Módulo 09

Habeas Data y Protección de Datos Personales

El derecho fundamental que atraviesa todo el LegalTech

Un dato personal mal tratado no es un error técnico: es una violación a un derecho fundamental con nombre propio en el artículo 15 de la Constitución. Este módulo profundiza en la arquitectura normativa colombiana del habeas data (Ley 1266, Ley 1581, Decreto 1377, Ley 2300, Ley 1712, Ley 1341 y Decreto 338) y enseña a diseñar, auditar y defender el tratamiento de datos en productos LegalTech cuando la SIC toca la puerta.

Habeas DataLey 1581Ley 1266Ley 2300TransparenciaTIC

Tier 1 · Crítico

Si esto falla, la solución es ilegal o inoperable. Responsabilidad civil, KYC/SARLAFT, protección de datos.

La lente del cambio

El cambio profundo de este módulo es pasar del dato como recurso a explotar al dato como huella de una persona concreta que confió. Un correo, una cédula o un patrón de comportamiento no son filas en una base de datos: son fragmentos de la vida privada de alguien que, en el fondo, no eligió libremente dártelos, eligió entre darlos o no acceder al servicio. El habeas data es la forma jurídica de reconocer esa asimetría y devolverle al titular cierto control sobre su propia historia digital.

Aprendizaje

Objetivos del módulo

  1. 01

    Distinguir el habeas data financiero (Ley 1266/2008) del régimen general de protección de datos (Ley 1581/2012) y aplicar cada uno al caso correcto

  2. 02

    Diseñar avisos de privacidad, políticas de tratamiento y flujos de consentimiento informado que cumplan el Decreto 1377/2013

  3. 03

    Implementar el derecho a la desconexión y el rechazo a contactos comerciales intrusivos bajo la Ley 2300/2023 en soluciones LegalTech de contacto masivo

  4. 04

    Navegar la tensión entre transparencia activa (Ley 1712/2014) y protección de datos personales cuando un LegalTech trabaja con entidades públicas

  5. 05

    Armonizar la Ley 1341/2009 y el Decreto 338/2022 con la Circular SIC 002/2024 en proyectos de IA que tratan datos personales a escala

Competencias medibles

Qué sabrás hacer al terminar

Una competencia estrella y dos de soporte, con evidencia concreta y medición antes/después del curso.

Competencia estrella

Diseñar y auditar el expediente de tratamiento de datos de un producto LegalTech

Construir un paquete completo y auditable: aviso de privacidad, política de tratamiento, registro de bases de datos ante la SIC, contratos de transmisión con cada encargado, matriz de autorizaciones por finalidad y canal, plan de respuesta a incidentes.

EvidenciaCarpeta con los 6 documentos, fechados, firmados y publicados, más un informe de brecha frente a la Ley 1581 y el Decreto 1377.

Antes

Tiene 'términos y condiciones' genéricos copiados de internet.

Después

Tiene expediente de tratamiento armonizado con Ley 1266, Ley 1581 y Circular SIC 002, auditable en menos de una hora.

Competencia de soporte

Resolver una petición de habeas data en tiempo y forma

Recibir una consulta, reclamo o solicitud de supresión, clasificarla correctamente, instruir al equipo, entregar respuesta escrita y documentada dentro de los plazos legales y con cita normativa por cada decisión.

EvidenciaTres peticiones simuladas resueltas: una consulta (10 días), un reclamo (15 días) y una revocatoria de autorización con supresión de dato.

Antes

Responde 'vamos a revisar' sin plazo ni norma.

Después

Cita Ley 1581 art. 14 o 15 según el caso, fija plazo y entrega respuesta motivada.

Competencia de soporte

Detectar y remediar un incumplimiento de la Ley 2300 en canales digitales

Revisar los flujos de comunicación de un LegalTech (WhatsApp, SMS, correo, llamada) e identificar dónde falta autorización por canal, dónde se excede el horario permitido, dónde falla el mecanismo de desuscripción. Proponer remediación.

EvidenciaAuditoría de un canal real con hallazgos, citas a la Ley 2300/2023 y plan de corrección en 30 días.

Antes

Envía recordatorios por WhatsApp 'porque así lo hacen todos'.

Después

Diferencia autorización global de autorización por canal y ajusta horarios y mecanismos de opt-out.

Mapa conceptual

Estructura del conocimiento

Terminología

Conceptos clave

Haz clic en cada término para expandir su definición.

12 conceptos · Clic para expandir

Historia

Línea de tiempo

  1. 1991

    Constitución Política, art. 15

    Consagra el derecho fundamental a la intimidad personal y familiar, al buen nombre y al habeas data. Es la norma madre de todo el régimen colombiano.

  2. 2008

    Ley 1266/2008

    Primera ley estatutaria de habeas data. Regula el dato financiero, crediticio y comercial. Crea el régimen de las centrales de riesgo (Datacrédito, CIFIN).

  3. 2012

    Ley 1581/2012

    Ley estatutaria general de protección de datos personales. Introduce los principios de finalidad, libertad, veracidad, transparencia, acceso restringido, seguridad y confidencialidad.

  4. 2013

    Decreto 1377/2013

    Reglamenta parcialmente la Ley 1581. Define aviso de privacidad, política de tratamiento, transferencia vs. transmisión, y obligaciones del encargado.

  5. 2014

    Ley 1712/2014

    Ley de transparencia y del derecho de acceso a la información pública. Obliga a publicar activamente información de interés, con excepciones claras cuando haya datos personales.

  6. 2022

    Decreto 338/2022

    Modifica el marco TIC (Ley 1341/2009) ajustando competencias del MinTIC y CRC en la era de datos masivos.

  7. 2023

    Ley 2300/2023 'Dejen de fregar'

    Regula el contacto comercial no solicitado. Prohíbe llamadas y mensajes en horarios y días específicos, y exige consentimiento verificable y mecanismo de desuscripción inmediato.

  8. 2024

    Circular SIC 002/2024

    Endurece el estándar probatorio sobre autorización de datos en sistemas de IA y exige trazabilidad de consentimiento en cada inferencia.

Marco legal

Normativa clave

Normativa colombiana

Constitución art. 15

Consagra el habeas data como derecho fundamental: toda persona tiene derecho a conocer, actualizar y rectificar las informaciones sobre ella en bancos de datos públicos y privados. Es la norma madre del sistema.

Ámbito

Toda persona natural en Colombia frente a cualquier responsable público o privado que trate sus datos.

Impacto LegalTech

Habilita acción de tutela ante violaciones. Un LegalTech que ignora el habeas data no solo incumple una ley: viola la Constitución.

Indicadores

KPIs del sector

≤ 10 días hábiles

Plazo de respuesta a consultas

Tiempo máximo para responder consultas del titular (Ley 1581, art. 14). Prorrogable 5 días más con justificación documentada.

≤ 15 días hábiles

Plazo de respuesta a reclamos

Tiempo máximo para resolver reclamos (Ley 1581, art. 15). Prorrogable 8 días más. Superarlo habilita queja ante la SIC.

2.000 SMMLV

Sanción máxima SIC

Multa máxima por infracción grave al régimen de datos personales (Ley 1581, art. 23). Más de 2.600 millones COP en 2026.

Lun–Sáb 7–19

Horario permitido Ley 2300

Ventana horaria permitida para contacto comercial por voz o mensaje. Fuera de ella el contacto requiere autorización expresa reforzada.

Implementación

Proceso paso a paso

0/8

Clasificar el dato

Antes de cualquier tratamiento, clasifica: ¿es dato público, semiprivado, privado o sensible? ¿Financiero (Ley 1266) o general (Ley 1581)? ¿De menor de edad? Esta clasificación determina toda la arquitectura jurídica.

Diseñar el aviso de privacidad

Obtener autorización previa, expresa e informada

Redactar y publicar la política de tratamiento

Implementar seguridad proporcional al riesgo

Firmar contrato de transmisión con cada encargado

Atender peticiones de habeas data en 10/15 días hábiles

Reportar incidentes a la SIC

Panorama de riesgos

Desafíos y oportunidades

Método Desmontando la Caja Negra

Los tres actos pedagógicos

Cada sesión se vive en tres tiempos: fundamento con analogía física, ejecución con demo en vivo y dilema forzado con decisión escrita.

Desmontar la idea de que los datos son 'materia prima neutra' y anclar la conversación en el art. 15 de la Constitución: detrás de cada dato hay un derecho fundamental.

  • El dato personal como extensión digital de la persona (art. 15 C.P.).
  • Clasificación práctica: público, semiprivado, privado, sensible. Caso de menor.
  • Dos regímenes que conviven: financiero (Ley 1266) y general (Ley 1581).
  • El Decreto 1377 como manual operativo: aviso, política, autorización, transmisión.

Analogía

El expediente médico

Los datos personales se parecen al expediente médico: el paciente confía información íntima al médico bajo el entendido de que se use solo para sanarlo. Si mañana la clínica vende el expediente a una aseguradora, no importa que sea legal en apariencia: rompió la confianza. El habeas data es la ley que protege esa confianza cuando el médico es un LegalTech.

Este acto cierra con el principio de finalidad: los datos recolectados para una cosa no pueden usarse para otra sin nuevo consentimiento. Ese principio es el corazón operativo de toda la Ley 1581.

Acto III · Dilema forzado

Decisión bajo presión

Un caso real con restricción clara y tres opciones que cuestan algo. La tarea no es debatir: es escribir un entregable que asuma la decisión.

Dilema forzado

Decisión bajo presión. Todas las opciones cuestan algo.

El caso

Una LegalTech colombiana ofrece scoring jurídico: usa datos públicos (Rama Judicial), datos financieros (central de riesgo) y patrones de comportamiento digital (cookies, redes sociales) para predecir la probabilidad de éxito de una demanda. Una empresa de seguros paga por este scoring para decidir si acepta o no a un cliente. Un consumidor rechazado solicita: (a) saber qué datos se usaron, (b) rectificar, (c) suprimir su perfil.

Restricción

Parte de los datos son públicos (Ley 1712), parte son financieros (Ley 1266), parte son generales (Ley 1581). El modelo usa inferencias algorítmicas (Circular SIC 002/2024). La empresa de seguros alega que 'el LegalTech es solo proveedor de información, no responsable'. El LegalTech alega que 'es solo agregador de datos ya públicos'.

Opciones · ninguna sin costo

Pregunta obligada

Como Delegado de Protección de Datos (DPO), ¿qué figura aplicas y qué exiges a cada parte para que el titular tenga explicación real de la decisión automatizada y derecho efectivo a la supresión?

Entregable

Modelo de contrato de corresponsabilidad de tres páginas + aviso conjunto al titular + protocolo de ejecución de derechos ARCO en menos de 15 días hábiles.

Diálogo entre trincheras

Preguntas que abren conversación

Preguntas diseñadas para forzar el encuentro entre abogado y developer. Haz clic para ver por dónde suele aterrizar la respuesta.

Cierre humano

Justicia centrada en la persona

Enfoque humano

¿Cómo afecta esto a quien no sabe de leyes ni de tecnología?

Detrás del 'titular' de la Ley 1581 hay personas concretas: la mamá que no pudo acceder al crédito porque una inferencia algorítmica la marcó como riesgosa; el estudiante al que le llegan SMS de cobranza a las 10 de la noche mientras intenta estudiar; el paciente cuyos datos médicos terminan en un scoring de seguros sin que lo sepa. El habeas data es la herramienta jurídica que le permite a cada una de esas personas mirar de frente al sistema y decir: 'mi historia es mía'. Un LegalTech que entiende esto no cumple la ley: la encarna.

“El habeas data no es una casilla que se marca: es un derecho fundamental que se respeta. Cada dato personal es la huella de una persona con historia, vulnerabilidades y esperanzas. Protegerlo no es cumplimiento: es decencia.”

Nota legal: Material educativo. No constituye asesoría legal. Normativa colombiana vigente al 1 de marzo de 2025.

Anterior

Marcas, Consumidor Digital y Habeas Data

Siguiente

Integración Práctica