Source: http://oiprodat.com/2013/05/24/balancear-la-proteccion-de-la-informacion-personal-con-la-produccion/
Timestamp: 2018-05-27 08:07:33
Document Index: 289216125

Matched Legal Cases: ['artículo 6', 'Artículo 6', 'artículo 18', 'artículo 3', 'artículo 18', 'artículo 6', 'artículo 2', 'Artículo 2', 'artículo 15', 'artículo 5', 'Artículo 5', 'artículo 74', 'artículo 12', 'artículo 27', 'artículo 2', 'artículo 2', 'artículo 24', 'artículo 18', 'Artículo 18', 'artículo 18', 'artículo 18', 'artículo 24', 'artículo 18', 'artículo 6', 'artículo 3', 'Artículo 3']

Balancear la protección de la información personal con la producción – El Observatorio
Browse: Home / 2013 / mayo / 24 / Balancear la protección de la información personal con la producción
El Observatorio / 24/05/2013 / Comentarios desactivados en Balancear la protección de la información personal con la producción / Privacidad
Recomendaciones para balancear la protección de la información personal con la producción, gestión y/o publicación de información pública en las empresas y entidades del sector TIC colombiano.
El presente artículo busca ilustrar algunas sencillas recomendaciones a tener en cuenta en el “Manual de políticas y de procedimientos para la protección a la información personal” que deben tener las empresas y entidades del sector TIC para proteger la información personal (de conformidad con la Ley 1581 de 2012) de todos los miembros internos de la compañía así como de sus aliados, proveedores, usuarios, funcionarios de control, y en general comunidad de interés externa de la compañía, propiamente cuando se trate de empresas o entidades del sector que producen o gestionan información pública en sus actividades.
Para lograr el balance del tratamiento y protección de la información personal frente al empleo, creación y en general gestión de información pública, en dicho manual se deben definir muy bien los principios corporativos o institucionales (según se trate de una empresa o de una entidad pública) para la protección y cumplimiento del derecho fundamental de hábeas data que le asiste a todo titular de una información personal que este bajo custodia o esté siendo tratada por la empresa o entidad, pero a su vez se debe conceptualizar y publicar la clasificación de la información personal en información personal pública, confidencial, reservada o secreta, y finalmente se debe diseñar el conducto regular a seguir para la atención de consultas y reclamaciones relacionadas con el tratamiento de datos personales de todo titular (interno o externo) de una información personal que se encuentre en el contexto de la empresa o la entidad.
De esa manera en el manual debe existir un capítulo específico de clasificación de la información personal. Si la empresa maneja clases de información establecidas por alguna Ley, o norma en general, como información pública deberá clasificar en estos casos -si es que está contenida información personal en esa información pública alguna- cierta clase de información personal con el carácter de información personal pública.
En este punto se sugiere tener en cuenta lo dispuesto en la sentencia C-274 de mayo 9 de 2013[i] (M.P. María Victoria Calle Correa. Expediente: PE-036) por medio de la cual se declaró la constitucionalidad -exequibilidad- del proyecto de número 156 de 2011 Senado de la República de Colombia, 228 de 2012 Cámara de Representantes “por medio de la cual se crea la ley de transparencia y del derecho de acceso a la información pública nacional y se dictan otras disposiciones”.
Se cita expresamente el artículo 6 (sobre definiciones) de este proyecto de Ley estatutaria dada su alta pertinencia para la gestión de captura, tratamiento y eliminación de información personal en las entidades y empresas del sector (ya que la mayoría gestiona información pública), actualmente aprobado:
“Artículo 6°. Definiciones.
c) Información pública clasificada. Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, pertenece al ámbito propio, particular y privado o semiprivado de una persona natural o jurídica por lo que su acceso podrá ser negado o exceptuado, siempre que se trate de las circunstancias legítimas y necesarias y los derechos particulares o privados consagrados en el artículo 18 de esta ley[ii];
k) Documento en construcción. No será considerada información pública aquella información preliminar y no definitiva, propia del proceso deliberatorio de un sujeto obligado en su calidad de tal[iii]”.
Ahora bien, debe distinguirse entre la información pública y la información personal pública. La información pública, en términos de este proyecto de Ley estatutaria actualmente aprobado es toda información que genere un obligado (obligado es, por ejemplo, una empresa o entidad del sector que realice función pública -es decir la mayoría de entidades y empresas del sector-) mientras que la información personal es “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables” (en los términos del literal c) del artículo 3 -definiciones- de la Ley 1581 de 2012).
Por esta razón en este manual de políticas y procedimientos en la protección de los datos personales deben armonizarse ambos conceptos (información personal e información pública) en las labores donde se gestione información pública que contenga información personal (v. gr. Bases de datos que permiten generar registros en el sector, en donde algunos miembros de la empresa brindan información personal. Nótese que acá si es público, sin problema, el registro, pero las bases de datos -físicas y/o electrónicas- subyacentes al registro no son necesariamente públicas, es aquí donde toma cabida la necesidad de un balanceo entre información pública e información personal), armonización que se puede lograr aplicando el concepto de Información pública clasificada -previamente citado y expuesto en armonía con el artículo 18 del mismo proyecto de Ley- que se consagra en el literal c) del artículo 6 de este proyecto de Ley estatutaria, actualmente aprobado.
Esto significa que debido a garantizar y salvaguardar el derecho fundamental a la protección de la información personal de todo titular, en las labores donde se gestione información pública -que contenga información personal en general- se deberá clasificar alguna información pública como Información Pública Clasificada, y por tanto su acceso es restringido. Acceso restringido no frente al acceso a los registros públicos (que por Ley son públicos) o a labores de interés general que tengan una clara fuente jurídica donde no se requiera restringir o limitar el empleo de información personal, sino frente al acceso a los sistemas de información (físicos y electrónicos) subyacentes o posteriores a un registro, o información pública en general, en donde exista información personal que no deba ser publicada en un registro, e incluso puede ser negado en ciertos casos -por ejemplo frente a datos personales sensibles *como lo son las creencias religiosas o las preferencias sexuales, y en general todo dato personal que pueda causar discriminación o un maltrato a la dignidad humana, inclusive informaciones políticas, según el caso*-, debido a que puede causar daños a derechos de personas naturales.
Esta armonización se soporta también en el principio de máxima información para titular universal consagrado en el artículo 2 de este proyecto de Ley, actualmente aprobado. Se cita expresamente: “Artículo 2°. Principio de máxima publicidad para titular universal. Toda información en posesión, bajo control o custodia de un sujeto obligado es pública y no podrá ser reservada o limitada sino por disposición constitucional o legal, de conformidad con la presente ley[iv]”. Esto significa que si existe una razón constitucional o legal, como es en el caso del derecho fundamental a la protección a la información personal (que a nivel constitucional se consagra en el artículo 15 de la Constitución Política, y a nivel legal se consagra en la Ley estatutaria No. 1581 de 2012) se podrá reservar o limitar el acceso a la información pública de las entidades o empresas del sector que contenga o empleen información personal, dado que en principio existe un derecho fundamental directo que es el derecho fundamental a la protección de la información personal frente a un derecho de acceso a la información que no en todos los casos es fundamental -se deberá analizar cada caso concreto-.
Como se observa dependiendo de esa clasificación de la información personal que se realice en el manual de políticas y procedimientos de protección a la información personal en las entidades y empresas del sector a modo de autorregulación[v], se generará que los titulares de información personal tengan mayores derechos y/o deberes frente a su información, y de forma correlativa las empresas y entidades (así como los terceros con quienes tengan relación las empresas y entidades) tengan mayores o menores libertades y restricciones frente a la captura o tratamiento de una información personal en su campo de acción organización o institucional. Cada clasificación por supuesto deberá tener un adecuado sustento legal y constitucional para que así sea válido el modelo de autorregulación que se logra con el manual de políticas y de procedimientos para la protección de la información personal (pues será ineficaz si resulta contrario a la legislación, a la Constitución Política, y/o a los bloques de constitucionalidad –es decir a todos los Tratados y Convenios suscritos y ratificados por Colombia que versen sobre derechos humanos, ya que la protección a la información personal desde el punto de vista internacional puede llegar a ser -según cada caso concreto- un derecho humano por estar ligado a varios derechos, como lo son el derecho a la intimidad y el derecho a la inviolabilidad de las comunicaciones).
[i] El comunicado de prensa de la Corte Constitucional de Colombia por medio del cual se hace referencia a la sentencia que declaró la constitucionalidad -exequibilidad- de este proyecto de Ley estatutaria se encuentra disponible en el siguiente enlace oficial:
http://www.corteconstitucional.gov.co/comunicado/No.%2018%20comunicado%2008%20y%2009%20de%20mayo%20de%202013.pdf (último acceso: Mayo 20 de 2013 a las 10:49 a.m. hora legal colombiana).
De conformidad con el artículo 5 de este proyecto de Ley estatutaria, actualmente declarado exequible, su ámbito de aplicación es (ámbito de aplicación al que se circunscriben las empresas y entidades del sector que gestionen información pública, dada su naturaleza y las funciones que desempeñan): “Artículo 5°. Ámbito de aplicación. Las disposiciones de esta ley serán aplicables a las siguientes personas en calidad de sujetos obligados:
e) Las empresas públicas creadas por ley, las empresas del Estado y sociedades en que este tenga participación;
f) Los partidos o movimientos políticos y los grupos significativos de ciudadanos;
Parágrafo 1°. No serán sujetos obligados aquellas personas naturales o jurídicas de carácter privado que sean usuarios de información pública y que utilicen la misma con fines periodísticos o académicos.
Parágrafo 2°. Se exceptúan de la aplicación de esta ley y por tanto gozan de reserva legal la información, documentos, bases de datos y contratos relacionados con defensa y seguridad nacional, orden público y relaciones internacionales, de conformidad con el artículo 74 de la Constitución Nacional, el artículo 12 de la Ley 57 de 1985, el artículo 27 de la Ley 594 de 2000, la Ley 1097 de 2006, el literal d) del numeral 4 del artículo 2°de la Ley 1150 de 2007, la Ley 1219 de 2008, el artículo 2° de la Ley 1266 de 2008, el artículo 24 de la Ley 1437 de 2011 y demás normas que las adicionen, modifiquen o sustituyan”.
[ii] El artículo 18 de este proyecto de Ley estatutaria, actualmente aprobado, establece expresamente: “Artículo 18. Información exceptuada por daño de derechos a personas naturales o jurídicas. Es toda aquella información pública clasificada, cuyo acceso podrá ser rechazado o denegado de manera motivada y por escrito, siempre que el acceso pudiere causar un daño a los siguientes derechos:
Parágrafo. Estas excepciones tiene una duración ilimitada y no deberán aplicarse cuando la persona natural o jurídica ha consentido en la revelación de sus datos personales o privados o bien cuando es claro que la información fue entregada como parte de aquella información que debe estar bajo el régimen de publicidad aplicable”.
Es importante indicar que en la mencionada sentencia C-274 de mayo 9 de 2013 se declaró la constitucionalidad condicionada de este artículo 18 del proyecto de Ley. Se cita expresamente el aparte del fallo: “Octavo.- Declarar exequible el artículo 18, en el entendido que: a) La expresión “, en concordancia con lo estipulado por el artículo 24 de la Ley 1437 de 2011” del literal a) del artículo 18 del proyecto, será remplazada por la norma estatutaria que se expida, de conformidad con lo establecido en la sentencia C-818 de 2011.
b) La expresión “duración ilimitada” del literal c) se declara EXEQUIBLE, en el entendido que se sujetará al término de protección legal”.
[iii] Es importante indicar que en la mencionada sentencia C-274 de mayo 9 de 2013 se declaró la constitucionalidad condicionada de este literal k). Se cita expresamente el aparte del fallo: “Sexto.- Declarar exequible el artículo 6°, cuyo literal k) lo es, en el entendido que la posibilidad de que un sujeto obligado pueda mantener la reserva sobre información preliminar, depende de que esta reserva obedezca a (i) un fin constitucionalmente legítimo (ii) la medida resulte ser razonable, proporcionada y necesaria”.
[iv] El artículo 3 de este proyecto de Ley estatutaria, actualmente aprobado, establece los siguientes principios para la gestión de la información pública, que deben ser tenidos en cuenta junto al principio de máxima publicidad para titular universal -en materia del derecho fundamental a la protección a la información personal tienen mucha relevancia porque permiten justificar (debida motivación) o no una restricción al acceso de una información pública, según cada caso de petición o de gestión de una información pública que eleve un sujeto u organismo ante la las empresas o entidades del sector.-. Se cita expresamente: “Artículo 3°. Otros principios de la transparencia y acceso a la información pública. En la interpretación del derecho de acceso a la información se deberá adoptar un criterio de razonabilidad y proporcionalidad, así como aplicar los siguientes principios:
Principio de responsabilidad en el uso de la información. En virtud de este, cualquier persona que haga uso de la información que proporcionen los sujetos obligados, lo hará atendiendo a la veracidad de la misma”.
[v] Autorregulación cuya validez jurídica en definitiva dependerá de lo que el legislador, o el regulador sectorial, llegue a disponer, legislación y/o regulación que siempre se deberá interpretar y aplicar en concordancia y armonía con la Constitución Política y las sentencias de constitucionalidad relacionadas con estas temáticas *es decir relacionadas tanto con el derecho fundamental a la protección a los datos personales, como las referentes al derecho fundamental al acceso a la información pública*, así como dependiendo de la clasificación de dato personal y de dato sensible consagrada en la Ley 1581 de 2012.
Fuente de la imagen: Blog de español.
Etiquetas: Colombia, Protección de datos, Seguridad de la información, TIC
← Derecho a la imagen, el caso “Chicas Bondi, sin pose sin permiso”
Derecho a la protección de datos sobre la salud, sobre el aborto no punible →