El uso de los datos personales: un asunto muy serio

Bases de datos, una información para cuidar

Hace 10 años la Superintendencia de Industria y Comercio recibía unas 1.000 quejas al año sobre tratamiento de datos personales. Hoy recibe 1.060 pero mensuales.

Este aumento refleja la importancia que ha tomado el tema entre los ciudadanos, quienes cada vez son más conscientes de su derecho al buen uso y manejo de su información personal, esa que entregan a las empresas a través de formularios y encuestas, ya sean físicas o virtuales.

De ahí la importancia para las empresas de ser conscientes desde un principio de para qué van a recolectar esa información, qué uso le van a dar y de obtener la respectiva autorización del ciudadano para su manejo. De esta forma se podrán evitar quejas y multas, e incluso denuncias penales por no ser cuidadosos, responsables o éticos con esas bases de datos.

Para ahondar en el tema, hablamos con Nelson Remolina, Superintendente delegado para la protección de datos de la Superintendencia de Industria y Comercio.

¿Cuál es la legislación que una empresa debe tener en cuenta para la captación de datos personales?

Hay dos leyes estatutarias que impactan a cualquier organización:

• La Ley de Protección de datos (Ley 1581 de 2012) que es el régimen general.

• La Ley de Habeas Data (Ley 1266 de 2008) que tiene que ver con la información de un ciudadano respecto al pago y obligaciones financieras, crediticias y comerciales.

¿Cuáles son los errores más comunes en los que incurren las empresas en el uso de los datos personales?

• Por la Ley de Protección de datos, el principal motivo es la falta de autorización del ciudadano, por ejemplo, cuando recolectan datos para hacer marketing. El 32% de los casos que hemos atendido en los últimos seis años se refiere a esto, bien sea porque las empresas no tienen la debida autorización o la autorización no está bien hecha: no incluyó la información completa ni la finalidad de esa recolección de datos. Es algo muy sencillo pero que en la práctica no se está implementando correctamente. Las empresas deben revisar si esos procesos de autorización físicos o electrónicos se están haciendo acorde con las mínimas exigencias legales. También fallan en la supresión de datos por solicitud de los ciudadanos. Muchos de ellos se sienten agobiados con tantas llamadas publicitarias y mensajes de texto a todas horas y piden que eliminen su teléfono de las bases de dato. Ese un derecho que tiene el ciudadano y que las empresas no están acatando.

• Y por el lado de la Ley de Habeas Data, recogemos 1.100 quejas mensuales, de las cuales el 90% se refieren al reporte como deudor moroso en las centrales de información financiera. Esto es algo que los impacta en su vida diaria. En este caso se refiere a la falta de calidad de la información que tienen algunas empresas sobre los temas de pago de obligaciones de sus clientes: a veces no está actualizada o no es cierta, por ejemplo. Y segundo, la ley obliga a que antes de reportar al ciudadano se le debe avisar con por lo menos 20 días de antelación, así como tener su autorización para hacerlo. El 52% de las multas en casi diez años ha sido por la falta de calidad de la información y un 22% por no comunicación previa.

Te puede interesar: Así deben ser las políticas de privacidad de tu sitio web

Evita las multas por el mal uso de los datos personales

¿A cuánto ascienden las multas por estos incumplimientos en el manejo de los datos?

• Las multas, según la Ley de Protección de datos, van hasta 200 salarios mínimos legales mensuales vigentes. En 2019 se pusieron 105 multas por valor de $10.150 millones.

• La Ley de Habeas Data impone multas hasta por 1.500 salarios mínimos legales mensuales vigentes.

  Del ciento por ciento de las quejas que hemos recibido en 10 años, que son unas 54.000, solo el 1,5% ha terminado en multas; un 4,6%, en una orden para mejorar o suprimir la información, y hay un 53% de los casos en que no se encontró ninguna irregularidad. Esto muestra que la ley se puede cumplir. En realidad, nuestra labor es preventiva, en 10 años hemos impuesto 831 multas.

  Es importante que las empresas utilicen desde el principio buenos métodos, procedimientos y tecnologías para tener buenos archivos electrónicos, que permitan una buena evidencia digital del cumplimiento de la ley de datos y otras leyes.

  ¿Qué puedo y qué no puedo hacer con los datos personales de la gente? ¿Cómo gestionarlos?

  Quien tenga datos de un tercero no puede hacer lo que quiera con ellos. Solo puede hacer lo que permita el ciudadano en las autorizaciones o lo que indique la ley. Obviamente, no se puede usar para cosas ilegales.

  “

  Por tener los datos, una empresa no es dueña de ellos.

  ”

¿Se pueden vender, ceder o compartir las bases de datos?

Se habla de transferencia de datos a terceros y para hacerlo se debe tener autorización de esos ciudadanos. Si como empresa se va a entregar una base de datos a otra, hay que cerciorarse de que sí está autorizada por esos ciudadanos para hacerlo. Es muy importante que las organizaciones lo tengan presente porque no solo puede tener consecuencias administrativas, sino también penales.

Hay un delito que se llama violación de datos personales. Por ejemplo, si una empresa le envía a otra la información de sus empleados sin estar autorizado, esto es un delito. Si una empresa va a comprar una base de datos debe asegurarse, que quien le vende esa información está legitimado para hacerlo, no sea que se esté comprado una base de datos ilegal.

Te recomendamos leer: ABC del estándar de intercambio mundial de información tributaria: FATCA - CRS

Recomendaciones para manejar los datos personales

¿Qué recomendaciones les podemos dar a los empresarios para utilizar bien las bases de datos personales?

La gran recomendación y la más sencilla es que adopten un enfoque preventivo y no reactivo, que no esperen a la multa para hacer las cosas bien, y no perder tiempo llevando actuaciones administrativas, ni pagando abogados y hasta multas.

En 2019 expedimos dos guías muy útiles para las pymes: la Guía de Tratamiento de Datos y Comercio Electrónico y la Guía de Tratamiento de Datos y Marketing y Publicidad, porque ahí es donde se está dando más esta captura de información.

¿Qué recomienda a las personas, que damos los datos a veces sin leer ni preguntar para qué?

• Hay que informarse sobre los derechos:

  cada persona tiene derecho a conocer la información que tienen los demás sobre sí misma y también tiene derecho a actualizarla, rectificarla y a que la supriman para hacer publicidad o marketing.

• Ser responsables con la entrega de la información: a veces entregamos datos como un acto reflejo, de manera voluntaria pero inconsciente de los riesgos.