Ley 1581 y datos de menores: qué mirar al digitalizar la cafetería
Un sistema de cafetería escolar trata datos de menores y, si controla alergias, datos de salud. En Colombia eso tiene reglas concretas, y el responsable ante la autoridad sigue siendo el colegio aunque el software lo ponga otro.
Antes de nada
Esto es una guía de orientación escrita desde la experiencia de construir el sistema, no es asesoría jurídica. Para una decisión concreta, consulta con tu abogado o con el oficial de tratamiento de datos de tu institución.
Qué datos hay en juego
Conviene enumerarlos, porque el volumen sorprende. Una cafetería digitalizada guarda, como mínimo:
- Nombre, documento y curso de cada estudiante — todos ellos, menores de edad.
- Nombre, documento, correo y teléfono del acudiente.
- El historial completo de lo que el menor compró: qué, cuándo, a qué hora y por cuánto.
- Si hay control de alergias, información de salud del menor.
- A veces, una fotografía del estudiante para identificarlo en la caja.
Los dos últimos son los delicados. Una alergia alimentaria es un dato de salud, y los datos de salud son datos sensibles en la Ley 1581: su tratamiento está prohibido salvo en supuestos concretos, uno de los cuales es que el titular haya dado su autorización explícita. Una fotografía de un menor es, además, un dato biométrico en la práctica.
El artículo 7, y por qué cambia todo
El artículo 7 de la Ley 1581 de 2012 se ocupa de los datos de niños, niñas y adolescentes. Su regla general es que su tratamiento está proscrito, con la excepción de los datos de naturaleza pública y de aquellos casos en que el tratamiento responda al interés superior del menor y respete sus derechos fundamentales.
En la práctica, para un colegio esto significa tres cosas: que la autorización la da quien ejerce la patria potestad, que hay que poder explicar para qué se trata cada dato, y que no vale recoger datos "por si acaso". Un sistema que pide la EPS del estudiante para vender un sándwich está recogiendo un dato que no necesita, y eso es exactamente lo que la ley no permite.
La consecuencia de diseño más útil que sale de aquí: cuanto menos guardes, menos tienes que proteger. Antes de aceptar un campo en un formulario de matrícula, pregunta para qué se usa.
La autorización: previa, expresa e informada
El Decreto 1377 de 2013 reglamenta cómo debe ser la autorización. Los tres adjetivos importan por separado:
- Previa
- Antes de recoger el dato, no después. Un colegio que carga el padrón completo en enero y pide autorización en marzo lleva dos meses tratando datos sin ella.
- Expresa
- El silencio no autoriza. Una casilla ya marcada, o un "si no responde entendemos que acepta" en una circular, no es autorización.
- Informada
- El acudiente tiene que saber qué datos se tratan, para qué, quién los trata y cómo ejercer sus derechos. Y tiene que poder consultarlo después, no sólo en el momento de firmar.
Un detalle que casi siempre se pasa por alto: la política de tratamiento cambia con el tiempo. Si cambia de forma sustancial, hay que volver a informar. Eso obliga a llevar registro no sólo de quién aceptó, sino de qué versión aceptó cada quien — y a distinguir un cambio de fondo, que exige volver a preguntar, de una corrección de una errata, que no.
Quién responde: el colegio o el proveedor
La ley distingue dos figuras. El responsable decide sobre el tratamiento; el encargado lo ejecuta por cuenta del responsable. En una cafetería digitalizada, lo normal es que el colegio sea responsable y el proveedor del software, encargado.
La consecuencia práctica es la que abre este artículo: quien responde ante la Superintendencia de Industria y Comercio es el colegio. Contratar a un proveedor no traslada esa responsabilidad; lo que hace es obligar a que el contrato entre ambos deje claro qué puede y qué no puede hacer el encargado con los datos.
- ¿El contrato dice expresamente que el proveedor no puede usar los datos para nada distinto de prestar el servicio?
- ¿Qué pasa con los datos cuando termina el contrato? ¿Se devuelven, se borran, en qué plazo?
- ¿Puede el proveedor subcontratar el alojamiento? ¿Dónde acaban físicamente los datos?
- ¿Quién avisa a quién si hay un incidente de seguridad, y en cuánto tiempo?
Los derechos de las familias, y cómo se ejercen
El titular —o su representante, tratándose de un menor— puede conocer, actualizar y rectificar sus datos, pedir prueba de la autorización, ser informado del uso que se les ha dado, revocar la autorización y solicitar la supresión.
La pregunta operativa que casi nunca se hace en la fase de compra: ¿cuánto trabajo le cuesta al colegio atender una de esas solicitudes? Si supone pedirle al proveedor una consulta a medida, la primera solicitud tardará semanas. Debería resolverse desde una pantalla.
Las siete preguntas para el proveedor
- ¿Qué datos del menor guardan, exactamente, y cuáles de ellos son necesarios para operar?
- ¿Cómo se recoge y se registra la autorización del acudiente, y se guarda la versión de la política que aceptó?
- ¿Los datos de nuestro colegio pueden ser vistos desde otro colegio cliente? ¿Qué lo impide?
- ¿Quién de su equipo puede consultar los datos de nuestros estudiantes, y queda registro de cuándo lo hace?
- ¿Cómo se crean las cuentas de las familias? ¿Existe registro público?
- ¿Podemos exportar todo, y borrar los datos de una familia concreta, sin pedírselo a ustedes?
- ¿Dónde están alojados los datos y qué pasa con ellos si dejamos de ser clientes?
Las respuestas de FoodCash a estas siete están escritas en nuestra política de privacidad. Si quieres discutirlas caso a caso, escríbenos.