La laborales en Colombia exige que las empresas, como Responsables del Tratamiento, garanticen el manejo seguro de la información de sus empleados y aspirantes en cumplimiento de la Ley Estatutaria 1581 de 2012 y el Decreto 1074 de 2015. Garantizar la privacidad desde el proceso de selección hasta el retiro no solo previene sanciones administrativas ante la Superintendencia de Industria y Comercio (SIC), sino que protege la información sensible de la organización.
A continuación, analizamos las obligaciones normativas, la gestión de datos sensibles (salud y biometría), el registro de bases de datos y las mejores prácticas en ciberseguridad laboral.
Puntos clave de la Ley 1581 de 2012 en el ámbito laboral:
-
Autorización Previa e Informada: Requisito obligatorio firmado por el trabajador antes de recolectar cualquier dato.
-
Tratamiento de Datos Sensibles: La entrega de datos médicos, biométricos (huella o rostro) o de salud es facultativa para el empleado.
-
Supervisión de la SIC: El incumplimiento en la gestión o en el registro de bases de datos puede acarrear multas de hasta 2.000 SMMLV.
¿Qué son los datos personales en el ámbito laboral?
En el entorno corporativo, los datos personales laborales abarcan cualquier información vinculada o que pueda asociarse a una persona natural (aspirante, empleado o ex-empleado). Dado que el empleador recolecta esta información durante todo el ciclo de vida de la relación laboral —desde la etapa de reclutamiento hasta años después del retiro—, la legislación colombiana clasifica estos datos en diferentes categorías según su nivel de protección y el riesgo que representa su divulgación:
Clasificación de los datos laborales según la Ley 1581 de 2012
-
Datos de identificación y contacto (Datos Generales): Incluyen nombres completos, número de cédula o pasaporte, dirección de residencia, correo electrónico y teléfono. Son necesarios para la elaboración del contrato de trabajo y la comunicación formal entre las partes.
-
Datos laborales y de desempeño: Comprenden el historial profesional, títulos académicos, cargo, salario, afiliaciones al Sistema Integral de Seguridad Social (EPS, AFP, ARL), registro de ausentismos y evaluaciones de desempeño. Su tratamiento es indispensable para el pago de nómina y el cumplimiento de obligaciones legales del empleador.
-
Datos Sensibles (Especial protección legal): Son aquellos que afectan la intimidad del trabajador o cuyo uso indebido puede generar discriminación. En el ámbito laboral, los principales datos sensibles son:
-
Información de salud e historias clínicas: Exámenes médicos de ingreso, periódicos y de egreso. Por ley (Resolución 2346 de 2007), la historia clínica ocupacional es reservada y está bajo custodia del médico especialista, por lo que el empleador solo puede conocer la aptitud laboral del trabajador, no su diagnóstico.
-
Datos biométricos: Registro de huellas dactilares, reconocimiento facial, o firmas digitales recolectados para el control de ingreso o la gestión de turnos.
-
Pertenencia a sindicatos u organizaciones: Información sobre afiliación sindical, la cual goza de protección constitucional especial para evitar actos de discriminación o persecución laboral.
-
Te puede interesar → Implicaciones legales del uso de geolocalización y monitoreo digital de trabajadores
Cumplimiento normativo en Colombia: Obligaciones del empleador frente a la Ley 1581 de 2012
El entorno laboral exige que la empresa actúe en el rol de Responsable del Tratamiento de la información. El marco normativo colombiano —encabezado por la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015 y la jurisprudencia de la Corte Constitucional— establece un conjunto de deberes estrictos que toda compañía debe implementar para garantizar la legalidad de sus operaciones.
1. La Autorización del Tratamiento de Datos en la relación laboral
La autorización de uso de datos personales es el consentimiento previo, expreso e informado que otorga el titular (candidato, empleado o ex-empleado) para que el empleador pueda recolectar, almacenar, usar o compartir sus datos.
-
Firma previa al tratamiento: Debe gestionarse desde la fase de selección/hoja de vida y antes de formalizar el contrato de trabajo.
-
Separación de datos sensibles: La autorización para tratar datos de salud, fotos o datos biométricos (como la huella dactilar) debe constar en un apartado independiente y diferenciado, informando expresamente al trabajador que responder a dichas preguntas o entregar dichos datos es estrictamente facultativo.
-
Prohibición de cláusulas genéricas: La autorización no puede redactarse en términos absolutos o ambiguos en el contrato de trabajo; debe detallar de forma específica la finalidad de cada dato recolectado (ej. gestión de nómina, afiliación a seguridad social, control de acceso, etc.).
2. Implementación de la Política de Tratamiento de la Información (PTI)
Toda empresa debe estructurar y publicar una Política de Tratamiento de la Información (PTI) corporativa. Esta política debe ser puesta en conocimiento del empleado antes o al momento de firmar el contrato e indicar de forma clara:
-
El área encargada de atender peticiones, consultas y reclamos (Derechos ARCO: Acceso, Rectificación, Cancelación y Oposición).
-
Las finalidades específicas del manejo de los datos de empleados.
-
Los canales oficiales puestos a disposición para que el trabajador pueda solicitar la actualización o supresión de sus datos.
3. Inscripción en el Registro Nacional de Bases de Datos (RNBD) ante la SIC
Un error recurrente en las empresas es asumir que el Registro Nacional de Bases de Datos (RNBD) aplica únicamente para bases de datos de clientes. Las bases de datos de empleados, candidatos y pensionados también están sujetas a esta obligación.
-
¿Quiénes están obligados?: Sociedades y entidades de derecho privado que posean activos totales superiores a 100.000 Unidades de Valor Tributario (UVT).
-
Reporte de novedades: Estas empresas deben inscribir sus bases de datos laborales ante la Superintendencia de Industria y Comercio (SIC) y actualizar anualmente la información, así como de forma extraordinaria cuando se presenten novedades sustanciales o incidentes de seguridad (fugas de información).
No te pierdas → Cómo manejar correctamente la historia clínica ocupacional y los datos de salud
Obligaciones de las empresas
- Consentimiento informado: Las empresas deben obtener el consentimiento explícito de los empleados para el tratamiento de sus datos personales.
- Finalidad del uso de los datos: Los datos deben ser tratados únicamente para los fines específicos que se hayan informado a los empleados.
- Acceso restringido: Sólo el personal autorizado debe acceder a los datos personales de los empleados.
- Derecho de los empleados: Los trabajadores tienen derecho a acceder, rectificar o eliminar sus datos, siempre que no interfiera con las obligaciones laborales.
¿Qué es la autorización de uso de datos personales?
Adoptar buenas prácticas para la protección de datos no solo garantiza el cumplimiento normativo, sino que también refuerza la confianza de los empleados y protege a la empresa de posibles sanciones. A continuación, algunas recomendaciones esenciales.
Implementación de Políticas de Privacidad interna
Desarrollar e implementar políticas internas que regulen el uso de los datos personales dentro de la empresa es crucial. Estas políticas deben definir claramente quiénes son los responsables del tratamiento de datos, los protocolos de manejo, y las sanciones internas por incumplimiento.
Capacitación a los empleados
El personal debe estar capacitado para comprender la importancia de la protección de datos y las políticas implementadas por la empresa. Las capacitaciones ayudan a reducir el riesgo de errores humanos, que son una de las principales causas de brechas de seguridad.
Uso de tecnologías de seguridad
Las empresas deben emplear herramientas tecnológicas para proteger los datos personales, tales como encriptación, firewalls y sistemas de gestión de accesos. Además, el uso de contraseñas robustas y la autenticación de dos factores son medidas básicas para proteger la información de los empleados.
La importancia de la ciberseguridad en el entorno laboral
Con el aumento de las figuras de trabajo a distancia -como el teletrabajo- y la digitalización de procesos, la ciberseguridad ha cobrado una relevancia aún mayor. Las empresas deben asegurarse de que los datos personales de sus empleados estén protegidos tanto en las oficinas como en entornos remotos.
Prevención de amenazas cibernéticas
Es altamente recomendable que las empresas implementen medidas para prevenir ataques cibernéticos, como el ransomware, phishing y accesos no autorizados a la red. Esto incluye la actualización regular del software, la implementación de copias de seguridad automáticas y la monitorización constante de los sistemas.
Control de acceso a la información
No todos los empleados deben tener acceso a toda la información de la empresa. Se recomienda el uso de un sistema de permisos, donde cada empleado tenga acceso únicamente a los datos que necesita para su trabajo, minimizando así los riesgos de exposición indebida.
Lee también → Cuándo se requiere autorización del trabajador para pruebas de alcohol y drogas
Álvarez Liévano Laserna: Aliados estratégicos en la protección de datos laborales y el cumplimiento normativo
En Álvarez Liévano Laserna acompañamos a su organización en la estructuración de políticas de tratamiento de la información, la elaboración de cláusulas de autorización laboral rigurosas y la auditoría de procesos internos para garantizar el estricto cumplimiento de la Ley 1581 de 2012. Somos sus aliados estratégicos para proteger a su empresa frente a investigaciones administrativas de la Superintendencia de Industria y Comercio (SIC), mitigar riesgos legales en la gestión de datos sensibles y consolidar un entorno laboral transparente, seguro y alineado con la normativa colombiana vigente.