Delegado de protección de datos designado
Una persona nombrada, con nombre y contacto, no un rol difuso repartido entre varios.
ARTÍCULOS 49 Y 51
Modelo de prevención de infracciones
Un programa de cumplimiento que la empresa adopta por decisión propia. Una vez certificado por la Agencia, ese certificado acredita su diligencia y puede operar como atenuante en un eventual procedimiento sancionatorio.
QUÉ EXIGE LA LEY
Voluntario, y la única atenuante que se acredita con un certificado
Ninguna empresa está obligada a adoptar un modelo de prevención de infracciones. Lo que hace la ley es reconocerlo: si el modelo está certificado por la Agencia, esa certificación acredita que la empresa cumplió diligentemente sus deberes de dirección y supervisión, y eso es una circunstancia atenuante al momento de sancionar.
El artículo 36 reconoce cinco atenuantes. Tres dependen de lo que la empresa haga después del problema: reparar el daño, colaborar con la investigación y autodenunciarse. Una cuarta, no tener sanciones previas, no se construye: simplemente se tiene o no se tiene. El modelo de prevención es la única que la empresa puede construir con tiempo y por decisión propia, y la única que se acredita con un documento emitido por la autoridad.
El haber cumplido diligentemente sus deberes de dirección y supervisión para la protección de los datos personales sujetos a tratamiento, lo que se verificará con el certificado expedido de acuerdo a lo dispuesto en el artículo 51.
Conviene leer esa frase con cuidado, porque ahí está la diferencia entre tener el documento y que sirva: el atenuante se acredita con el certificado, no con la carpeta guardada. La certificación corresponde a la Agencia, y las entidades con certificación vigente quedan incorporadas al Registro Nacional de Sanciones y Cumplimiento (artículo 51).
LOS SIETE ELEMENTOS
Qué tiene que contener el programa, como mínimo
El artículo 49 los enumera. Cada uno es un documento, una designación o un procedimiento que tiene que existir de verdad y poder mostrarse.
Sus medios y facultades definidos
De qué recursos dispone y qué puede decidir. Un delegado sin atribuciones no es un delegado.
Qué información trata la organización
Tipo de información, territorio donde opera, categorías de datos y bases que administra, y quiénes son los titulares.
Dónde se genera el riesgo de infringir
Las actividades y procesos, habituales o esporádicos, en cuyo contexto nace o crece el riesgo de cometer las infracciones de los artículos 34 bis, 34 ter y 34 quáter.
Protocolos y reglas de trabajo
Procedimientos concretos para que quienes ejecutan esas actividades puedan desempeñar sus funciones sin incurrir en una infracción.
Canales de reporte
Hacia adentro, para el cumplimiento de la ley; y hacia la Agencia, para el caso del artículo 14 sexies, que son las vulneraciones de seguridad.
Consecuencias internas
Sanciones administrativas internas y un procedimiento de denuncia para quien incumpla el sistema.
Y hay un requisito que suele pasarse por alto: las reglas internas que nacen del modelo deben quedar incorporadas expresamente como obligación en los contratos de trabajo y de prestación de servicios, no solo del personal propio sino también del de los terceros que efectúen el tratamiento, incluidos los máximos ejecutivos de unos y otros; o bien en el reglamento interno, con las medidas de publicidad que exige el Código del Trabajo.
QUÉ EXIGE LA LEY
Un programa con los siete elementos, incorporado a los contratos o al reglamento interno, y mantenido en el tiempo. Si se busca el atenuante, además certificado por la Agencia.
Es la pieza que se apoya en todo lo demás: sin registro de actividades, sin riesgos identificados y sin controles de seguridad, el modelo carece de sustento.
CÓMO LO RESUELVE ORBIX
Orbix construye el modelo desde el mismo registro que su equipo levantó, no como un documento aparte. Las actividades, los riesgos por proceso, los controles, el delegado y sus facultades, el calendario de difusión y los canales de reporte son piezas de la plataforma, y el modelo se arma con ellas.
El tablero muestra el estado del modelo pieza por pieza: qué elemento del artículo 49 está listo, cuál falta y con qué acción se resuelve, en lugar de un porcentaje sin explicación.
El documento certificable no se descarga en cualquier momento: la plataforma lo mantiene bloqueado hasta que estén el representante legal y el ámbito territorial registrados, el delegado designado, las áreas declaradas, el registro de actividades sin observaciones que bloqueen, la matriz de riesgos derivada, las evaluaciones de impacto resueltas y al menos una capacitación del modelo realizada, sin sesiones vencidas. Es a propósito: un modelo a medias presentado como completo es peor que no tenerlo.
Lo que la plataforma no puede hacer por usted es redactar la realidad: los protocolos de trabajo, el régimen sancionatorio interno y la incorporación de las reglas a los contratos son decisiones de la organización. Orbix entrega los textos base y deja el pendiente a la vista; adoptarlos y firmarlos es acto de la empresa.
HONESTIDAD SOBRE EL CALENDARIO
El reglamento todavía no se publica
El artículo 51 encarga a un reglamento del Ministerio de Hacienda fijar los requisitos, las modalidades y el procedimiento de certificación. Ese reglamento existe como texto tramitado (Decreto 662 de 2025) pero aún no está publicado, así que hoy nadie puede certificarse todavía. Lo que sí se puede hacer, y es lo que corresponde, es tener el modelo construido y vivo para el día en que la ventanilla se abra. Trabajamos sobre el texto de la ley y sobre ese borrador, y ajustamos cuando salga la versión definitiva.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos su caso: qué tratamientos realiza, qué brechas tiene y por dónde partir.