Imagina que tu empresa instala cámaras en sus oficinas, recopila formularios de clientes o solicita hojas de vida en línea. Cada acción que implique datos personales requiere una autorización clara, previa y comprobable. Sin ella, podrías enfrentar sanciones económicas que superan los 2.000 salarios mínimos legales y daños irreparables en tu reputación.
La autorización: más que un trámite, una prueba de confianza
Cada vez que solicitas datos personales a tus clientes, empleados o proveedores, estás entrando en el terreno de la confianza digital. La autorización para el tratamiento de datos no es un simple documento: es la manifestación de consentimiento libre, previo, expreso e informado que respalda el uso legítimo de la información
Sin embargo, aún hoy, muchas organizaciones colombianas recogen datos sin conservar evidencia del consentimiento, o lo hacen con formatos genéricos que no especifican la finalidad. Este error puede parecer menor, pero la SIC lo considera una infracción grave: la empresa Rappi fue sancionada por recopilar información sin claridad sobre su uso; Movistar y Banco Caja Social fueron multados por no permitir a los titulares ejercer su derecho de supresión y actualización.
La autorización debe conservarse como prueba verificable y auditable. Según la Cartilla oficial de la SIC, puede obtenerse por medios escritos, orales o mediante conductas inequívocas (por ejemplo, el ingreso a un establecimiento con aviso de videovigilancia). Lo esencial es poder demostrarla ante una inspección o queja
📅 Agenda tu diagnóstico gratuito:
Los datos sensibles y el respeto reforzado a la intimidad
Tratar datos sobre salud, orientación política, religión, afiliaciones o información biométrica exige una protección reforzada. Estos son los llamados datos sensibles, cuya entrega nunca puede ser obligatoria. La organización debe informar al titular con total transparencia cuáles datos son sensibles, para qué se usarán y garantizar que no haya consecuencias negativas si decide no entregarlos
La Ley 1581 es explícita: ninguna actividad puede condicionarse a suministrar este tipo de información. En 2023, la SIC sancionó a una empresa de seguridad privada que exigía huellas digitales a visitantes sin justificar su necesidad. En paralelo, bajo el GDPR europeo, este tipo de prácticas serían ilegales sin una base jurídica clara; y en California, la CCPA otorga el derecho a “optar por no participar” en la venta o cesión de datos sensibles.
Lo que en Colombia se denomina “autorización expresa” es, en Europa, consentimiento explícito. La diferencia está en la trazabilidad: mientras el GDPR obliga al “registro documental del consentimiento”, en Colombia el principio equivalente es el de responsabilidad demostrada (accountability) introducido por la Guía SIC 2023.
Niños, niñas y adolescentes: el eslabón más delicado
Cuando se manejan datos de menores de edad, la empresa debe aplicar criterios de protección reforzada. Solo los representantes legales pueden autorizar su tratamiento, y siempre después de haber escuchado al menor. Esta condición, incorporada por la Sentencia C-748 de 2011 y reiterada por la SIC, busca garantizar el respeto al derecho fundamental del menor a decidir sobre su información
Los colegios, jardines infantiles y clubes deportivos son los más propensos a incumplir esta regla. En 2024, un colegio privado de Bogotá fue sancionado por publicar fotografías de menores en redes sociales sin autorización. En Brasil, bajo la LGPD, las reglas son similares: los padres o tutores deben autorizar y el responsable debe implementar medidas adicionales de seguridad y anonimización.
Política de tratamiento: la carta de navegación de tu empresa
Toda organización debe tener dos instrumentos esenciales:
-
El manual interno de políticas y procedimientos, donde se define cómo se gestionan los datos y cómo se atienden los derechos de los titulares.
-
La política pública de tratamiento de datos personales, visible y disponible para todos.
El manual no se publica; es un documento operativo que demuestra control. La política sí debe estar en tu sitio web, avisos o correos institucionales. Debe incluir al menos: identificación del responsable, finalidad del tratamiento, derechos de los titulares, canales de contacto y vigencia de la base de datos
No cumplir con esta publicación es equivalente a no tenerla. En 2023, la SIC impuso sanciones a más de 400 empresas por carecer de políticas visibles o actualizadas. En contraste, el GDPR establece el principio de “transparencia proactiva”, y el CCPA obliga a publicar un “privacy notice” accesible y comprensible.
En TODO EN UNO.NET, no solo diseñamos estas políticas, sino que implementamos sistemas que registran cada evidencia de cumplimiento, algo que la SIC exige bajo el principio de responsabilidad demostrada.
El aviso de privacidad: la voz que informa al titular
El aviso de privacidad es la herramienta que comunica al titular cómo se manejará su información cuando no sea posible mostrarle directamente la política completa. Según la Cartilla SIC, debe incluir: nombre del responsable, finalidad del tratamiento, derechos del titular y medios para acceder a la política
En un mundo digital, esto significa banners, pop-ups o carteles en zonas de videovigilancia. Un aviso de cámaras ilegible o ausente es sancionable. La SIC ha enfatizado en 2024 que el aviso debe ser visible, claro y verificable, incluso en redes sociales o plataformas de e-commerce.
En TODO EN UNO.NET, ayudamos a nuestros clientes a implementar avisos de privacidad personalizados —en oficinas, portales web o sistemas de cámaras— alineados con las guías de la SIC y estándares internacionales.
Cómo resolverlo con TODO EN UNO.NET
Nuestra metodología se basa en tres fases de acompañamiento integral:
“Si hoy solucionas este problema con nosotros, seguiremos acompañándote para que no vuelva a ocurrir.”
Un conjunto residencial en Manizales instaló cámaras de seguridad sin aviso visible ni política publicada. Tras una queja de un residente, la SIC abrió investigación y exigió evidencias de autorización y procedimientos internos. La administración no pudo presentarlas y recibió una sanción de 120 millones de pesos.
“Proteger los datos no es un trámite: es un acto de respeto hacia quienes confían en tu empresa.”
