La información personal dentro de una actuación
El tratamiento de datos en el procedimiento administrativo comprende operaciones como recolección, almacenamiento, uso, circulación o supresión de información vinculada a personas naturales determinadas o determinables. Su utilización debe servir a una función y finalidad legítimas y respetar el régimen aplicable. La Constitución, artículo 15, reconoce conocer, actualizar y rectificar datos y protege intimidad y buen nombre. Que la información ingrese a una entidad pública no la convierte por sí misma en dato de libre divulgación universal. Debe distinguirse el conocimiento necesario para tramitar un asunto de poner su contenido a disposición de cualquier tercero.
La Ley 1581 de 2012 define titular, responsable, encargado y tratamiento y fija su ámbito, excepciones y principios. El responsable decide sobre la base o el tratamiento; el encargado realiza operaciones por su cuenta según las condiciones pertinentes. El nombre del contrato o del proveedor no basta para resolver quién cumple cada función. Si una entidad diseña finalidades y utiliza un servicio de almacenamiento, debe analizarse esa relación sin suponer que desaparecen deberes públicos. Los derechos del titular necesitan una identificación comprensible de los sujetos y canales a los que puede acudir dentro del régimen.
El principio de finalidad exige un propósito legítimo y su información conforme a las reglas aplicables. El de libertad relaciona tratamiento y autorización previa, expresa e informada, con las excepciones legales correspondientes. El artículo 10 contempla, entre otros casos, información requerida por una entidad en ejercicio de funciones legales, y conserva el deber de cumplir la ley aun sin autorización previa. Por eso no es correcto exigir consentimiento como condición absoluta para toda operación administrativa ni usar la condición pública de la entidad como permiso para cualquier uso posterior ajeno a sus funciones y al supuesto que habilita el acceso.
Calidad, circulación y seguridad
Los principios de veracidad o calidad exigen información completa, exacta, actualizada, comprobable y comprensible, evitando tratamientos parciales o que induzcan a error. Si un dato incorrecto influye en el trámite, la entidad debe atender la rectificación y las consecuencias pertinentes según el régimen. Preservar el expediente no significa mantener como actualmente verdadero un dato cuya inexactitud se comprobó. Al mismo tiempo, corregir información no obliga a borrar sin rastro documentos que deben conservarse legalmente. Debe organizarse la actualización de modo que puedan distinguirse el dato vigente y los antecedentes cuya preservación esté jurídicamente justificada.
El acceso y circulación restringidos dependen de la naturaleza del dato y de las personas habilitadas. Los datos personales no públicos no pueden colocarse sin más en Internet para acceso indiscriminado; la ley contempla controles para conocimiento limitado por titulares o terceros autorizados. Deben identificarse el fundamento de entrega y su alcance, en lugar de afirmar que toda información de un expediente es secreta o toda información estatal es pública. La publicidad administrativa exige compatibilizar acceso y protección, mediante decisiones y medios adecuados al contenido. Una plataforma abierta no crea una excepción al régimen personal de lo que aloja.
La seguridad y confidencialidad exigen medidas técnicas, humanas y administrativas frente a adulteración, pérdida o acceso y uso indebidos. La obligación no termina necesariamente al finalizar la relación de quien intervino en el tratamiento. La administración debe considerar permisos, custodia y finalidades de consulta, además de herramientas tecnológicas. Una cuenta con acceso autorizado para una función no habilita cualquier extracción o reutilización de datos. Tampoco es suficiente publicar una política si el funcionamiento real permite consultar información protegida sin control. La garantía se evalúa mediante prácticas y resultados relacionados con los riesgos y deberes aplicables.
Categorías especiales, servicios digitales y derechos
La Ley 1581 identifica datos sensibles, incluidos salud y biometría, y su artículo 6 establece un régimen de prohibición con excepciones. La necesidad de identificar al usuario no autoriza automáticamente recolectar cualquier dato sensible ni usarlo para propósitos ajenos. Deben verificarse fuente, supuesto, finalidad y garantías. Tampoco puede suponerse que una autorización genérica resuelve por sí sola todas las condiciones. Si se ofrece un mecanismo de autenticación, su diseño debe relacionar el nivel de confianza requerido con el tratamiento permitido, sin convertir la seguridad en una excusa para obtener información que no corresponde al trámite.
Los servicios ciudadanos digitales tienen reglas específicas de privacidad por diseño y por defecto, evaluación de impacto y responsabilidad demostrada en el título 17 del Decreto 1078. Su ámbito debe conservarse, sin confundir cualquier página con un prestador bajo esa regulación. El análisis previo relaciona operaciones y fines, necesidad, proporcionalidad, riesgos y medidas para proteger derechos. La privacidad debe incorporarse a diseño, funcionamiento y ciclo de vida, no dejarse para una respuesta después de divulgar los datos. Este marco se articula con Ley 1581 y las obligaciones legales de archivo y publicidad de la autoridad.
Los titulares disponen de derechos y de procedimientos de consulta y reclamo bajo los artículos 8 y 14–16 de Ley 1581, con sus requisitos y relaciones con la autoridad de protección. Debe identificarse si se pide conocer información propia, corregir un dato, controvertir el uso o revisar una decisión administrativa, porque no son siempre el mismo objeto. La rectificación de un registro no sustituye automáticamente un recurso contra un acto definitivo ni autoriza eliminar cualquier documento público. Las peticiones deben tramitarse bajo su cauce y con información comprensible, evitando que una persona quede atrapada entre proveedores que se atribuyen recíprocamente toda responsabilidad.
Ejemplo colombiano 1: información de salud en un portal abierto
Caso hipotético: una entidad colombiana recibe legítimamente información de salud para una actuación y luego publica el expediente íntegro en una dirección abierta, sin fundamento que habilite divulgar esos datos a cualquiera y sin controles de acceso. Alega que todo documento estatal debe ser público. El carácter administrativo no elimina el régimen de información sensible y circulación restringida. Deben identificar el acceso permitido, las piezas protegidas y las medidas pertinentes para corregir y contener la divulgación, conservando la publicidad que sí proceda. La solución no es declarar secreto todo el expediente, sino compatibilizar derechos mediante su fundamento y el contenido concreto.
Ejemplo colombiano 2: finalidad distinta después del acceso legal
Caso hipotético: una entidad colombiana obtiene datos sin autorización previa dentro de una función legal acreditada. Después quiere destinarlos a una campaña comercial de un tercero, sin consentimiento ni mandato que permita esa nueva finalidad. El responsable afirma que la excepción inicial del artículo 10 concede libertad de uso indefinida. La conclusión es incorrecta: el acceso bajo función legal no borra finalidad, límites y demás disposiciones de Ley 1581. Debe comprobarse una base válida para el tratamiento posterior y abstenerse del uso que no la tiene. La utilidad económica del nuevo destino no amplía la función que justificó obtener los datos.
Ejemplo colombiano 3: corregir un dato y preservar su antecedente
Caso hipotético: un registro de contacto utilizado en un procedimiento colombiano contiene un error comprobado que impide recibir comunicaciones. El titular solicita rectificación; no pretende cambiar por esa vía el sentido material de un acto. La entidad se niega a actualizar porque considera que conservar antecedentes obliga a seguir usando el dato inexacto como vigente. Debe separar calidad de información y preservación legal. Corresponde tramitar la corrección y sus efectos pertinentes, manteniendo la trazabilidad y documentos cuya conservación proceda. La actualización no exige destruir indiscriminadamente el expediente, y el archivo no justifica perpetuar un dato falso en las operaciones actuales.
Síntesis y fuentes
La garantía de datos exige relacionar cada operación con sujeto, finalidad, base jurídica y medidas adecuadas, además de ofrecer ejercicio efectivo de derechos. El procedimiento electrónico debe permitir actuar y conocer lo debido sin difundir información protegida ni bloquear rectificaciones legítimas. La seguridad, la publicidad y la conservación cumplen funciones complementarias cuando se aplican a su objeto; ninguna funciona como autorización genérica para desconocer las otras. Un trámite digital jurídicamente correcto debe poder explicar por qué utiliza un dato, quién puede acceder y cómo responde a una solicitud fundada sobre ese tratamiento.
Fuentes: Constitución Política, artículos 15, 23 y 29; Ley 1581 de 2012, artículos 1–6, 8–18, con sus afectaciones aplicables; CPACA, artículos 36, 53–54 y 59–61; Decreto 1078 de 2015, título 17, reglas de protección en servicios ciudadanos digitales. El desarrollo no declara una excepción universal de autorización ni un derecho irrestricto a eliminar documentos oficiales. Cada operación y solicitud exige verificar su régimen, sin confundir la defensa sobre datos con el mérito de una decisión que conserva recursos y control propios.