Política y procedimiento de tratamientos de datos

1. Objetivo

Establecer la política y los procedimientos para el Tratamiento de los datos personales de los que es Responsable, o que trata como Encargado, el Instituto Nacional de Investigación y Prevención de Fraude (en adelante, INIF o el Instituto), identificado con NIT 830.099.102-1, con domicilio en Bogotá D.C.

2. Alcance

El alcance de esta política y su procedimiento involucra a todas las áreas del Instituto que recolectan, procesan, actualizan, consultan, almacenan, trasfieren y reportan datos personales de los clientes, proveedores, empleados, candidatos para ser empleados, exempleados, pensionados, prestadores de servicio y terceros, dentro de la operación normal de sus actividades o funciones.

• Clientes
• Proveedores
• Empleados
• Candidatos para ser empleados
• Exempleados
• Pensionados
• Prestadores de servicio
• Terceros

3. Definiciones

Para efectos de la presente Política se tendrán en cuenta las definiciones señaladas en la Ley 1581 de 2012 y el Decreto 1377 de 2013, tal como se transcriben a continuación:

I.Autorización

Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.

II.Aviso de privacidad

Documento físico, electrónico o en cualquier otro formato, generado por el Responsable, que es puesto a disposición del Titular para el Tratamiento de sus datos personales, el cual comunica al titular la información relativa a la existencia de las políticas de tratamiento de información que le sean aplicables, la forma de acceder a las mismas y las características del tratamiento que se pretende dar a los datos personales.

III.Base de Datos

Conjunto organizado de datos personales que sea objeto de Tratamiento.

IV.Dato personal

Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

V.Dato público

Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y aquel que no sea semiprivado, privado o sensible. Son públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio, a su calidad de comerciante o de servidor público y aquellos que puedan obtenerse sin reserva alguna.

VI.Dato privado

Es el dato que por su naturaleza íntima o reservada solo es relevante para el titular.

VII.Dato semiprivado

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no solo a su titular sino a cierto sector o grupo de personas o a la sociedad en general.

VIII.Encargado del Tratamiento

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

X.Responsable del Tratamiento

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.

XI.Titular

Persona natural cuyos datos personales sean objeto de Tratamiento.

XII.Transferencia

La transferencia de datos tiene lugar cuando el responsable y/o encargado del tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es responsable del tratamiento y se encuentra dentro o fuera del país.

XIII.Transmisión

Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera de Colombia cuando tenga objeto la realización de un tratamiento por el Encargado por cuenta del Responsable.

XIV.Tratamiento

Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

XV.Oficial de Protección de Datos Personales

persona o área designada por INIF para velar por el cumplimiento de esta política y atender a los Titulares.

4. Categorías especiales de datos

4.1.Datos sensibles

Se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.

INIF podrá tratar los siguientes datos sensibles, únicamente para las finalidades que se indican:

1. (a)

   Datos relativos a la salud contenidos en reclamaciones de seguros de personas, SOAT, riesgos laborales, tales como diagnósticos, incapacidades, dictámenes de pérdida de capacidad laboral y soportes de atención médica.

   Su finalidad es verificar la consistencia de las reclamaciones y detectar posibles fraudes.

2. (b)

   Datos relativos a la salud de empleados, tales como incapacidades y conceptos de aptitud médica ocupacional.

   Su finalidad es cumplir obligaciones laborales y del Sistema de Gestión de Seguridad y Salud en el Trabajo.

3. (c)

   Imágenes captadas por el sistema de videovigilancia.

4.1.1.Tratamiento de datos sensibles

Se prohíbe el tratamiento de datos sensibles, excepto cuando:

1. a) El Titular haya dado su autorización explícita a dicho tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.
2. b) El tratamiento sea necesario para salvaguardar el interés vital del titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.
3. c) El tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular.
4. d) El tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
5. e) El tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los titulares.

4.2.Derechos de los niños, niñas y adolescentes

INIF solo tratará datos personales de niños, niñas y adolescentes en dos supuestos: cuando sean de naturaleza pública, o cuando el tratamiento responda y respete su interés superior y asegure el respeto de sus derechos fundamentales. Este criterio sigue el artículo 7 de la Ley 1581 de 2012, la Sentencia C 748 de 2011 de la Corte Constitucional y el artículo 12 del Decreto 1377 de 2013.

Dentro de ese marco, INIF trata datos de menores de edad exclusivamente en los siguientes casos:

1. (a)

   Cuando figuran en SICO como beneficiarios, asegurados o víctimas en reclamaciones reportadas por las Compañías Socias. El tratamiento tiene por objeto proteger al menor, impidiendo que terceros usen su identidad o su condición de beneficiario para presentar reclamaciones fraudulentas. INIF no generará Alertas ni adelantará investigaciones en las que el menor sea el sujeto investigado.

2. (b)

   Cuando son hijos o beneficiarios de los empleados de INIF. El tratamiento tiene por objeto su afiliación al sistema de seguridad social, el otorgamiento de beneficios y la participación en actividades de bienestar.

La autorización será otorgada por el representante legal del menor, previo ejercicio del derecho del niño, niña o adolescente a ser escuchado. Su opinión será valorada teniendo en cuenta su madurez, autonomía y capacidad para entender el asunto. En el caso de SICO, obtener esta autorización corresponde a la Compañía Socia que reporta la información, en los términos del numeral 5.3.4.

INIF limitará el tratamiento a los datos estrictamente necesarios para estas finalidades y aplicará sobre ellos controles de acceso reforzados.

5. Políticas y procedimientos de tratamiento de datos

INIF cuenta con los siguientes datos de contacto:

• Domicilio principal Bogotá – Cundinamarca
• Dirección de notificación judicial carrera 15 No.88-64 Oficina 706
• Correo electrónico [email protected]
• Teléfono de contacto (571) 3183609840
• Página web www.inif.com.co

INIF, para fines relacionados con su objeto social y en especial para fines legales, contractuales, comerciales, de formación, estadísticos e investigativos y en ejercicio de sus funciones recolecta, almacena, procesa, actualiza, consulta y transfiere información o datos personales considerados como semiprivados, privados y sensibles, sean estos de los clientes, proveedores, empleados, candidatos para ser empleados, exempleados, pensionados, prestadores de servicios y terceros.

6. Deberes

6.1.Deberes del responsable del tratamiento de datos

Cuando INIF actúe como responsable del Tratamiento, velará por el cumplimiento de:

1. I. Garantizar al Titular, en todo tiempo, el pleno y efectivo cumplimiento de las disposiciones generales de la Ley 1581 de 2012 para la protección de datos personales.
2. II.
   Solicitar la Autorización al Titular informándole:

   • El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.
   • El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de niñas, niños y adolescentes.
   • Los derechos que le asisten como Titular.
   • La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
3. III. Conservar y entregar copia de la Autorización otorgada por el Titular.
4. IV. Informar al Titular sobre la finalidad de la recolección y los derechos que le asisten con ocasión de su Autorización.
5. V. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
6. VI. Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento las novedades respecto de los Datos que previamente le haya suministrado y adoptar las medidas para que la información suministrada a este se mantenga actualizada.
7. VII. Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.
8. VIII. Suministrar al Encargado del Tratamiento, únicamente Datos cuyo Tratamiento esté previamente autorizado.
9. IX. Exigir al Encargado del Tratamiento el respeto a las condiciones de seguridad y privacidad de la información del Titular.
10. X. Tramitar las consultas y reclamos formulados.
11. XI. Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.
12. XII. Informar a solicitud del Titular sobre el uso dado a sus datos.
13. XIII. Cumplir las instrucciones y requerimientos de la Superintendencia de Industria y Comercio.
14. XIV. Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
15. XV. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y, en especial, para la atención de consultas y reclamos.
16. XVI. Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares, conforme al numeral 5.5.
17. XVII. Suscribir con los Encargados contratos de transmisión que cumplan el artículo 25 del Decreto 1377 de 2013.

6.2.Deberes del encargado del tratamiento de datos

Cuando INIF actúe como Encargado del Tratamiento, velará por:

1. I. Garantizar al Titular, en todo tiempo, el pleno y efectivo cumplimiento de las disposiciones generales de la Ley 1581 de 2012 para la protección de datos personales.
2. II. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
3. III. Realizar oportunamente la actualización, rectificación o supresión de los datos.
4. IV. Actualizar la información reportada por los Responsables del Tratamiento a más tardar dentro de los cinco (5) días hábiles siguientes a su recibo.
5. V. Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.
6. VI. Permitir el acceso a la información únicamente a las personas con autorización previa.
7. VII. Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
8. VIII. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
9. IX. Tramitar las consultas y los reclamos formulados por los Titulares en los términos del numeral 5.8.
10. X. Adoptar un manual interno de políticas y procedimientos para la atención de consultas y reclamos.
11. XI. Registrar en la base de datos la leyenda “reclamo en trámite” en la forma y dentro de los términos del artículo 15 de la Ley 1581 de 2012.
12. XII. Insertar en la base de datos la leyenda “información en discusión judicial” una vez la autoridad competente le notifique la existencia de procesos judiciales relacionados con la calidad del dato personal.
13. XIII. Tratar los datos únicamente conforme a las instrucciones del Responsable y para las finalidades autorizadas por este.

7. Recolección de la información

Toda la información con datos semiprivados, privados y sensibles de los clientes, proveedores, empleados, candidatos para ser empleados, exempleados, pensionados, prestadores de servicio y terceros, que sea recolectada por INIF a través de cualquiera de sus empleados, proveedores o terceros debe contar con la correspondiente autorización de tratamiento de datos (Anexo 2), la cual hace referencia a la presente política y procedimiento y al Aviso de Privacidad (Anexo 1), implementados para los procesos que lo requieren y que son los medios idóneos de recolección de este tipo de información.

Adicionalmente, para los casos de empleados se contempla el uso del Formato de Actualización de Datos y para proveedores se contempla el Formato de Conocimiento del Cliente.

Los datos personales de los empleados de INIF son conocidos por el Instituto en virtud de la relación laboral existente o histórica entre ambos. Al respecto en cada contrato de trabajo la Compañía ha obtenido autorización para que la información personal y laboral del empleado pueda ser procesada, actualizada, consultada, almacenada, transferida y reportada.

7.1.1.Recolección de la información de niños, niñas y adolescentes

La información de niños, niñas y adolescentes suministrada a INIF por terceros es suministrada bajo su responsabilidad y debe cumplir con los parámetros y requisitos exigidos por la ley:

1. a) Responder y respetar el interés superior de los niños, niñas y adolescentes.
2. b) Asegurar el respeto de sus derechos fundamentales.
3. c) Y en la medida de lo posible, se realice teniendo en cuenta la opinión de los niños, niñas y adolescentes titulares de los datos personales, en consideración a su madurez, autonomía y capacidad para entender el asunto al que se refiere el tratamiento de datos.

7.2.Almacenamiento y medidas de seguridad de la información

La autorización de tratamiento de datos suministrada por los clientes, proveedores, terceros y empleados se almacenará físicamente y/o de manera digital, de acuerdo con las normas establecidas por la Ley.

La información que administra INIF será almacenada por medio de los aplicativos: Sistema de Información Compartida (SICO), Helisa software contable y de nómina y bases de datos administradas en el paquete de office (Excel, Word, etc.), aprobados por el Instituto para el desarrollo normal de su operación, salvaguardados bajo los lineamientos establecidos por la Ley y por las políticas de Seguridad de la Información de INIF.

Es importante para el Instituto la seguridad de la información de los clientes, proveedores, empleados, candidatos para ser empleados, exempleados, pensionados, prestadores de servicio y terceros, así como el cumplimiento de leyes y regulaciones, por ello se garantiza y se dispone de medidas que ofrecen protección, trazabilidad y seguridad de los datos, las cuales están plasmadas en la Política de Seguridad de la Información del Instituto.

7.2.1.Gestión de incidentes de seguridad

Todo empleado o contratista que detecte o sospeche un Incidente de seguridad deberá informarlo de inmediato al Oficial de Protección de Datos Personales. El Oficial coordinará la contención, evaluará el riesgo para los Titulares y documentará el incidente.

INIF reportará el incidente a la Superintendencia de Industria y Comercio, a través del Registro Nacional de Bases de Datos, dentro de los quince (15) días hábiles siguientes a su detección, conforme al Título V de la Circular Única. Además:

1. (a)

   Cuando actúe como Encargado, INIF informará al Responsable dentro de las 48 horas siguientes a la detección.

2. (b)

   Cuando el incidente afecte datos de SICO, INIF informará a las Compañías Socias afectadas dentro del mismo término.

Conforme al artículo 11 del Decreto 1377 de 2013, INIF conservará los datos personales solo durante el tiempo razonable y necesario para cumplir las finalidades que justificaron su tratamiento, atendiendo las normas aplicables.

8. Finalidad de la información recolectada

La información recolectada por INIF como responsable de la información obtenida por su objeto social o como encargado de la información de terceros será tratada para las siguientes finalidades:

8.2.Terceros legitimados que podrían acceder a la información

En cumplimiento de las finalidades anteriormente mencionadas, INIF podrá facilitar y enviar datos personales a los siguientes terceros:

• Los operadores necesarios para el cumplimiento de derechos y obligaciones derivados de los contratos celebrados, tales como: ajustadores, contact center, investigadores, psicólogos, estadísticos, compañías de seguros, abogados, entre otros.

• Personas jurídicas que administran bases de datos para efectos de prevención y control de fraudes, la selección de riesgos, así como la elaboración de estudios estadísticos y actuariales.

• Entidades del Orden Judicial (ej. Policía, Fiscalía y Jueces) en caso de requerimientos judiciales dentro del ejercicio de sus competencias legales.

• Entidades Administrativas: Contraloría General de la República de Colombia, Procuraduría General de la Nación, Presidencia de la República, Defensoría del Pueblo y Auditoria General de la República.

La información que se facilite a las entidades públicas anteriormente mencionadas será en ejercicio de las funciones legales propias de cada entidad que solicite la información.

9. Atención de consultas, solicitudes, quejas o reclamos relacionados con el tratamiento de datos

9.1.3.Canales

¿Tienes alguna solicitud relacionada con tus datos personales?

Las consultas y reclamos se presentarán por cualquiera de estos medios, dirigidos al Oficial de Protección de Datos Personales

• (a) Correo electrónico [email protected]
• (b) Comunicación escrita radicada en la Carrera 15 No. 88 64, Oficina 706, de Bogotá D.C.

(b) INIF dejará constancia de la fecha de recibo y verificará la identidad del solicitante antes de entregar cualquier información.

10. Publicación de la política y procedimiento de tratamiento de datos

La presente política se encontrará publicada para la consulta de quien la requiera en la página web de INIF www.inif.com.co., en la sección de políticas, bajo el link Política de Tratamiento de Datos.

11. Estructura administrativa para el tratamiento de datos

Organigrama de INIF Consulta la estructura organizacional del Instituto y la ubicación del Asesor Administrativo. Ver organigrama ↗

Organigrama de INIF

×

INIF tiene establecida al Asesor Administrativo como responsable de implementar y administrar las políticas y procedimientos para el tratamiento de los datos.

12. Periodo de vigencia de la política

La política de tratamiento de datos personales está vigente desde el 17 de mayo de 2019. Su última actualización se realizó el 18 de junio de 2021 con el objetivo de informar el cambio de dirección de sus instalaciones y reforzar la seguridad en el manejo de estos datos.