Si estás creando un proveedor de servicios online con perfiles automatizados

¿Tienes razón?

Que usted quiera ofrecer un servicio que genere perfiles automatizados no significa que todo esté permitido. Lo que decide si su proyecto cumple la normativa colombiana de datos personales es, sobre todo, una combinación de: la finalidad del tratamiento (por qué se procesan los datos), la base legal aplicable (por ejemplo, consentimiento, cumplimiento de contrato o interés legítimo con evaluación de impacto) y las medidas técnicas y organizativas que protegen esos datos.

Tres factores concretos que debe evaluar como si fueran un semáforo:

• Datos usados: si usa datos sensibles (origen racial, creencias, datos de salud, orientación sexual, biométricos, etc.) la presunción es de especial cuidado y, salvo excepciones legales claras, estarán prohibidos o exigidos requisitos adicionales. Si usa datos públicos o seudonimizados la carga de riesgo baja, pero no desaparece.

• Finalidad y transparencia: el titular debe saber con precisión para qué se generan los perfiles, qué variables influyen y si de esos perfiles se toman decisiones automáticas que le afecten. "Mejorar la experiencia" es demasiado vago.

• Decisiones automáticas y derechos: si su algoritmo toma decisiones que influyen en empleo, acceso a servicios, precios o crédito, la persona tiene derechos de información, explicación mínima y, en ciertos casos, a solicitar revisión humana.

Si cumple estos tres vértices —datos, finalidad/base legal, y garantías— su proyecto parte con buen pie. Si falla cualquiera, está expuesto a reclamaciones ante la autoridad de protección de datos y riesgos reputacionales.

Cómo se soluciona

1) Inventario y clasificación de datos. Haga un mapa de datos desde el primer boceto: qué recoge la plataforma, de dónde viene, quién la procesa y dónde se almacena. Exporte logs y contratos con proveedores. Esto lo puede hacer el equipo técnico, pero pida que se documente por escrito.

2) Defina la base legal y la finalidad concreta. Para cada flujo de datos determine si se apoya en consentimiento, ejecución de contrato, obligación legal u otro fundamento. Si piensa usar interés legítimo, prepare una evaluación de impacto que documente por qué ese interés no prevalece sobre los derechos de la persona.

3) Redacte la información al titular y los mecanismos de control. La política de privacidad debe explicar, en lenguaje claro, qué variables alimentan los perfiles, qué decisiones se toman automáticamente y cómo solicitar revisión humana o derecho de supresión. Incluya formas factibles para que la persona revoque el consentimiento cuando proceda.

4) Evalúe los riesgos y haga una evaluación de impacto en protección de datos (EIPD) cuando el perfilado pueda producir alto riesgo. Documente medidas técnicas (cifrado, seudonimización) y organizativas (accesos, registros de tratamiento).

5) Contratos con proveedores y cadenas de tratamiento. Cierre acuerdos escritos que regulen obligaciones de confidencialidad, subprocesamiento y medidas de seguridad con cualquier proveedor que toque los datos. No deje vacíos contractuales.

6) Implantación de controles y gobernanza. Nombre un responsable de protección de datos si la organización lo requiere por volumen o riesgo; establezca protocolos para gestión de incidentes y para atender derechos de titulares.

7) Pruebas y auditoría. Antes de lanzar, haga pruebas de sesgo en el algoritmo, pruebas de vulnerabilidad y una auditoría legal. Documente todo: si algo sale mal, la documentación es su defensa.

Acciones que puede iniciar hoy sin abogado: mapear los datos, redactar borrador de política en lenguaje claro, recoger consentimientos con registros. Lo que necesita asesoría jurídica es la evaluación de impacto, redacción de cláusulas contractuales y respuestas ante la autoridad.

Qué puede pasar

1) Se arregla con una carta o corrección. Muchas situaciones se resuelven internamente: la empresa corrige la política, ajusta consentimientos y ofrece mecanismos de revisión. Esto suele ser rápido y preserva la relación con los usuarios.

2) Acuerdo o conciliación. Si un titular eleva una queja ante la Superintendencia de Industria y Comercio (la autoridad competente) o busca conciliación, es común alcanzar acuerdos que impliquen cambios en el tratamiento, medidas correctivas y, a veces, una compensación acordada. Un acuerdo puede ser preferible a un proceso largo.

3) Investigación administrativa y sanción. Si la autoridad determina que hubo incumplimiento, puede imponer medidas correctivas y sanciones administrativas. Además, si alguien sufre un perjuicio por decisiones automatizadas, puede haber reclamaciones civiles para reparar el daño. Incluso si una resolución le es favorable, cobrar frente a un responsable insolvente puede ser difícil: una sentencia no siempre asegura ejecución efectiva si el responsable no tiene activos.

Y si gana, ¿cobra? Una decisión administrativa o judicial a su favor reconoce la obligación del responsable, pero la efectividad de cobro depende de la capacidad patrimonial del responsable. Por eso, documentar responsabilidad y buscar acuerdos concretos suele ser la vía más práctica para obtener reparación real.

Errores que arruinan el caso

• No documentar los flujos de datos desde el comienzo: sin registro escrito es casi imposible demostrar buenas prácticas.

• Usar cláusulas largas y legales en lugar de información clara: si el titular no entiende, su consentimiento puede ser cuestionado.

• Externalizar procesamiento sin contratos que exijan medidas de seguridad y auditoría al proveedor.

• Ignorar la consideración de datos sensibles y diseñar modelos que los inferieren sin salvaguardas.

• No probar sesgos ni resultados adversos: un algoritmo sin pruebas de impacto facilita sanciones y demandas.