En la era digital, la protección de los datos personales se ha convertido en un pilar esencial para garantizar la seguridad a distintos niveles. Desde la privacidad individual hasta la integridad de las organizaciones, la gestión adecuada de la información previene riesgos como el fraude, la suplantación de identidad y el ciberacoso. Cuando los datos caen en manos equivocadas, pueden ser utilizados con fines ilícitos, comprometiendo tanto a individuos como a empresas.

Las organizaciones tienen la responsabilidad de salvaguardar la información de empleados y clientes ante amenazas como filtraciones y ataques cibernéticos. Una vulnerabilidad puede derivar en consecuencias graves, desde sanciones legales hasta daños reputacionales. Por ello, normativas como el Reglamento General de Protección de Datos (GDPR) en Europa y la Ley de Protección de Datos en Colombia exigen la implementación de medidas robustas, como el Programa Integral de Datos Personales (PIGDP), para garantizar un manejo seguro de la información.

Además, en el contexto del lavado de dinero y el financiamiento del terrorismo, proteger los datos personales es clave para evitar su uso indebido en actividades fraudulentas. El acceso no autorizado a información financiera puede facilitar la manipulación de cuentas y la creación de redes fraudulentas. En este sentido, la ciberseguridad y la privacidad dependen de prácticas responsables en el manejo de la información, desde la protección contra el robo de identidad hasta la prevención del ciberacoso en plataformas digitales.

Clasificación de los datos personales:

La información personal puede categorizarse según su nivel de privacidad y sensibilidad. Cada tipo de dato requiere un tratamiento y protección específica para evitar el uso indebido.

• Datos personales: Son aquellos que identifican o pueden asociarse directamente con una persona, como su nombre, documento de identidad, características físicas o cualquier información que permita reconocerla.
• Datos públicos: Incluyen información accesible sin restricciones, como el estado civil, profesión, calidad de comerciante o servidor público. Estos datos pueden encontrarse en registros oficiales, documentos públicos, gacetas y decisiones judiciales sin reserva legal.
• Datos semiprivados: No son de carácter íntimo ni estrictamente públicos, pero su divulgación puede ser de interés tanto para el titular como para ciertos sectores de la sociedad. Un ejemplo común son los datos financieros y crediticios relacionados con actividades comerciales o de servicios.
• Datos privados: Son aquellos que pertenecen exclusivamente a la esfera personal del titular y cuya divulgación no interesa a terceros. Las preferencias personales, hábitos de consumo y aspectos íntimos son ejemplos de este tipo de información.
• Datos sensibles: Comprenden información que, si se expone, puede afectar la privacidad o generar discriminación. Incluyen datos sobre origen étnico, orientación política, creencias religiosas, afiliaciones sindicales, estado de salud, vida sexual y características biométricas. Debido a su naturaleza, requieren un tratamiento especial y mayores medidas de seguridad.

Autorización para el tratamiento de datos personales:

El tratamiento de datos personales requiere el consentimiento expreso del titular, lo que garantiza que la información sea utilizada de manera legítima y transparente. Para ello, las organizaciones deben establecer procedimientos internos que permitan solicitar y registrar dicha autorización, idealmente en el momento de la recolección de los datos.

La legislación es clara al exigir que el consentimiento sea previo, expreso e informado, es decir, que la persona conozca con exactitud el propósito y el uso que se dará a su información. Además, esta autorización debe permanecer disponible para futuras consultas.

Sin embargo, existen situaciones en las que no se requiere solicitar autorización previa, aunque las organizaciones siguen estando obligadas a cumplir con otras disposiciones legales para el manejo responsable de los datos. Algunas de estas excepciones incluyen:

• Cuando la información es solicitada por una entidad pública o administrativa en ejercicio de sus funciones legales, o por orden judicial.
• En el tratamiento de datos de naturaleza pública.
• Situaciones de urgencia médica o sanitaria.
• Uso de datos autorizado por ley con fines históricos, estadísticos o científicos.
• Información relacionada con el Registro Civil.

Para otorgar la autorización, los titulares pueden hacerlo a través de distintos medios:

• Por escrito, mediante documentos físicos o electrónicos.
• De forma oral, en interacciones verificables.
• Mediante conductas inequívocas, donde la acción del titular permita concluir que ha concedido su consentimiento.

Independientemente del método utilizado, es fundamental que las organizaciones conserven la prueba de la autorización de acuerdo con las disposiciones legales. La Ley 1581 de 2012 establece la obligación de solicitar, registrar y garantizar la disponibilidad de estas pruebas, asegurando la protección de los derechos del titular.

Autorización para el tratamiento de datos personales sensibles:

Los datos sensibles contienen información que puede afectar la privacidad del titular y, en algunos casos, generar discriminación. Entre ellos se incluyen aspectos como el origen racial o étnico, orientación política, creencias religiosas o filosóficas, afiliación a sindicatos u organizaciones sociales, datos de salud, vida sexual y características biométricas. Dado su carácter especial, requieren un tratamiento reforzado y medidas adicionales de protección.

Es fundamental que el titular de los datos tenga pleno conocimiento de su naturaleza y del propósito de su uso antes de otorgar cualquier autorización. Además, la ley establece que el consentimiento para el tratamiento de datos sensibles debe ser completamente voluntario, sin que ninguna actividad pueda estar condicionada a su entrega.

El responsable del manejo de estos datos tiene la obligación de informar de manera clara y previa cuáles son considerados sensibles y cuál será su finalidad en el tratamiento. Esta transparencia es clave para garantizar que el titular pueda tomar una decisión informada y ejercer control sobre su información personal.

Finalidad de la recolección de datos personales:

La recopilación de datos personales debe responder a un propósito legítimo y claro. No basta con recolectar información indiscriminadamente; esta debe ser pertinente y adecuada para el objetivo que se busca alcanzar. 

Además de obtener el consentimiento explícito de los titulares, quienes recolectan datos personales tienen la obligación de informar de manera precisa y comprensible lo siguiente:

• El uso y tratamiento de los datos: La finalidad específica para la cual se recogerá y procesará la información.
• Datos sensibles y de menores: Si la información recopilada incluye datos sensibles (como origen racial, orientación política o religiosa) o datos de niños y adolescentes, la organización debe advertir al titular sobre la naturaleza especial de estos datos y darle la opción de decidir si desea proporcionar esa información.
• Derechos del titular: La persona debe conocer los derechos que le asisten sobre el acceso, modificación y eliminación de sus datos.
• Identificación del responsable: Se debe proporcionar la información de contacto del responsable del tratamiento de datos, incluyendo dirección física, correo electrónico y número telefónico.

Para garantizar que la información sea accesible y comprensible, las organizaciones pueden emplear diversos formatos de comunicación, como señales, gráficos, ilustraciones o videos. Lo esencial es cumplir con el deber de transparencia y conservar evidencia de estas comunicaciones, conforme a lo estipulado en la normativa vigente.

Tratamiento de datos personales de menores de edad:

La legislación reconoce que los datos de menores de edad constituyen una categoría especial, lo que implica una protección reforzada para garantizar el respeto de sus derechos fundamentales. En este sentido, cualquier tratamiento de su información debe contar con la autorización de sus representantes legales. Sin embargo, antes de otorgar dicha autorización, se debe garantizar que el menor ejerza su derecho a ser escuchado, permitiéndole expresar su opinión sobre el uso de sus datos.

Manual de políticas y procedimientos internos:

Las organizaciones responsables del tratamiento de datos personales tienen la obligación de contar con un manual interno de políticas y procedimientos, donde se establecen claramente los lineamientos y reglas para garantizar una gestión segura y adecuada de la información. Este documento debe incluir, de manera específica, el proceso de atención a consultas, quejas y reclamos de los titulares en ejercicio de su derecho de hábeas data.

Es importante diferenciar este manual de las políticas de tratamiento de la información, que deben contener, como mínimo:

• Identificación del responsable del tratamiento (nombre o razón social, domicilio, dirección, correo electrónico y teléfono).
• Finalidad del tratamiento de los datos cuando no se haya comunicado previamente mediante aviso de privacidad.
• Derechos del titular respecto al acceso, actualización, rectificación y eliminación de sus datos.
• Área o persona responsable de atender peticiones, consultas y reclamos relacionados con el tratamiento de datos.
• Procedimientos para que los titulares ejerzan sus derechos sobre su información.
• Fecha de entrada en vigencia de la política y período de conservación de la base de datos.

Política de tratamiento de datos personales:

Las políticas de tratamiento deben estar disponibles para los titulares de los datos. Cuando no sea posible proporcionar acceso directo a estas políticas, los responsables deben conservar un Aviso de Privacidad, el cual sirve para informar sobre la existencia de la política y los mecanismos para acceder a ella.

Aviso de privacidad:

El aviso de privacidad es un mecanismo de comunicación, verbal o escrito, utilizado para informar a los titulares sobre la recopilación y el uso de sus datos personales. Este debe contener, al menos, la siguiente información:

• Identificación y datos de contacto del responsable del tratamiento.
• Finalidad de la recopilación de datos y tipo de tratamiento que recibirán.
• Derechos del titular sobre su información.
• Mecanismos para conocer la política de tratamiento y cualquier cambio que se produzca en ella.

Si el responsable del tratamiento recopila datos sensibles (como origen racial, orientación política o religiosa, etc.), debe advertir a los titulares sobre la naturaleza de dicha información y ofrecerles la opción de decidir si desean proporcionarla.

Para garantizar la difusión del aviso de privacidad, las organizaciones pueden emplear diversos formatos, como documentos físicos, formatos electrónicos, medios verbales o tecnología digital, siempre asegurando el cumplimiento de su deber de información. Es importante señalar que, si la organización proporciona acceso directo a la política de tratamiento, no será necesario contar con un aviso de privacidad adicional.

La protección de datos personales es un pilar fundamental para la seguridad digital, la prevención del fraude y el cumplimiento normativo. En un mundo donde el acceso no autorizado a la información puede facilitar delitos como el lavado de dinero, la financiación del terrorismo o el robo de identidad, las organizaciones deben adoptar medidas robustas para gestionar adecuadamente los riesgos asociados a la privacidad y la seguridad.

En este contexto, contar con aliados estratégicos que brinden soluciones especializadas es clave para fortalecer la gestión de datos y la prevención de amenazas digitales. RISKS INTERNATIONAL, con su experiencia en gestión de riesgos, debida diligencia y cumplimiento normativo en LAFT y AntiSoborno, ofrece herramientas tecnológicas y consultoría especializada para ayudar a las organizaciones a proteger su información y operar con mayor seguridad en un entorno cada vez más complejo.

¡Si requiere información de los servicios no dude en contactarnos!

Redacción: Luisa Caicedo

Fuente: Carlos Alfonso Boshell Norman