Autorización de tratamiento de datos personales
Cualquier negocio que recoja nombres, cédulas, teléfonos o correos de sus clientes, empleados o estudiantes está tratando datos personales. La ley colombiana exige que, antes de hacerlo, obtenga una autorización previa, expresa e informada de cada titular, y que pueda demostrarla después. No basta con tenerla: hay que poder probar que se obtuvo.
La autorización que nadie puede encontrar
Muchas empresas tienen una casilla en un formulario de papel o una frase al pie de un correo, y cuando un titular reclama o la Superintendencia de Industria y Comercio pide la prueba, no hay forma de mostrar que esa persona en particular autorizó el tratamiento, cuándo y con qué información. La autorización existe en teoría, pero no como prueba.
Cómo te ayuda Codec Document
Informada: qué, para qué y con qué derechos
La autorización debe decir quién es el responsable, qué datos se recogen, para qué finalidades y cuáles son los derechos del titular y cómo ejercerlos.
Expresa y previa
El titular debe aceptar de forma inequívoca y antes de que empiece el tratamiento. Una firma sobre el texto completo es la forma más clara.
Datos sensibles y de menores
Si se recogen datos sensibles —salud, biometría— o de menores, la autorización debe señalarlo y el titular no está obligado a autorizarlos.
Guardada con fecha y firma
Cada autorización queda firmada electrónicamente, con fecha, hora y la versión exacta del texto que el titular aceptó.
La Ley 1581 de 2012
El artículo 9 de la Ley 1581 de 2012 exige, para el tratamiento de datos personales, la autorización previa e informada del titular, obtenida por cualquier medio que pueda ser objeto de consulta posterior. El artículo 12 detalla la información que debe darse al titular: el tratamiento y su finalidad, el carácter facultativo de las respuestas sobre datos sensibles o de menores, sus derechos y la identificación del responsable. El Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015, exige que el responsable conserve prueba de la autorización. Un documento firmado electrónicamente con su registro es una forma de cumplir esa carga de prueba.
Un gimnasio con 600 afiliados
Un gimnasio en Santa Marta recogía datos de salud de sus afiliados en una ficha de papel con una frase de autorización. Ante una queja de un afiliado, no pudo mostrar su autorización firmada. Ahora cada afiliado nuevo firma desde su celular la autorización completa, con un apartado específico para los datos de salud, y el gimnasio la tiene archivada con fecha y hora.
Qué debe incluir la autorización
- Identificación y datos de contacto del responsable del tratamiento.
- Los datos que se recogen y las finalidades del tratamiento.
- Si se tratarán datos sensibles o de menores, y que su suministro es facultativo.
- Los derechos del titular y cómo ejercerlos.
- Fecha y firma del titular.
Preguntas frecuentes
¿La autorización puede ser verbal?
La ley admite cualquier medio que permita su consulta posterior. Una autorización verbal es difícil de probar; por eso conviene un documento firmado.
¿Necesito autorización para datos de mis empleados?
Sí. El tratamiento de datos de empleados también requiere autorización, salvo las excepciones de la ley.
¿Qué son los datos sensibles?
Los que afectan la intimidad o pueden generar discriminación: salud, origen étnico, orientación política o sexual, datos biométricos, entre otros. Su tratamiento tiene reglas más estrictas.
¿Puedo pedir la autorización en línea?
Sí. Una autorización firmada electrónicamente cumple el requisito de poder consultarse después y deja la prueba que exige la norma.
¿Cuánto tiempo debo guardar la autorización?
Mientras se traten los datos y el tiempo adicional que exijan las normas aplicables, porque es la prueba de que el tratamiento fue autorizado.
¿Qué pasa si el titular revoca la autorización?
Debes dejar de tratar sus datos para las finalidades revocadas, salvo que exista un deber legal o contractual de conservarlos.