1. Objetivo
Establecer los lineamientos que deben seguir las personas al interior de la compañía al momento de realizar
cualquier operación relacionada con datos personales, tales como recolección, almacenamiento, uso, circulación,
supresión y seguridad, así como establecer el procedimiento para dar respuesta a las consultas y reclamos
provenientes del titular de los datos personales.
2. Marco Legal
Esta política fue elaborada teniendo en cuenta las disposiciones contenidas en el artículo 15 de la Constitución
Política, la Ley 1581 de 2012 por la cual “se dictan disposiciones generales para la protección de datos personales”
y su Decreto Reglamentarios No 1377 de 2013 y en su momento por cualquier otra norma que reglamente,
adicione, ejecute, complemente, modifique, suprima o derogue a la Ley 1581 de 2012.
3. Definiciones
De conformidad con la ley 1581 de 2012 y su decreto reglamentario No. 1377 de 2013 se establecen las siguientes definiciones:
- Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.
- Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento (se deben tener en cuenta las que emplean nuevas tecnologías de la información y las manuales).
- Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
- Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.
- Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.
- Titular: Persona natural cuyos datos personales sean objeto de Tratamiento.
- Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales.
- Dato sensible: Aquellos relacionados con el origen racial o étnico, la pertenencia a sindicatos, organizaciones sociales o de derechos humanos, convicciones políticas, religiosas, de la vida sexual, biométricos o datos de la salud. Esta información podrá no ser otorgada por el Titular de estos datos.
4. Ámbito de Aplicación de la Ley 1581 de 2012
La ley 1581 de 2012 aplica:
-
Al Tratamiento de datos personales efectuado en territorio colombiano, es decir, cuando el Responsable y el Encargado están ubicados en Colombia y realizan en el territorio colombiano cualquier operación que involucre el Tratamiento de datos personales.
-
Cuando el Responsable y el Encargado no están ubicados en Colombia pero realizan en el territorio colombiano cualquier operación que involucre el tratamiento de datos personales, por lo que le será aplicable la ley 1581 de 2012.
No obstante, lo anterior, dicha ley no será aplicable a:
-
Bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico:
En este sentido es de aclarar que cuando se habla de bases de datos mantenidos en un ámbito exclusivamente personal o doméstico, esto se predica de las personas naturales dentro del contexto de su vida privada o familiar, por tal razón dicha excepción a la aplicabilidad de la ley no se hace extensiva a las personas jurídicas ni cuando se hace el Tratamiento de datos personales y estos circulan internamente en una organización.
-
Bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional:
Así como la prevención, detección, monitoreo y control del lavado de activos al financiamiento del terrorismo.
-
Bases de datos y archivos de información periodística y otros contenidos editoriales:
Esta excepción no aplica a aquellas bases de datos que se encuentran en poder de medios de comunicación en virtud de otras actividades, como aquellas encaminadas a fines comerciales o publicitarios.
-
Bases de datos que tengan como fin información de inteligencia y contrainteligencia.
-
Bases de datos regulados por la Ley 1266 de 2008:
Por la cual se dictaron las disposiciones generales de habeas data y se reguló el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia comercial, de servicios y la proveniente de terceros países.
-
Bases de datos y archivos regulados por la Ley 79 de 1993:
Por la cual se reguló la realización de los censos de la población y vivienda en todo el territorio nacional.
5. Principios que Orientan el Tratamiento de Datos Personales
El tratamiento de datos personales debe realizarse respetando las normas y principios generales y especiales establecidos en la Ley 1581 de 2012 y sus decretos reglamentarios, entre los cuales se destacan:
- Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular.
- Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
- Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
- Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
- Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la Ley 1581 de 2012 y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la Ley 1581 de 2012.
- Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la Ley 1581 de 2012, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
- Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la Ley 1581 de 2012 y en los términos de la misma.
6. Bases de Datos
Cada área de la Compañía es responsable de las bases de datos que administre, por lo que dicha área deberá
verificar que la recolección de los datos se haga conforme a lo establecido en la ley, esto es que cuente con la
autorización previa del titular y que el Tratamiento de dichos datos personales se haga de acuerdo con las
finalidades autorizadas por el titular:
6.1 Autorización
De acuerdo con lo dispuesto, cada dato personal que vaya a ser utilizado debe contar con una autorización y
la misma se debe obtener del titular de manera previa y a más tardar al momento de la recolección de los datos
personales, ya sea de forma:
- Oral
- Escrita
-
Mediante conductas inequívocas del Titular del dato que permitan concluir de forma razonable que otorgó la autorización.
En este último caso, el Oficial de Protección y Secretaría General determinarán cuando la persona ha otorgado
autorización mediante conductas inequívocas. No obstante, lo anterior, en ningún caso el silencio del titular del
dato frente a la autorización podrá asimilarse a una conducta inequívoca.
6.1.2 Información al titular
Al momento de solicitar la autorización, se deberá informar al titular de los datos:
- El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.
-
El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos
sensibles o sobre los datos de las niñas, niños y adolescentes.
- Los derechos que le asisten como Titular.
- La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
6.1.3 Casos en que no se requiere autorización
La autorización del Titular no será necesaria cuando se trate de:
- Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
- Datos de naturaleza pública.
- Casos de urgencia médica o sanitaria.
- Datos relacionados con el Registro Civil de las Personas.
6.1.4 Uso sin autorización
Si el área que realiza el Tratamiento de los datos personales no cuenta con la autorización del titular de
estos, no puede utilizar dichos datos.
6.2 Finalidad
Previo a solicitar la autorización al titular del dato para el tratamiento de sus datos personales, se le debe
informar para qué se usarán sus datos, y una vez este titular autorice el uso de sus datos personales, los mismos
solo se destinarán para los fines específicos autorizados. No se podrán utilizar datos para fines diferentes a los
autorizados. Por ejemplo, si una persona entrega sus datos al ingresar a la compañía para fines de seguridad, no
se le podrá enviar publicidad de la compañía, ni utilizar sus datos para otra finalidad que no sea la de seguridad,
tal y como la autorizó el titular.
Las áreas no podrán cruzarse las bases de datos para enviarle diferente información a los titulares de los
datos, si previamente no se verifica si esa persona ha autorizado el uso de sus datos para dicha finalidad.
6.3 Inventario
Cada área deberá realizar un inventario de las bases de datos que maneje y contar con un responsable para
ello, inventario que contenga información de los diferentes datos solicitados al titular y que éste haya suministrado
previamente con autorización. Así mismo, se debe verificar en cada base las finalidades para las cuales se pueden
utilizar los datos personales, según la autorización del Tratamiento de datos personales realizada por el titular.
El inventario se reportará al Oficial de Protección quién con esta información actualizará el “Inventario Único
de Bases de Datos Personales de la compañía”.
Las áreas que generen nuevas bases de datos personales, deberán reportarlas al Oficial de Protección, al
correo electrónico datospersonales@caracoltv.com.co, diligenciando el formato establecido para tal fin y que se
anexa a esta Política como Anexo No.1.
6.4 Recolección
- No se pueden recolectar datos si los mismos no han sido previamente autorizados por el titular. Dicha autorización debe solicitarse a más tardar en el momento de la recolección de los datos personales.
-
Cualquiera que sea la forma en que se recolecten los datos personales, éstas deben garantizar que se
obtenga la autorización del titular de los datos personales.
-
La autorización que solicite Caracol Televisión para la recolección de datos personales se realiza mediante
el formato “Autorización de Tratamiento de Datos Personales”. Anexo No. 2.
-
En todo caso, cualquier persona de la compañía que requiera tramitar una autorización ante un Titular de
Datos Personales, deberá consultar su contenido y finalidades, de manera previa ante la Secretaría General
de Caracol Televisión.
6.5 Supresión
-
Cuando un administrador identifique la necesidad de suprimir una base de datos con información personal,
este tendrá que diligenciar el formato adjunto (Anexo 3) y enviarlo al correo
datospersonales@caracoltv.com.co, para que el Oficial de Protección de Datos Personales, la Gerencia Jurídica y el Oficial de Seguridad Informática lo verifiquen y determinen la viabilidad jurídica de la supresión.
-
Como resultado de las auditorías al Sistema de Protección de Datos Personales se pueden identificar bases
de datos objeto de supresión, en este caso el Oficial de Protección de Datos Personales, la Gerencia Jurídica y el
Oficial de Seguridad Informática determinarán la viabilidad jurídica de supresión.
-
Toda supresión debe ser autorizada por el Vicepresidente o Gerente del área a la cual corresponda la
administración de la base de datos.
-
Una vez definida la viabilidad jurídica de la supresión, el área administradora de la base de datos definirá las
herramientas de borrado seguro que garanticen el respaldo al proceso de supresión, en este punto se contará con el acompañamiento del Oficial de Protección de Datos Personales y el Oficial de Seguridad Informática.
7. Políticas de Tratamiento de Información
7.1 Definición
Las Políticas de Tratamiento de Información (PTI) son aquellas reglas y procedimientos que deben adoptar las
compañías que manejan datos personales, las cuales buscan dar cumplimiento a la Ley 1581 de 2012 y su
decreto reglamentario. Estas deben estar a disposición de los titulares de los datos personales, ya que ellas
recogen, entre otros aspectos:
- El tratamiento y finalidad de los datos del titular.
- Los derechos que le asisten a los titulares.
- El procedimiento para que los titulares de la información puedan ejercer sus derechos.
- El mecanismo para la atención de consultas y reclamos.
7.2 Política de Tratamiento en la Compañía
En la compañía existe una Política de Tratamiento de la Información que enumera todas las finalidades para
las cuales utilizamos la información, de acuerdo con la forma de recolección. Por ejemplo:
- Si es para un concurso.
- Si es para una visita.
- Si es para una relación contractual.
7.3 Disponibilidad
La Política de Tratamiento de la Información puede constar en medio físico o electrónico. Lo importante es que
esté disponible para ser posteriormente consultada por el titular del dato personal.
7.4 Actualizaciones
En la compañía, la Política de Tratamiento de la Información entró en vigencia a partir del 27 de julio de 2015 y
ha tenido las siguientes actualizaciones:
- Primera actualización: 12 de abril de 2019
- Segunda actualización: 01 de agosto de 2019
- Tercera actualización: 4 de diciembre de 2020
- Cuarta actualización: 15 de agosto de 2021
- Quinta actualización: 30 de marzo de 2022
8. Derechos de los Titulares de los Datos Personales
Cada área debe velar que se cumplan con los derechos de los titulares de los datos personales que se encuentren
en sus bases de datos. Estos derechos son:
-
Conocer, actualizar y rectificar: Sus datos personales frente a los Responsables del Tratamiento o
Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos,
incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no
haya sido autorizado.
-
Solicitar prueba de la autorización: Otorgada al Responsable del Tratamiento, salvo cuando
expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10
de la Ley 1581 de 2012.
-
Ser informado: Por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud,
respecto del uso que se ha dado a sus datos personales.
-
Presentar quejas: Ante la Superintendencia de Industria y Comercio por infracciones a lo dispuesto
en la ley y las demás normas que la modifiquen, adicionen o complementen.
-
Revocar la autorización y/o solicitar la supresión del dato: Cuando en el Tratamiento no se respeten
los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión sólo procederá
cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o
Encargado han incurrido en conductas contrarias a esta ley y a la Constitución.
-
Acceder en forma gratuita: A sus datos personales que hayan sido objeto de Tratamiento.
9. Tratamiento de Datos Personales de Niños, Niñas y Adolescentes
En principio, la Ley 1581 de 2012 prohíbe cualquier tratamiento de datos personales de niños, niñas y adolescentes.
No obstante, lo anterior, la interpretación dada por la Corte Constitucional establece de manera excepcional el
Tratamiento de datos personales de niños, niñas y adolescentes cuando se cumplan los siguientes criterios:
- La finalidad del tratamiento responda al interés superior de los niños, niñas y adolescentes.
- Se asegure el respeto por sus derechos fundamentales.
- De acuerdo con la madurez del niño, niña o adolescente, se tenga en cuenta su opinión.
- Se cumpla con los requisitos previstos en la Ley 1581 de 2012 para el tratamiento de datos personales.
Una vez se cumplan estos requisitos, se podrá realizar el Tratamiento de datos personales. Sin embargo, es de
aclarar que la autorización para dicho tratamiento debe ser otorgada por el representante legal del menor, en
principio, serán conjuntamente sus padres, y se deberá aplicar lo previsto en la Ley 1581 de 2012, esto es, la
autorización previa prevista en dicha ley.
Así mismo, se debe tener en cuenta que se debe contar con la opinión del niño, niña y el adolescente. En tal caso,
cada área, a través del Oficial de Protección, realizará la consulta a Secretaría General, quien formalmente emitirá
un concepto sobre la consulta.
10. Deberes de Caracol Televisión S.A. como Responsable del Tratamiento de Datos Personales
Caracol Televisión, como Responsable del Tratamiento de datos personales, deberá cumplir los siguientes deberes,
sin perjuicio de las demás disposiciones previstas en la Ley 1581 de 2012 y en otras que rijan su actividad:
- Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
- Solicitar y conservar, en las condiciones previstas en la Ley 1581 de 2012, copia de la respectiva autorización otorgada por el Titular.
- Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.
- Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
- Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, comprobable y comprensible.
- Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.
- Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.
- Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la Ley 1581 de 2012.
- Exigir al Encargado del Tratamiento en todo momento el respeto a las condiciones de seguridad y privacidad de la información del Titular.
- Tramitar las consultas y reclamos formulados en los términos señalados en la Ley 1581 de 2012.
- Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y, en especial, para la atención de consultas y reclamos.
- Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.
- Informar a solicitud del Titular sobre el uso dado a sus datos.
- Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
- Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
11. Deberes del Encargado del Tratamiento de Datos Personales
Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones
previstas en la Ley 1581 de 2012 y en otras que rijan su actividad:
- Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
- Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
- Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la Ley 1581 de 2012.
- Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo.
- Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la Ley 1581 de 2012.
- Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y, en especial, para la atención de consultas y reclamos por parte de los Titulares.
- Registrar en la base de datos la leyenda “reclamo en trámite” en la forma en que se regula en la Ley 1581 de 2012.
- Insertar en la base de datos la leyenda “información en discusión judicial” una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal.
- Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.
- Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella.
- Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
- Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
Parágrafo 1: En el evento en que concurran las calidades de Responsable del Tratamiento y Encargado del Tratamiento en la misma persona, le será exigible el cumplimiento de los deberes previstos para cada uno.
Parágrafo 2: Control de Gestión deberá velar porque los Encargados de Tratamiento de Datos Personales den cumplimiento a las obligaciones aquí establecidas.
12. Encargados del Tratamiento
Siempre que se requiera el tratamiento de alguna base de datos por parte de un encargado, debido a las diferentes
labores que sean asignadas por Caracol Televisión S.A., el área administradora de estos datos informará al Oficial
de Protección de Datos para que éste a su vez, suministre la Política de Tratamiento de la Información al encargado
que ha sido seleccionado por el área solicitante.
Es indispensable que, al momento de gestionar el contrato, éste cuente con la cláusula o acuerdo de confidencialidad
y la cláusula de datos personales. El Oficial de Protección de Datos Personales y el Oficial de Seguridad Informática
validarán las medidas de seguridad que el encargado posee y/o aquellas que se implementarán para el uso de los
datos que Caracol Televisión S.A. le suministre.
Adicionalmente, los encargados serán clasificados según el nivel de criticidad de manejo de datos personales, esto
con el fin de determinar el nivel de control de los mismos.
13. Datos Sensibles
13.1 Concepto
De acuerdo con lo establecido en la Ley 1581 de 2012 en su artículo 5, se entiende por datos sensibles:
“aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como
que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia
a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político
o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud,
a la vida sexual y los datos biométricos.”
13.2 Tratamiento de Datos Sensibles
Se prohíbe el Tratamiento de datos sensibles, excepto cuando:
-
El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea
requerido el otorgamiento de dicha autorización.
-
El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o
jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.
-
El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de
una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política,
filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que
mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar
a terceros sin la autorización del Titular.
-
El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un
derecho en un proceso judicial.
14. Oficial de Protección
Caracol Televisión S.A. ha designado como Oficial de Protección al Director de Control de Gestión, quien con
apoyo de Secretaría General garantizará el cumplimiento de las disposiciones contenidas en el artículo 15 de la
Constitución Política, la Ley 1581 de 2012 por la cual “se dictan disposiciones generales para la protección de
datos personales” y su Decreto Reglamentario No 1377 de 2013, así como cualquier otra norma que reglamente,
adicione, ejecute, complemente, modifique, suprima o derogue a la Ley 1581 de 2012.
15. Atención de Consultas y Reclamos Relacionados con los Datos Personales
Para la atención de consultas y reclamos, Caracol Televisión ha dispuesto de los siguientes canales de comunicación:
Estos canales garantizan el ejercicio de los derechos de los titulares de los datos personales.
El área responsable de dar trámite a las consultas o reclamos y, en general, frente a la atención del titular con
ocasión a la aplicación y vigencia de la presente política, es el área de Control de Gestión.
En caso de que cualquier funcionario de Caracol Televisión S.A. reciba una consulta o reclamo sobre protección de
datos personales, éste deberá remitirlo al correo electrónico datospersonales@caracoltv.com.co e incluir la
información suministrada por el titular. El área de Control de Gestión se encargará de dar trámite a la reclamación,
redireccionando la consulta o reclamo de los titulares a las áreas y responsables encargados del manejo de la
información y verificando que las solicitudes de estos sean atendidas. Sin embargo, será la misma área de Control
de Gestión quien se encargue de dar respuesta directamente al titular que realiza la petición.
15.1 Consultas
Los titulares o sus herederos pueden consultar la información personal del Titular que repose en cualquier base de
datos, sea del sector público o privado.
El Responsable o Encargado del Tratamiento entregará toda la información que se tenga relacionada con el Titular
de los datos.
15.1.2 Término
Las consultas deberán ser atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha
de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al
interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en
ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
15.2 Reclamos
El Titular o sus herederos que consideren que la información contenida en una base de datos debe ser objeto de:
- Corrección
- Actualización
- Supresión
- O cuando adviertan que hay un presunto incumplimiento de los deberes contenidos en la ley
Podrán presentar un reclamo.
15.2.1 Requisitos para presentar el reclamo
- Formular el reclamo dirigido al Responsable o Encargado del Tratamiento.
- Contener identificación del titular.
- Descripción de los hechos que dan lugar al reclamo.
- La dirección física o electrónica de notificación.
- Los documentos que se requieran para sustentar el reclamo.
15.2.2 Si el reclamo resulta incompleto
Se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del mismo para que subsane las
fallas. Si transcurridos dos (2) meses el interesado no presenta la información requerida, se entenderá que ha
desistido del reclamo.
15.2.3 Si el reclamo está completo
Una vez recibido el reclamo y a más tardar dentro de los dos (2) días hábiles siguientes a haberlo recibido, se
incluirá en la base de datos con una leyenda que diga “reclamo en trámite” y el motivo del mismo. Dicha leyenda
deberá permanecer hasta que el reclamo sea decidido.
15.2.4 Término
El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la
fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado
antes del vencimiento del término los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en
ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
Si las consultas o reclamos no son recibidas por los medios antes mencionados y llegaren a cualquier empleado,
éste debe remitirla de manera inmediata al Oficial de Protección para su trámite. Si el empleado no remite la
consulta o reclamo dentro de los dos (2) días siguientes a su recepción, será objeto del proceso disciplinario a que
haya lugar.
16. Mecanismos de Seguridad de la Información Personal
Caracol Televisión S.A. aplicará las mejores prácticas de manera diligente y con su mayor esfuerzo en cuanto a la
seguridad, discreción y confidencialidad de los datos personales.
Caracol Televisión S.A. cuenta con una Política de Seguridad de la Información, y en este sentido, la información
correspondiente a los datos personales se tratará con el más alto rigor de confidencialidad y aseguramiento, esto
con el apoyo del Oficial de Seguridad Informática de la Gerencia de T.I.
Cada área es responsable de informar al Oficial de Protección cuando se presenten incidentes que impliquen
riesgos en la administración de la información de los titulares de los datos, a los correos
datospersonales@caracoltv.com.co y
avergara@caracoltv.com.co, para su posterior informe a la Superintendencia de Industria y Comercio.
17. Protocolo de Respuesta en el Manejo de Incidentes o Violaciones a la Seguridad de la Información
En caso de presentarse un incidente, falla o violación a los protocolos de seguridad de la información dispuestos
por Caracol Televisión S.A., y de que en dichas situaciones se presenten riesgos de pérdida, acceso, modificación,
eliminación, fuga o filtración de la información de datos personales almacenados por la compañía, el colaborador
responsable o el ente externo que identifique el incidente deberá informar dentro de las siguientes 24 horas a la
detección de éste al Oficial de Protección de Datos y al Oficial de Seguridad Informática de la Gerencia de Tecnología
Informática. Estos, a su vez, informarán del hecho al representante de la Gerencia Jurídica.
El colaborador o ente externo debe abstenerse de realizar alguna acción que implique investigar lo sucedido,
recolectar pruebas o solucionar el problema ocasionado por el incidente, ya que esto puede alterar la evidencia que
se pueda recolectar para la correspondiente investigación. Posteriormente (sin exceder el día hábil siguiente), el
Oficial de Protección de Datos Personales, el Oficial de Seguridad Informática y el representante de la Gerencia
Jurídica realizarán un pre-filtro del incidente, una reunión con el área que ha identificado el incidente, y se
diligenciará el formato de “Reporte de Incidentes” (Anexo 4).
Luego, se realizará la respectiva investigación, de la cual se dejará un acta que incluya el posible motivo del incidente,
las posibles consecuencias, las acciones correctivas, las acciones preventivas y los encargados de realizar dichas
acciones.
Estos incidentes serán reportados a la Superintendencia de Industria y Comercio en un tiempo máximo de ocho (8)
días hábiles, indicando el tipo de incidente, fecha en que ocurrió, fecha en que se tuvo conocimiento de este, la
causal, el tipo de datos personales comprometidos y la cantidad de titulares afectados. Así mismo, se informará a
los titulares afectados la situación presentada, dentro del mismo plazo:
- Indicándoles sobre el incidente de seguridad y sus posibles consecuencias.
- Proporcionándoles las herramientas para minimizar el daño potencial o causado.
La investigación de las causas de fallas o violaciones será realizada en conjunto con la Gerencia de TI. Estos
incidentes, fallas o violaciones a los protocolos de seguridad deben ser incluidos dentro del informe de gestión que
el Oficial de Protección presentará a la administración de la compañía (Comité de Datos Personales). Tras el cierre
del incidente, se procederá a realizar un seguimiento a las acciones correctivas y preventivas en los controles
semestrales, para evitar su nueva ocurrencia.
18. Sanciones por el Uso Indebido de las Bases de Datos de la Compañía
El uso inapropiado de las bases de datos de la Compañía por parte de los empleados, que vaya en contra de la Ley
1581 de 2012 y de la presente política, podrá ser catalogado como falta disciplinaria o incluso como justa causa para
dar por terminado el contrato de trabajo. Por lo tanto, la persona que incurra en esta conducta será objeto de proceso
disciplinario, según lo dispuesto en el Reglamento Interno de Trabajo.
El incumplimiento de esta política por parte de los contratistas de la compañía se considera, a su vez, como
incumplimiento de las obligaciones de sus contratos. Por lo tanto, Caracol Televisión podrá dar por terminado el
respectivo contrato y proceder al cobro de la cláusula penal.
Si después de terminado el contrato, ya sea de prestación de servicios o laboral, la compañía determina que hubo
un incumplimiento de lo establecido en la Ley 1581 de 2012 o en la presente política, podrá iniciar las acciones
civiles o penales a que haya lugar.
19. Seguimiento al Cumplimiento
Caracol Televisión S.A., a través del Oficial de Protección, velará por el cumplimiento de la Ley 1581 de 2012 y el
Decreto Reglamentario 1377 de 2013, así como de la normatividad interna dispuesta para el cumplimiento de las
anteriores normas.
Conforme a lo anterior, el área de Control de Gestión realizará visitas periódicas a las áreas administradoras de
bases de datos personales según el registro del “Inventario Único de Bases de Datos Personales de la Compañía”.
En estas visitas se verificará:
- Las medidas de seguridad.
- Bases de datos que puedan ser suprimidas.
- Calidad de los datos almacenados.
- Nuevas bases de datos.
- Usos de las bases de datos almacenadas.
No obstante, se podrán realizar visitas aleatorias en cualquier momento a las diferentes áreas de la compañía con el
fin de verificar el uso de las distintas bases de datos.
20. Gestión de Riesgos
Caracol Televisión S.A., consciente de la importancia y vulnerabilidad de la información, a través del Oficial de
Protección revisará de forma periódica los riesgos asociados a la Protección de Datos Personales. Dicha revisión
contemplará:
- La susceptibilidad de pérdida de información.
- Vulnerabilidades de la red interna de la compañía.
- Revisión de incidentes y percepción de seguridad por parte de los titulares de la información.
- Pérdidas económicas y daños reputacionales derivados del incumplimiento de la legislación sobre protección de
datos personales.
21. Capacitación
El Oficial de Protección, en conjunto con la Secretaría General, diseñará un plan de capacitación anual para los
colaboradores sobre Protección de Datos Personales y la respectiva política interna, así como en los procesos de
inducción de colaboradores. Estas actividades deben estar soportadas documentalmente y se mantendrá un acta
firmada de participación de cada funcionario.
Las capacitaciones son de obligatoria asistencia para todos los empleados de la empresa y pueden ser de tipo
presencial o virtual. La capacitación incluirá:
- Conceptos básicos, estructura orgánica y funcional del sistema de Protección de Datos Personales.
- Cumplimiento del marco regulatorio vigente, mecanismos de recolección de datos personales, mecanismos de almacenamiento.
Así mismo, el Oficial de Protección promoverá una cultura de protección de datos personales, con el fin de generar
conciencia permanente en la protección de la información como elemento activo e imprescindible en la operación
de Caracol Televisión S.A.
22. Manual Interno de Tratamiento de Datos Personales
Caracol Televisión S.A. cuenta con un Manual Interno de Tratamiento de Datos Personales donde se explica de
forma detallada el tratamiento que se realiza a cada Base de Datos desde su recolección hasta su supresión y/o
transferencia.
Este Manual lo entrega el Oficial de Protección de Datos Personales a cada uno de los Administradores de la Base
de Datos tras una capacitación detallada como se describe en el numeral 21.
23. Comité de Protección de Datos Personales
Con el fin de dar seguimiento al cumplimiento de la Ley 1581 de 2012 y sus decretos reglamentarios, así como a la
implementación de las diferentes obligaciones contenidas en dichas normas al interior de la compañía, se creará un
Comité de Protección de Datos Personales. Este comité se reunirá por lo menos dos (2) veces al año y contará con
la participación de las siguientes áreas:
- Vicepresidencia Ejecutiva Corporativa
- Secretaría General
- Tecnología Informática
- Control de Gestión
- Gerencia Administrativa
En este comité se presentará un informe que recopilará la gestión de solicitudes presentadas por los titulares de
datos personales, las acciones para la mitigación de riesgos asociados, la atención de requerimientos o visitas por
parte de la Superintendencia de Industria y Comercio, así como la presentación en detalle del personal capacitado
en la materia.
24. Registro de Bases de Datos
Dando cumplimiento al Capítulo 3 de la Ley 1581 de 2012 y al Decreto Reglamentario Número 886 de 2014,
Caracol Televisión S.A. efectúa el Registro de Bases de Datos de forma tal que se pueda brindar la “herramienta
de supervisión para la efectiva protección de los derechos de los titulares”.
Para realizar este registro, el Administrador de la Base de Datos reportará al Oficial de Protección la nueva Base
que contenga información personal, diligenciando el formato comprendido en el Anexo No. 1. El Oficial de
Protección, a su vez, validará que la información contenida sea la adecuada para el registro y tendrá la facultad para
determinar la existencia de datos sensibles y/o de menores de edad en esta. Posteriormente, se efectuará una
reunión con el Oficial de Protección, el Oficial de Seguridad Informática y el Administrador de la Base de Datos, en
la que se verificarán las medidas de seguridad requeridas para el uso de los datos, se explicará el proceso a seguir
y la información requerida al momento del registro. Finalmente, se efectuará el reporte ante la SIC en la fecha
dispuesta.
25. Entrada en Vigencia de la Presente Política
La presente Política entra en vigencia a partir de su publicación.
- Nelson Remolina Angarita. (2013). Tratamiento de Datos Personales, Aproximación internacional y comentarios a la Ley1581 de 2012 (1era Ed.). Colombia: Editorial Legis.
- Corte Constitucional, Sentencia C-748 de 2011, numeral 2.4.5.6.
- Concepto emitido por la Superintendencia de Industria y Comercio, No.13-33980-1-0, del 3 de abril de 2013.
- Ibidem
