Datos de terceros y consentimiento

La ley colombiana de protección de datos personales (Ley 1581 de 2012) se apoya en principios que se repiten en casi todas las leyes de la región. Dos importan aquí: la finalidad, que limita el uso a lo que se le informó al titular, y la libertad, que exige su autorización previa, expresa e informada. El titular puede además revocar esa autorización, y desde entonces sus datos dejan de usarse para ese fin.

En la práctica, cada fuente de un inventario de datos debe poder contestar: ¿para qué la autorizó el titular?, ¿qué sistemas la usan hoy?, ¿coinciden? Una telemetría autorizada para asistencia en carretera no queda autorizada para la tarifa porque ya esté en la casa.

La forma más clara de incumplir la finalidad es usar un dato justo para lo que el texto de autorización dice que no se usará. Para encontrarlo hay que leer los dos documentos juntos: el inventario dice quién usa la fuente y desde cuándo; el texto de autorización dice qué se le prometió al cliente.

Los datos de terceros añaden un problema: quien los compra no vio cómo se recogieron. Que el proveedor «declare» que los titulares autorizaron no basta; quien usa los datos responde por usarlos y necesita poder demostrarlo. Una cláusula que traslada la verificación al comprador es una señal de alarma, no un alivio, y más si los datos permiten inferir algo de salud.

Cuando un titular revoca su autorización, los sistemas tienen que dejar de usar sus datos desde esa fecha. Comprobarlo es un cruce de dos registros: la fecha de revocatoria de cada cliente y las veces que sus datos se usaron después.

La corrección no consiste en reescribir el texto para que encaje con lo que ya se hizo: un cambio de finalidad necesita una autorización nueva hacia adelante, y lo hecho con datos mal usados se repara. Con un proveedor que no acredita el origen, se deja de usar la fuente hasta que lo acredite.