Lo que se puede publicar y lo que no

La Ley 1712 de 2014 parte de que la información en poder de una entidad es pública, con excepciones. La información clasificada (artículo 18) puede negarse cuando su divulgación dañaría derechos de personas: la intimidad, la vida, la salud o la seguridad, o secretos comerciales, industriales o profesionales. La reservada (artículo 19) protege intereses públicos, como la defensa y seguridad nacional o la seguridad pública, y solo opera si una norma legal o constitucional prohíbe expresamente el acceso; esa reserva dura como máximo quince años (artículo 22).

Dos reglas más importan aquí. La reserva cubre el contenido, no la existencia del documento. Y si solo una parte está protegida, la entidad entrega una versión pública que guarde únicamente lo indispensable (artículo 21). El contrato, además, ya está en SECOP II, donde la ley ordena publicar la actividad contractual (artículo 3 de la Ley 1150 de 2007, con el inciso que le añadió la Ley 2195 de 2022).

Una versión pública cuenta qué se hizo, qué se encontró y qué se corrigió. Lo que no debe contar es cómo alcanzar una debilidad que sigue abierta: eso convierte un acto de transparencia en una guía para quien quiera aprovecharla. Lo corregido y verificado puede describirse en términos generales; lo abierto, no. Cruza el borrador con el estado de los hallazgos.

El otro riesgo de una versión pública no es técnico: son los datos de las personas que aparecieron en la evidencia. Para contar que una consulta exponía datos no hace falta nombrar a nadie.

La Ley 1755 de 2015 da a la entidad diez días hábiles para resolver una petición de documentos, contados desde el día siguiente a su recepción. Si no responde a tiempo, la solicitud se entiende aceptada y ya no puede negar la entrega. Por eso la versión pública tiene fecha límite, y el evaluador que la revisa debe saberla.

El evaluador no es dueño de lo que encontró: el contrato lo obliga a la confidencialidad y el caso es de la entidad. Cuando la debilidad está en un producto que usan muchos municipios, además, publicarla antes de que exista corrección deja expuestos a todos ellos. Lo que corresponde es la divulgación coordinada: la entidad y el fabricante primero, con apoyo de un equipo de respuesta que coordine si el fabricante no contesta, y la charla solo con autorización y sin señalar a quien aún no ha corregido.