En los términos del literal c) del artículo 4 de la Ley 1581 de 2012, previo al tratamiento o inclusión de datos personales en una determinada base de datos debe existir la autorización previa, expresa e informada del titular.
Aun cuando no se trata de un principio absoluto, pues en algunos casos el Estado puede prescindir de esta autorización «para fines de carácter estadístico, científico, registro de datos personales, entre otros que tienen una determinada finalidad legal o constitucionalmente amparada», lo cierto es que debe ser observado con rigor por parte de las empresas.
La autorización para el tratamiento de datos personales en Colombia se encuentra relacionada a su vez con el principio de finalidad, según el cual el responsable del tratamiento de indicar «de manera clara el objetivo con el que se utilizará la información del titular, de modo que queda prohibido recopilar datos personales sin especificar la finalidad de los mismos». A ese propósito el Decreto 1074 de 2015 establece que:
Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgo la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.
El envío de información de carácter publicitario y/o comercial, según lo ha señalado la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio, será ajustada al ordenamiento jurídico siempre que esté dentro de las finalidades y objetivos informados por el responsable del tratamiento al titular de los datos personales.
Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales. Resolución 43924 de 2023.
