La portería sabe quién llegó. La cámara sabe a qué hora. El sistema biométrico reconoce un rostro. WhatsApp conserva conversaciones. La nube almacena planillas. La administración conoce apartamentos, vehículos, teléfonos, empleados, visitantes y rutinas.
El problema aparece cuando nadie puede responder, con absoluta claridad, quién controla realmente toda esa información.
En una propiedad horizontal, la pérdida de control de los datos rara vez comienza con un gran incidente. Suele comenzar con pequeñas decisiones normales: una nueva cámara, un proveedor de vigilancia, una aplicación, un lector facial, una hoja de cálculo compartida o una contraseña conocida por demasiadas personas.
Y cuando la tecnología crece más rápido que el gobierno de la información, la seguridad aparente puede convertirse silenciosamente en exposición empresarial.
👉 Continúa leyendo aquí…
Durante años, la protección de datos en edificios y conjuntos residenciales, comerciales y mixtos fue entendida como una obligación relativamente documental: tener una política, colocar un aviso de privacidad, solicitar alguna autorización y conservar ciertos formatos.
Ese enfoque hoy resulta insuficiente.
Una propiedad horizontal moderna puede administrar una cantidad sorprendente de información: nombres, teléfonos, correos electrónicos, números de identificación, placas de vehículos, datos de trabajadores, fotografías, grabaciones, horarios de entrada y salida, visitantes frecuentes, domicilios, correspondencia, registros de parqueaderos y, cada vez con mayor frecuencia, características biométricas.
Parte de esa información puede terminar distribuida entre computadores administrativos, celulares personales, empresas de vigilancia, software contable, plataformas de control de acceso, servidores en la nube, cámaras conectadas a internet, grupos de WhatsApp y proveedores externos.
El verdadero riesgo no está solamente en que alguien robe una base de datos.
Está en que la copropiedad deje de saber dónde están sus datos, quién puede consultarlos, cuánto tiempo permanecen almacenados, para qué están siendo usados y qué ocurrirá con ellos cuando cambie el administrador, termine un contrato o se sustituya una plataforma.
Ese es un problema de confianza digital.
Y también es un problema de gobierno organizacional.
En Colombia, la Ley 1581 de 2012 continúa siendo la estructura general del régimen de protección de datos personales. Una propiedad horizontal que realiza tratamiento de información personal debe respetar, entre otros, los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.
Pero cumplir esos principios en 2026 exige mirar mucho más allá del documento que permanece archivado en la oficina de administración.
La portería ya no es solamente una portería
Pensemos en algo cotidiano.
Un visitante llega al edificio.
Puede entregar su nombre, número de identificación, teléfono o apartamento de destino. Su rostro puede quedar registrado por una cámara. Es posible que una aplicación genere un código de ingreso. Tal vez una plataforma externa almacene el registro. Puede existir además una fotografía, una llamada grabada, una placa de vehículo o información entregada previamente por WhatsApp.
Para el visitante, fueron treinta segundos.
Para la organización, pudieron haberse producido varios tratamientos diferentes de información.
La pregunta estratégica no debería ser simplemente: “¿tenemos autorización?”.
También debería ser:
¿Necesitamos realmente todos esos datos?
¿Quién decidió recolectarlos?
¿Durante cuánto tiempo se conservarán?
¿Quién tiene acceso?
¿La empresa de vigilancia puede copiarlos?
¿La plataforma tecnológica los almacena en Colombia o fuera del país?
¿Existen copias?
¿Se eliminan cuando termina su finalidad?
¿Puede el administrador demostrar todo lo anterior?
Ahí comienza la diferencia entre almacenar información y gobernarla.
Una arquitectura seria de protección de datos debe convertir cada tecnología en una herramienta funcional sometida a propósito, necesidad, proporcionalidad, trazabilidad y control.
Si su propiedad horizontal utiliza cámaras, biometría, aplicaciones de acceso, bases de residentes o proveedores tecnológicos y no existe claridad sobre estas preguntas, es momento de revisar la arquitectura completa del tratamiento.
https://t.mtrbio.com/habeas-data
El rostro de un residente no debería convertirse en una llave obligatoria
Uno de los cambios más importantes del contexto reciente está ocurriendo en los sistemas biométricos.
Huella digital, reconocimiento facial, iris y otras características biométricas pueden facilitar accesos. Pero facilidad tecnológica no significa automáticamente legitimidad organizacional.
Los datos biométricos están comprendidos dentro de la categoría de datos sensibles, cuya utilización exige una protección reforzada. La legislación colombiana establece restricciones especiales para esta clase de tratamiento.
Y durante 2025 la autoridad colombiana reforzó un criterio especialmente relevante para propiedades horizontales.
En una actuación relacionada con un conjunto residencial, la SIC ordenó habilitar mecanismos de ingreso que no implicaran tratamiento de datos biométricos y suprimir determinados datos biométricos cuando sus titulares así lo solicitaran. La autoridad recordó que una persona debe ser informada de que no está obligada a autorizar el tratamiento de sus datos sensibles y señaló que la biometría no debería convertirse en la única condición disponible para ingresar a la propiedad.
Ese criterio transforma una conversación aparentemente tecnológica en una conversación de gobierno.
El debate ya no debería reducirse a si el reconocimiento facial funciona bien.
La pregunta correcta es si la organización necesita utilizarlo, qué alternativa ofrece, qué riesgos genera, quién administra las plantillas biométricas, dónde se alojan, quién puede acceder a ellas y cómo serán eliminadas.
Porque una contraseña puede cambiarse.
Un rostro no.
Una organización que recolecta biometría debería entender que está administrando información cuya exposición puede producir consecuencias difíciles de revertir.
Eso exige madurez, no entusiasmo tecnológico.
Videovigilancia no significa disponibilidad ilimitada de imágenes
Otro error frecuente aparece con las cámaras.
Existe la idea de que aquello que ocurre en una zona común puede observarse, almacenarse, descargarse o compartirse libremente.
No funciona así.
La Corte Constitucional ha establecido que la información captada mediante sistemas de videovigilancia puede constituir información personal y que el lugar donde se encuentre una cámara no convierte automáticamente todo lo capturado en información de libre acceso.
En la Sentencia C-094 de 2020 se precisó que el manejo de imágenes captadas mediante sistemas de video debe respetar principios de legalidad, finalidad, libertad, transparencia, acceso y circulación restringida, seguridad, confidencialidad y caducidad.
Esta reflexión es especialmente importante en conjuntos residenciales.
Una cámara puede mostrar quién visita repetidamente una vivienda.
Puede revelar horarios.
Rutinas.
Relaciones personales.
Niños.
Trabajadores domésticos.
Hábitos familiares.
Condiciones físicas.
Vehículos.
Patrones de presencia o ausencia.
Una grabación aparentemente inocente puede convertirse, cuando se analiza en contexto, en una extraordinaria fuente de conocimiento sobre una persona.
Por eso el control de acceso a las imágenes debería ser restrictivo y trazable.
No debería depender de quién conoce la contraseña del DVR.
La organización debería saber quién puede consultar, exportar o entregar una grabación; bajo qué supuesto; durante cuánto tiempo se conserva; dónde queda evidencia de esa actuación y qué ocurre con las copias generadas.
La confianza digital comienza precisamente allí: cuando la organización puede demostrar que la información existe bajo control y no simplemente bajo custodia tecnológica.
El proveedor también puede convertirse en una puerta silenciosa
Muchas propiedades horizontales tercerizan actividades esenciales.
Vigilancia.
Control de acceso.
Administración tecnológica.
Software contable.
Nube.
Mantenimiento de cámaras.
Aplicaciones para residentes.
Reconocimiento facial.
Mensajería.
Estos proveedores pueden actuar, según las circunstancias, como Encargados del Tratamiento o desempeñar otros roles que deben analizarse correctamente.
El error aparece cuando la copropiedad asume que contratar el servicio significa transferir también la responsabilidad.
No es así.
Las obligaciones alrededor del tratamiento deben traducirse en contratos, instrucciones, restricciones, confidencialidad, seguridad, devolución o eliminación de información, gestión de incidentes y control sobre subcontratistas.
Un proveedor debería saber exactamente qué puede hacer con los datos.
Y, quizás más importante, qué no puede hacer.
La guía analizada ya advertía sobre la necesidad de impedir que contratistas conservaran copias de formularios, planillas, grabaciones o archivos después de terminar la prestación del servicio. Esa lógica hoy es todavía más relevante porque las copias ya no permanecen únicamente en archivadores: pueden sobrevivir en respaldos, teléfonos, correos, servidores, plataformas y cuentas de nube.
Cambiar de empresa de vigilancia debería incluir una pregunta que pocas administraciones hacen:
¿qué ocurrió con todos los datos tratados durante el contrato anterior?
Si nadie puede responderlo documentalmente, existe una ruptura de trazabilidad.
WhatsApp puede ser eficiente y desordenado al mismo tiempo
Pocos instrumentos han penetrado tanto la administración cotidiana como WhatsApp.
Es rápido.
Familiar.
Funcional.
Y precisamente por eso puede provocar pérdida silenciosa de control.
Un administrador puede recibir allí fotografías de documentos, datos de visitantes, incapacidades médicas, autorizaciones, números telefónicos, información de trabajadores, fotografías de menores, reclamaciones y conversaciones privadas.
Cuando esa información termina en un teléfono personal, la frontera entre archivo institucional y dispositivo individual se vuelve extremadamente débil.
¿Qué sucede cuando cambia el administrador?
¿La conversación permanece en su teléfono?
¿Existe una copia en la nube asociada a una cuenta personal?
¿Los archivos descargados se eliminan?
¿Otro integrante del hogar tiene acceso al dispositivo?
¿Los grupos muestran teléfonos personales de todos sus integrantes?
Nada de esto convierte a WhatsApp, por sí mismo, en una herramienta prohibida.
El problema no es la tecnología.
El problema es utilizar tecnología sin arquitectura.
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
La funcionalidad organizacional requiere reglas: qué información puede circular por determinado canal, quién administra las cuentas, qué datos no deberían enviarse, cuándo deben eliminarse y cómo se conserva evidencia cuando jurídicamente resulte necesaria.
La inteligencia artificial también puede entrar por la puerta del edificio
La IA ya no pertenece exclusivamente a grandes empresas tecnológicas.
Puede aparecer en una propiedad horizontal a través de reconocimiento facial, análisis de video, clasificación automática de solicitudes, asistentes virtuales, plataformas administrativas, detección de matrículas, automatización de comunicaciones o herramientas que procesan documentos.
Desde agosto de 2024, la SIC cuenta con lineamientos específicos relacionados con el tratamiento de datos personales en sistemas de inteligencia artificial. La Circular Externa 002 de 2024 sitúa el tratamiento de datos dentro del marco de responsabilidad y gestión de riesgos aplicable a estas tecnologías.
Esto introduce una pregunta que será cada vez más importante:
¿sabe la administración cuándo una plataforma utiliza inteligencia artificial?
Contratar software sin comprender su funcionamiento puede producir una nueva clase de dependencia: entregar información organizacional a sistemas que la administración utiliza pero no gobierna.
La IA puede aportar funcionalidad.
Pero funcionalidad sin criterio puede terminar ampliando innecesariamente la observación, clasificación o perfilamiento de personas.
Antes de automatizar una decisión relacionada con residentes, visitantes o trabajadores, la organización debería comprender los datos involucrados, la finalidad, los riesgos, los proveedores participantes y el grado de intervención humana existente.
No porque toda IA sea peligrosa.
Sino porque toda organización responsable debería comprender qué hace la tecnología con las personas que están detrás de los datos.
Conservar por costumbre también es perder control
Otro riesgo silencioso es el tiempo.
Bases de antiguos residentes.
Grabaciones de meses o años.
Planillas históricas.
Visitantes que ingresaron una sola vez.
Datos biométricos de personas que ya no viven allí.
Correos de administraciones anteriores.
Copias de documentos que nadie recuerda por qué se solicitaron.
La acumulación suele confundirse con seguridad.
Pero almacenar indefinidamente puede aumentar la exposición.
El principio de finalidad obliga a relacionar el tratamiento con un propósito específico. La regulación colombiana también exige analizar durante cuánto tiempo resulta razonable y necesario conservar la información.
Por eso una arquitectura moderna debería tener ciclos de vida.
Recolectar.
Utilizar.
Proteger.
Actualizar.
Restringir.
Archivar cuando corresponda.
Eliminar cuando deje de existir justificación.
La organización madura no presume que “por si acaso” constituye una finalidad.
El RNBD tampoco debe confundirse con toda la protección de datos
Existe además una confusión frecuente alrededor del Registro Nacional de Bases de Datos.
Desde la modificación introducida por el Decreto 090 de 2018, la obligación específica de inscripción en el RNBD se concentra, entre otros sujetos, en sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y en personas jurídicas de naturaleza pública.
Esto significa algo fundamental para muchas copropiedades:
no estar obligado a inscribir una base de datos en el RNBD no equivale a quedar por fuera de la Ley 1581 de 2012.
La obligación de proteger la información continúa.
La autorización, la finalidad, la atención de derechos, la seguridad, la confidencialidad, la administración de terceros y la responsabilidad demostrada no desaparecen porque una organización no alcance el umbral de registro. La propia regulación que modificó el universo del RNBD dejó expresa esa diferencia.
Esta distinción es importante porque impide convertir el cumplimiento en una casilla administrativa.
La responsabilidad demostrada cambia completamente la conversación
Tal vez el concepto más importante para una propiedad horizontal moderna sea la Responsabilidad Demostrada.
No basta decir que la organización protege información.
Debe poder evidenciarlo.
Eso significa que la política publicada debería coincidir con lo que ocurre en portería.
La autorización debería coincidir con los datos realmente recolectados.
Los contratos deberían coincidir con el comportamiento de los proveedores.
Los tiempos de conservación deberían coincidir con las configuraciones del software.
Los permisos de acceso deberían coincidir con las funciones de las personas.
Los avisos de videovigilancia deberían coincidir con un sistema efectivamente gobernado.
Las capacitaciones deberían transformar comportamientos.
Y los incidentes deberían generar trazabilidad, corrección y aprendizaje.
La responsabilidad demostrada convierte la protección de datos en una capacidad organizacional permanente.
No en una carpeta.
Eso explica por qué una arquitectura funcional necesita asesoría para definir criterios, elaboración para convertirlos en instrumentos, implementación para llevarlos a la operación, capacitación para modificar conductas y auditoría para comprobar si aquello que fue diseñado realmente funciona.
No son cinco servicios independientes.
Son etapas de una misma madurez empresarial.
Cuando una propiedad horizontal quiere conocer su nivel real de exposición, el punto de partida no debería ser preguntar únicamente si existe una política.
Debería seguir el dato.
Desde que entra hasta que desaparece.
https://t.mtrbio.com/habeas-data
Una filtración no siempre empieza con un atacante
Puede comenzar cuando un trabajador fotografía una pantalla.
Cuando un vigilante envía un video a un grupo.
Cuando una administración entrega una grabación sin validar correctamente al solicitante.
Cuando un proveedor conserva una copia.
Cuando una contraseña nunca cambia.
Cuando una antigua administradora mantiene archivos en su computador.
Cuando una base de residentes se comparte por correo.
Cuando una autorización menciona finalidades tan amplias que prácticamente no limitan nada.
Cuando un dato biométrico se recolecta porque el dispositivo ya venía incluido con el software.
Cuando una cámara apunta más allá de lo necesario.
Cuando una fotografía de un menor termina en una conversación que nadie elimina.
Ninguno de estos escenarios parece inicialmente extraordinario.
Precisamente por eso son importantes.
La mayor fragilidad digital de una organización suele encontrarse en prácticas normales que nunca fueron cuestionadas.
Allí es donde la auditoría adquiere valor.
No como búsqueda de culpables, sino como mecanismo de visibilidad.
Porque no se puede gobernar aquello que la organización no sabe que existe.
Una propiedad horizontal administra mucho más que inmuebles, cuotas, zonas comunes y proveedores.
Administra fragmentos de la vida cotidiana de cientos o miles de personas.
Sabe cuándo llegan.
Quién las visita.
Qué vehículo utilizan.
Dónde viven.
Cómo contactarlas.
En algunos casos también conserva sus rostros, huellas, imágenes, conversaciones y rutinas.
Ese poder informacional exige criterio.
La pregunta empresarial de 2026 ya no es si el conjunto tiene cámaras, una política de tratamiento o un sistema moderno de acceso.
La pregunta es si conserva el control de la información que todas esas herramientas producen.
La Arquitectura de Protección de Datos y Confianza Digital parte precisamente de allí: identificar tratamientos, comprender tecnologías, ordenar responsabilidades, revisar terceros, establecer trazabilidad, formar al equipo, reducir exposiciones y demostrar que las reglas existen también en la operación cotidiana.
Si administra, asesora o integra tecnología en una propiedad horizontal, este puede ser el momento adecuado para revisar cuánto control conserva realmente sobre la información.
https://t.mtrbio.com/habeas-data
Frase doctrinal
La confianza digital no nace cuando una organización acumula más tecnología, sino cuando puede demostrar que ninguna tecnología le hizo perder el gobierno de las personas detrás de los datos.
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
