Ley 1581: lo mínimo que necesita tu negocio para manejar datos personales

La tienda que guarda el celular de sus clientes para avisarles de las promociones, el consultorio con su agenda de pacientes, la empresa con las hojas de vida de sus empleados, el negocio con cámaras de seguridad: todos están tratando datos personales. Y en Colombia eso tiene reglas, que definen la Ley 1581 de 2012 y sus decretos reglamentarios.

Lo mínimo que debes tener

1. Una política de tratamiento de datos

Un documento que explique qué datos recoges, para qué los usas, cómo los proteges, cuáles son los derechos de las personas y cómo pueden ejercerlos. Debe estar disponible para quien quiera consultarla, por ejemplo en tu página web o en tu local.

2. La autorización de las personas

Antes de recoger datos necesitas una autorización previa, expresa e informada del titular: la persona debe saber qué datos le pides y para qué, y aceptarlo de una forma que puedas demostrar después (un formulario firmado, una casilla marcada, un mensaje de aceptación guardado).

Para los datos sensibles, como los de salud o los biométricos (huella, rostro), las reglas son más estrictas, y la persona debe saber que no está obligada a entregarlos.

3. Un aviso de privacidad

Un texto corto que informa, en el momento de recoger los datos, quién los recoge, para qué y dónde se puede consultar la política completa. Las cámaras de seguridad también necesitan su aviso visible.

4. Un canal para consultas y reclamos

Las personas tienen derecho a conocer, actualizar, rectificar y suprimir sus datos, y a revocar la autorización. Necesitas un correo u otro canal para recibir esas solicitudes y responder a tiempo: las consultas, en máximo 10 días hábiles, y los reclamos, en máximo 15 días hábiles. Los dos plazos se pueden prorrogar en ciertos casos.

5. Medidas de seguridad

Los datos se deben proteger contra la pérdida, el robo o el uso no autorizado: claves, accesos limitados, copias de seguridad y cuidado con los papeles. Lo que no se protege termina filtrándose.

¿Me tengo que registrar en el RNBD?

El Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio es obligatorio para las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y para las entidades públicas. Si tu negocio no llega a ese tamaño, no tienes que registrar tus bases, pero sí debes cumplir todo lo demás.

Los errores más comunes en los negocios

• Usar la base de clientes para algo distinto de lo que se autorizó, como venderla o "prestarla" a otra empresa.
• Agregar personas a listas de difusión o a grupos sin su autorización.
• Pedir más datos de los necesarios. Si no necesitas la fecha de nacimiento, no la pidas.
• Formularios sin autorización, ni en papel ni en la web.
• Hojas de vida y datos de empleados guardados sin ningún control.
• No responder cuando alguien pide que lo saquen de la base.

¿Y si no cumplo?

La Superintendencia de Industria y Comercio puede imponer multas de hasta el equivalente a 2.000 salarios mínimos mensuales, además de otras sanciones. Y más allá de la multa, un incidente con los datos de tus clientes golpea su confianza.

La ley podría cambiar

En el Congreso hay proyectos para actualizar la Ley 1581 y adaptarla a la era digital. Mientras no se aprueben, la ley vigente es la que se debe cumplir. Te contaremos aquí cuando haya cambios.

Lista rápida

• Tengo una política de tratamiento de datos publicada.
• Pido la autorización y la puedo demostrar.
• Tengo aviso de privacidad (y aviso de cámaras, si aplica).
• Tengo un canal para consultas y reclamos, y conozco los plazos.
• Protejo las bases de datos con claves y accesos limitados.
• Verifiqué si estoy obligado a registrarme en el RNBD.

Te ayudamos a armar tu política, tus autorizaciones y tus controles de seguridad, en lenguaje claro y a la medida de tu negocio.