Implementación de un programa de cumplimiento en Habeas Data: obligaciones y riesgos para las empresas

De conformidad con la Ley 1581 de 2012, la implementación de un programa de cumplimiento en materia de habeas data es una obligación para entidades públicas y privadas. Este programa busca proteger los derechos de los titulares de la información, al tiempo que blinda a la entidad mediante políticas claras para gestionar sus bases de datos, prevenir incidentes de seguridad, atender consultas o reclamos, y responder de manera oportuna a los requerimientos de la Superintendencia de Industria y Comercio.

Es importante destacar que no todas las entidades requieren del mismo programa de cumplimiento. Dependiendo de factores como el tipo de datos tratados, el tamaño de la empresa, los sistemas tecnológicos implementados y la existencia de encargados del tratamiento de ciertas bases de datos, el programa exigirá un mayor o menor nivel de robustez.

¿Cuáles son los documentos mínimos requeridos para un programa de cumplimiento?

· La política de tratamiento de datos personales: la política establece todas las reglas y lineamientos adoptados por para garantizar los derechos de las personas naturales a conocer, actualizar y rectificar sus datos personales que se encuentran almacenados en las bases de datos, así como suprimirlos en los casos en que sea solicitado por el titular de la información o cuando sea procedente.

La política debe indicar de manera clara las finalidades para las cuales se recolectan los datos personales y estar disponible en los puntos físicos de la empresa y/o entidad, y ésta cuenta con un sitio web, se recomienda publicarla en este medio para facilitar su consulta por parte de los titulares. Asimismo, cualquier modificación sustancial deberá informarse de manera oportuna a los titulares de los datos personales.

· El manual interno de tratamiento de datos: contiene los parámetros y reglas para garantizar el debido tratamiento de los datos personales, así como el trámite de consultas, quejas y reclamos. Dentro de este manual también se establecen los protocolos de seguridad, la forma de conservación y los procedimientos de eliminación de los archivos.

· Aviso de privacidad: tiene como fin informar al titular sobre la existencia de la política de tratamiento de datos y la forma de acceder a ella.

· La Autorización: es el consentimiento previo, expreso e informado que el titular otorga para el tratamiento de sus datos. Se debe implementar mediante formatos físicos o plataformas web donde, al recolectar la información, se ponga en conocimiento la política de privacidad y se consulte expresamente si el usuario autoriza el uso de sus datos para las finalidades allí establecidas.

¿Por qué muchas empresas en Colombia no han implementado este programa de cumplimiento?

Aunque la implementación del programa de cumplimiento en materia de habeas data es una obligación legal, la realidad en Colombia es distinta. Para nadie es un secreto que la mayoría de las empresas en el país son pequeñas o medianas, por tanto, consideran innecesaria su adopción, ignorando los riesgos legales que esto conlleva.

Aunado a ello, el escenario ideal para que una organización implemente un programa adecuado a sus necesidades específicas, en algunas ocasiones exige una inversión económica significativa. Esto incluye el pago de asesoría legal especializada, la estructuración de un área de TI que se encargue de desplegar sistemas de ciberseguridad para proteger la información, así como la designación de un área interna o un oficial de cumplimiento que —si bien no es obligatorio— sería el encargado exclusivo de controlar y velar por el cumplimiento de dicho programa.

Lo anterior, conlleva, en algunos casos, asumir una carga financiera que muchas empresas no están dispuestas o no se encuentran en capacidad de asumir.

¿Qué consecuencias puede traer la no implementación de un programa de cumplimiento en materia de habeas data?

La falta de implementación de este programa trae consecuencias muy graves para las entidades privadas, que pueden derivar en multas de hasta 2.000 salarios mínimos mensuales legales vigentes y el cierre temporal o definitivo de operaciones relacionadas con el tratamiento de datos personales, dependiendo la gravedad de la conducta.

Por su parte, la Superintendencia de Industria y Comercio puede compulsar copias a la Procuraduría General de la Nación, para que inicie las respectivas sanciones disciplinarias contra los funcionarios de las entidades públicas que no cumplan con sus obligaciones en materia de habeas data.

Debe recordarse que no es suficiente recolectar datos sin protocolos o precauciones; se requiere un procedimiento integral para su recolección, almacenamiento, tratamiento y eliminación. Asimismo, es indispensable contar con medidas que aseguren el debido resguardo de la información frente a cualquier acceso no autorizado o agente externo.

Evidentemente, el tamaño de una empresa influye en su capacidad operativa para lograr este objetivo. Mientras las grandes compañías suelen apoyarse en robustas áreas de TI y Oficiales de Protección de Datos para supervisar el programa y reportar incidentes de seguridad ante la SIC; las micro, pequeñas y medianas empresas no cuentan con estos recursos.

Sin embargo, esta limitación operativa no las exime de cumplir con la Ley 1581 de 2012. Incluso sin un oficial de cumplimiento o un área de TI, es posible tomar las precauciones necesarias mediante una implementación sólida de políticas internas y el uso de herramientas accesibles, tales como el cifrado de archivos o softwares, entre otros, que centralicen la información de forma segura.

En definitiva, la clave no está en el tamaño de la empresa ni en su capacidad económica, sino en la adopción de medidas preventivas que garanticen la debida custodia de los datos y los derechos de los titulares de la información.