-
El derecho al Habeas Data en Colombia
En la economía digital, los datos personales se han convertido en el recurso más valioso de cualquier negocio. Cada formulario diligenciado, cada compra registrada, cada correo captado representa información que pertenece a una persona denominada titular de la información. Esta información recolectada fue prevista por el legislador colombiano como un derecho de especial protección constitucional.
El artículo 15 de la Constitución Política de Colombia prevé como derecho fundamental el tratamiento de datos personales, mejor conocido como habeas data.
Este derecho puede ser cobijado bajo la acción de tutela para garantizar su pleno cumplimiento, sin perjuicio de otros mecanismos como los reclamos de los titulares de la información ante los responsables o encargados del tratamiento, sin obviar las investigaciones administrativas adelantadas por la Superintendencia de Industria y Comercio, las cuales pueden derivar en sanciones administrativas y económicas.
La Corte Constitucional, mediante la sentencia C-406 de 2022, expresó que el derecho de habeas data se introdujo al ordenamiento colombiano con la finalidad de equilibrar el poder entre un titular de la información y aquel sujeto que tiene la facultad de recopilar los datos; por lo tanto, este derecho siempre estará orientado al reconocimiento y protección de la esfera privada del individuo frente a intromisiones indebidas o injustificadas por parte de actores públicos o privados.
En ese sentido, la Sentencia SU 139 de 2021 de la Corte Constitucional establece los derechos que tienen los titulares de la información:
“1) el derecho de las personas a conocer (acceder) a la información que sobre ellas está recogida en las bases de datos;
2) el derecho a incluir nuevos datos con el fin de que se provea una imagen completa del titular;
3) el derecho a actualizar la información;
4) el derecho a que la información contenida en las bases de datos sea corregida; y,
5) el derecho a excluir información de una base de datos”.
En general, el titular de la información podrá en cualquier momento conocer, actualizar, rectificar y solicitar la supresión de sus datos personales, así como revocar la autorización otorgada para su tratamiento.
En caso de que el titular realice una reclamación y la empresa responsable del tratamiento no resuelva esta solicitud, podría derivar en un incumplimiento que acarrearía investigaciones administrativas y multas por parte de la Superintendencia de Industria y Comercio, además de una posible responsabilidad civil contractual o extracontractual, actos de competencia desleal y el delito de violación de datos personales contemplado en el artículo 269F del Código Penal.
-
Las obligaciones del responsable del tratamiento
El régimen de protección de datos incorpora dos tipos de responsabilidades principales a las empresas. Establece, en primer lugar, que las empresas deben manejar los datos responsablemente, que deriva del principio de accountability o responsabilidad demostrada, que requiere la implementación de medidas o políticas internas que garanticen el manejo de los datos para cumplir con un adecuado ciclo de vida del mismo, y con ello garantizar la transparencia frente a los titulares de la información.
Tales medidas podrán ser la incorporación de una política de tratamiento de datos y de seguridad de la información.
En el diagrama se presenta el ciclo de vida del dato personal. Se observa al titular de la información en el centro como el eje y el sujeto de especial protección frente al responsable de la información, y se identifica cada una de las etapas donde el titular podrá ejercer sus derechos.
Por otro lado, está la obligación en cabeza del responsable del tratamiento de la información de realizar el reporte de las bases de datos en el Registro Nacional de Bases de Datos (RNBD), esto siempre que el responsable sea una sociedad o entidad sin ánimo de lucro que tenga activos totales superiores a 100.000 UVT (para el 2025, corresponde a COP $4.979.900.000). Esta obligación fue incorporada mediante el Artículo 2.2.2.26.1.2 del Decreto Único 1074 de 2015.
Lo anterior implica que la empresa, en cumplimiento del principio de responsabilidad demostrada, debió haber implementado ya una política de tratamiento de datos que le permitiera identificar cuáles son sus bases de datos y quiénes son sus titulares.
Solo a partir de ese ejercicio previo, que abarca las principales relaciones comerciales de la organización, como proveedores, clientes y empleados, es que el responsable del tratamiento puede cumplir con la obligación de registro ante el RNBD.
-
Casos que pusieron en jaque la confianza de los titulares de la información
En Colombia, la Corte Constitucional, mediante la Sentencia T-402 de 2024, resolvió un caso que evidencia los riesgos del tratamiento indebido de datos sensibles en el sector salud.
En este caso, una mujer asiste a una IPS para realizarse de manera voluntaria la interrupción de un embarazo y es contactada por una fundación provida, cuyos datos fueron obtenidos presuntamente por un funcionario de la misma institución.
Posteriormente, la fundación en mención no solo contactó a la paciente directamente, sino también a sus familiares con el objeto de evitar que se realizara el procedimiento de interrupción del embarazo, afectando así el derecho fundamental del habeas data.
Como se puede observar, se presenta una falta de controles robustos y el tratamiento indebido de datos. Esta situación (y otras más que puedan presentarse) no solo puede derivar en investigaciones administrativas y sanciones, sino también en la configuración de responsabilidades civiles y, en algunos casos, hasta penales.
-
Datos sensibles: Una Responsabilidad Reforzada
El tratamiento de los datos sensibles a los que se refiere el artículo 5 de la Ley 1581 de 2012, como la información relacionada con la salud, la orientación sexual, las convicciones religiosas, los datos biométricos o cualquier información que pueda afectar la intimidad del titular, exige a las organizaciones cumplir no solo con las obligaciones legales previstas en el artículo 15 de la Constitución y en la Ley 1581 de 2012, sino también desarrollar una cultura interna de responsabilidad y cuidado.
La protección de datos no es un asunto meramente tecnológico ni se limita a la nube. El cumplimiento comienza dentro de la organización, desde la capacitación del equipo y la comprensión clara de qué información se gestiona, cómo se clasifica y cuáles son los límites en su uso.
Una política sólida de protección de datos fracasa si el personal no entiende que los datos sensibles requieren un estándar reforzado de seguridad. La norma, el programa de tratamiento de datos o de seguridad de la información no protege por su misma naturaleza, sino que el personal plenamente capacitado será el encargado de preservar una cultura responsable del tratamiento de la información.
-
La primera línea de defensa: Tu Equipo
La primera línea de defensa no es un software, ni un servidor, ni un antivirus; es el propio talento humano. Por ello, es importante que los colaboradores sepan identificar los flujos de información para adoptar protocolos de acceso restringido y garantizar que cada miembro del equipo actúe bajo los principios de necesidad, finalidad y proporcionalidad, como paso indispensable para prevenir incidentes que puedan comprometer la privacidad de los titulares y la reputación de la organización.
Para entender cómo opera esta responsabilidad en la práctica, los siguientes principios orientan cada decisión que una organización toma frente a los datos de sus titulares:
Principio |
Aplicación práctica |
|
Finalidad |
Los datos pueden usarse solamente para el propósito informado al titular en el momento de recolectarlos. Usarlos para otro fin, aunque sea interno, constituye una vulneración. |
| Necesidad |
Se recopila únicamente la información estrictamente indispensable. Si un dato no es necesario para cumplir el propósito declarado, no debe pedirse ni almacenarse. |
| Proporcionalidad |
El tratamiento debe ser adecuado y equilibrado frente al propósito. Recopilar más datos de los necesarios, aunque sea posible, no siempre es permitido. |
| Responsabilidad demostrada |
No basta con cumplir; la organización debe estar en capacidad de demostrar en cualquier momento que cumple con la normatividad de datos. Esto incluye tener documentación, políticas y registros que lo acrediten. |
La implementación de un programa óptimo de protección de datos tiene como horizonte el desarrollo y la sostenibilidad del negocio. Entre más confianza surja entre la empresa y sus usuarios, se genera un círculo virtuoso que consolida clientes frecuentes y fortalece la reputación de la organización.
Esta reputación no depende exclusivamente de la calidad del producto o servicio, sino también de la manera como la empresa salvaguarda la información de sus clientes. Las organizaciones que tratan los datos con transparencia y cuidado no solo evitan sanciones, sino que construyen una ventaja competitiva basada en algo que no se compra: la confianza.
-
Conclusiones
La protección de datos personales no es un trámite administrativo ni una obligación que se cumple una sola vez. Es un proceso continuo que exige de las organizaciones una cultura interna de responsabilidad, transparencia y cuidado frente a la información de sus titulares.
Frente a este panorama, implementar una política de tratamiento de datos, capacitar al equipo y cumplir con las obligaciones de registro ante el RNBD no son opciones, son el piso mínimo desde el cual una organización puede construir una relación de confianza con sus clientes, proveedores y empleados.
En definitiva, las empresas que entienden la protección de datos como un activo estratégico y no como una carga regulatoria son las que están mejor preparadas para competir, crecer y sostenerse en el tiempo.
¿Tiene tu empresa conocimiento total de cómo trata los datos de quienes han depositado su confianza en ella?
La protección de datos personales en Colombia no solo es una exigencia legal, sino una decisión estratégica que impacta directamente la reputación y sostenibilidad de tu empresa.
Contar con políticas claras, procesos definidos y un equipo capacitado marca la diferencia entre el cumplimiento reactivo y una gestión responsable de la información.
En Russell Bedford, acompañamos a las organizaciones en la estructuración e implementación de modelos de cumplimiento en protección de datos, alineados con su realidad operativa y regulatoria.
