Datos biométricos en propiedad horizontal: ¿Qué dice la SIC?

Conozca los límites legales para la recolección de información sensible en los conjuntos residenciales de Colombia.

El tratamiento de datos personales en propiedad horizontal es un tema que genera constantes dudas entre administradores y residentes. Según la Superintendencia de Industria y Comercio, la recolección de información biométrica debe cumplir con estrictos protocolos de seguridad y proporcionalidad [1]. Muchos consejos de administración se preguntan si exigir huellas digitales es legal o vulnera la intimidad [2]. En AdmigoPH analizamos la normativa vigente para evitar sanciones administrativas que afecten el presupuesto del edificio.

Marco legal y principios de finalidad

Marco legal y principios de finalidad

La Ley 1581 de 2012 en el entorno residencial

La Ley 1581 de 2012 constituye el régimen general de protección de datos personales en Colombia. Su aplicación en la propiedad horizontal es estricta, pues los consejos de administración y las empresas de vigilancia actúan como responsables y encargados del tratamiento de información. Toda copropiedad, independientemente de su tamaño, debe implementar políticas que garanticen el tratamiento adecuado de los datos de residentes, visitantes y empleados. Es fundamental entender que esta normativa no es opcional; busca equilibrar la seguridad de los conjuntos residenciales con el respeto absoluto a los derechos fundamentales a la intimidad y al habeas data. Puede consultar el texto completo de esta norma en el sitio oficial de la Secretaría Jurídica del Distrito sobre la Ley 1581 de 2012.

Principios rectores para el tratamiento de datos

Para que la recolección de información sea legítima, la administración debe ajustarse estrictamente a tres principios fundamentales que blindan la operación frente a posibles sanciones de la Superintendencia de Industria y Comercio (SIC):

• Principio de libertad: El tratamiento de los datos solo puede realizarse con el consentimiento previo, expreso e informado del titular, evitando cualquier tipo de coacción para acceder a zonas comunes.
• Principio de finalidad: La información recolectada debe obedecer a un propósito legítimo y específico, previamente comunicado al titular, y no puede utilizarse para fines distintos a los autorizados.
• Principio de minimización de datos: Solo se deben recolectar los datos que sean estrictamente necesarios para cumplir con el fin propuesto, evitando la obtención de información excesiva o innecesaria.

Estos principios obligan a los administradores a realizar una autoevaluación constante: si una medida de seguridad, como un sistema de control de acceso, puede lograrse mediante métodos menos intrusivos que los datos biométricos, el principio de minimización sugiere optar por la alternativa menos invasiva.

La naturaleza de la biometría como dato sensible

Los datos biométricos, tales como la huella dactilar, el reconocimiento facial o el escaneo de iris, son clasificados por la ley como datos sensibles. Esta categoría merece una protección reforzada debido a que su tratamiento puede generar riesgos de discriminación o vulneración de derechos fundamentales. Por esta razón, el consentimiento para capturar y almacenar esta información no puede ser una condición tácita o implícita al momento de ingresar a la copropiedad; debe ser un acto voluntario, explícito y debidamente documentado por parte del titular.

La administración no puede imponer la biometría como el único medio de acceso si esto implica vulnerar el derecho a la intimidad de quien se niega a entregar dicha información. El titular tiene el derecho de conocer, en todo momento, quién es el responsable del tratamiento, para qué se utiliza su información y cuáles son los protocolos de seguridad implementados para protegerla.

Obligatoriedad del consentimiento informado

El consentimiento es el pilar central de toda gestión de datos en propiedad horizontal. Antes de que cualquier sensor recoja un solo registro de huella o rostro, la administración tiene el deber jurídico de informar de manera clara y sencilla al residente o visitante sobre la naturaleza de los datos capturados y las medidas de seguridad que rodean a dicha tecnología.

El consentimiento debe ser otorgado de forma escrita o a través de medios digitales que permitan verificar la autorización del titular. Si la copropiedad no logra demostrar que el titular recibió una información completa sobre el uso, almacenamiento y finalidades de sus datos biométricos, cualquier recolección realizada se considera ilegal. En este contexto, la transparencia no es solo una buena práctica de gestión, sino un requisito indispensable para evitar incurrir en infracciones que derivarían en procesos sancionatorios ante la entidad de vigilancia competente. Mantener este estándar de claridad permite que el conjunto residencial opere bajo un marco de confianza, minimizando el riesgo de reclamos y garantizando el cumplimiento normativo frente a las exigencias de la Superintendencia.

Proporcionalidad y seguridad de los datos

Proporcionalidad y seguridad de los datos

El criterio de necesidad en la recolección de datos

La implementación de sistemas biométricos en conjuntos residenciales debe responder estrictamente al principio de proporcionalidad. La recolección de huellas dactilares o rasgos faciales constituye el tratamiento de datos sensibles, lo cual implica un nivel de riesgo elevado para los titulares. Por lo tanto, la tecnología no debe utilizarse por simple conveniencia administrativa o modernización estética, sino únicamente cuando sea estrictamente necesaria para garantizar la seguridad frente a riesgos reales y documentados. Si un sistema convencional permite alcanzar el mismo nivel de protección sin comprometer la intimidad de los residentes, la opción biométrica pierde su justificación legal y debe ser descartada por completo.

Alternativas frente a la intrusión biométrica

En la mayoría de los entornos residenciales, los métodos tradicionales de acceso mantienen una eficacia comprobada sin los riesgos asociados al almacenamiento de datos biológicos. Estas alternativas, además de ser menos intrusivas, respetan la autonomía y la privacidad de los usuarios al no basarse en características físicas inalterables. La administración debe evaluar cuidadosamente si los siguientes mecanismos son suficientes antes de escalar a soluciones de alta complejidad:

• Tarjetas de proximidad o chips inteligentes con acceso restringido.
• Llaves físicas de alta seguridad o dispositivos electromagnéticos.
• Códigos numéricos dinámicos o PIN personales de acceso.
• Uso de aplicaciones móviles con cifrado de extremo a extremo.
• Sistemas de control por portería con registro manual o digital básico.

Cuando estos mecanismos garantizan el control de acceso y el flujo de personas, la exigencia de datos biométricos se considera una práctica desproporcionada que vulnera la protección de datos personales. La tendencia actual, respaldada por la Superintendencia de Industria y Comercio, prioriza el derecho fundamental a la privacidad sobre la agilidad operativa que ofrecen los sistemas de identificación física.

La postura sancionatoria de la SIC

La Superintendencia de Industria y Comercio (SIC) sanciona a las administraciones que implementan sistemas biométricos sin que exista un riesgo de seguridad que lo amerite. Estas multas se derivan de la falta de análisis de impacto, donde el responsable no logra demostrar que la medida es indispensable para salvaguardar la integridad de los bienes o de los residentes. La autoridad considera que el tratamiento de huellas dactilares o reconocimiento facial conlleva riesgos irreparables, ya que, a diferencia de una contraseña, estos datos no pueden cambiarse si se ven comprometidos o filtrados. Ante la falta de una debida justificación técnica, la imposición de este sistema se interpreta como un ejercicio arbitrario de poder administrativo que desconoce el ordenamiento jurídico vigente.

Responsabilidad del administrador

El administrador, actuando como encargado o responsable del tratamiento, asume la carga legal de proteger la información que gestiona. Esta función implica ser el garante principal de que los datos capturados cumplan con los principios de finalidad, libertad y transparencia. Cuando un administrador decide instalar sistemas de biometría, no solo asume la responsabilidad técnica de evitar fugas de información, sino también la responsabilidad administrativa de demostrar que el consentimiento de los titulares fue libre, previo e informado.

Ser responsable del tratamiento significa, además, responder ante las autoridades de vigilancia cuando se producen vulneraciones a los derechos de los titulares. Un administrador que ignora el principio de proporcionalidad se expone a investigaciones rigurosas que pueden concluir en órdenes de supresión de las bases de datos biométricas y sanciones económicas significativas. La labor de administración exige, por tanto, una gestión basada en el cumplimiento normativo donde se privilegie el respeto a la intimidad del residente por encima de cualquier otro factor operativo. En consecuencia, la implementación de medidas de control de acceso debe ser siempre una decisión razonada, documentada y alineada con los estándares de protección de datos personales, garantizando en todo momento que la seguridad no se convierta en una excusa para la vigilancia excesiva.

Sanciones por incumplimiento normativo

Sanciones por incumplimiento normativo

Consecuencias legales y multas para las copropiedades

La omisión en la implementación de una Política de Tratamiento de Datos Personales (PTDP) expone a las copropiedades y a sus consejos de administración a procesos sancionatorios rigurosos ante la Superintendencia de Industria y Comercio (SIC). La entidad cuenta con facultades plenas para imponer multas de carácter pecuniario que pueden ascender hasta los 2.000 salarios mínimos legales mensuales vigentes, dependiendo de la gravedad de la infracción y el nivel de reincidencia. Estas sanciones no solo afectan el patrimonio de la copropiedad, sino que también pueden derivar en la suspensión temporal o definitiva de las actividades de tratamiento de datos, lo cual paralizaría las operaciones administrativas, de seguridad y de gestión documental del conjunto residencial.

Además de los riesgos financieros, el incumplimiento genera un daño reputacional considerable, ya que la SIC tiene la potestad de publicar en su sitio web la lista de infractores sancionados. Ante una queja de un residente o copropietario, la Superintendencia iniciará una investigación administrativa donde la copropiedad deberá demostrar la existencia de sus manuales, las cláusulas de autorización y los mecanismos de seguridad implementados. La ausencia de estos elementos jurídicos básicos elimina cualquier capacidad de defensa técnica, dejando al administrador y al consejo expuestos a medidas correctivas adicionales como la obligatoriedad de implementar programas de cumplimiento bajo vigilancia especial. Para conocer más sobre los alcances de la ley, puede consultar la guía oficial sobre protección de datos personales publicada por la autoridad competente.

El derecho de revocatoria de los titulares

El derecho de revocatoria es una garantía fundamental que permite a cualquier residente, visitante o empleado retirar en cualquier momento la autorización otorgada para el tratamiento de sus datos personales, siempre que no exista una obligación legal o contractual que impida dicha acción. Cuando un titular solicita la revocación, la administración debe cesar de forma inmediata el uso de la información para las finalidades previamente autorizadas. Es importante subrayar que este derecho no es absoluto; por ejemplo, si el tratamiento es estrictamente necesario para la ejecución de una labor de seguridad privada exigida por el reglamento de propiedad horizontal, la administración podría limitar el alcance de la supresión para no comprometer el bienestar general de los residentes.

El procedimiento debe ser formal y transparente, garantizando siempre la respuesta oportuna. Si la copropiedad considera que existe un fundamento jurídico para mantener ciertos datos, debe motivar claramente su negativa ante el titular. Sin embargo, en la mayoría de los casos, la solicitud debe tramitarse como una baja definitiva de las bases de datos de uso comercial, publicitario o de monitoreo no esencial.

Procesos efectivos de eliminación o supresión

La supresión de datos implica la eliminación total o la anonimización de la información registrada, asegurando que esta no pueda ser recuperada ni utilizada bajo ninguna circunstancia. Cuando la copropiedad recibe una solicitud formal de supresión, debe ejecutar un protocolo técnico que garantice el borrado irreversible de los registros en sus sistemas de información, software de administración y copias de seguridad. El proceso debe estructurarse de la siguiente manera:

• Verificación de la identidad del titular que realiza la solicitud.
• Identificación técnica de todos los archivos y bases de datos donde reside la información del afectado.
• Ejecución de la supresión permanente, garantizando que el dato ya no sea accesible para ninguna persona ajena o interna.
• Emisión de una constancia escrita dirigida al titular confirmando la finalización del proceso.
• Auditoría interna para asegurar que los registros hayan sido eliminados también de proveedores externos o plataformas en la nube.

Si el incumplimiento persiste, la administración se hace responsable de una vulneración directa a los derechos fundamentales de los ciudadanos. La falta de un proceso de supresión claro no solo agrava la sanción ante la SIC, sino que genera una desconfianza institucional que debilita la gestión de la copropiedad. Es deber de los administradores documentar el historial de cada solicitud de supresión, ya que este será el soporte fundamental para demostrar ante cualquier autoridad que la copropiedad actúa con transparencia, legalidad y respeto absoluto por la privacidad de sus residentes.