Casi todas las empresas en Colombia manejan datos personales: los de sus clientes, sus proveedores y sus propios empleados. La Ley 1581 de 2012, conocida como la ley de protección de datos personales o de habeas data, establece reglas para recolectarlos, usarlos y protegerlos. Una parte de esas reglas es jurídica (autorizaciones, políticas, avisos de privacidad), pero otra es técnica: la ley exige que la información se conserve con medidas de seguridad. En esta guía explicamos qué dice la ley sobre seguridad y qué medidas técnicas ayudan a cumplirla. Si quieres revisar la protección de tu empresa, conoce nuestro servicio de ciberseguridad para empresas.
Importante: este artículo es informativo y no constituye asesoría jurídica. Para definir las obligaciones concretas de tu empresa, consulta con un abogado especializado en protección de datos personales.
Qué dice la Ley 1581 sobre seguridad
La Ley 1581 de 2012 fija varios principios para el tratamiento de datos personales. Uno de ellos es el principio de seguridad: la información sujeta a tratamiento debe manejarse con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
La ley también establece deberes para los responsables y encargados del tratamiento. Entre ellos está conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, e informar a la autoridad cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares. La autoridad encargada de vigilar el cumplimiento es la Superintendencia de Industria y Comercio (SIC).
La reglamentación posterior, como el Decreto 1377 de 2013 (hoy incorporado en el Decreto Único 1074 de 2015), desarrolla aspectos como la política de tratamiento de la información y las autorizaciones.
La ley no dice "instala tal programa" ni "compra tal equipo". Exige medidas adecuadas al tipo de información y a los riesgos. Por eso cada empresa debe definir qué medidas aplica y poder demostrar que las tiene.
Medidas técnicas básicas
Estas son medidas técnicas que ayudan a proteger los datos personales y que cualquier empresa puede empezar a aplicar:
- Inventario de información. Saber dónde están los datos personales: en qué sistemas, bases de datos, carpetas compartidas, correos y hojas de cálculo. No se puede proteger lo que no se sabe que existe.
- Equipos actualizados y protegidos. Sistemas operativos y aplicaciones al día, y antivirus empresarial administrado en todos los equipos y servidores.
- Firewall perimetral para controlar el tráfico entre tu red e internet.
- Red organizada, separando cuando sea posible los equipos que manejan información sensible.
- Registro de eventos, para saber quién accedió a qué y cuándo, y poder investigar un incidente.
- Procedimiento de respuesta a incidentes, con responsables definidos, pasos para contener el problema y criterios para reportar a la autoridad cuando corresponda.
Estas medidas no tienen que implementarse todas el mismo día. Un camino realista es empezar por un diagnóstico, priorizar los riesgos más altos (por lo general, la falta de copias de seguridad, los usuarios compartidos y los equipos sin protección) y avanzar por etapas. Lo importante es dejar evidencia: un inventario actualizado, las políticas escritas, los reportes del antivirus y del backup, y el registro de las pruebas de restauración. Esa documentación es la que permite demostrar, ante un cliente, una auditoría o la autoridad, que la empresa tomó medidas razonables para proteger la información.
Backup y cifrado de la información
La pérdida de información también es un incidente de seguridad. Si un ransomware cifra la base de datos de clientes o un disco se daña sin copia, la empresa no puede cumplir con los titulares ni continuar su operación. Dos medidas son clave:
- Copias de seguridad automáticas y probadas. Lo recomendable es seguir la regla de backup 3-2-1: tres copias, en dos medios distintos y una fuera de la sede. Las copias deben probarse con restauraciones periódicas.
- Cifrado. La información debe viajar cifrada y, en lo posible, almacenarse cifrada, tanto en los equipos como en las copias de seguridad. Un portátil perdido con el disco cifrado es un problema mucho menor que uno sin cifrar.
También conviene definir cuánto tiempo se conservan las copias y cómo se eliminan de forma segura cuando ya no se necesitan, en línea con lo que establezca la política de tratamiento de la empresa.
Control de accesos y usuarios
Una de las fallas más frecuentes es que demasiadas personas pueden ver información que no necesitan para su trabajo. Medidas recomendadas:
- Usuarios individuales. Cada persona con su propia cuenta, sin usuarios compartidos.
- Mínimo privilegio. Cada usuario accede solo a la información que necesita para su cargo.
- Contraseñas robustas y autenticación en dos pasos, sobre todo en el correo, los sistemas en la nube y los accesos remotos.
- Retiro inmediato de accesos cuando una persona sale de la empresa o cambia de cargo.
- Administración centralizada de usuarios y permisos, por ejemplo con Active Directory, para aplicar políticas de forma uniforme y auditar los accesos.
- Cuidado con los proveedores. Si un tercero accede a tus sistemas o datos, define por escrito qué puede hacer y retira el acceso cuando termine el servicio.
Qué revisar con tu asesor legal
La parte técnica debe ir de la mano con la jurídica. Algunos puntos que conviene revisar con tu asesor legal:
- Si tu empresa tiene una política de tratamiento de la información publicada y actualizada.
- Cómo se obtienen y conservan las autorizaciones de los titulares.
- Si tu empresa está obligada a inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) de la SIC.
- Qué contratos tienes con los encargados que manejan datos por cuenta tuya, como proveedores de nube, software o soporte.
- Cómo se atienden las consultas y reclamos de los titulares.
- Qué hacer y a quién informar si ocurre un incidente de seguridad.
En Nets Company te ayudamos con la parte técnica: diagnóstico de seguridad, backup, cifrado, control de accesos y respuesta a incidentes. Conoce nuestro servicio de ciberseguridad para empresas y cuéntanos cómo manejas hoy la información de tus clientes.