Las nuevas tecnologías transforman el panorama de la regulación de datos personales colombiana

Diego Cardona

Socio de las áreas de Competencia y Tecnología, Medios y Telecomunicaciones

Philippi Prietocarrizosa Ferrero DU & Uría (PPU)

Natalia Castilla

Asociada de las áreas de Competencia y Tecnología, Medios y Telecomunicaciones 

Philippi Prietocarrizosa Ferrero DU & Uría (PPU)

En octubre del 2023, se cumplen 11 años de expedición de la Ley 1581 del 2012, eje central del régimen de protección de datos personales en Colombia. Sin embargo, después de más de 10 años de aplicación y tras haber sido fundamental en la generación de conciencia sobre la protección de datos, vale la pena preguntarse si las herramientas y los mecanismos previstos en la normativa colombiana han empezado a quedarse desactualizados y perdido efectividad para la protección de nuestra información personal, particularmente, teniendo en cuenta el desarrollo de nuevas tecnologías cuyo funcionamiento se basa precisamente en el uso de datos. ¿Cómo han afectado las nuevas tecnologías la protección de nuestros datos?

Los neurodatos son la información recogida directamente del sistema neurológico de una persona (cerebro y sistema nervioso), con el objetivo de hacer inferencias sobre el individuo. En los últimos años, se han venido desarrollado dispositivos y procedimientos de consumo, empresariales y sanitarios, tanto invasivos como no invasivos, que registran y procesan neurodatos con fines de recopilación de información, control de dispositivos y modulación de la actividad neuronal.

Estas neurotecnologías son una realidad en el sector de la salud desde hace algunos años. Sin embargo, en la actualidad, se están desarrollando rápidamente para uso en los sectores del bienestar personal, el deporte, el mercadeo y la publicidad, incluso para monitorear a las personas en su lugar de trabajo. Particularmente, el Information Commissioner’s Office del Reino Unido predice que el uso de la neurotecnología se masificará en la próxima década.

Riesgos en aumento

Este tipo de tecnologías, junto con las nuevas plataformas de inteligencia artificial y el desarrollo de nuevos productos inteligentes, entre otras, ha impactado de forma significativa la velocidad con la que se recolectan y tratan datos personales. A su vez, el surgimiento de nuevos actores cuyos procesos se apoyan en tecnologías disruptivas que típicamente involucran intercambio de información a nivel global y la evolución de las herramientas que manejan y consumen grandes cantidades de datos mediante la aplicación de algoritmos complejos aumentan el riesgo de que nuestros datos personales sean tratados para usos no autorizados e, inclusive, accedidos por agentes externos para fines ilegales.

A manera de ilustración, el pasado 20 de marzo, la empresa OpenAI sufrió el primer incidente de seguridad en su famosa aplicación ChatGPT. Según OpenAI, aproximadamente, el 1,2 % de los suscriptores de ChatGPT Plus que estaban activos en ese momento (alrededor de 1,2 millones de usuarios) habría visto sus datos expuestos. Durante ese tiempo, algunos usuarios pudieron ver nombres, apellidos, direcciones de correo electrónico, direcciones de pago y cierta información de la tarjeta de crédito de otros usuarios.

A raíz de lo anterior, y debido a la preocupación por la privacidad en estas aplicaciones, tanto empresas del sector privado como autoridades de protección de datos en ciertos países han adoptado medidas sobre el uso de estas herramientas. JPMorgan Chase, por ejemplo, restringió el uso de ChatGPT por parte de sus empleados. Por su parte, la Comisión Federal de Comercio abrió una investigación en contra de OpenAI para determinar si la empresa infringió normas de protección de los consumidores al poner en peligro la privacidad de sus datos, mientras que la autoridad de datos en Italia decidió bloquear temporalmente el uso de la aplicación en todo el país.

Situaciones como la descrita, junto con las preocupaciones que han expresado diversos expertos internacionales frente a la seguridad de los datos personales en estos entornos tecnológicos, han conducido a una tendencia regulatoria a nivel mundial, como el “artificial intelligence act” que actualmente adelanta la Comisión Europea. 

Proyecto de ley

En el caso colombiano, el pasado 22 de agosto, se radicó el proyecto de ley estatutaria “por la cual se dictan disposiciones para el Régimen General de Protección de Datos Personales”, que busca desarrollar y ampliar el alcance del derecho fundamental al habeas data, reconociendo y protegiendo el derecho fundamental a la privacidad mediante el establecimiento de nuevas obligaciones para asegurar que los datos personales sean tratados adecuadamente, acorde con la era digital.

En primer lugar, el proyecto de ley que actualmente cursa en la Comisión Primera Constitucional Permanente de la Cámara de Representantes tiene como objetivo establecer reglas claras sobre escenarios que hoy no están previstos en las normas vigentes. Por ejemplo, los neurodatos y los tratamientos realizados por neurotecnologías estarían sujetos a parámetros específicos de conducta que buscan garantizar la seguridad y la privacidad de los titulares, teniendo en cuenta los riesgos inherentes.

Así mismo, la iniciativa establece obligaciones de suministrar información clara y transparente sobre procedimientos que involucren perfilamiento. Estos tratamientos generan riesgos significativos para los individuos, quienes típicamente no son conscientes de sus implicaciones.

Por otra parte, la propuesta incorpora nuevos lineamientos para aquellos responsables y encargados que realicen tratamientos de datos personales fuera del territorio nacional, uno de los aspectos que mayores inquietudes generaba bajo la legislación vigente. De un lado, el proyecto introduce el concepto de aplicación extraterritorial de la ley a responsables o encargados no establecidos en Colombia, cuando las actividades del tratamiento estén relacionadas con la oferta de bienes o servicios a titulares que residan en Colombia, o cuando se trate del control de su comportamiento (perfilación). Estas disposiciones extienden la protección prevista en la ley colombiana a situaciones en las que anteriormente los titulares residentes en Colombia se encontraban desprotegidos, y que son comunes bajo las herramientas de tratamiento de datos que permiten los desarrollos tecnológicos en la era digital.

Seguridad de la privacidad

Finalmente, entre otras disposiciones, el proyecto busca presentar una solución al problema de la seguridad de la privacidad en el contexto actual, “donde la información personal circula indiscriminadamente en sistemas informáticos interconectados cuya característica principal es su ubicuidad”.

De este modo, la regulación establece numerosas disposiciones encaminadas a garantizar la seguridad de los datos, entre ellas: la protección de datos desde el diseño y por defecto; la obligación de realizar evaluaciones de impacto ante situaciones que puedan generar un riesgo a la privacidad; la figura del oficial de cumplimiento (que ahora es obligatorio para ciertas organizaciones); el procedimiento de consulta previa en el que la autoridad prestará un servicio de asesoría frente a tratamientos que supongan un alto riesgo para los derechos y garantías de los titulares, y la figura de los códigos de conducta, los cuales serán parámetros claros establecidos por la Superintendencia de Industria y Comercio para la correcta aplicación de la ley. Estos últimos teniendo en cuenta las características específicas de los distintos sectores de tratamiento y las necesidades concretas de las micro, las pequeñas y las medianas empresas.