Tu empresa probablemente tiene una base de datos de clientes, otra de empleados y otra de proveedores. Quizás también los registros de quienes llenan el formulario de contacto de tu página web. Todos esos datos tienen algo en común: en Colombia, su manejo está regulado por la Ley 1581 de 2012, la ley de protección de datos personales.
Muchas empresas la conocen solo por el aviso de "autorizo el tratamiento de mis datos" en los formularios. Pero cumplirla va bastante más allá de una casilla.
¿Qué es un dato personal?
Es cualquier información que permita identificar a una persona: nombre, número de cédula, correo, teléfono, dirección o fotografía. La ley además define los datos sensibles, que requieren un cuidado especial, como la información de salud, los datos biométricos (huella o reconocimiento facial), la orientación política o religiosa y los datos de menores de edad.
Las obligaciones principales
- Pedir autorización: debes obtener el consentimiento de la persona antes de recolectar sus datos e informarle para qué los vas a usar
- Tener una política de tratamiento: un documento público que explique qué datos recoges, para qué, cómo los proteges y cómo las personas pueden ejercer sus derechos
- Respetar la finalidad: si los datos se pidieron para facturar, no se pueden usar para campañas de mercadeo sin una nueva autorización
- Atender consultas y reclamos: las personas tienen derecho a conocer, actualizar, corregir y pedir que se eliminen sus datos
- Proteger la información: la ley exige medidas de seguridad técnicas, humanas y administrativas que eviten pérdidas, accesos no autorizados o usos indebidos
El Registro Nacional de Bases de Datos
Las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, así como las entidades públicas, deben inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio y mantenerlo actualizado.
Además, cuando ocurre un incidente de seguridad que compromete datos personales, como un robo de información o un ataque de ransomware, debe reportarse a la Superintendencia.
¿Qué pasa si no se cumple?
La Superintendencia de Industria y Comercio puede imponer multas de hasta 2.000 salarios mínimos mensuales, además de suspender actividades relacionadas con el tratamiento de datos. Y más allá de la sanción, una filtración de datos de clientes es un golpe directo a la confianza en la marca.
Cómo apoya la tecnología el cumplimiento
La parte legal define las reglas, pero buena parte del cumplimiento se juega en los sistemas:
Saber qué datos tienes y dónde están
El primer paso es un inventario: qué bases de datos existen, qué información contienen, quién las usa y dónde están almacenadas. Es común descubrir copias en hojas de cálculo, correos o equipos personales que nadie tenía en cuenta.
Controlar quién accede
No todos en la empresa necesitan ver todos los datos. Los permisos por rol, la autenticación multifactor y el registro de quién consulta qué información reducen el riesgo de fugas.
Cifrar y respaldar
Los datos deben estar cifrados en las bases de datos, en las copias de seguridad y cuando viajan entre sistemas. Y los respaldos deben probarse con regularidad.
Guardar solo lo necesario
Cada dato que guardas es un dato que debes proteger. Definir tiempos de conservación y eliminar lo que ya no se necesita reduce tanto el riesgo como el costo.
Registrar las autorizaciones
Tus sistemas deben guardar cuándo y cómo cada persona dio su autorización, para poder demostrarlo si la Superintendencia lo pide.
Por dónde empezar
Si nunca has revisado este tema, empieza por el inventario de bases de datos y por verificar que tu política de tratamiento esté publicada y actualizada. Después, prioriza la seguridad de las bases que contienen datos sensibles.
En Datandina te ayudamos con la parte técnica del cumplimiento: inventario y clasificación de datos, control de accesos, cifrado, copias de seguridad y registro de autorizaciones en tus sistemas. Para la parte jurídica, te recomendamos apoyarte en un abogado especializado en protección de datos.