Cada vez que tu empresa pide un nombre, un celular o un correo en un formulario, guarda la hoja de vida de un candidato o graba con una cámara de seguridad, está tratando datos personales. En Colombia eso tiene reglas, y el nombre con el que todo el mundo las conoce es habeas data.
Esta guía explica qué es, qué derechos protege y qué debe hacer una pyme para cumplir sin complicarse.
¿Prefieres hablarlo directamente? Escríbenos por WhatsApp y te respondemos dentro del horario de atención.
Qué es el habeas data
Es el derecho de toda persona a conocer, actualizar y rectificar la información que se haya recogido sobre ella en bases de datos. Está en el artículo 15 de la Constitución y se desarrolla en dos leyes:
- Ley 1581 de 2012: la ley general de protección de datos personales. Aplica a casi cualquier empresa que maneje datos de clientes, empleados, proveedores o visitantes.
- Ley 1266 de 2008: el habeas data financiero. Regula la información de crédito que se reporta a las centrales de riesgo.
Cuando alguien busca «habeas data» para saber por qué aparece reportado en una central de riesgo, está pensando en la segunda. Cuando una empresa pregunta qué debe hacer con los datos de sus clientes, la que aplica es la primera, y es la que explicamos aquí.
Derechos de las personas
El titular de los datos, es decir, la persona a quien pertenecen, puede:
- Conocer, actualizar y rectificar sus datos.
- Pedir prueba de la autorización que dio.
- Saber para qué se están usando sus datos.
- Revocar la autorización o pedir que se borren sus datos cuando no haya un deber legal de conservarlos.
- Acceder gratis a sus datos.
- Presentar quejas ante la Superintendencia de Industria y Comercio.
Qué debe cumplir tu empresa
- Pedir autorización previa, expresa e informada, antes de recoger los datos, y poder demostrarla después.
- Tener una política de tratamiento de datos que diga qué datos recoges, para qué, quién es el responsable y cómo ejercer los derechos.
- Informar la finalidad en el momento de recoger los datos, con un aviso de privacidad cuando no puedas entregar la política completa.
- Habilitar un canal para consultas y reclamos, y responder a tiempo: diez días hábiles para consultas y quince para reclamos, con una prórroga corta si informas el motivo.
- Proteger la información con medidas de seguridad acordes con su sensibilidad.
- Inscribir las bases de datos en el RNBD si tu empresa tiene activos totales superiores a 100.000 UVT o es una entidad pública.
Dónde aparece en el día a día
- Formularios de tu página web: necesitan una casilla de autorización y un enlace a la política. Lo detallamos en requisitos legales de una página web en Colombia.
- WhatsApp y bases de clientes: escribir a alguien con fines comerciales requiere que haya autorizado ese uso.
- Cámaras de seguridad: la imagen de una persona es un dato personal. Avisa con letreros visibles que hay videovigilancia y limita quién ve las grabaciones.
- Hojas de vida y datos de empleados: guárdalas solo el tiempo necesario y con acceso restringido.
- Proveedores que procesan datos por ti, como hosting, correo o software en la nube: deben comprometerse por escrito a proteger esa información.
¿Las solicitudes sobre datos te llegan por correo, WhatsApp y llamadas?
Implementamos sistemas de PQR con radicado, plazos y seguimiento, para que cada consulta o reclamo sobre datos personales tenga respuesta dentro del término legal.
Vigilancia y sanciones
La Superintendencia de Industria y Comercio, a través de su Delegatura para la Protección de Datos Personales, vigila el cumplimiento de la ley. Puede ordenar correctivos, suspender actividades relacionadas con el tratamiento de datos e imponer multas de hasta 2.000 salarios mínimos mensuales.
Más allá de la multa, una filtración de datos de clientes daña la confianza. Por eso la protección de datos también es un tema de seguridad informática: contraseñas, copias de respaldo y permisos de acceso.
Preguntas frecuentes
¿Cuál es la ley de habeas data en Colombia?
Hay dos. La Ley 1581 de 2012 es la ley general de protección de datos personales. La Ley 1266 de 2008 regula el habeas data financiero, es decir, la información de crédito que reportan las centrales de riesgo.
¿Todas las empresas deben registrarse en el RNBD?
No. El Registro Nacional de Bases de Datos es obligatorio para sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y para las entidades públicas. Las demás igual deben cumplir la ley de datos.
¿Cuánto tiempo tengo para responder una consulta sobre datos personales?
Diez días hábiles para una consulta y quince días hábiles para un reclamo, con la posibilidad de una prórroga corta si informas al titular el motivo.
Te puede servir qué es PQRS, copias de seguridad para empresas y ciberseguridad para pymes.
¿Hablamos de tu caso?
Cuéntanos qué necesitas y te respondemos por WhatsApp dentro del horario de atención.