La ley en Colombia

Dos leyes que conviene conocer

En Colombia, lo que hemos visto en el curso tiene dos caras legales. Una castiga a quien ataca: la Ley 1273 de 2009, que creó los delitos informáticos. Otra obliga a quien guarda datos de otras personas: la Ley 1581 de 2012, la de protección de datos personales.

La primera interesa porque marca el límite de lo que se puede hacer -incluso con buena intención-. La segunda, porque si tu negocio guarda cédulas y teléfonos de clientes, te aplica, tenga el tamaño que tenga.

Esta lección explica las normas en lenguaje corriente para que sepas qué existe y cuándo consultar. No es asesoría jurídica: un caso concreto -una denuncia, una sanción, un contrato con un proveedor- lo ve un abogado.

Lo que es delito, con sus penas

Estas son las conductas más relevantes de la Ley 1273, con la pena que fija cada artículo. Las multas van en salarios mínimos porque así están escritas en la ley.

Art. 269A · Acceso abusivo a un sistema informático

Entrar sin autorización a un sistema, o mantenerse dentro contra la voluntad de quien puede excluirlo.

48 a 96 meses de prisión y multa de 100 a 1.000 salarios mínimos.

Art. 269C · Interceptación de datos informáticos

Interceptar datos en su origen, destino o en el trayecto, sin orden judicial.

36 a 72 meses de prisión.

Art. 269F · Violación de datos personales

Obtener, vender, enviar, comprar o divulgar datos personales contenidos en ficheros o bases de datos, sin estar facultado.

48 a 96 meses de prisión y multa de 100 a 1.000 salarios mínimos.

Art. 269H · Cuando la pena sube

Hay circunstancias que aumentan las penas de la mitad a las tres cuartas partes: entre ellas, que el sistema sea estatal, que lo cometa un servidor público o que haya abuso de confianza.

Ese último caso cubre al empleado que usa el acceso que le dieron para otra cosa.

Lo que hay que retener del artículo 269A: lo que convierte una prueba en un delito es la autorización, no la intención. «Solo quería comprobar si era vulnerable» no es una defensa; entrar sin permiso ya es la conducta descrita. Es exactamente el punto de partida del curso de hacking ético: sin autorización escrita y con alcance definido, no se toca nada.

Si guardas datos de clientes, esto te aplica

La Ley 1581 no es solo para empresas grandes. Si tienes una base con nombres, cédulas, teléfonos, correos o direcciones de personas, eres lo que la ley llama Responsable del Tratamiento, y con eso vienen deberes.

Dos de ellos importan aquí. El principio de seguridad (art. 4, literal g) obliga a manejar la información «con las medidas técnicas, humanas y administrativas necesarias» para evitar su alteración, pérdida o acceso no autorizado. Y entre los deberes del artículo 17 está uno que casi nadie conoce:

Hay que «informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad». Es decir: si hay una fuga o un incidente que afecta datos personales, avisar no es opcional. La autoridad es la Superintendencia de Industria y Comercio, a través de su Delegatura para la Protección de Datos Personales (art. 19).

Las preguntas que salen siempre

«¿Y si el ransomware cifró la base de clientes? ¿Eso hay que reportarlo?»

Un incidente que compromete datos personales -aunque sea por pérdida de acceso, no por robo- entra en el deber de informar. La pérdida es una de las situaciones que el principio de seguridad busca evitar.

El cómo y el cuándo del reporte los fija la Superintendencia por vía de sus guías, que se actualizan: se consulta el procedimiento vigente en su página, no de memoria.

«Los datos los tiene mi proveedor de software, ¿el responsable es él?»

La ley distingue entre Responsable -quien decide sobre los datos, normalmente tu empresa- y Encargado -quien los trata por cuenta del primero, el proveedor-.

Contratar a alguien no traslada la responsabilidad: por eso lo que se hace es dejar por escrito en el contrato qué medidas de seguridad tiene el proveedor y qué pasa si hay un incidente.

«Somos tres personas, ¿de verdad nos aplica?»

La obligación nace de tratar datos personales, no del tamaño de la empresa. Lo que sí varía con el tamaño y los ingresos es otra cosa: la obligación de inscribir las bases de datos en el registro nacional, que tiene umbrales propios.

Ese detalle se consulta en la Superintendencia, porque los umbrales han cambiado.

A quién se avisa cuando ya pasó

Un incidente real suele necesitar más de una llamada, y en este orden.

Contener primero
Desconectar lo afectado, cambiar contraseñas, cortar el acceso. La llamada no arregla nada mientras el problema sigue extendiéndose.
Denunciar el delito
La Fiscalía recibe denuncias por delitos informáticos, y la Policía Nacional tiene un canal para reportar incidentes de este tipo. Sirve aunque no se recupere el dinero: alimenta la investigación de un fraude que casi nunca ataca a una sola empresa.
Avisar a la Superintendencia si hay datos personales de por medio
Es el deber del artículo 17. Consulta el procedimiento vigente en su página.
Avisar a los afectados
Clientes, proveedores, empleados. Si desde tu cuenta salieron correos, tus contactos son el siguiente objetivo y no lo saben. Es incómodo y es lo que corta la cadena.
Documentar qué pasó
Fechas, qué se vio, qué se hizo. Sirve para el seguro, para la autoridad y para no repetir el mismo agujero en seis meses.

Compruébalo tú mismo

Alguien prueba si el sistema de una empresa es vulnerable, sin permiso y sin causar daño, para avisar después. Según el artículo 269A, ¿qué ocurre?

Tu empresa guarda los datos de sus clientes en un sistema de un proveedor externo. ¿Quién responde ante la ley de protección de datos?

Hay una fuga que afecta datos personales de clientes. ¿Qué obliga la Ley 1581?

En la próxima lección

Última lección, y es la única que hay que escribir en vez de leer: el plan mínimo de tu negocio. Una lista corta -quién tiene acceso a qué, qué se actualiza, dónde está la copia y a quién se llama- que se completa en una tarde y deja el curso convertido en un documento tuyo.