¿Uso de datos personales puede avalarse tácitamente?

Nunca antes la protección del derecho fundamental al hábeas data había tenido tanto auge como en la actualidad, lo cual se deriva, principalmente, del progreso de la tecnología, que ha fomentado la excesiva acumulación y flujo de información.

 

No obstante, los peligros surgen cuando la utilización y transmisión de los datos de carácter personal por parte de las empresas y el Estado, ya sea con fines laborales, financieros, médicos, contractuales u otros, afectan la intimidad y el ejercicio de los demás derechos. Entonces, ¿cómo asegurar que los titulares conserven el control de su información?

 

La Corte Constitucional, en numerosas sentencias, como la SU-82 de 1995, T-729 del 2002, C-1011 del 2008 y T-58 del 2013, aseveró que la autorización expresa, específica, libre, previa y suficiente del individuo es el presupuesto necesario para la eficacia del principio de libertad aplicable a la administración de datos. A su juicio, ello significa que al sujeto se le deberá permitir expresar su voluntad sin coacción ni error y a través de instrumentos que garanticen su conciencia plena.

 

Posteriormente, los artículos 3° y 4° de la Ley 1581 del 2012 determinaron la obligatoriedad de que el tratamiento solo se ejerza con el consentimiento expreso. De hecho, la Sentencia C-748 del 2011, que avaló esa norma, concluyó que esta no aprobó una anuencia tácita, porque la autorización debe ser explícita e inequívoca.

 

Reglamentación

El pasado 27 de junio, el Ministerio de Comercio, Industria y Turismo expidió el Decreto 1377, que reglamenta parcialmente la Ley 1581. En lo relativo a la forma de autorizar el tratamiento de la información, su artículo 7° señala que el titular podrá hacerlo por escrito, de manera oral o mediante conductas inequívocas que permitan concluir razonablemente que accedió a ello, lo que excluye el silencio.

 

Frente a los datos recolectados antes de su vigencia, el numeral 4° del artículo 10 faculta al responsable de su gestión para continuar con ella, si la persona no solicita la eliminación en el término de 30 días hábiles contados desde el momento en que aquel pidió su autorización a través de los mecanismos de comunicación previstos.

 

Así las cosas, surge la duda acerca de que esas normas hayan flexibilizado la obtención del consentimiento expreso para la utilización de los datos personales.

 

Según el superintendente delegado para la Protección de Datos Personales, José Alejandro Bermúdez, ese decreto reconoció que los mecanismos tradicionales para recoger el consentimiento, como el documento escrito o la grabación de la llamada telefónica, no operan con la misma facilidad en entornos digitales y otros eventos. Así, exige que siempre exista una conducta real y concreta del sujeto, sin avalar el silencio y el consentimiento tácito, pues lo prohíbe.

 

Para el docente de la Universidad Externado Juan Carlos Upegui, la interpretación literal y sistemática del decreto indica que este “no contempla el consentimiento tácito como una forma válida de autorizar la recolección de datos. El silencio es difícil de probar, y en la dinámica de la administración de datos contemporánea que supone cientos de autorizaciones al día, ello sería imposible”.

 

Lo mismo opina el especialista en Derecho Comercial Jorge Jaeckel, quien afirma que los actos inequívocos a los que se refiere el artículo 7° son expresos y no tácitos. Por el contrario, Daniel Peña, experto en hábeas data, asegura que esos artículos sí establecieron el consentimiento tácito con dicho objetivo.

 

De acuerdo con Iván Darío Marrugo, especialista en derecho de las tecnologías, el artículo 7° debe interpretarse de forma restrictiva y no analógica, mientras que el artículo 10 permite ese tipo de consentimiento para la validación a futuro de las bases de datos preexistentes, es decir, aquel deberá ser expreso en los demás casos.

 

Al respecto, Jaeckel sostiene que esta disposición armoniza la realidad con los derechos de los titulares, quienes podrán pedir la corrección y supresión de sus datos.

 

Cabe resaltar que el senador Luis Fernando Velasco, ponente y conciliador de la Ley 1581, solicitó a la Superintendencia de Industria y Comercio (Superindustria) revocar el numeral 4° del artículo 10, al ser “abiertamente inconstitucional e ilegal, pues establece plazos para generar autorizaciones que de no darse, terminarían constituyéndose en una especie de silencio positivo que va en detrimento del derecho al hábeas data y el espíritu del legislador”.

 

Alexander Sabogal, asesor jurídico de Velasco, destaca que la Ley 1581 debe proteger la información de los ciudadanos y no beneficiar a las industrias, y el Gobierno está obligado a cumplir ese compromiso.

 

¿Beneficios o perjuicios?

Ante la imposibilidad de que se precise cada una de las modalidades para expresar la aquiescencia, Bermúdez considera que el Decreto 1377 es una herramienta que flexibiliza la manera en que ella se puede obtener, sin lesionar o desproteger al titular.

 

“Además, que el consentimiento deba ser libre y expreso no necesariamente significa que sea por escrito y rubricado. Por ejemplo, el dar ‘clic’ en una página web cuando pregunta si deseamos que nuestra información personal sea guardada para ciertos fines implica una ‘manifestación automatizada’ que, en principio, no sería incompatible con la Ley 1581 ni la jurisprudencia constitucional”, explica Upegui.

 

En concepto de Marrugo, la posibilidad de permitir el consentimiento tácito proviene de la necesidad de que las relaciones sean más dinámicas, como ocurre en el comercio electrónico, lo cual responde al marco internacional. “Si bien el decreto no va en contravía de la ley, no la desarrolló en su totalidad, por eso, se requiere otra norma que la regule”, añade.

 

A su vez, Peña cree que esa situación transgrede el hábeas data, “ya que cualquier conducta podría ser calificada como inequívoca y, por tanto, sería cobijada por la presunción de autorizadora del tratamiento de sus datos, invirtiendo sin fundamento la carga de la prueba respecto del consentimiento”.

 

En todo caso, la Superindustria iniciará investigaciones administrativas por violaciones al régimen de protección de datos y podrá imponer multas hasta de 2.000 salarios mínimos legales mensuales vigentes u ordenar el cierre de las operaciones, cuando corresponda.