Política de Tratamiento de Datos Personales

Fundamento Normativo, Objeto y Ámbito de Aplicación

El presente instrumento normativo establece la Política de Tratamiento de Datos Personales (en adelante, PTDP) adoptada por el equipo de campaña de la Candidata al Senado de la República de Colombia, Sandra Cifuentes, quien ostenta la calidad de Responsable del Tratamiento. El desarrollo y la adopción de esta política se fundamentan en el cumplimiento del derecho constitucional fundamental al Hábeas Data, consagrado en el artículo 15 de la Constitución Política, y en la observancia estricta de las obligaciones estatutarias impuestas por la Ley 1581 de 2012 y sus decretos reglamentarios, específicamente el Decreto 1377 de 2013.

El objeto principal de esta PTDP consiste en notificar formalmente a los Titulares de los Datos Personales acerca de sus derechos, los procedimientos disponibles para su efectivo ejercicio, las finalidades específicas que legitiman el tratamiento, y las medidas de seguridad adoptadas para salvaguardar la información contenida en las bases de datos bajo la custodia de la Campaña.

El ámbito de aplicación de la presente política es de carácter integral y obligatorio. Rige para la totalidad de las bases de datos de la Campaña, tanto en formato físico como electrónico, que contengan Datos Personales sujetos a cualquier modalidad de tratamiento. Ello incluye, sin limitación, los procesos de recolección, almacenamiento, uso, circulación o supresión de la información personal. La obligatoriedad de cumplimiento se extiende a todo el personal vinculado a la Campaña, incluyendo voluntarios, contratistas y cualquier tercero (Encargado del Tratamiento) que, obrando por cuenta de la candidata Sandra Cifuentes (Responsable), acceda o administre dichas bases de datos.

Es imperativo precisar que, dada la naturaleza del proselitismo electoral de la Campaña, la presente política incorpora de manera vinculante las directrices específicas emitidas por la Superintendencia de Industria y Comercio (SIC) en su Circular Externa No. 01 de 2023 , la cual regula el tratamiento de datos para fines de publicidad, marketing o prospección política y electoral. La observancia de estas directrices estatutarias constituye una obligación legal ineludible orientada a mitigar el riesgo de imposición de sanciones por el indebido tratamiento de datos en el contexto político.

Definiciones Operacionales y Principios Rectores del Tratamiento

A efectos de garantizar la debida y correcta interpretación del presente régimen y de la normativa colombiana de Habeas Data, la Campaña adopta las definiciones legales, prestando especial atención a aquellas de alta sensibilidad en el contexto político.

Definiciones Clave para el Contexto Electoral

El Dato Personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. El Titular es la persona natural cuyos datos son objeto de tratamiento.

Se establece una distinción crítica entre tipos de datos:

Dato Público: Son aquellos que no son catalogados como semiprivados, privados o sensibles. Por su naturaleza, pueden estar contenidos en registros públicos, y su tratamiento no requiere autorización previa del titular. Ejemplos incluyen el estado civil, la profesión u oficio, y la calidad de servidor público.
Dato Sensible: Es aquel dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación. En el contexto de la Campaña, es imperativo reconocer que la información relativa a la ideología política es catalogada legalmente como Dato Sensible.

Se establece que, en el evento de que la Campaña emplee datos de naturaleza pública (tales como profesión u oficio o ubicación geográfica) con el propósito de realizar estudios de micromarketing dirigidos a la inferencia de la ideología política o la preferencia electoral del Titular, dicha actividad será considerada como un Tratamiento implícito de Dato Sensible. En consecuencia, se aplicarán las salvaguardas y requisitos de consentimiento más rigurosos, equivalentes a los exigidos para el dato sensible, garantizando así una protección reforzada de la información.

Principios Rectores del Tratamiento

Todo Tratamiento de Datos Personales ejecutado por la Campaña de Sandra Cifuentes observará de manera estricta los principios estatutarios establecidos en la Ley 1581 de 2012, siendo los más relevantes:

Principio de Legalidad: El tratamiento es una actividad reglada que deberá sujetarse a lo dispuesto en la Ley.
Principio de Finalidad: El Tratamiento deberá ajustarse a una finalidad legítima, explícita y previamente comunicada al Titular de conformidad con la Constitución y la Ley.
Principio de Libertad: El Tratamiento solo podrá ejercerse con el consentimiento, previo, expreso e informado del Titular. Se prohíbe la obtención o divulgación de datos sin la autorización previa, salvo en los casos de excepción legal taxativa.
Principio de Veracidad o Calidad: La información objeto de tratamiento debe ser veraz, completa, exacta, actualizada y verificable.
Principio de Transparencia: Se debe garantizar al Titular el derecho a obtener información acerca de la existencia de datos que le conciernen.
Principio de Acceso y Circulación Restringida: El Tratamiento se sujeta a los límites derivados de la naturaleza de los datos. Los datos no podrán estar disponibles en medios de divulgación masiva, salvo que el acceso sea técnicamente controlable y restringido únicamente a los Titulares o terceros legalmente autorizados.
Principio de Seguridad: La información debe ser conservada bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Principio de Confidencialidad: Todas las personas que intervengan en el Tratamiento están obligadas a garantizar la reserva de la información, incluso después de que cese su relación con la Campaña.

Identificación del Responsable, Encargado y Oficial de Protección de Datos

Responsable del Tratamiento

Nombre: Campaña al Senado de la República de Colombia – Sandra Cifuentes. Correo Electrónico: info@sandracifuentes.com. Teléfono de Contacto: 320 858 8650.

La candidata Sandra Cifuentes, en su calidad de Responsable, es quien determina la finalidad y el Tratamiento al que serán sometidos los datos personales.

Oficial de Protección de Datos (OPD) y Canales de Atención

En cumplimiento del Decreto 1377 de 2013 , la Campaña designará formalmente a una persona o área específica (ejemplo: Director Jurídico de Campaña u Oficial de Cumplimiento) que asumirá la función de protección de datos personales. Esta persona será la encargada de dar trámite a las solicitudes de los Titulares para el ejercicio de sus derechos de Habeas Data.

La Campaña ha determinado que, en el contexto de un proceso electoral de alta presión temporal, la centralización del manejo de Peticiones, Consultas y Reclamos (PQR) constituye una medida necesaria para evitar dilaciones indebidas y garantizar el cumplimiento estricto de los plazos legales. La descentralización del manejo de PQR entre múltiples actores podría incrementar significativamente el riesgo de mora, lo cual es causal de queja ante la SIC.

Los canales formalmente habilitados para la recepción de PQR son:

Correo Electrónico:.
Dirección Física: – Asunto: Habeas Data.

Autorización y Consentimiento

Requisito de Autorización Previa, Expresa e Informada

La condición sine qua non que rige la licitud del Tratamiento es la obtención de la Autorización previa, expresa e informada del Titular. Sin el cumplimiento de dicho requisito, el Tratamiento se reputará ilegal, salvo las excepciones taxativas contenidas en el Artículo 10 de la Ley 1581 de 2012.

La Campaña impone el deber de conservar copia de la comunicación y de la respectiva autorización otorgada por el Titular, utilizando cualquier medio idóneo (físico o electrónico, como el click-wrap o doble opt-in) que pueda ser objeto de consulta posterior y constituya prueba fehaciente de la manifestación de voluntad.

Uso de Bases de Datos de Terceros

Cuando la Campaña recurra a la adquisición o uso de bases de datos provenientes de terceros (ej. intermediarios, listas de referidos o bases de datos comerciales) para realizar actividades de publicidad o prospección política, deberá cumplir con un deber de diligencia estricto, conforme a lo exigido por la SIC.

Si la Campaña recibe o adquiere una base de datos de un tercero, está obligada a:

Verificación de la Licitud: Se debe verificar continuamente si los datos fueron obtenidos lícitamente y si la finalidad original para la cual fueron recolectados es igual, análoga o compatible con la finalidad de prospección política y electoral de la Campaña.
Exigencia de Trazabilidad Documental: El tercero que suministra los datos debe aportar la prueba documental de la autorización original. Si la finalidad inicial (ej. marketing comercial) no incluyó de forma explícita la posibilidad de uso para fines de marketing político o electoral, la autorización se considera viciada (voto nulo de autorización para fines políticos).
Protocolo de Supresión Perentoria: Si la Campaña no puede verificar que los datos poseen la autorización previa, expresa e informada para fines políticos, se deberá iniciar un protocolo para su supresión (borrado seguro) de forma inmediata, a fin de evitar quejas ante la autoridad de control. La SIC ha impuesto sanciones previas por el uso de bases de datos de terceros sin la debida autorización del titular, confirmando que la responsabilidad recae en el Responsable del Tratamiento.

Finalidades Específicas

La Campaña se compromete a que todo tratamiento de datos personales sea proporcional, necesario y obedezca a finalidades legítimas y específicas. En cumplimiento del Principio de Finalidad, la siguiente matriz detalla el uso que se dará a los datos, lo cual debe ser comunicado al Titular en el momento de la recolección:

Base de Datos	Tipos de Datos Recolectados	Categoría de Dato	Finalidad Legítima y Específica	Tratamiento Específico (Uso/Circulación)
Base de Contactos y Voluntarios	Identificación (Cédula), Contacto (Teléfono, Email), Datos de Ubicación.	Personal (Público/Privado)	Prospección electoral, Movilización, Convocatoria a eventos, difusión de propuestas.	Envío de comunicaciones masivas (SMS/Email/WhatsApp). Segmentación geográfica y demográfica para optimizar el alcance de la campaña.
Base de Datos Sensibles de Apoyo	Ideología política , Afiliación a partido, Preferencias electorales.	Sensible	Segmentación avanzada (Micromarketing), Estudios de impacto político y análisis estadístico.	Requiere consentimiento expreso y facultativo. Uso restringido a personal autorizado con deber de confidencialidad reforzado.
Base de Donantes y Contribuyentes	Nombre, Cédula, Monto Aportado, Historial Transaccional.	Personal (Privado/Semiprivado)	Cumplimiento de normas de financiación, contabilidad y rendición de cuentas ante el Consejo Nacional Electoral (CNE).	Transmisión al área financiera de la Campaña. Transferencia a autoridades electorales si es requerido legalmente.
Gestión de PQR	Datos de identificación del peticionario, detalles de la solicitud (reclamo o consulta).	Personal (Semiprivado)	Gestión de solicitudes de conocimiento, actualización, rectificación, supresión o revocatoria del consentimiento.	Radicación, respuesta y conservación de la prueba de la gestión de Habeas Data.

Justificación del Micromarketing

La utilización de técnicas de marketing político avanzado o micromarketing constituye una finalidad de alto riesgo, dado que implica la creación de perfiles y la segmentación detallada de audiencias. Para la licitud de dicho tratamiento, la Campaña tiene la obligación de informar explícitamente al Titular, al momento de solicitar el consentimiento, que sus datos serán sometidos a segmentación algorítmica y perfilamiento para la personalización de mensajes de campaña. La omisión de informar sobre esta finalidad específica resultaría en un vicio en la autorización por falta de información, lo que podría acarrear la orden de supresión de las bases de datos de segmentación utilizadas por parte de la autoridad de control.

Datos Sensibles y de Niños, Niñas y Adolescentes (NNA)

Datos Sensibles

La información relativa a la ideología o preferencia política de un ciudadano ostenta la categoría de Dato Sensible. La Campaña prohíbe el Tratamiento de datos sensibles, salvo que se cumplan rigurosamente las siguientes disposiciones legales:

Autorización Explícita: El Titular debe otorgar su autorización expresa a dicho tratamiento.
Facultatividad: El Titular debe ser informado de manera clara que la respuesta a preguntas que involucren datos sensibles es de carácter facultativo y que no está obligado a suministrarlos.
Seguridad Reforzada: En caso de recolección de datos sensibles, la Campaña implementará medidas de seguridad adicionales y protocolos de confidencialidad reforzados para garantizar la protección de esta información íntima.

Tratamiento de Datos de Niños, Niñas y Adolescentes

El Tratamiento de datos personales de NNA está prohibido, excepto cuando se trate de datos de naturaleza pública o cuando el tratamiento sea esencial para la defensa de sus derechos o el cumplimiento de una función administrativa.

Cualquier tratamiento de datos de NNA debe responder y respetar el interés superior del menor y asegurar el respeto de sus derechos fundamentales. En los casos excepcionales en que se requiera el tratamiento (ej. actividades específicas con jóvenes votantes), la Campaña adoptará el siguiente protocolo:

La autorización debe ser otorgada por el representante legal del menor.
Previamente a la autorización, se debe asegurar que el menor de edad ejerza su derecho a ser escuchado.
La Campaña deberá valorar la opinión del menor, teniendo en cuenta su madurez, autonomía y capacidad para entender el asunto.
La Campaña implementará protocolos de verificación de edad en interacciones digitales y se abstendrá de recolectar datos de NNA a menos que se cumpla estrictamente con este protocolo de autorización dual.

Derechos de los Titulares y Mecanismos de Ejercicio

El Titular de los datos personales cuenta con los siguientes derechos, los cuales pueden ser ejercidos a través de los canales de PQR:

Conocimiento y Acceso: Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.
Actualización y Rectificación: Conocer, actualizar y rectificar su información frente a datos parciales, inexactos, incompletos o que induzcan a error, o aquellos cuyo tratamiento esté prohibido o no haya sido autorizado.
Prueba de Autorización: Solicitar prueba de la autorización otorgada, salvo cuando la ley exija una excepción.
Información sobre el Uso: Ser informado por el Responsable o Encargado, previa solicitud, respecto del uso que le ha dado a sus datos.
Supresión y Revocatoria: Revocar la autorización y/o solicitar la supresión de los datos personales cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

Protocolo de Supresión y Revocatoria

Se ha dispuesto la implementación de un mecanismo ágil para atender las solicitudes de revocatoria de autorización y supresión de datos. Esto resulta particularmente relevante en el contexto de marketing político, donde la solicitud de suspensión del uso de datos de contacto es necesaria.

La Campaña reconoce que puede haber incidentes de activismo de Habeas Data, donde grupos opositores inciten a los votantes a solicitar masivamente la revocatoria del consentimiento. La capacidad operativa para la gestión de solicitudes masivas (activismo de Habeas Data) resulta crítica para evitar investigaciones administrativas por mora ante la SIC. Por ello, el sistema de PQR está diseñado para manejar picos de demanda y garantizar la supresión segura y documentada de los registros.

El Titular o causahabiente solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo directamente ante el Responsable o Encargado del Tratamiento.

Procedimiento Operacional para Consultas y Reclamos (PQR)

Se utilizará un protocolo de radicación fehaciente (Sistema de Gestión de PQR) que genere prueba documentada de las fechas de recepción y el contenido de las comunicaciones, garantizando la trazabilidad y el estricto cumplimiento de los términos perentorios establecidos en el Título V de la Ley 1581 de 2012.

La Campaña deberá observar los siguientes plazos y requisitos de trámite:

Tipo de Solicitud	Objeto	Término Máximo de Respuesta Inicial	Prórroga Permitida	Condiciones Adicionales del Trámite
Consulta (Art. 14, L. 1581)	Acceso y conocimiento de la información personal objeto de Tratamiento.	10 días hábiles contados desde la recepción.	5 días hábiles adicionales, previa motivación e información al Titular.	El Responsable debe suministrar al consultante toda la información contenida en el registro individual.
Reclamo (Art. 15, L. 1581)	Corrección, actualización, supresión o revocatoria, o presunto incumplimiento de la ley.	15 días hábiles contados a partir del día siguiente a la fecha de su recibo completo.	8 días hábiles adicionales, previa motivación e información al Titular.	Reclamo Incompleto: 5 días para requerir subsanación. Si el solicitante no subsana en 2 meses, se entiende el desistimiento.

Protocolo para Reclamos

Una vez que el reclamo es recibido y verificado como completo, la Campaña debe incluir en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo. Este procedimiento debe realizarse en un término no mayor a dos (2) días hábiles. Dicha leyenda debe mantenerse hasta que el reclamo sea decidido.

Si la persona que recibe el reclamo (el funcionario de Campaña o el Encargado) no es competente para resolverlo, deberá dar traslado a quien corresponda (el OPD) en un término máximo de dos (2) días hábiles e informar de esta situación al interesado. La estricta observancia de este protocolo de trazabilidad es la seguridad jurídica de la Campaña ante la autoridad de control.

Deberes y Medidas de Seguridad del Responsable y Contratación con Encargados

La candidata Sandra Cifuentes, en su calidad de Responsable del Tratamiento, asume todos los deberes y obligaciones establecidos en la Ley 1581 de 2012.

Cumplimiento de la Circular SIC 01/2023 y el Manual de Seguridad

La SIC, como autoridad competente, ha instruido la adopción de medidas específicas para las campañas electorales. La Campaña de Sandra Cifuentes se obliga a cumplir:

Adopción del Manual de Seguridad: En estricto acatamiento del literal k) del artículo 17 de la Ley 1581 de 2012, se exige al Responsable la adopción de un Manual de Políticas de Seguridad de la Información (PSI). La omisión de este deber constituye una infracción sancionable. Este manual será el marco de referencia para las medidas preventivas.
Medidas de Seguridad Preventivas: La Campaña adoptará medidas de seguridad preventivas de naturaleza tecnológica, organizacional, humana y procedimental ex ante a la recolección de datos y durante todo su ciclo de vida, con el fin de prevenir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Estudio de Impacto de Privacidad (PIA): Se realizará un Estudio de Impacto de Privacidad (PIA) para aquellas actividades que involucren un Tratamiento de Datos Personales de alto riesgo, como el micromarketing o la transmisión de datos sensibles. El PIA es una herramienta operativa que permite mapear los flujos de datos, evaluar los riesgos y definir las medidas técnicas y organizacionales necesarias.
Verificación Continua de Licitud: La Campaña verificará continuamente que los datos fueron obtenidos lícitamente y que pueden ser usados para prospección política y electoral, tal como lo exige la SIC.

Relación con Encargados del Tratamiento

En caso de contratar a terceros (agencias de publicidad, mercadotecnia, call centers) que actúen como Encargados del Tratamiento, la Campaña de Sandra Cifuentes conservará inalterada la calidad de Responsable, manteniendo la responsabilidad legal.

La Campaña deberá:

Verificar el Cumplimiento: Verificar y auditar el respeto y cumplimiento de esta PTDP por parte del Encargado.
Obligaciones Contractuales: Los contratos de Transmisión de datos incluirán obligaciones específicas para el Encargado, tales como dar Tratamiento a nombre del Responsable conforme a los principios de la ley, salvaguardar la seguridad de las bases de datos y guardar confidencialidad .
Transferencia Internacional: Si se utilizan servicios digitales globales (ej. servidores en el exterior o plataformas de marketing digital) que impliquen la Transferencia de datos fuera de Colombia, la Campaña garantizará que el receptor cumpla con los principios de protección de datos colombianos .

Vigencia de las Bases de Datos y Disposiciones Finales

Periodo de Conservación

Los Datos Personales se mantendrán almacenados únicamente por el tiempo que resulte necesario para cumplir con las finalidades descritas en esta política, o hasta que el Titular revoque la autorización, y se solicite la suspensión del uso de los datos de contacto.

Se establece una excepción fundamental de conservación por mandato legal para los datos que deben permanecer por término normativo (ej. datos de donantes, contabilidad electoral, y reportes a la CNE) . Estos datos se conservarán por el término que exijan las normas de financiación y auditoría electoral.

Protocolo de Cierre de Campaña y Baja de Datos

Una vez finalizada la contienda electoral, se activará un protocolo de “cierre de campaña” con el fin de mitigar el riesgo de fuga o acceso no autorizado post-campaña. Este protocolo obligará a:

Borrado Seguro: El borrado seguro de los datos personales de los dispositivos utilizados por los Encargados y voluntarios (móviles, tabletas, ordenadores portátiles).
Transferencia Segura: La transferencia segura de las bases de datos maestras que deban conservarse (ej. las de reporte legal) a la custodia del equipo legal permanente de la candidata, garantizando su conservación bajo condiciones de seguridad y confidencialidad.

Modificaciones y Disposiciones Finales

Esta Política de Tratamiento de Datos Personales entra en vigor a partir de la fecha de su publicación. Cualquier modificación sustancial a la misma (especialmente en cuanto a las finalidades o la identidad del Responsable) será comunicada a los Titulares antes de su implementación.

La presente política se rige en todos sus aspectos por la legislación colombiana, y cualquier conflicto o controversia que surja de su interpretación será sometido a la Superintendencia de Industria y Comercio, sin perjuicio de las competencias de los jueces ordinarios.

Conclusiones y Recomendaciones Operacionales

La elaboración de esta Política de Tratamiento de Datos Personales proporciona el marco legal necesario para la operación de la Campaña de Sandra Cifuentes, mitigando los riesgos legales inherentes al tratamiento masivo de datos para fines políticos. La principal conclusión estriba en que el cumplimiento en una campaña electoral trasciende la simple declaración de principios y exige la implementación de medidas operacionales proactivas, particularmente las derivadas de la Circular 01 de 2023 de la SIC.

Se establecen las siguientes recomendaciones operacionales basadas en el análisis legal:

Blindaje de la Autorización: La Campaña debe rechazar de manera preventiva cualquier base de datos externa cuya trazabilidad de consentimiento no pueda ser verificada, especialmente si se utilizó para fines no compatibles con la prospección política. La verificación continua de la licitud de la recolección es un deber ineludible.
Formalización del OPD: Es crucial formalizar la designación del Oficial de Protección de Datos (OPD) y dotarlo de la capacidad técnica y administrativa para gestionar el sistema de PQR. El uso de un sistema de radicación de peticiones (Ticketing) es indispensable para cumplir con los plazos legales perentorios de 10/15 días hábiles y documentar la inclusión de la leyenda “reclamo en trámite” en las bases de datos en el término de 2 días hábiles.
Enfoque de Seguridad Preventiva: La exigencia de realizar Estudios de Impacto de Privacidad (PIA) para actividades de alto riesgo , implica que la Campaña debe documentar cómo se protege la información sensible, no solo declarando la intención, sino ejecutando y auditando protocolos de seguridad tecnológica y organizacional.
Capacitación Obligatoria: Dada la alta rotación de personal y voluntarios en una campaña, se debe impartir formación obligatoria al equipo sobre los principios de la Ley 1581 de 2012 y, específicamente, sobre la prohibición de recolectar Datos Sensibles sin autorización expresa y facultativa, y la obligación de confidencialidad.