensuales Legales Vigentes (SMMLV) tanto a personas jurídicas como naturales.
- Suspensión de las actividades de tratamiento de datos hasta por seis (6) meses.
- Cierre temporal o definitivo de las operaciones y bases de datos que no implementen los correctivos ordenados.
Recomendación: adecuar los procesos operativos para el cumplimiento del régimen de protección de datos personales no es un simple trámite legal; es una inversión estratégica para cuidar a los grupos de interés, la continuidad operativa y la reputación de la compañía.
3. Derecho de supresión y revocatoria: el titular mantiene el control de su información
Bajo el régimen de Habeas Data colombiano, los titulares tienen el derecho de solicitar en cualquier momento la supresión total o parcial de sus datos personales y la revocatoria de la autorización otorgada.
Las empresas están obligadas a contar con canales y procedimientos ágiles para atender estas solicitudes dentro de los términos legales (máximo 15 días hábiles). La supresión solo podrá negarse válidamente si el titular tiene un deber legal o contractual de permanecer en la base de datos (por ejemplo, obligaciones tributarias, comerciales o de prevención del lavado de activos y financiamiento del terrorismo).
4. Gestión del riesgo y Evaluación de Impacto (EIPD): el principio de Responsabilidad Demostrada
Bajo las directrices de la SIC, cumplir con la protección de datos no consiste únicamente en redactar un manual; las organizaciones deben demostrar de manera proactiva que gestionan los riesgos de privacidad mediante el principio de Responsabilidad Demostrada (accountability).
Cuando una empresa realiza tratamientos de alto impacto como el uso de datos sensibles (salud, biometría), datos de niños, niñas y adolescentes, o decisiones basadas en perfilamiento automatizado es fundamental desarrollar una Evaluación de Impacto en Protección de Datos (EIPD).
Una adecuada gestión preventiva documenta:
- Necesidad y proporcionalidad: justificación del porqué se requieren esos datos específicos.
- Mapa de riesgos: identificación de posibles fugas, accesos no autorizados o uso indebido.
- Medidas de seguridad técnicas y organizacionales: protocolos de cifrado, controles de acceso y políticas de retención.
- Base jurídica y consentimiento reforzado: evidencia de la autorización cualificada requerida para datos sensibles y de menores.
Implicación empresarial: si la SIC inicia una actuación administrativa o investiga una queja, la empresa debe estar en capacidad de probar documentalmente que adoptó medidas de seguridad y mitigación de riesgos previas y efectivas.
5. Transferencia y transmisión internacional de datos: reglas claras para servicios en la nube y terceros
Si tu empresa utiliza servidores en el extranjero, plataformas SaaS (como CRMs, software contable o herramientas de marketing por correo) o comparte datos con matrices y aliados fuera del país, debe cumplir con las directrices de la Ley 1581 de 2012 y las circulares de la SIC sobre flujos transfronterizos de información:
- Transmisión ernacional (proveedores y encargados): intal contratar servicios en la nube o proveedores tecnológicos en el exterior, se deben pactar términos de Transmisión de Datos Personales que obligue al proveedor a custodiar la información bajo los mismos estándares de confidencialidad y seguridad exigidos en Colombia.
- Transferencia internacional (destinatarios responsables): está prohibido transferir datos a países que no proporcionen niveles adecuados de protección según la lista oficial de la SIC (Circular Externa 005 de 2017 y actualizaciones), salvo que se cuente con la autorización expresa e inequívoca del titular o se utilicen cláusulas contractuales modelo aprobadas.
- Seguridad técnica: implementación de protocolos de cifrado, acuerdos de confidencialidad y control estricto de accesos.
Implicación empresarial: revisa los términos y condiciones de tus proveedores tecnológicos internacionales (servicios cloud, pasarelas de pago, CRMs) y asegúrate de tener formalizados lineamientos de transmisión de datos para evitar sanciones por envíos indebidos al exterior.
6. Persona o área responsable de protección de datos: la estructura interna de cumplimiento
Bajo el régimen colombiano (Decreto 1074 de 2015), toda entidad que trate datos personales está obligada a designar a una persona o área que asuma la función de coordinar y liderar la función de cumplimiento en materia de protección de datos. Este nombramiento puede formalizarse en el marco de un programa de protección de datos personales que establezca los parámetros de la función de cumplimiento.
En cuanto a la figura del Oficial de Protección de Datos Personales (OPDP): la Superintendencia de Industria y Comercio la recomienda y ha publicado una guía no vinculante sobre su rol, pero formalizarla con ese nombre específico no es, en sí misma, una obligación contemplada en la legislación nacional. En la práctica, muchas empresas optan por adoptarla de todas formas porque ordena y visibiliza internamente esta responsabilidad.
Ya sea bajo la figura de OPDP o simplemente como la persona o área designada, quien cumple esta función asume un rol estratégico en la organización:
- Canalizar peticiones: atender y resolver oportunamente las consultas, quejas y reclamos (PQR) de los titulares dentro de los términos de ley.
- Gestionar riesgos: asegurar diseño y puesta en práctica de la administración del riesgo de infracción a los derechos e intereses de los titulares de la información.
- Supervisar el cumplimiento: vigilar la correcta implementación de las Políticas de Tratamiento de Información (PTI) y los manuales de procedimientos internos.
- Punto de enlace: servir de interlocutor ante la Superintendencia de Industria y Comercio (SIC) en requerimientos o auditorías.
- Cultura y capacitación: sensibilizar continuamente al personal operativo, comercial y de TI en el manejo seguro y ético de la información.
Recomendación estratégica: en pequeñas y medianas empresas, esta función puede ser asumida por el Oficial de Cumplimiento, el área jurídica o un asesor externo especializado, asegurando que la empresa cuente con un doliente claro de la protección de datos en sus distintas expresiones (la privacidad, la intimidad, el buen nombre, el Habeas Data, la seguridad de la información, entre otras).
7. Reporte de incidentes de seguridad ante la SIC: deber legal y gestión de brechas
Ninguna organización está 100% exenta de sufrir un ciberataque, una fuga de información o un acceso no autorizado. Cuando ocurre una violación a los códigos de seguridad que comprometa datos personales, la empresa tiene el deber legal de reportar el incidente ante la Superintendencia de Industria y Comercio (SIC) a través del módulo del RNBD.
- Plazo legal en Colombia: el reporte debe realizarse dentro de los quince (15) días hábiles siguientes al momento en que el incidente sea detectado y puesto en conocimiento del área responsable.
- Información requerida por la SIC: naturaleza del incidente, tipos de datos comprometidos, número estimado de titulares afectados y las medidas de contingencia y remediación implementadas de inmediato.
- Notificación a los titulares: si la brecha genera un riesgo significativo para los derechos de los ciudadanos, la empresa debe informarles oportunamente para que tomen medidas preventivas.
Implicación empresarial: ocultar un incidente o no reportarlo a tiempo puede agravar la responsabilidad ante la autoridad. Una respuesta estructurada, documentada y reportada en los términos legales demuestra diligencia y mitiga el impacto sancionatorio y reputacional.
Conclusión
El cumplimiento en materia de protección de datos personales puede convertirse en una barrera operativa si no se gestiona estratégicamente. En el mundo empresarial actual, las organizaciones que adoptan una verdadera cultura de protección de la información personal obtienen beneficios tangibles:
- Confianza de clientes y aliados: la transparencia en el manejo de información se convierte en un sello de reputación.
- Mitigación del riesgo legal y financiero: prevención de investigaciones, órdenes administrativas y multas de la autoridad.
- Eficiencia en procesos: datos ordenados, actualizados y trazables reducen la complejidad operativa y tecnológica.
- Competitividad corporativa: cumplimiento riguroso exigido en licitaciones, auditorías y negociaciones con grandes corporaciones.
Implementar un programa integral de protección de datos requiere diagnóstico, diseño de políticas y procedimientos a la medida, controles adecuados, formación, difusión, seguimiento, evaluación y mejoramiento continuo.
En Lemaitre Consultores ayudamos a tu compañía a estructurar sistemas de gestión de datos personales vivos, prácticos y alineados a las exigencias reales de la SIC.
¿Tu empresa cuenta con las autorizaciones, contratos y protocolos de seguridad al día?
Contáctanos en lemaitre.co y solicita un diagnóstico de cumplimiento para blindar tu operación y proteger la confianza de tus clientes.