¿Por qué la Cancillería entregó a los 42 delegados de la Mesa Nacional de la Sociedad Civil para las Migraciones los datos personales de miles de ciudadanos colombianos y extranjeros inscritos en ese mecanismo de participación?
En COLEXRET venimos siguiendo este asunto desde que conocimos las comunicaciones mediante las cuales el Ministerio de Relaciones Exteriores informó sobre la entrega de información de los inscritos a quienes resultaron elegidos como delegados de la Mesa.
No estamos hablando de un asunto secundario ni de una discusión sobre el comportamiento posterior de esas personas. Estamos ante una cuestión supremamente delicada y que muy pronto pondremos en manos de las respectivas autoridades, ya que es inexplicable, ¿Con qué autorización o fundamento jurídico se entregaron datos personales a terceros distintos de la entidad a la que fueron suministrados?
Quienes se inscribieron facilitaron sus datos a la institucionalidad colombiana, a través de los mecanismos dispuestos por la Cancillería y Colombia Nos Une, para participar en el proceso relacionado con la Mesa de Migraciones. No por ello otorgaron automáticamente permiso para que esa información personal fuera entregada a particulares que resultaran elegidos como delegados.
¿Qué datos entregó la Cancillería y a quiénes?
En nuestra investigación, publicada el 15 de febrero de 2025 bajo el título «Miles de datos de colombianos y extranjeros en poder de Delegados de la Mesa de las Migraciones», dimos a conocer información relacionada con las comunicaciones recibidas desde Colombia Nos Une, bajo los radicados S-GCNU-25-003535, del 31 de enero de 2025, y S-GCNU-25-001492, del 7 de febrero del mismo año.
En la información que recibimos, se anunció la entrega a los delegados de datos de contacto de personas inscritas a la Mesa de Migraciones. Entre los campos mencionados estaban nombres, tipo y número de documento de identidad, población, región o país de inscripción y correo electrónico. En determinados casos, también se contemplaba el número telefónico cuando era el único dato de contacto disponible.
La cuestión no es si los delegados recibieron toda esa información de manera simultánea, si la utilizaron o si alguno hizo un uso indebido de ella. La cuestión central es anterior a cualquiera de esas posibilidades: ¿estaba autorizada la Cancillería para poner esos datos en manos de los 42 delegados?
La elección de una persona como representante de un sector de la población no significa, por sí sola, que esa persona adquiera derecho a recibir información personal de quienes participaron en el proceso. Ser delegado de la Mesa tampoco equivale automáticamente a ser titular de una autorización para acceder a las bases de datos de los inscritos.
Los inscritos autorizaron el tratamiento de sus datos por la entidad correspondiente, no su entrega indiscriminada a particulares
Aquí se encuentra el núcleo de nuestra denuncia periodística.
Quienes suministraron información personal para inscribirse en la Mesa lo hicieron mediante un procedimiento administrado por la institucionalidad. Esa circunstancia no puede interpretarse como una autorización general e ilimitada para que la entidad entregue esos datos a cualquier persona que, por razón de un cargo, una representación o una elección, pueda considerar conveniente recibirlos.
Una cosa es autorizar a la entidad responsable para tratar los datos con una finalidad determinada y otra, muy distinta, permitir que esa entidad los comunique a terceros. La segunda actuación debe tener su propio sustento en la autorización otorgada o en una disposición legal que la permita.
No afirmamos que toda comunicación de datos a un tercero esté prohibida en cualquier circunstancia. Lo que sostenemos es que, en este caso concreto, la Cancillería debe demostrar cuál era la autorización o el fundamento jurídico que le permitía entregar la información personal de los inscritos a los delegados de la Mesa.
Hasta que ese fundamento se acredite documentalmente, no puede darse por sentado que la entrega estaba permitida por el solo hecho de que los destinatarios hubieran sido elegidos para representar a determinados sectores de la población.
La Ley 1581 de 2012 protege los datos personales
La Ley Estatutaria 1581 de 2012 establece disposiciones generales para la protección de datos personales y fija principios que deben observarse durante su tratamiento.
Su artículo 3 define la autorización como el consentimiento previo, expreso e informado del titular. El artículo 4 establece, entre otros, los principios de finalidad, libertad, acceso y circulación restringida, seguridad y confidencialidad.
En particular, el principio de libertad señala que el tratamiento requiere autorización previa, expresa e informada, salvo las excepciones previstas en la ley o cuando exista un mandato legal o judicial que permita prescindir de ella.
La norma también contempla deberes para quienes tienen la responsabilidad de tratar los datos. Por eso, la discusión no se resuelve simplemente afirmando que los delegados necesitaban la información para cumplir sus funciones. Es necesario determinar cuáles eran esas funciones, bajo qué condiciones se les entregaron los datos y qué autorización o fundamento legal permitía esa operación.
La ley puede permitir determinados tratamientos sin solicitar una autorización adicional en circunstancias específicas. Por ejemplo, cuando existe una relación formal de encargado del tratamiento y se actúa bajo las instrucciones y responsabilidades correspondientes. Pero esa posibilidad no puede presumirse, sino que debe establecerse si realmente era aplicable a los 42 delegados y si la entrega concreta de los datos estaba comprendida en ese marco.
La Corte Constitucional ha advertido que el uso de los datos debe respetar la finalidad autorizada
En la Sentencia T-294 de 2023, la Corte Constitucional reiteró la importancia de que el tratamiento de los datos personales respete la finalidad legítima e informada para la cual fueron autorizados.
La finalidad no puede convertirse en una autorización abierta para realizar cualquier operación con la información. Debe existir correspondencia entre lo que el titular conoció y autorizó, o lo que permite la ley, y el tratamiento que efectivamente se realiza.
Este criterio resulta relevante para el caso que investigamos, pues no basta con señalar que los datos se obtuvieron durante una inscripción oficial. Es necesario establecer qué se informó a los ciudadanos cuando entregaron sus datos, qué aceptaron expresamente y si esa información contemplaba su comunicación a los delegados de la Mesa.
No necesitamos demostrar que los delegados hicieron mal uso de los datos para exigir explicaciones
Queremos dejar claro que nuestra preocupación no depende de que se demuestre que alguno de los delegados vendió, difundió, filtró o utilizó indebidamente la información recibida.
La cuestión que planteamos es si la Cancillería estaba facultada para entregarla.
Si la entrega tenía autorización válida o un fundamento legal suficiente, la entidad debe identificarlo y explicar cómo se aplicaba a este caso. Si no existía tal autorización ni una excepción legal que permitiera la comunicación, la legitimidad de la entrega debe ser cuestionada con independencia de lo que los destinatarios hayan hecho después con los datos.
Tampoco pretendemos atribuir responsabilidad individual a los 42 delegados por el solo hecho de haber sido elegidos. Nuestra pregunta se dirige, en primer lugar, a la entidad que administraba la inscripción y que, según la documentación conocida por esta Casa, comunicó que compartiría los datos con ellos.
La responsabilidad de justificar esa decisión corresponde a quienes la adoptaron y a quienes deban explicar su fundamento jurídico.
¿Qué explicación debe dar la Cancillería?
Desde COLEXRET consideramos que el Ministerio de Relaciones Exteriores debe responder de manera concreta, documental y verificable las siguientes preguntas, las cuales ya elevamos a través de un derecho de petición:
- ¿Cuál fue la autorización específica otorgada por los inscritos que permitía entregar sus datos personales a los 42 delegados de la Mesa de Migraciones?
- Si existió, ¿dónde está el texto íntegro de esa autorización y cómo se informó a los titulares?
- Si la Cancillería considera que no necesitaba una autorización específica, ¿cuál es la disposición legal que amparó la entrega y por qué resulta aplicable a estos destinatarios y a los datos comunicados?
- ¿Qué calidad jurídica tenían los delegados respecto del tratamiento de esa información?
- ¿Actuaban como encargados del tratamiento bajo instrucciones de la Cancillería, como destinatarios autorizados o bajo otra figura?
- ¿Qué documento establecía sus obligaciones, límites de acceso, medidas de seguridad y deber de confidencialidad?
- ¿Qué categorías exactas de datos se entregaron, a cuántos destinatarios y en qué fechas? ¿Cuál era la finalidad específica de la comunicación y durante cuánto tiempo podían conservar la información?
- ¿Qué medidas adoptó la Cancillería para garantizar que los datos se utilizaran exclusivamente dentro de la finalidad legalmente autorizada y que no fueran conservados o comunicados más allá de lo permitido?
No basta con responder que los delegados necesitaban comunicarse con los inscritos o que la entrega buscaba facilitar su labor. Esas pueden ser razones operativas, pero no sustituyen la obligación de identificar el fundamento jurídico que habilitó el tratamiento y la comunicación de los datos.
La protección de datos no puede depender de quién resulte elegido
Quienes participan en un mecanismo institucional de representación no pierden, por esa razón, su derecho a la intimidad y al control sobre su información personal.
Los ciudadanos deben poder inscribirse en los procedimientos oficiales sin que su participación se interprete como un consentimiento ilimitado para que sus datos circulen entre personas u organizaciones cuya intervención no les fue debidamente informada.
Si la Cancillería consideraba indispensable que los delegados contactaran directamente a los inscritos, debía establecer previamente cuál era la vía jurídicamente válida para hacerlo, informar con claridad a los titulares y documentar las condiciones de acceso y tratamiento. La conveniencia de una gestión no elimina las obligaciones legales de protección de datos.
Y si existía una autorización que permitía esa entrega, corresponde a la entidad mostrarla y explicar su alcance. No debería ser necesario que los ciudadanos adivinen qué aceptaron o que tengan que conformarse con una justificación general.
Desde COLEXRET insistimos en que el punto fundamental no es especular sobre lo que los delegados pudieron hacer con la información, sino esclarecer por qué la Cancillería entregó datos personales de los inscritos y cuál era la autorización o el fundamento legal que le permitía hacerlo.
La inscripción en la Mesa de Migraciones no debe convertirse en una renuncia tácita al derecho a la protección de los datos personales. La elección de delegados tampoco puede entenderse, por sí misma, como una habilitación para entregarles bases de datos de ciudadanos colombianos y extranjeros.
Por ello, exigimos que el Ministerio de Relaciones Exteriores identifique y haga verificable el soporte jurídico de la entrega, incluyendo la autorización invocada, si la hubo, o la norma concreta en que se apoyó. Si ese soporte no existe o no ampara la comunicación realizada, deberán evaluarse las actuaciones administrativas y legales correspondientes ante las autoridades competentes, incluida la Superintendencia de Industria y Comercio, dentro de sus atribuciones.
No estamos pidiendo un favor. Estamos exigiendo claridad sobre una decisión que afecta el derecho de las personas a saber quién recibe sus datos, para qué los recibe y bajo qué autorización puede tratarlos.
Los ciudadanos entregaron sus datos a la institucionalidad para una finalidad determinada. ¿Quién autorizó a la Cancillería a entregárselos a los 42 delegados de la Mesa Nacional de la Sociedad Civil para las Migraciones?
COLEXRET continuará documentando este caso y reclamando una respuesta que no se limite a justificar la utilidad de la entrega, sino que demuestre su fundamento jurídico.
Comentarios