El derecho fundamental de Habeas Data desarrollado en la Ley 1581 de 2012

habeas-data-colombia

Por Camilo Alfonso Escobar Mora

1). Terminología sobre el derecho fundamental de hábeas data.

A continuación se relacionan las principales definiciones vinculadas con el derecho fundamental de hábeas data en Colombia para que las compañías y entidades las conozcan e inicien una adecuada protección (preventiva) de este derecho sobre todos los datos personales que interna y externamente se gestionan en el desarrollo de sus actividades (es un tema de alto impacto ético, jurídico -ligado por supuesto al componente ético- y económico -inclusive las sanciones pueden ser desde una multa, que puede ser sucesiva, de hasta 2.000.000 SMLMV hasta una sanción de cierre temporal o definitivo del establecimiento de comercio infractor):

a). Hábeas data: En el artículo 15 de la Constitución Política de Colombia, que hace parte del capítulo sobre los derechos fundamentales, se define la naturaleza y el alcance del derecho fundamental de hábeas data -se subraya en negrilla el aparte puntual relativo al derecho de hábeas data- de la siguiente manera: “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Igualmente en el artículo 1 de la Colombiana No. Ley 1581 se consagra una definición indirecta del derecho fundamental de hábeas data al establecer el objeto de la Ley. Se cita expresamente: “Artículo 1°. Objeto. La presente ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma”.

Nótese que en este caso se incluye además el concepto de información (entendido como un derecho de acceso a la información) como un componente del derecho de hábeas data. Se cita expresamente el artículo 20 de la Constitución Política de Colombia: “Se garantiza a toda persona la libertad de expresar y difundir su pensamiento y opiniones, la de informar y recibir información veraz e imparcial, y la de fundar medios masivos de comunicación.

Estos son libres y tienen responsabilidad social. Se garantiza el derecho a la rectificación en condiciones de equidad. No habrá censura”.

Ahora bien, con el fin de precisar el alcance de este concepto -es decir de este derecho fundamental de hábeas data- se cita a continuación una síntesis de las interpretaciones que se le han efectuado en la jurisprudencia constitucional, síntesis que se encuentra consagrada en los descriptores temáticos de la Sentencia C-748 de 2011 por medio de la cual la Corte Constitucional declaró la constitucionalidad de la Ley 1581 “Por la cual se dictan disposiciones generales para la protección de datos personales” (la Ley estatutaria 1581 de 2012 es la Ley general de protección de los datos personales en Colombia, y por lo tanto tiene aplicación directa en todos los sectores, salvo que se produzcan legislaciones especiales y más favorables).

“En la jurisprudencia constitucional, el derecho al habeas data fue primero interpretado como una garantía del derecho a la intimidad, de allí que se hablara de la protección de los datos que pertenecen a la vida privada y familiar, entendida como la esfera individual impenetrable en la que cada cual puede realizar su proyecto de vida y en la que ni el Estado ni otros particulares pueden interferir. También, desde los primeros años de la nueva Carta, surgió al interior de la Corte una segunda línea interpretativa que consideraba el habeas data una manifestación del libre desarrollo de la personalidad. Según esta línea, el habeas data tiene su fundamento último “(…) en el ámbito de autodeterminación y libertad que el ordenamiento jurídico reconoce al sujeto como condición indispensable para el libre desarrollo de la personalidad y en homenaje justiciero a su dignidad. Ya a partir de 1995, surge una tercera línea interpretativa que es la que ha prevalecido desde entonces y que apunta al habeas data como un derecho autónomo, en que el núcleo del derecho al habeas data está compuesto por la autodeterminación informática y la libertad –incluida la libertad económica. Este derecho como fundamental autónomo, requiere para su efectiva protección de mecanismos que lo garanticen, los cuales no sólo deben pender de los jueces, sino de una institucionalidad administrativa que además del control y vigilancia tanto para los sujetos de derecho público como privado, aseguren la observancia efectiva de la protección de datos y, en razón de su carácter técnico, tenga la capacidad de fijar política pública en la materia, sin injerencias políticas para el cumplimiento de esas decisiones”.

Del mismo modo en esta jurisprudencia (Sentencia C-748 de 2011) se señalan los contenidos mínimos del derecho al hábeas data de la siguiente manera: “Dentro de las prerrogativas o contenidos mínimos que se desprenden del derecho al habeas data encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información; (ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad; (v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa”.

Igualmente en la sentencia C-748 de 2011 se condensan y consagran los puntos característicos e individualizadores de este derecho: “La jurisprudencia constitucional ha precisado que las características de los datos personales son las siguientes: i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”.

Para precisar aún más este concepto se cita a continuación la epistemología que CHANAMÉ ORBE2 consagró sobre la palabra hábeas data en su tesis “Habeas Data y el Derecho Fundamental a la Intimidad de la Persona”:

“Hábeas: Segunda persona del presente subjuntivo habeo… habere, significa aquí tengas en posesión, que es una de la acepciones del verbo.

Data: Es el acusativo plural de datum, que en los direccionarios más modernos definen como representación convencional de hechos, conceptos o instrucciones de forma apropiada para la comunicación o procesamiento por medios automáticos.

En consecuencia, Hábeas Data significa que se posean los datos o registros.

Para otros autores Hábeas Data es una expresión mitad latina (hábeas) y mitad inglesa (data). Miguel Ángel Ekmekdjian dice que “en efecto, su nombre se ha tomado parcialmente del antiguo instituto del hábeas corpus, en el cual el primer vocablo significa “conserva o guarda tu” y del inglés “data” que significa información o datos (Ekmekdjian, Miguel A.: “El Hábeas Data en la Reforma Constitucional”, “L. L.”, 1995- E – 946 a 951. -Nota: En su versión original esta cita entre paréntesis aparece en un pie de página autónomo-).

En síntesis, en una traducción literal sería “conserva o guarda tus datos3”.

Teniendo en cuanto las citas anteriores y con el fin de brindar mayor claridad sobre este concepto el hábeas data se puede definir -para efectos del presente artículo de percepción general- como el derecho fundamental que tienen las personas naturales (tanto TRABAJADORES COMO DIRECTIVOS, SOCIOS, INVERSIONISTAS, ALIADOS, PROVEEDORES, CLIENTES, USUARIOS Y EN GENERAL TODO INDIVIDUO QUE SEA TITULAR DE DATOS PERSONALES) para que directamente conserven sus datos personales -de voz, audio, imagen, texto, o sus relaciones entre sí, es decir sus datos personales en multimedia *múltiples medios*- y para que en el caso en que se los transmitan válidamente a un tercero (es decir autorizando y consintiendo que algunos de sus datos personales pasen de su esfera íntima a la esfera de un tercero para que este realice un tratamiento de sus datos personales) puedan acceder a dicha información así como puedan exigirle -es decir además de ser un derecho fundamental es una Acción- que se efectúe una adecuada custodia, reserva, información y gestión -es decir tratamiento- de sus datos al interior de las redes y bases de datos (físicas y/o electrónicas) en donde se realice su recepción y tratamiento en general.

Es decir es tanto un derecho como una acción (en ambos casos dirigido a la adecuada protección y gestión de los datos personales de una persona natural -las personas jurídicas en principio no se incluyen en este derecho al ser fundamental, pero por supuesto su información igualmente debe protegerse aunque no mediante este derecho sino mediante los acuerdos de confidencialidad y los derechos de propiedad intelectual que puede tener una compañía mediante su Know How).

Precisado, de algún modo, lo anterior, es importante citar algunas definiciones que la Ley 1581 consagra en materia de protección de datos personales para una mayor comprensión y gestión:

“Artículo 3°. Definiciones. Para los efectos de la presente ley, se entiende por:

a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales;

b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento;

c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables;

d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento;

g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

“Artículo 5°. Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos”.

Por último en cuanto a la terminología relacionada con este derecho fundamental es importante ilustrar las clases de datos personales que pueden estar presentes en una relación TITULAR DE UN DATO PERSONAL – EMPRESA (O ENTIDAD):

a). Dato personal privado: Todo dato personal que tiene un conocimiento restringido, y en principio privado, para el público general (v. gr. Ingresos mensuales).

b). Dato personal público: Todo dato personal que es de conocimiento libre para el público general (v. gr. Número de la cédula de ciudadanía).

c). Dato personal semi-privado: Todo dato personal que tiene un conocimiento en principio restringido para el público general pero que pasa a ser accesible por una parte del público cuando su titular así lo autoriza (v. gr. Dirección de residencia publicada en la hoja de vida).

2). Principios jurídicos que permiten una interpretación y aplicación preventiva del derecho fundamental de hábeas data.

En materia de hábeas data se deben salvaguardar y tener como referente de acción para todos los sectores donde se realicen tratamientos de datos personales los siguientes principios jurídicos (principios que han sido señalados y desarrollados a lo largo de la jurisprudencia constitucional en este campo):

a). Principio de lealtad y licitud del dato: Señala que el dato personal no puede ser recolectado por medios fraudulentos o desleales. Por tanto, la persona debe ser informada de la razón y los mecanismos por medio de los cuales se van a recepcionar sus datos.

b). Principio de calidad de los datos: Los datos personales deben conservarse exactos (es decir íntegros e inalterados. Incluso se debe indicar fecha, modo y lugar de como se captaron).

Principio de necesidad del dato: Consagrado como el grado de relevancia (conducencia y pertinencia) que posee el dato personal en el contexto en que se desea tratar dicho dato. Solo se puede captar el dato necesario, se debe evitar incurrir en excesos infundados de la información solicitada.

Principio de finalidad del dato: Entendido como el uso adecuado de la información exclusivamente para los propósitos en que es creado, almacenado, captado, y en general tratado el dato personal. Por tanto debe existir además una clara determinación de las competencias de los miembros que trataran dichos datos sobre los alcances y los fines que puede buscar y para los cuales se encuentra facultado cada uno de los miembros.

Principio de actualidad del dato: Por medio del cual la información del dato personal tratado debe ser suficiente, veraz y oportuna. Dichos verbos rectores conducen a una interrelación con el principio de autodeterminación informativa, conceptualizado como la prerrogativa otorgada al titular del dato para modificarlo, suprimirlo, o complementarlo cuando existan causas que así lo justifiquen para lograr una información fiable (es decir cuando cambien sus circunstancias, v. gr. Nuevo domicilio). Claro está que los datos administrados a nivel histórico que sirvan para fines estadísticos a nivel de antecedentes no pueden alterarse dada su naturaleza cronológica y si las circunstancias cambian lo que puede hacerse es incorporar notas aclaratorias que expresen las transformaciones surtidas en la información con el transcurso del tiempo, si ese es el fin deseado.

Principio de pertinencia del dato: Postulándose que solo podrá reposar en la base de datos el dato personal que guarde causa o efecto eficiente con el campo de acción de la empresa o entidad (debe ser pertinente con el fin específico y con el momento concreto que dé origen a su captación). Cuando esto no se presente la información debe ser suprimida, no enviada, o no solicitada.

Principio de circulación restringida: Dispone que solo la compañía o entidad (y dentro de la compañía o entidad, se debe tener un organigrama sobre los funcionarios autorizados) facultado para captar, monitorear, almacenar y en general gestionar un dato personal tiene el derecho de tratarlo. Terceros agentes no tienen la autorización para conocer el dato. Además éste principio establece que el dato solo puede viajar por la red y/o bases de datos que guarden relación con el dato personal almacenado o tratado válidamente y no por otras redes (v. gr. Un dato personal suministrado a una compañía del sector no puede compartirse a otra compañía del sector, pues su titular no lo ha autorizado, precisamente ha restringido su circulación).

Principio de autodeterminación informativa: En el cual se manifiesta que todo titular de un dato personal goza de autonomía para configurar sus datos personales ante un sistema de información (v. gr. Puede señalar niveles de protección y acceso a sus datos personales en un sistema de información, como ocurre en la red social Facebook en donde puede configurar quienes pueden o no observar sus fotografías). En ese orden, no se podrá constreñir a un titular de un dato confidencial sin razón fundamentada (ni afectar su consentimiento informado).

En complemento con estos principios jurídicos, el artículo 4 de la Ley 1581 de 2012 consagra una serie de principios jurídicos (algunos ya citados anteriormente) para la protección y gestión de los datos personales:

“Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

a) Principio de legalidad en materia de Tratamiento de datos: El Tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen;

b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;

c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

d) Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error;

e) Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan;

f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;

g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma”.

Teniendo en cuenta esta sencilla ilustración se observa como en Colombia la protección de los datos personales es un asunto prioritario y de aplicación transversal. Las compañías y entidades deben garantizar que en su organigrama y en su gestión corporativa continua se cumplan con estos parámetros generales, y por supuesto todos los parámetros que específicamente se detallan en la Ley 1581 de 2012 y en las demás fuentes jurídicas directas, indirectas o complementarias que desarrollen la materia (Constitución Política, jurisprudencias, Leyes, principios del derecho generales y especiales, costumbres mercantiles, tratados internacionales, y autorregulación) para una gestión jurídica preventiva del derecho de hábeas data en su comunidad de impacto interna y externa (es decir los clientes, usuarios, trabajadores, aliados, proveedores, socios, inversionistas, directivos, funcionarios públicos, etc.).

Una sugerencia prioritaria para iniciar dicho ecosistema preventivo de protección y gestión del hábeas data es el establecimiento de un capítulo específico sobre la PROTECCIÓN Y GESTIÓN DEL HÁBEAS DATA al interior del MANUAL DE GOBIERNO SOCIETARIO O INSTITUCIONAL en cada empresa o entidad dirigido a establecer las políticas de buenas prácticas que regirán a la organización u organismo en esta materia. En complemento de esta sugerencia es importante efectuar la concepción, diseño y ejecución de un MANUAL INTERNO DE POLÍTICAS Y PROCEDIMIENTOS, instrumento que es obligatorio para toda persona natural o jurídica que realice un tratamiento de datos personales de conformidad con los artículos 17 y 18 de la Ley 1581, en el cual se conciban todos los conductos que serán aplicables para la atención de consultas y de reclamaciones en materia de tratamiento de datos personales.

Las compañías y entidades con vínculos, directos o indirectos, con Colombia deben cumplir con todos sus deberes y garantizar todos los derechos de todos los titulares de datos personales con quienes tengan relación, directa o indirecta, a más tardar en ABRIL 17 DE 2013 (de acuerdo con el plazo señalado en el artículo 28 de la Ley 1581 de 2012).

1 Artículo publicado por Camilo Alfonso Escobar Mora en febrero de 2013 para el portal jurídico «informatica-juridica.com», bajo el título «ILUSTRACIÓN DEL DERECHO FUNDAMENTAL DE HÁBEAS DATA(PROTECCIÓN DE LOS DATOS PERSONALES) DESARROLLADO EN LA LEY 1581 DE 2012«, que reproducimos por su interés dentro del área jurídica de estudio del Observatorio Iberoamericano de Protección de Datos.

2 CHANAMÉ ORBE, Raúl. Habeas Data y el Derecho Fundamental a la Intimidad de la Persona. Segunda Parte: Marco Teórico Conceptual. Tesis para optar por el título de magíster en derecho con mención enderecho civil y comercial. Universidad Nacional Mayor de San Marcos, Facultad de Derecho y CienciaPolítica, Unidad de Post Grado. Lima, Perú, 2003. Disponible en: http://www.cybertesis.edu.pe/sisbib/2003/chaname_or/pdf/chaname_or-TH.3.pdf

3 Ibídem.