“Empresas deben verificar prácticas en protección de datos personales antes de registrarlos”

Carolina Solano Medina, líder de la Unidad de Derecho Corporativo, Negocios Internacionales y Litigios de VS+M Abogados, afirma que la ley prevé que existen varias categorías de datos personales según sus características y que a cada una se le asigna un nivel distinto de protección.

Alrededor del tema del registro de bases de datos por parte de las empresas, estas se podrán estar preguntando cuál parte de la ley se debe cumplir al 30 de junio de este año y qué otra se puede trabajar posteriormente sin caer en un incumplimiento.

Carolina Solano Medina, líder de la Unidad de Derecho Corporativo, Negocios Internacionales y Litigios de VS+M Abogados, dice que la totalidad de las obligaciones establecidas en la Ley 1581 de 2012 y el Decreto 1377 de 2013 son exigibles por parte de los entes de control; de ahí que no aconseja hacer una distinción frente al tiempo del registro de la base de datos. “Las empresas deben cumplir con la totalidad de las obligaciones y tener presente el único plazo vigente del próximo 30 de junio”, dice Solano Medina.

Solano Medina recomienda también que cada empresa debe verificar sus prácticas en materia de protección de datos personales, antes de hacer el registro, lo que permitirá identificar su grado de cumplimiento. Teniendo en cuenta lo anterior, ella aconseja cuatro pasos:

1. Determinar si cuenta con las autorizaciones apropiadas para evidenciar el consentimiento de quien ha entregado su dato personal y si tales evidencias están organizadas y son de fácil consulta.
2. Verificar si cuenta con una política sobre el tratamiento de datos personales, y si es conocida y aplicada por quienes tienen que responder a los requerimientos de los titulares de los datos personales.
3. Determinar niveles de seguridad sobre las bases de datos físicas y digitales que le permitan cumplir con su deber de custodia.
4. Asegurarse si sus terceros contratados para usar la base de datos por instrucción de su empresa conocen el alcance de sus deberes de protección de datos personales y si hay contrato escrito y claro que asigne responsabilidades por el uso de los mismos.

Solano Medina afirma que “la importancia del dato personal no depende de la frecuencia del uso ni de su manejo, sino de la categoría a la que pertenezca”. La ley prevé que existen varias categorías de datos personales según sus características y a cada una se le asigna un nivel distinto de protección:

• La primera es la de datos personales públicos: que son aquellos que se encuentran en bases de datos públicas y según la Sentencia C-748 del 2011 no exigen autorización de su titular para ser obtenidos.

• La segunda son los datos personales privados: aquellos que por su naturaleza íntima o reservada solamente son relevantes para el titular de la información. Estos solo pueden ser obtenidos y usados si el titular entrega una autorización o si por orden de autoridad judicial deben entregarse.

• La tercera son los datos personales sensibles: datos que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación y por lo tanto son secretos. Guardan relación directa con los derechos fundamentales a la dignidad, intimidad y libertad. Estos solo pueden ser obtenidos y usados si el titular da una autorización especial. El nivel de la obligación de custodia es superior.

Para la líder de la Unidad de Derecho Corporativo, Negocios Internacionales y Litigios de VS+M Abogados, el dato deja de ser relevante si es público.

“Hay que aclarar que dato público no es aquel que se ponga a disposición del público como ocurre con la información que se comparte en internet o redes sociales, sino que es aquel que tiene carácter público por estar en una base de datos pública. Ejemplos de estas son el RUP, RUNT, SMIT, licencias de conducción y registro mercantil de las Cámaras de Comercio”, concluye.

Material relacionado:

• [Entrevista] «Empresas deben designar una persona o área que asuma la función de protección de datos personales»
• [Análisis] Registro nacional de bases de datos –RNBD–, primer plazo vence el 30 de junio de 2017