Ley 1581 en Colombia: qué obliga y cómo se demuestra

La Ley Estatutaria 1581 de 2012 es la norma general de protección de datos personales en Colombia. Desarrolla el derecho a conocer, actualizar y rectificar la información que hay sobre uno, y la vigila la Superintendencia de Industria y Comercio a través de su Delegatura para la Protección de Datos Personales.

Las tres obligaciones que se comprueban primero

• › Autorización previa e informada del titular, con prueba de que se obtuvo y de para qué.
• › Inscripción de las bases de datos en el registro nacional que administra la SIC.
• › Medidas de seguridad que impidan acceso no autorizado, adulteración o pérdida.

Las dos primeras son documentales y se resuelven con procedimiento. La tercera es la que no se puede fingir con un papel.

¿Qué significa medidas adecuadas?

La ley no publica una lista de controles. Habla de garantizar seguridad, y deja a cada responsable decidir cómo. Eso suena cómodo hasta que hay un incidente y alguien pregunta en qué te basabas para decir que tus medidas eran suficientes. Una política firmada no responde a eso. Un informe de auditoría con hallazgos, evidencias y un retest posterior, sí.

El punto que más cuesta: los encargados

La mayoría de las empresas colombianas trata datos en sistemas de terceros: el CRM, la nube, la pasarela de pago, el proveedor de correo. La responsabilidad no se subcontrata con el servicio. Sigue siendo tuya, y por eso los contratos con encargados tienen que decir qué pueden hacer con los datos y qué medidas mantienen.

Cómo se acredita que se cumple

Con documentos que alguien de fuera pueda leer y verificar. Nosotros aportamos la parte técnica: auditamos la aplicación que trata los datos y la infraestructura que la sostiene, y entregamos el informe con cada hallazgo, su criticidad y su evidencia. A los seis meses repetimos la prueba y emitimos informe nuevo, que es lo que demuestra que la corrección se hizo.

Los principios que la SIC usa para decidir

• › Finalidad: el tratamiento tiene que obedecer a un propósito legítimo y comunicado al titular.
• › Libertad: sin consentimiento previo, expreso e informado, no hay tratamiento.
• › Veracidad: la información tiene que ser cierta y estar actualizada.
• › Acceso y circulación restringida: solo pueden acceder quienes estén autorizados.
• › Seguridad: medidas que impidan adulteración, pérdida o acceso no autorizado.
• › Confidencialidad: la obligación se mantiene después de terminada la relación.

Datos sensibles y datos de niños

La ley prohíbe el tratamiento de datos sensibles salvo en los supuestos que ella misma enumera, y exige que el titular sepa que no está obligado a autorizar ese tratamiento concreto. Con los datos de menores el listón sube todavía más. Si tu producto trata alguno de los dos, el análisis deja de ser un trámite.

El régimen de incidentes

Colombia obliga a reportar a la Superintendencia los incidentes que afecten a las bases de datos registradas. Es un deber que muchas empresas descubren durante el incidente, que es el peor momento. Tener escrito quién lo declara y quién lo reporta es media hora de trabajo antes y varios días ahorrados después.

Qué revisamos en un encargo colombiano

Lo mismo que en cualquier otro, con un foco: dónde viven de verdad las copias de la base de datos. Entornos de prueba con datos reales, exportaciones a hojas de cálculo compartidas y respaldos sin control de acceso son el hallazgo repetido. Auditamos la aplicación y la red interna, y el retest a los seis meses cierra el ciclo.