La presente Política incluye los aspectos básicos de índole normativa sobre el tratamiento de datos personales que reposan en la Arquidiócesis de Medellín y las instituciones que la conforman, y regula el procedimiento para el tratamiento de estos datos, con el fin de garantizar y proteger el derecho fundamental al habeas data, en cumplimiento de la Ley 1581 de 2012, y el Decreto 1377 de 2013.
Responsable del Tratamiento: Arquidiócesis de Medellín.
Nit. 890.905.006-8
Domicilio: Medellín.
Dirección: Calle 57 No. 49-44, P.3, Medellín – Antioquia.
Correo electrónico: pbdatos@arqmedellín.co.
Teléfono: (604) 3227700
Peticiones, Quejas, Reclamos: Oficial de Cumplimiento de Tratamiento de Datos.
CAPÍTULO I – GENERALIDADES
Artículo 1º. Ámbito de aplicación: Las políticas y procedimientos consagrados en esta política se aplicarán en la Arquidiócesis de Medellín y en las instituciones que la conforman como la Curia Arquidiocesana, todas las Parroquias y cuasiparroquias, los seminarios Arquidiocesanos, las fundaciones y corporaciones Arquidiocesanas, las instituciones educativas que dependen directamente de la Arquidiócesis.
Artículo 2º. Definiciones: Las siguientes definiciones, permiten una correcta y apropiada interpretación de la Ley 1581 de 2012 y el Decreto reglamentario 1377 de 2013, y son indispensables para la protección del habeas data, lo que contribuye a determinar las responsabilidades de los involucrados en el tratamiento de datos personales.
- Autorización: Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.
- Aviso de privacidad: Comunicación verbal o escrita generada por el responsable, dirigida al titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del tratamiento que se pretende dar a los datos personales.
- Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento.
- Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.
- Datos Personales: Es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
- Datos sensibles: Se entiende por datos sensibles aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos.
- Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
- Encargado del tratamiento: Es la persona natural o jurídica que realiza el tratamiento de datos, ya sea por si sola o en sociedad con otros. Para el caso de la Arquidiócesis de Medellín, es el Arzobispo o su delegado y los Representantes Legales de las Instituciones Arquidiocesanas.
- Responsable del tratamiento: Es la persona natural o jurídica que decide sobre la base de datos o el tratamiento de datos.
- Titular de la información: Es la persona física cuyos datos son objeto de tratamiento.
- Transferencia de datos: La transferencia de datos tiene lugar cuando el responsable y/o encargado del tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es responsable del tratamiento y se encuentra dentro o fuera del país.
- Transmisión de datos: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la república de Colombia cuando tenga por objeto la realización de un tratamiento por el encargado por cuenta del responsable.
Artículo 3º. Principios: La Arquidiócesis de Medellín hace suyos los principios establecidos en la Ley, a los que deberá ajustarse la recolección y el tratamiento de datos de carácter personal:
- De legalidad: El tratamiento debe sujetarse a lo establecido en la Ley.
- De finalidad: El tratamiento debe obedecer a una finalidad legítima.
- De libertad: El tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del titular.
- De veracidad o calidad: La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
- De transparencia: En el tratamiento debe garantizarse el derecho del titular a obtener del responsable del tratamiento o del encargado del tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
- De acceso y circulación restringida: El tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la Ley y la Constitución. En este sentido, el tratamiento solo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la Ley;
- De seguridad: La información sujeta a tratamiento por el responsable del tratamiento o encargado del tratamiento deberá ser manejada con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
- De confidencialidad: Todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento.
CAPÍTULO II – AUTORIZACION
Artículo 4º. Autorización: La Arquidiócesis de Medellín y sus instituciones solo recolectarán, almacenarán, usarán y circularán aquellos datos personales que sean pertinentes y adecuados para la finalidad señalada en la presente Política, para lo cual contará con el consentimiento previo, expreso e informado del titular, a través de cualquier medio: documento físico, electrónico, u otro formato, que permita garantizar su posterior consulta.
Artículo 5º. Prueba de la autorización: La Arquidiócesis de Medellín, adoptará las medidas necesarias para consultar cuándo y cómo se obtuvo la autorización por parte de los titulares de datos personales para el tratamiento de los mismos. Esta autorización deberá acreditarse cuando así lo requiera el titular o la Superintendencia de Industria y Comercio.
Artículo 6º. Casos en que no es necesaria la autorización:
- Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;
- Datos de naturaleza pública;
- Casos de urgencia médica o sanitaria;
- Tratamiento de información autorizado por la Ley para fines históricos, estadísticos o científicos;
- Datos relacionados con el registro civil de las personas.
CAPÍTULO III – DATOS SENSIBLES
Artículo 7º. Datos sensibles: La Ley prevé una categoría de datos denominada “datos sensibles” que deben ser objeto de tratamiento especial. Cuando el tratamiento de los datos sensibles sea posible conforme a lo establecido en la Ley, se deberá informar al titular de forma explícita y previa cuales de los datos se consideran sensibles y la finalidad del tratamiento y obtener su consentimiento expreso (informándole que no está obligado a autorizar su tratamiento).
Los datos definidos como sensibles en la Ley, podrán ser solicitados por la Arquidiócesis de Medellín y sus instituciones en el momento en que usted solicite alguno de los servicios que la Arquidiócesis ofrece, y son requeridos para reportarlos a la Santa Sede, a la Conferencia Episcopal de Colombia y a otras entidades del Estado, en ejercicio de sus funciones.
Artículo 8º. Tipos de datos sensibles:
- A) Los que afecten la intimidad del titular, o cuyo uso indebido puede generar su discriminación: Estos datos solo pueden ser objeto de tratamiento, en los siguientes casos:
- Cuando el titular haya dado su autorización expresa a dicho tratamiento.
- Cuando el tratamiento se requiera para proteger la vida del titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización;
- Cuando el tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del titular;
- Cuando el tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;
- Cuando el tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los titulares.
- B) Los que se relacionen con niños, niñas y adolescentes.
No se les puede dar tratamiento, salvo que esté autorizado por su representante legal (padres, tutores, quien ejerza la patria potestad, según el caso); respetando en todo caso el interés superior del titular y sus derechos fundamentales.
CAPÍTULO IV – TRATAMIENTO DE LA INFORMACIÓN
Artículo 9º. Finalidades de la información recolectada por la Arquidiócesis de Medellín: La información suministrada será utilizada única y exclusivamente por la Arquidiócesis para los siguientes fines:
- Propiciar el seguimiento a los compromisos establecidos entre usted y la Arquidiócesis de Medellín.
- Divulgar los servicios que ofrece la Arquidiócesis de Medellín de forma directa, o a través de terceros.
- Invitar a eventos pastorales, religiosos, académicos, culturales, sociales, deportivos, entre otros.
- Informar sobre el acontecer general y las disposiciones institucionales y las distintas instituciones que la conforman.
Artículo 10º. Derechos del titular de los datos personales:
- Conocer, actualizar y rectificar sus datos personales frente a los responsables del tratamiento o encargados del tratamiento.
- Solicitar prueba de la autorización a la Arquidiócesis de Medellín o a la institución Arquidiocesana implicada, como responsable del tratamiento.
- Solicitar a la Arquidiócesis de Medellín o a la institución Arquidiocesana implicada sobre el uso que le ha dado a sus datos personales;
- Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la Ley 1581 de 2012
- Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
- Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.
Artículo 11º. Personas a quienes se les puede suministrar la información:
- A los titulares sus causahabientes (herederos) o sus representantes legales;
- A las entidades públicas o administrativas en ejercicio de sus funciones legales;
- Por orden judicial;
- A los terceros autorizados por el titular (poder otorgado ante notario)
- A los terceros autorizados por la Ley.
CAPÍTULO V – PROCEDIMIENTO PARA CONSULTA, QUEJAS, RECLAMACIONES Y REVOCATORIAS DE AUTORIZACIONES
Artículo 12º. Acceso a la información: La Arquidiócesis de Medellín garantiza el derecho de acceso en tres vías: la primera, implica que el titular pueda conocer la efectiva existencia del tratamiento a que son sometidos sus datos personales; la segunda, que el titular pueda tener acceso a sus datos personales que están en posesión del responsable; la tercera, supone el derecho a conocer las circunstancias esenciales del tratamiento, lo cual se traduce en el deber de la Arquidiócesis de informar al titular sobre el tipo de datos personales tratados, y todas y cada una de las finalidades que justifican el tratamiento.
Artículo 13º. Consulta de la información. La Arquidiócesis de Medellín garantiza el derecho de consulta suministrando a los titulares toda la información contenida en el registro individual, o que esté vinculada con la identificación del titular.
Para la atención de solicitudes de consulta de datos personales la Arquidiócesis de Medellín garantiza:
- Habilitar medios de comunicación electrónica u otros que considere pertinentes.
- Utilizar los servicios de atención al cliente o de reclamaciones que tiene en operación.
Artículo 14º. Tiempo para la atención de consultas: Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado antes del vencimiento de los 10 días, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.
Artículo 15º. Reclamos: El titular de la información contenida en la base de datos puede solicitar a la Arquidiócesis de Medellín la corrección, actualización o supresión, de sus datos, o cuando advierta el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012, podrán presentar un reclamo ante la Arquidiócesis de Medellín o ante la institución Arquidiocesana implicada, el cual será tramitado bajo las siguientes reglas:
- Si el reclamo recibido no cuenta con información completa que permita darle trámite, esto es, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
- Si por alguna circunstancia la Arquidiócesis de Medellín recibe un reclamo que en realidad no debería ir dirigido contra ella, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
- Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite”, y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.
Artículo 16º. Término para la atención de reclamos: El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término se informará al interesado antes del vencimiento del referido plazo los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
Artículo 17º. Rectificación, actualización o supresión de datos: El titular de la información, puede ejercer en cualquier momento estos derechos, previo el cumplimiento de los requisitos establecidos para ello por la Arquidiócesis de Medellín. Cuando la solicitud sea formulada por persona distinta del titular y no se acredite que la misma actúa en representación de aquél, se tendrá por no presentada.
Artículo 18º. Supresión de datos: No procede la solicitud de supresión de datos (parcial o total) de permanecer en la base de datos cuando se tenga con el titular un deber contractual o legal (como el surgido por la incardinación de los clérigos, o la designación de un oficio eclesiástico incluso para los religiosos y laicos); cuando se obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, la investigación y persecución de delitos o la actualización de sanciones administrativas, o cuando los datos sean necesarios para proteger los intereses jurídicamente tutelados del titular; para realizar una acción en función del interés público, o para cumplir con una obligación legalmente adquirida por el titular.
Artículo 19º. Revocatoria de la autorización: Los titulares de los datos personales pueden revocar total o parcialmente su consentimiento para el tratamiento de sus datos personales en cualquier momento, siempre y cuando no lo impida una disposición legal. Por lo anterior, será necesario que el titular al momento de elevar la solicitud de revocatoria indique en ésta, si la revocación que pretende realizar es total o parcial, indicando además el motivo por el cual no está conforme y requiere la revocatoria. Habrá casos en que el consentimiento, por su carácter necesario por la relación del titular con la, Arquidiócesis de Medellín no podrá ser revocado.
Artículo 20º. Requisitos para atender consultas, quejas o reclamos.
Para la atención de consultas, quejas o reclamos, se deberá atender al siguiente procedimiento:
- El nombre del titular y cuenta de correo electrónico para comunicarle la respuesta a su solicitud.
- Documento que acredite la identidad del titular o, en su defecto, el documento que lo acredita como representante legal del titular;
- La descripción clara y precisa del motivo de consulta o inconformidad, y los datos o registros respecto de los que se busca ejercer alguno de los derechos antes mencionados, y
- Cualquier otro elemento o documento que facilite la localización de los datos personales.
- Para el caso de las solicitudes de rectificación de información, el titular deberá indicar las modificaciones a realizarse y aportar la documentación que sustente su petición.
CAPÍTULO VI – DEBERES DEL RESPONSABLE Y ENCARGADO DEL TRATAMIENTO DE LA INFORMACIÓN
Artículo 21º. Deberes del responsable del tratamiento de los datos personales:
- Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;
- Solicitar y conservar, copia de la respectiva autorización otorgada por el titular;
- Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;
- Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
- Garantizar que la información que se suministre al encargado del tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;
- Actualizar la información, comunicando de forma oportuna al encargado del tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada;
- Rectificar la información cuando sea incorrecta y comunicar lo pertinente al encargado del tratamiento;
- Suministrar al encargado del tratamiento, según el caso, únicamente datos cuyo tratamiento esté previamente autorizado;
- Exigir al encargado del tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del titular;
- Tramitar las consultas y reclamos formulados;
- Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de las normas sobre protección de datos, y para la atención de consultas y reclamos;
- Informar al encargado del tratamiento cuando determinada información se encuentra en discusión por parte del titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo;
- Informar a solicitud del titular sobre el uso dado a sus datos;
- Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.
- Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
Artículo 22º. Deberes de los encargados del tratamiento.
- Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;
- Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
- Realizar oportunamente la actualización, rectificación o supresión de los datos;
- Actualizar la información reportada por los responsables del tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo;
- Tramitar las consultas y los reclamos formulados por los titulares;
- Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de las normas sobre protección de datos, y en especial, para la atención de consultas y reclamos por parte de los titulares;
- Registrar en la base de datos las leyenda «reclamo en trámite» en la forma en que se regula la Ley;
- Insertar en la base de datos la leyenda «información en discusión judicial» una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal;
- Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio;
- Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella;
- Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares;
- Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
Artículo 23º. Encargados del tratamiento de la información en la Arquidiócesis de Medellín: La recolección, almacenamiento, uso, circulación o supresión de datos personales, y atención de consultas y reclamos estará a cargo de las personas designadas por el Arzobispo de Medellín y los Representantes legales de las instituciones Arquidiocesanas, según el caso, para tal fin.
CAPÍTULO VII – MEDIDAS DE SEGURIDAD Y CONFIDENCIALIDAD DE LA INFORMACIÓN
Artículo 24º. Medidas de seguridad. Con el fin de prevenir la adulteración, pérdida, consulta uso, o acceso no autorizado o fraudulento, de los registros de datos personales en nuestra base de datos, se fomentará la difusión de información y las medidas de seguridad técnica, humana y administrativa, entre empleados y colaboradores. La Arquidiócesis de Medellín y las instituciones que la conforman, mantendrán protocolos de seguridad de obligatorio cumplimiento para el personal con acceso a los datos de carácter personal y a los sistemas de información.
Artículo 25º. Confidencialidad. Teniendo en cuenta que la información es confidencial, a cada una de las personas que intervengan en el tratamiento de los datos personales (recolección, almacenamiento, uso, circulación, supresión), se hará firmar en su contrato de trabajo, una cláusula de confidencialidad que garantice la reserva de dicha información.
Artículo 26º. Aviso de privacidad. La Arquidiócesis de Medellín puede modificar, revisar o hacer cambios en sus políticas en cualquier momento.
Artículo27º. Vigencia. La información contenida en la base de datos estará vigente mientras la Santa Sede, la Conferencia Episcopal de Colombia o la Arquidiócesis, no determinen su cancelación.
La presente Política de Tratamiento de datos personales de la Arquidiócesis de Medellín, rige a partir del 30 de septiembre de 2013.