El dato personal y las operaciones que lo afectan
El artículo 15 constitucional reconoce intimidad, buen nombre y la posibilidad de conocer, actualizar y rectificar información recogida en bancos de datos y archivos públicos y privados. La Ley 1581 de 2012 desarrolla el régimen general de protección de datos personales. Para sus efectos, el dato personal es información vinculada o asociable a personas naturales determinadas o determinables. No se limita al número de identificación: una combinación de registros puede permitir individualizar a alguien aunque su nombre no aparezca en una columna.
El tratamiento comprende operaciones como recolección, almacenamiento, uso, circulación y supresión. Conservar una base sin publicarla también constituye tratamiento y exige garantías. El responsable decide sobre la base o el tratamiento; el encargado actúa por cuenta del responsable. Encargar una labor técnica a un proveedor no demuestra que la entidad haya dejado de decidir ni la exonera automáticamente de las obligaciones que le corresponden. Debe identificarse la operación real y el papel de cada sujeto, más allá de las etiquetas contractuales.
El ámbito general incluye entidades públicas y privadas, con las excepciones y regímenes especiales del artículo 2. Las bases exceptuadas no se convierten en espacios sin protección: el parágrafo preserva principios en el alcance allí previsto y su concurrencia con reglas especiales. La información financiera o de inteligencia requiere su marco específico. Esta lección no presenta la Ley 1581 como único texto que regula cualquier dato ni deduce de una excepción la inexistencia de garantías constitucionales.
Principios y fundamento del tratamiento
El artículo 4 exige aplicar integralmente legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. La finalidad debe ser legítima e informada; los datos deben ser exactos, completos, actualizados y comprensibles. La seguridad requiere medidas técnicas, humanas y administrativas contra pérdida, alteración o acceso indebido. La confidencialidad subsiste más allá de la terminación de la relación de quien intervino en el tratamiento.
La autorización supone consentimiento previo, expreso e informado en los términos legales y debe poder consultarse posteriormente. No equivale a aceptar cualquier uso imaginable. El artículo 12 exige informar tratamiento y finalidad, derechos del titular e identificación del responsable, entre otros aspectos. Una cláusula incomprensible o una casilla que no permite conocer el uso propuesto plantea un problema diferente de conservar prueba de una autorización verdaderamente informada. La institución debe poder explicar qué operación realiza y con qué fundamento.
El artículo 10 exceptúa la autorización en supuestos definidos, entre ellos información requerida por una entidad pública o administrativa en ejercicio de funciones legales y otros eventos de la norma. La excepción no autoriza circular indiscriminadamente: el último inciso mantiene el cumplimiento de la ley. Deben identificarse la competencia funcional y la relación del dato con el objeto que justifica acceder a él; recibir información para una función no habilita a divulgarla para cualquier finalidad posterior.
La circulación restringida impide tratar datos no públicos como si estuvieran disponibles sin límites en internet. Compartirlos entre dependencias también debe examinarse conforme a finalidad, funciones y personas autorizadas. Un usuario institucional con acceso técnico no adquiere por ese hecho permiso jurídico para consultar expedientes por curiosidad. Los perfiles, registros de consulta y controles de seguridad permiten concretar la protección; el diseño tecnológico no sustituye la justificación legal del acceso.
Datos sensibles y protección reforzada
El artículo 5 identifica datos sensibles por su relación con la intimidad o el riesgo de discriminación y menciona, entre otros, origen racial o étnico, orientación política, convicciones religiosas, salud, vida sexual y datos biométricos. La enumeración no debe emplearse para negar protección a información íntima equivalente por no aparecer con el nombre técnico de un sistema reciente. La clasificación depende del contenido y de su incidencia sobre derechos, no solo del formato utilizado para recogerlo.
El artículo 6 prohíbe en principio el tratamiento de datos sensibles y prevé excepciones delimitadas, como autorización explícita y los demás supuestos legales. No basta llamar «estadístico» a un proyecto para eliminar garantías; la propia norma exige medidas de supresión de identidad en el evento correspondiente. La publicación previa de un dato sensible tampoco se convierte en una autorización general para tratarlo: debe identificarse un fundamento permitido y aplicarse los demás principios.
Los datos de niños, niñas y adolescentes requieren protección reforzada. El artículo 7 se consulta con el alcance constitucional condicionado registrado en el texto institucional: el tratamiento debe respetar derechos prevalentes e interés superior, con examen concreto de garantías. No se enseña una prohibición absoluta que impida cualquier tratamiento necesario ni una facultad general de difusión por obtener una firma. La regulación y las condiciones específicas deben examinarse antes de operar bases relativas a menores de edad.
Facultades del titular y procedimientos de reclamación
El artículo 8 reconoce conocer, actualizar y rectificar, solicitar prueba de autorización cuando corresponda, conocer el uso y acceder gratuitamente a los propios datos. La supresión o revocación se examina en su alcance legal y condicionado, incluida la existencia de deber legal o contractual de permanencia. No toda solicitud de borrado permite destruir un archivo público cuya conservación está jurídicamente exigida; conservarlo tampoco permite mantener datos incorrectos o circularlos por una finalidad distinta.
Los artículos 14 y 15 diferencian consulta y reclamo. La consulta permite conocer la información del titular; el reclamo puede buscar corrección, actualización o supresión y denunciar incumplimiento de deberes. El reclamo completo exige incluir la leyenda de trámite prevista en la base y respetar los términos especiales de la norma. El artículo 16 establece el agotamiento de consulta o reclamo ante responsable o encargado antes de elevar queja ante la Superintendencia de Industria y Comercio, sin convertir esa gestión en una renuncia a garantías constitucionales.
La protección debe alcanzar al sistema completo: corregir un registro en una oficina resulta insuficiente si el responsable sigue transmitiendo la versión inexacta al encargado. Los artículos 17 y 18 distribuyen deberes de seguridad, actualización, trámite y respeto del hábeas data. La autoridad debe examinar el origen del dato, su estado, destinatarios y consecuencias sobre decisiones. La eventual sanción o indemnización requiere su régimen y presupuesto; no se deduce automáticamente de cualquier reclamación formulada.
Ejemplo colombiano 1: intercambio funcional y reutilización ajena
Una entidad obtiene datos de contacto de personas para ejercer una función legal determinada. Después un operador exporta la base para promocionar un servicio particular sin relación con esa función. El acceso inicial debe examinarse bajo su fundamento, pero no legitima automáticamente la operación posterior. La ausencia de autorización en un supuesto del artículo 10 no elimina finalidad y circulación restringida.
Corresponde identificar qué datos se utilizaron, quién decidió su reutilización y cuál era su habilitación. La entidad debe proteger a los titulares y adoptar las actuaciones de su competencia frente al uso indebido. La conclusión no prohíbe toda coordinación entre entidades; exige que cada intercambio o utilización tenga relación jurídica con su finalidad y respete las garantías aplicables.
Ejemplo colombiano 2: dato biométrico por mera comodidad
Una oficina propone recoger huellas de todos los asistentes a una charla para evitar firmar una lista, sin haber identificado fundamento ni necesidad del tratamiento. La huella es un dato biométrico y requiere el examen reforzado de datos sensibles. La comodidad de control no sustituye el supuesto legal permitido, la información al titular ni las restantes garantías.
La oficina debe estudiar la finalidad, las alternativas y el régimen antes de implementar el sistema. No se concluye que toda biometría esté prohibida ni que cualquier casilla de consentimiento la haga legítima. El análisis impide adoptar una operación sensible como si fuera un detalle administrativo irrelevante y exige documentar su fundamento y medidas de protección.
Ejemplo colombiano 3: rectificar sin destruir un archivo obligatorio
Un archivo administrativo conserva un documento que debe mantenerse por un deber legal y contiene una identificación equivocada que afecta a su titular. Este solicita corregirla y borrar toda constancia del trámite. La autoridad debe distinguir la calidad del dato de la conservación del archivo. El deber de mantener documentos no autoriza a perpetuar la inexactitud; la solicitud de borrado no elimina automáticamente el deber de conservación.
Procede tramitar el reclamo, verificar el error y establecer la forma jurídicamente adecuada de rectificar y conservar trazabilidad. También debe examinarse si el dato erróneo fue comunicado a otros responsables o encargados. La solución no se limita a responder que «el sistema no borra»: requiere explicar las obligaciones concurrentes y la actuación concreta para garantizar el hábeas data.
Fuentes examinadas y delimitación
Constitución, artículo 15; Ley 1581 de 2012, artículos 1 a 18, con atención a las anotaciones de constitucionalidad y los alcances de los artículos 6 a 8, 10 y 13. Consulta: 2026-11-05. Las notas no se presentan como lectura íntegra de C-748/11. El proyecto de reforma identificado en la Cámara no se convierte en ley vigente. Reglamentación técnica y regímenes sectoriales requieren verificación adicional para una implementación concreta.