Jurisdicción seleccionada: Colombia — Ley 1581 de 2012 y Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015)
Concepto clave 1 — Datos personales
Un dato personal es cualquier información sobre una persona natural identificada o identificable. La definición es amplia a propósito, y es la misma idea en casi todas las leyes de protección de datos.
Concepto clave 2 — Datos sensibles
Los datos sensibles (también llamados categorías especiales de datos personales) pueden llevar a discriminación, exclusión u otros daños graves. Las categorías varían de una ley a otra, así que revise siempre la lista local.
Qué significa en la práctica: condiciones más estrictas, como el consentimiento expreso o por escrito, más seguridad, acceso solo para quien lo necesita y, en muchas leyes, una evaluación de riesgos antes de empezar.
Datos sensibles (art. 5 de la Ley 1581): datos que afectan la intimidad o cuyo uso indebido puede generar discriminación. Los datos de niños, niñas y adolescentes también tienen protección especial.
Concepto clave 3 — Tratamiento y roles
El tratamiento abarca todo el ciclo de vida: recopilar, registrar, almacenar, usar, compartir, modificar y suprimir datos, en papel o en sistemas informáticos. Cada tratamiento tiene roles claros.
La Ley 1581 se aplica a los datos personales en bases de datos tratados en Colombia y a los tratamientos en el extranjero cuando la ley colombiana sea aplicable en virtud de tratados internacionales. Protege a las personas naturales.
Concepto clave 4 — Los principios básicos
Los nombres cambian de una ley a otra, pero las ideas son casi universales. Los talleres siguientes convierten cada principio en medidas concretas.
Principio en foco — Licitud
La licitud significa que cada tratamiento necesita una base legal o una justificación. Es el punto en que más difieren las leyes: algunas se basan en el consentimiento, otras ofrecen varias bases legales equivalentes.
El consentimiento válido es libre, específico, informado e inequívoco, y puede revocarse en cualquier momento. Las casillas premarcadas y el consentimiento escondido en los términos y condiciones no cuentan.
La regla es la autorización previa, expresa e informada del titular, y el responsable debe poder demostrarla. Entre las excepciones están las órdenes legales o judiciales, las urgencias médicas, los datos públicos y los fines históricos, estadísticos o científicos.
Concepto clave 5 — Transferencias de datos
Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.
Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.
La ley colombiana distingue la transferencia a otro responsable de la transmisión a un encargado, que requiere un contrato de transmisión. Las transferencias internacionales solo están permitidas a países con un nivel adecuado de protección según la SIC, salvo que se aplique una excepción (p. ej. la autorización expresa del titular o un contrato con él); en otro caso se necesita una declaración de conformidad de la SIC.
Concepto clave 6 — Consecuencias del incumplimiento
La mayoría de los casos sancionadores empiezan con algo evitable: una brecha de seguridad, una base legal que falta, una solicitud de un cliente sin responder o la queja de un empleado.
Autoridad de control: Superintendencia de Industria y Comercio (SIC), Delegatura para la Protección de Datos Personales
Su jurisdicción de un vistazo — Colombia
Autoridad: Superintendencia de Industria y Comercio (SIC), Delegatura para la Protección de Datos Personales
Compruebe lo aprendido y próximos pasos
Resultado esperado de la Tarea 1: todos los miembros del equipo del proyecto entienden los términos y principios clave de la protección de datos en los que se basan los talleres siguientes.