Modelo comentado: cómo se prueba ante la SIC que sí existía la autorización del titular

La autorización del titular no se prueba con el hecho de haberla pedido: se prueba con el registro. El artículo 9º de la Ley 1581 de 2012 exige que sea obtenida «por cualquier medio que pueda ser objeto de consulta posterior», y el parágrafo del artículo 12 impone conservar prueba de haber informado. Son dos registros distintos, y ante la SIC hacen falta los dos.

Qué exige la ley

«Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.»

Tres exigencias en una frase:

La tercera es la que define el diseño técnico. Un formulario firmado que nadie puede localizar por titular no cumple; una casilla marcada cuyo registro no se conserva, tampoco.

La segunda prueba: haber informado

El artículo 12 lista lo que debe informarse «al momento de solicitar al Titular la autorización», «de manera clara y expresa»:

1. «El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo».
2. «El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes».
3. «Los derechos que le asisten como Titular».
4. «La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento».

Y su parágrafo cierra el círculo probatorio:

«El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.»

Y el deber de conservar copia

El literal b) del artículo 17 lo enuncia entre los deberes del responsable: «Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular».

Son dos verbos: solicitar y conservar. El incumplimiento del segundo es tan sancionable como el del primero, y es el que se verifica con un solo caso de prueba.

Cuándo no se necesita autorización

El artículo 10 fija cinco supuestos, y son una lista cerrada:

• «Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial».
• «Datos de naturaleza pública».
• «Casos de urgencia médica o sanitaria».
• «Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos».
• «Datos relacionados con el Registro Civil de las Personas».

Con una advertencia que se pasa por alto: «Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley». La excepción libera del consentimiento, no del resto del régimen.

A quién se puede suministrar la información

El artículo 13 también cierra la lista: a los titulares, sus causahabientes o representantes legales; a las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial; y «a los terceros autorizados por el Titular o por la ley».

Esa última categoría es la que suele fallar en operaciones con proveedores, aliados comerciales o casas matrices: si el titular no autorizó la transferencia a ese tercero y no hay norma que la ampare, no cabe.

El expediente que conviene tener armado

Por qué importa antes de que llegue el requerimiento

Por dos razones concretas. La primera: el artículo 16 establece que el titular «sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo». Un reclamo bien atendido —con la autorización a la vista— cierra el asunto antes de que exista actuación.

La segunda: si el caso llega a investigación, el criterio de graduación que más pesa a favor es la evidencia de diligencia —el artículo 24 de la Ley 1581 no la incluye entre sus seis criterios, pero el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015 dispone que la verificación de medidas y políticas específicas para el manejo adecuado de los datos «será tenida en cuenta al momento de evaluar la imposición de sanciones»—, y esa evidencia debe ser anterior al hallazgo. Un repositorio construido después del requerimiento no acredita diligencia previa.

Lo que conviene revisar hoy

1. Elija tres titulares al azar y recupere su autorización. Si no puede hacerlo en minutos, el requisito de «consulta posterior» no está cumplido.
2. Verifique que puede reproducir el texto informativo vigente en la fecha de cada autorización.
3. Coteje ese texto contra los cuatro contenidos del artículo 12.
4. Revise el carácter facultativo cuando haya datos sensibles o de menores: es un contenido obligatorio y frecuentemente omitido.
5. Inventaríe las transferencias a terceros y verifique que cada una tenga autorización o norma que la ampare.
6. Actualice el manual interno del literal k) del artículo 17.
7. Documente el control de versiones del aviso: es lo que convierte un formulario en prueba.

Laws and case law cited

• Ley 1581 de 2012, artículos 9º, 10, 11, 12 y 13 — Autorización previa e informada del titular obtenida por medio que pueda ser objeto de consulta posterior; los cinco casos en que no es necesaria y el deber de cumplir el resto de la ley aun sin autorización; suministro de la información con remisión a la reglamentación; los cuatro contenidos del deber de informar y el parágrafo que obliga a conservar prueba de su cumplimiento y a entregar copia al titular; y personas a quienes puede suministrarse la información. Source
• Ley 1581 de 2012, artículos 14, 15, 16, 17 y 24 — Plazos de consultas y reclamos; requisito de procedibilidad para elevar queja ante la Superintendencia de Industria y Comercio; deberes del responsable del tratamiento, incluidos solicitar y conservar copia de la autorización y adoptar un manual interno de políticas y procedimientos; y criterios de graduación de las sanciones. Source