Cada vez que un club toma el nombre, el celular o la cédula de un jugador para una reserva, está tratando datos personales. En Colombia eso está regulado por la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios (el Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015), y la autoridad que vigila su cumplimiento es la Superintendencia de Industria y Comercio (SIC). Esta guía traduce lo esencial a la vida real de un club o academia. Es informativa y no reemplaza la asesoría de un abogado.
1. Qué es el Habeas Data y por qué te afecta
El habeas data es el derecho de toda persona a conocer, actualizar y rectificar la información que se haya recogido sobre ella. Para un negocio significa que los datos de clientes no son «tuyos»: los administras bajo reglas. Lo que más afecta a un club es que casi todo lo que recoge —reservas, pagos, fotos de torneos, listas de WhatsApp— incluye datos personales.
2. Responsable y encargado
- Responsable del tratamiento: quien decide para qué y cómo se usan los datos. Normalmente, el club.
- Encargado del tratamiento: quien trata los datos por cuenta del responsable, por ejemplo el proveedor de software de reservas. Debe hacerlo siguiendo las instrucciones del responsable y con medidas de seguridad, y se recomienda formalizarlo en un contrato.
Que uses un software externo no te quita la responsabilidad: sigues siendo el responsable frente a tus clientes.
3. Principios que debes respetar
| Principio | En un club significa… |
|---|---|
| Finalidad | Usar el dato solo para lo que informaste (reservar, cobrar, avisar de un torneo), no para otra cosa. |
| Libertad | Tratar los datos con autorización previa del titular, salvo lo que la ley permita. |
| Veracidad y calidad | Mantener la información correcta y actualizada; corregir lo que esté mal. |
| Transparencia | Responder cuando el cliente pregunta qué datos tienes de él. |
| Acceso y circulación restringida | Que solo accedan quienes lo necesitan (recepción no tiene por qué ver todo). |
| Seguridad y confidencialidad | Proteger los datos contra pérdida, acceso no autorizado o filtración. |
4. Qué datos maneja un club (y cuáles merecen más cuidado)
- Identificación y contacto: nombre, documento, celular, correo.
- Transaccionales: reservas, pagos, consumos, historial de partidos.
- Imagen: fotos y videos de torneos, cámaras de seguridad.
- De menores: escuelas deportivas, torneos juveniles.
- Sensibles: aquellos que afectan la intimidad o cuyo uso indebido puede generar discriminación; por ejemplo datos de salud o biométricos como la huella dactilar usada para registrar la asistencia del personal. Su tratamiento exige condiciones especiales.
5. La autorización: previa, expresa e informada
Como regla general necesitas la autorización del titular antes de tratar sus datos, y debes poder demostrar que la obtuviste. Una autorización válida informa de forma clara:
- Quién es el responsable y cómo contactarlo.
- Para qué se usarán los datos (las finalidades concretas).
- Los derechos del titular.
- Que, si se piden datos sensibles o de menores, responder es opcional.
- Dónde consultar la política de tratamiento completa.
En la práctica puede ser una casilla sin marcar de antemano al registrarse en una app o página, una firma en una planilla de inscripción o una confirmación escrita por un canal verificable. Lo que no sirve es asumir que quien da su número «ya aceptó» todo. Guarda la prueba (fecha, texto aceptado, quién la dio).
6. Política de tratamiento y aviso de privacidad
Debes tener una política de tratamiento de la información publicada y accesible, y entregar un aviso de privacidad cuando no puedas poner la política a disposición de inmediato. La política suele incluir: identificación del responsable, finalidades, derechos de los titulares, área o persona que atiende consultas y reclamos, procedimiento para ejercerlos, fecha de entrada en vigor y vigencia de las bases de datos.
7. Derechos de los clientes y plazos de respuesta
Un cliente puede pedirte conocer, actualizar, rectificar o suprimir sus datos y revocar su autorización. Debes responder dentro de los plazos de la ley:
- Consultas: hasta 10 días hábiles, prorrogables 5 más con aviso y motivo.
- Reclamos (corrección, supresión, revocatoria): hasta 15 días hábiles, prorrogables 8 más.
Designa una persona o un correo responsable de recibir estas solicitudes y deja registro de cada una y de su respuesta. Hay casos en que no se puede suprimir un dato (por ejemplo, cuando existe un deber legal o contractual de conservarlo): en ese caso se explica el motivo.
8. Datos de niños, niñas y adolescentes
La ley dispone que sus derechos son prevalentes. En general, no se tratan datos de menores salvo los de naturaleza pública y siempre con respeto de su interés superior, y cuando se tratan se necesita la autorización de su representante legal y, según su madurez, la opinión del menor. Para un club con escuela o torneos juveniles, eso se traduce en: pedir la firma de padre, madre o acudiente en la inscripción, pedir autorización específica para publicar fotos, y limitar al mínimo los datos que se recogen.
9. Seguridad y qué hacer ante un incidente
Debes aplicar medidas técnicas y organizativas razonables: contraseñas individuales (nunca compartidas), permisos por rol, copias de seguridad, cifrado cuando sea posible y control de quién consulta qué. Si ocurre una violación de seguridad (acceso no autorizado, pérdida de información, filtración), la normativa exige informarlo a la SIC y gestionarlo con el proveedor y los afectados. Define de antemano quién decide y a quién se avisa.
10. Registro Nacional de Bases de Datos y sanciones
Algunas empresas deben inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) que lleva la SIC; la obligación depende del tamaño de la empresa y del tipo de datos, así que confírmala con un abogado. En cuanto a sanciones, la ley contempla desde multas de hasta 2.000 salarios mínimos mensuales hasta la suspensión o el cierre de las actividades relacionadas con el tratamiento, según la gravedad.
11. Lista de verificación para tu club
- Tengo una política de tratamiento publicada y un aviso de privacidad.
- Pido autorización previa y guardo la prueba.
- Sé qué datos recojo y para qué; recojo solo los necesarios.
- Tengo una persona o correo para consultas y reclamos, y llevo un registro.
- Pido autorización del acudiente en menores y para publicar imágenes.
- Los datos sensibles (salud, biometría) se tratan con condiciones especiales.
- Cada persona del equipo usa su propia cuenta con permisos limitados.
- Tengo contrato con los proveedores que tratan datos por mí.
- Hay un plan para incidentes y sé a quién avisar.
- Reviso con un abogado si debo registrar mis bases en el RNBD.
Preguntas frecuentes
¿Necesito autorización para guardar el celular de un jugador que reserva?
Sí, como regla general. Puedes obtenerla al momento de la reserva informando la finalidad (gestionar su reserva y avisarle de cambios) y dónde ver la política completa. Si además quieres enviarle promociones, esa finalidad debe informarse y aceptarse por separado.
¿Puedo publicar en redes las fotos de un torneo?
La imagen de una persona es un dato personal. Lo prudente es informar en la inscripción que se tomarán fotos y para qué se usarán, y pedir autorización expresa, en especial si hay menores. Si alguien pide retirar su foto, debes atenderlo.
¿La huella digital para el reloj del personal es un dato sensible?
Sí, los datos biométricos se consideran sensibles. Su tratamiento exige condiciones especiales, y el trabajador no está obligado a darlos. Conviene ofrecer una alternativa y asesorarte con un abogado.
¿Quién responde si el software que uso sufre una filtración?
El club sigue siendo el responsable frente a sus clientes, y el proveedor responde como encargado conforme a su contrato y a la ley. Por eso es importante tener un contrato claro y exigir medidas de seguridad.
¿Cuánto tiempo puedo conservar los datos de un cliente?
Mientras exista la finalidad que justificó recogerlos y mientras la ley o un contrato exijan conservarlos (por ejemplo, información contable). Cuando ya no sean necesarios, deben suprimirse o anonimizarse.