Campañas electorales deben respetar el tratamiento de datos personales

El desarrollo de campañas electorales, plebiscitos, referendos, consultas populares y otras formas de participación democrática implican la recolección, uso y tratamiento de información de personas naturales. Dado lo anterior, la Superintendencia de Industria y Comercio emitió una circular sobre el correcto tratamiento de datos personales para fines de campañas electorales y otras formas de participación democrática, dirigida a candidatos, partidos y movimientos políticos.

Primero destaca que dichos eventos electorales no suspenden el derecho fundamental a la protección de datos personales, cuya normativa sigue plenamente vigente y es de obligatorio cumplimiento por los candidatos a elecciones populares, los partidos y movimientos políticos, movimientos sociales o grupos significativos de ciudadanos que inscriban candidatos a elecciones.

Como segundo punto, la SIC indica que la regulación sobre el tema debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información.

Es fundamental tener presente lo que ordenan, entre otros, los artículos 4, 9, 12, 17 y 18 de la Ley 1581 del 2012 y el artículo 4 del Decreto 13774 del 2013 (Incorporado en el Decreto 1074 del 2015):

1. No se pueden utilizar medios engañosos o fraudulentos para recolectar y realizar tratamiento de datos personales.

2. Se debe informar a la persona la finalidad específica de la recolección de sus datos. Únicamente se podrán recolectar los datos pertinentes y adecuados para el objetivo del tratamiento. No se pueden usar los datos para finalidades diferentes a las autorizadas por la persona natural (titular del dato personal).
3. No se podrán recolectar datos personales sin la autorización previa, expresa e informada del titular del dato. La autorización se puede obtener por cualquiera de los modos -escrito, verbal, electrónico o conductas inequívocas- previstos en el artículo 7 del Decreto 1377 del 2013, pero se debe conservar evidencia de esta y entregarle prueba de la autorización a la persona titular del dato en caso de que la solicite.

De igual forma, se deberán implementar las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, así como garantizar los principios de confidencialidad, acceso y circulación restringida.

En cuanto a limitación temporal del uso de los datos, se señala que la información recolectada solo se podrá almacenar durante el tiempo razonable y necesario para cumplir las finalidades del tratamiento. Una vez cumplida la finalidad, se deberán suprimir de oficio.

Derechos de las personas cuando sus datos se utilicen para para fines de publicidad o marketing

El uso de los datos personales debe ser respetuoso de los derechos de los ciudadanos y de los mandatos legales pertinentes, por lo tanto:

i) Solo se puede enviar publicidad a personas respecto de las cuales previamente hayan obtenido su autorización previa, expresa e informada para dicho propósito.

ii) No contactar a las personas que no quieren recibir más publicidad y suprimir los datos de contacto cuando lo soliciten. A más de tener autorización de las personas para recolectar y usar su información, se debe tener presente que estas tienen derecho a revocar su consentimiento y a solicitar la supresión de sus datos personales.

Por lo anterior, es recomendable dar cumplimiento a estos principios por lo cual se sugiere:

i) Capacitar a su equipo para que respete y garantice el derecho de las personas de revocar la autorización y suprimir sus datos.

ii) Responder, dentro de los términos establecidos en los artículos 14 y 15 de la Ley Estatutaria 1581 del 2012, las consultas o reclamos que presenten las personas para ejercer sus derechos.

iii) Impartir instrucciones para que dejen de llamar o contactar a las personas cuando estas se lo solicitan.

iv) Implementar mecanismos manuales o automatizados, gratuitos, sencillos y eficaces para que las personas puedan solicitar la supresión de sus datos o la revocatoria de la autorización.

v) Vigilar y monitorear el correcto funcionamiento de esos mecanismos.

Registro de bases de datos

En el evento que se creen nuevas bases de datos en el desarrollo de campañas electorales, es necesario que las mismas se inscriban ante el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio. La base de datos deberá inscribirse dentro de los dos meses siguientes a su creación.