Mi empresa no designo responsable de proteccion de datos (DPO) ni protocolos

¿Tienes razón?

Tres cosas determinan si su reclamación tiene fundamento. Primera: qué tipo de datos trata la empresa. Si son datos sensibles (salud, ideología, orientación sexual, etc.) la obligación de procedimientos y responsabilidades es más estricta. Segunda: si el tratamiento necesita una base legal y documentación —por ejemplo, registro de actividades, políticas de tratamiento y medidas de seguridad— y la empresa no las tiene o no se las puede mostrar. Tercera: si el tratamiento afecta derechos reales suyos (filtraciones, uso indebido, envío masivo sin consentimiento), la ausencia de un responsable o de protocolos agrava el incumplimiento.

No sirve la excusa de "somos pequeños". La ley exige responsabilidad proporcional: la empresa debe poder demostrar quién responde por datos y qué medidas aplica. Si no puede identificar a una persona o área responsable, su posición es débil ante la autoridad supervisora porque ya hay un incumplimiento formal y, posiblemente, material.

Si su empresa es una entidad pública o presta servicios públicos, además se aplican obligaciones adicionales y canales de reclamación distintos.

Cómo se soluciona

1. Reúna la información básica que sólo usted puede aportar: copie el contrato o la política que firmó, guarde correos, pantallazos de formularios donde entregó datos y anote fechas. Si hubo comunicación donde le prometieron confidencialidad, inclúyala.

1. Ejecute un derecho de petición dirigido al jefe de la entidad o gerencia: pida por escrito quién es el responsable de protección de datos (nombre, cargo), dónde está el registro de actividades de tratamiento, las políticas de privacidad aplicables y las medidas de seguridad. Solicite copia de la política y de cualquier registro que afecte sus datos. Envíelo con constancia de recibido; si lo presenta por correo electrónico, exporte el acuse o capture la respuesta.

1. Si recibe respuesta insuficiente o no recibe respuesta, presente reclamación ante la Superintendencia de Industria y Comercio (SIC). La SIC es la autoridad que revisa estos incumplimientos y puede imponer medidas correctivas. Para la reclamación adjunte la petición previa y la respuesta (si la hubo) y toda la prueba que haya reunido.

1. Paralelamente, en casos de vulneración grave (filtración de datos sensibles o suplantación) considere presentar una acción de tutela si considera que un derecho fundamental fue lesionado y necesita una solución pronta. La tutela protege derechos fundamentales y no requiere abogado.

Qué puede hacer la empresa hoy: nombrar formalmente a una persona responsable (aunque no se use el nombre DPO, puede ser delegado de protección de datos), documentar políticas mínimas y firmar un acta interna. Qué puede hacer usted hoy: pedir toda la información por derecho de petición y guardar constancias.

Qué puede pasar

1) Se arregla con una carta y medidas internas: lo más frecuente es que la empresa responda al derecho de petición, nombre a la persona responsable y comparta políticas o compromisos de mejora. Esto resuelve la situación sin escalada.

2) Conciliación o acuerdo: la Superintendencia o una sede de conciliación pueden mediar. Un acuerdo suele incluir medidas concretas (auditoría, capacitación, revisión de procesos) y una posible indemnización en caso de daño probado. A veces aceptar un acuerdo menor es razonable para obtener medidas efectivas y cierre rápido.

3) Procedimiento sancionador o judicial: si la autoridad encuentra incumplimiento, puede imponer sanciones administrativas. Si usted reclama por daño moral o material y demanda en sede judicial, hay riesgos: si pierde, puede asumir costas; si gana, la ejecución depende de la capacidad económica del responsable. Una sentencia contra una empresa insolvente puede quedarse en papel.

Y si gana, ¿cobra? La ejecución de una condena requiere localizar bienes o que la empresa tenga liquidez. Por eso los acuerdos ejecutables pronto suelen ser preferibles a una sentencia distante.

Errores que arruinan el caso

• No conservar la petición y la respuesta: sin constancia escrita pierde buena parte de la prueba formal.
• Enviar pruebas sólo por WhatsApp sin exportarlas: exporte conversaciones y guárdelas en PDF.
• Firmar un acuerdo sin leer cláusulas que eximan de responsabilidad futura: muchas empresas incluyen cláusulas que bloquean reclamaciones posteriores.
• Esperar a que el problema se “arregle solo”: la inactividad debilita la posibilidad de pruebas frescas y testimonios.
• Revelar información sensible a terceros sin asesoría: comparta sólo con la autoridad o con abogado.