RESOLUCIÓN 384 DE 2026

(Septiembre 02)

Por medio de la cual se designa al Oficial de Protección de Datos Personales de la Secretaría Jurídica Distrital y se dictan otras disposiciones

EL SECRETARIO JURÍDICO DISTRITAL

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 466 del Decreto Único Distrital 640 de 2025, y en cumplimiento de lo dispuesto en el artículo 2.2.2.25.4.4 del Decreto Único Reglamentario 1074 de 2015, el artículo 2.2.17.5.4 del Decreto Único Reglamentario 1078 de 2015 y el artículo 12 del Acuerdo Distrital 822 de 2021, y

CONSIDERANDO QUE:

De conformidad con el artículo 15 de la Constitución Política, todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, a conocer, actualizar y rectificar la información recogida sobre ellas en bancos de datos y archivos de entidades públicas y privadas; asimismo, en la recolección, tratamiento y circulación de datos deben respetarse la libertad y las demás garantías consagradas en la Constitución.

Asimismo, el artículo 20 de la Constitución Política garantiza la libertad de informar y recibir información veraz e imparcial y el derecho a la rectificación en condiciones de equidad, garantías que deben armonizarse con el derecho fundamental a la intimidad y a la protección de los datos personales.

En desarrollo de estos mandatos constitucionales, la Corte Constitucional, mediante la Sentencia C-748 de 2011, reconoció el hábeas data como un derecho fundamental autónomo que confiere a su titular facultades para conocer, actualizar, rectificar y controlar la información personal recogida en bases de datos o archivos.

Por su parte, la Ley Estatutaria 1581 de 2012 estableció las disposiciones generales para la protección de datos personales, aplicable al tratamiento efectuado por entidades de naturaleza pública o privada, y desarrolló los derechos de los titulares, los principios que orientan el tratamiento y los deberes de los responsables y encargados del tratamiento.

En particular, el artículo 4 de la Ley Estatutaria 1581 de 2012 dispone que el tratamiento de datos personales debe sujetarse, de manera armónica e integral, a los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

De igual forma, los artículos 17 y 18 de la Ley Estatutaria 1581 de 2012 establecen, entre otros, los deberes de garantizar a los titulares el pleno y efectivo ejercicio del derecho de hábeas data; conservar la información bajo condiciones adecuadas de seguridad; tramitar las consultas y reclamos formulados por los titulares; actualizar, rectificar o suprimir oportunamente la información cuando resulte procedente; y cumplir las instrucciones y requerimientos impartidos por la Superintendencia de Industria y Comercio.

A su vez, la Ley 1712 de 2014 regula el derecho de acceso a la información pública y reconoce que determinada información puede encontrarse sometida a reserva o clasificación cuando su divulgación pueda afectar derechos de las personas, particularmente la intimidad y la protección de los datos personales, por lo que las entidades públicas deben armonizar los principios de publicidad y transparencia con las reglas de acceso y circulación restringida de la información personal.

En el ámbito reglamentario, el Decreto Único Reglamentario 1074 de 2015 compiló las disposiciones relativas al tratamiento de datos personales y desarrolló, entre otros aspectos, las autorizaciones, los avisos y políticas de tratamiento, el ejercicio de los derechos de los titulares, las transferencias y transmisiones de información, las medidas de seguridad y el principio de responsabilidad demostrada.

Particularmente, el artículo 2.2.2.25.4.4 del Decreto Único Reglamentario 1074 de 2015 dispone que los responsables y encargados del tratamiento deberán designar a una persona o área que asuma la función de protección de datos personales y dé trámite a las solicitudes de los titulares para el ejercicio de los derechos previstos en la Ley Estatutaria 1581 de 2012 y en sus normas reglamentarias. Esto, en consonancia con lo dispuesto en el artículo 2.2.17.5.4. del Decreto Único Reglamentario 1078 de 2015.

Adicionalmente, los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015 establecen que los responsables del tratamiento deben adoptar medidas apropiadas, efectivas y verificables que permitan demostrar el cumplimiento de sus obligaciones, teniendo en cuenta, entre otros factores, la naturaleza jurídica y el tamaño de la organización, la naturaleza de los datos objeto de tratamiento, el tipo de tratamiento realizado y los riesgos potenciales para los derechos de los titulares.

En aplicación del principio de responsabilidad demostrada, la entidad debe contar con una estructura administrativa proporcional a sus características, adoptar mecanismos internos para implementar sus políticas de protección de datos personales, desarrollar programas de capacitación y establecer procedimientos para la atención de consultas y reclamos de los titulares.

De otra parte, el artículo 25 de la Ley Estatutaria 1581 de 2012 y el Capítulo 26 del Título 2 de la Parte 2 del Libro 2 del Decreto Único Reglamentario 1074 de 2015 regulan el Registro Nacional de Bases de Datos -RNBD-, en el cual las entidades públicas, en su condición de responsables del tratamiento, deben inscribir sus bases de datos y mantener actualizada la información correspondiente, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

En el ámbito distrital, el artículo 12 del Acuerdo Distrital 822 de 2021 estableció lineamientos relacionados con el Oficial de Protección de Datos y dispuso que, en las entidades del Distrito Capital en las que no sea posible crear un cargo específico y exclusivo para dicha función, las correspondientes responsabilidades deberán asignarse a un servidor público del nivel directivo o asesor, de conformidad con las necesidades y capacidades de cada entidad.

Sobre el particular, la Superintendencia de Industria y Comercio ha precisado que la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias no establecen un procedimiento específico para la designación, ni determinan una profesión, tipo de vinculación o dependencia particular a la cual deba pertenecer la persona que ejerza la función de protección de datos personales, por lo que corresponde a cada organización definir, de acuerdo con sus características y necesidades, si dicha función será asumida por una persona o área interna o por un tercero.

En desarrollo de sus funciones como Autoridad Nacional de Protección de Datos Personales, la Superintendencia de Industria y Comercio publicó en el año 2023 la "Guía Oficial de Protección de Datos Personales", en la cual formuló recomendaciones para la designación y el ejercicio de la función del Oficial de Protección de Datos Personales, relacionadas con su nivel de conocimientos, accesibilidad, participación oportuna, autonomía, disponibilidad de recursos, apoyo institucional, enfoque basado en riesgos y prevención de conflictos de interés.

De acuerdo con dicha Guía, el nivel de conocimiento y apoyo requerido por el Oficial debe ser proporcional a la sensibilidad, complejidad, cantidad y naturaleza de los datos tratados por la organización, y debe comprender tanto el Régimen General de Protección de Datos Personales como las operaciones de tratamiento, los sistemas de información, las necesidades de seguridad y, tratándose de una entidad pública, las normas que regulan el respectivo sector.

Asimismo, la referida Guía reconoce que el Oficial de Protección de Datos Personales puede desempeñar simultáneamente otras funciones dentro de la organización, siempre que estas no afecten su autonomía ni generen conflictos de interés, particularmente cuando el empleo ejercido implique determinar los fines y medios de las actividades de tratamiento que posteriormente deban ser objeto de evaluación, seguimiento o recomendación por parte del Oficial.

Conforme con las orientaciones de la Superintendencia de Industria y Comercio, el Oficial de Protección de Datos Personales tiene la función de velar por la implementación efectiva de las políticas, procedimientos y buenas prácticas adoptadas por la organización, sin que su designación implique trasladarle de manera exclusiva la responsabilidad institucional que corresponde a la Secretaría Jurídica Distrital como responsable o encargada del tratamiento, ni sustituya las obligaciones de las dependencias, líderes de proceso, administradores de sistemas de información y demás servidores que intervienen en las actividades de tratamiento de datos personales. Lo anterior, sin perjuicio de la responsabilidad que pueda corresponder al servidor designado por sus propias acciones u omisiones, de conformidad con el ordenamiento jurídico.

En el ámbito institucional, mediante la Resolución 070 de 2018 la Secretaría Jurídica Distrital adoptó su Política de Tratamiento de Datos Personales, aplicable a las actividades de recolección, almacenamiento, uso, circulación, actualización, transmisión, transferencia y supresión de datos personales realizadas por la entidad.

En desarrollo de dicha Política, la Secretaría Jurídica Distrital adoptó el Programa Integral de Protección de Datos Personales, identificado con el código 2310200-PL-021, como instrumento institucional destinado a establecer los lineamientos y procedimientos para su implementación, monitoreo, sostenimiento y mejora continua, bajo un enfoque de responsabilidad demostrada y gestión integral de los riesgos asociados al tratamiento de datos personales.

De igual manera, el Programa Integral de Protección de Datos Personales distribuye responsabilidades entre la alta dirección, las instancias y dependencias que intervienen en el tratamiento de datos personales, de acuerdo con sus respectivas competencias, circunstancia que hace necesario contar con un Oficial que lidere, articule y haga seguimiento a la gestión institucional, sin sustituir las funciones decisorias, operativas, técnicas, administrativas o de evaluación independiente atribuidas a dichas instancias y dependencias.

Asimismo, la Secretaría Jurídica Distrital cuenta con el Plan Estratégico de Seguridad de la Información -PESI-, identificado con el código 2310200-PL-012, instrumento que orienta la implementación y mejora continua de la gestión de seguridad y privacidad de la información, incluida la identificación, análisis, valoración, tratamiento y seguimiento de los riesgos que puedan afectar la confidencialidad, integridad y disponibilidad de la información institucional.

En este sentido, la protección de datos personales debe articularse con la gestión de seguridad y privacidad de la información de la entidad, sin confundir sus finalidades ni concentrar indebidamente sus responsabilidades, toda vez que la función de protección de datos personales se orienta primordialmente a garantizar los derechos de los titulares y la licitud del tratamiento, mientras que la gestión de seguridad de la información busca preservar la confidencialidad, integridad y disponibilidad de los activos de información.

Por otra parte, el Manual Específico de Funciones y Competencias Laborales de la Secretaría Jurídica Distrital, adoptado mediante la Resolución 020 de 2019 y modificado por los actos administrativos posteriores, contempla dentro de las funciones del empleo de Asesor del Despacho del Secretario Jurídico Distrital el desempeño de las demás funciones que le sean asignadas por el superior inmediato, de acuerdo con la naturaleza y el nivel del empleo.

Finalmente, en atención a que la planta de personal de la Secretaría Jurídica Distrital no cuenta con un empleo específico y exclusivo de Oficial de Protección de Datos Personales, resulta procedente asignar dichas responsabilidades a un servidor público del nivel asesor, de conformidad con lo previsto en el artículo 12 del Acuerdo Distrital 822 de 2021.

En consecuencia, resulta necesario designar al Oficial de Protección de Datos Personales de la Secretaría Jurídica Distrital y definir el alcance de su actuación y los mecanismos de colaboración institucional requeridos para el ejercicio del rol, con el propósito de fortalecer la implementación, seguimiento, evaluación y mejora continua del Programa Integral de Protección de Datos Personales, garantizar los derechos de los titulares y acreditar el cumplimiento del principio de responsabilidad demostrada.

En mérito de lo expuesto,

RESUELVE:

Artículo 1. Designación. Designar como Oficial de Protección de Datos Personales de la Secretaría Jurídica Distrital, al servidor Carlos Andrés Bernal Casas, quien desempeña el empleo de Asesor, Código 105, Grado 05, del Despacho del Secretario Jurídico Distrital, para liderar y articular la implementación, seguimiento y mejora continua del Programa Integral de Protección de Datos Personales en la entidad.

Parágrafo 1. La designación corresponde a un rol institucional y no implica la creación de un empleo ni modifica la naturaleza, el nivel jerárquico o la remuneración del empleo desempeñado por el servidor designado.

Parágrafo 2. Para el adecuado ejercicio del rol, el Oficial podrá solicitar a las dependencias competentes la información, documentación, evidencias y apoyo que resulten necesarios, de conformidad con sus competencias y con los instrumentos institucionales vigentes.

Parágrafo 3. El Oficial ejercerá el rol con autonomía técnica y acceso oportuno a la alta dirección. Cuando el servidor designado intervenga, en ejercicio de las funciones propias de su empleo o de otro rol institucional, en la determinación de los fines o medios de una actividad de tratamiento que posteriormente deba evaluar como Oficial, deberá informar oportunamente esta circunstancia al Secretario Jurídico Distrital, quien adoptará las medidas necesarias para prevenir o gestionar un eventual conflicto de interés.

Artículo 2. Responsabilidades del Oficial de Protección de Datos Personales. El oficial de protección de datos personales ejercerá las siguientes responsabilidades:

1. Liderar y articular la implementación, seguimiento, evaluación y mejora continua del Programa Integral de Protección de Datos Personales de la Secretaría Jurídica Distrital.

2. Hacer seguimiento a la observancia del Régimen General de Protección de Datos Personales, la Política de Tratamiento de Datos Personales, el Programa Integral de Protección de Datos Personales y los demás instrumentos internos aplicables, y formular a la alta dirección y a las dependencias competentes las recomendaciones que resulten necesarias.

3. Coordinar, con base en la información suministrada por las dependencias competentes, la identificación y actualización de las bases de datos y actividades de tratamiento de datos personales, y hacer seguimiento a la inscripción, actualización y reporte de novedades en el Registro Nacional de Bases de Datos -RNBD-.

4. Asesorar a las dependencias competentes en la identificación y gestión de los riesgos asociados al tratamiento de datos personales y promover la incorporación de la protección de datos desde el diseño y por defecto, así como la realización de evaluaciones de impacto cuando la naturaleza, alcance, contexto, finalidad o tecnología empleada pueda representar un riesgo significativo para los derechos de los titulares.

5. Coordinar y hacer seguimiento al trámite de las consultas y reclamos formulados por los titulares para el ejercicio de los derechos previstos en la Ley Estatutaria 1581 de 2012 y en sus normas reglamentarias, de conformidad con los procedimientos institucionales aplicables.

6. Asesorar a las dependencias competentes en la incorporación y verificación de las obligaciones aplicables a la protección de datos personales en los proyectos, trámites, servicios, contratos, convenios, formularios, sistemas de información y soluciones tecnológicas de la entidad.

7. Coordinar con las dependencias competentes la evaluación de las implicaciones para los titulares de los incidentes que comprometan datos personales y hacer seguimiento a las medidas de gestión, documentación y reporte que resulten procedentes.

8. Promover, con el apoyo de las instancias competentes, actividades de formación, sensibilización y apropiación institucional en materia de protección de datos personales.

9. Servir como punto de contacto y canal de cooperación con la Superintendencia de Industria y Comercio, coordinar la atención de sus requerimientos y presentar a la alta dirección y a las instancias institucionales competentes los informes y recomendaciones relacionados con el ejercicio del rol.

10. Documentar las actividades desarrolladas, efectuar seguimiento a las recomendaciones formuladas y ejercer las demás funciones directamente relacionadas con el rol que le sean asignadas por el Secretario Jurídico Distrital, de conformidad con la normativa aplicable y con la naturaleza y el nivel del empleo desempeñado.

Parágrafo 1. La designación del Oficial de Protección de Datos Personales no implica trasladarle de manera exclusiva la responsabilidad institucional que corresponde a la Secretaría Jurídica Distrital como responsable o encargada del tratamiento, ni sustituye las funciones y obligaciones de la alta dirección, los líderes de proceso, los responsables internos de las bases de datos, los administradores de los sistemas de información y las dependencias que efectúen actividades de tratamiento. El Oficial desarrollará actividades de liderazgo, articulación, asesoría, seguimiento y recomendación, sin asumir las competencias decisorias, operativas, técnicas o de evaluación independiente atribuidas a otras instancias o dependencias. Lo anterior, sin perjuicio de la responsabilidad que pueda corresponderle por sus propias acciones u omisiones, de conformidad con el ordenamiento jurídico.

Parágrafo 2. Las funciones de seguimiento asignadas al Oficial de Protección de Datos Personales no comprenden el ejercicio de auditoría interna ni de evaluación independiente.

Artículo 3. Deber de apoyo al Oficial de Protección de Datos Personales. Las dependencias de la Secretaría Jurídica Distrital, en el marco de sus competencias y de los instrumentos institucionales vigentes, deberán suministrar oportunamente al Oficial de Protección de Datos Personales la información y las evidencias requeridas para el ejercicio de su rol, así como brindar el apoyo que resulte necesario de acuerdo con la naturaleza de cada asunto.

Parágrafo. Lo dispuesto en el presente artículo no modifica las funciones ni las competencias atribuidas a las dependencias, instancias, servidores públicos o contratistas de la entidad, ni traslada al Oficial de Protección de Datos Personales las responsabilidades que les correspondan por su intervención en las actividades de tratamiento.

Artículo 4. Capacitación y apoyo institucional. La Secretaría Jurídica Distrital facilitará al Oficial de Protección de Datos Personales el acceso oportuno a la información, a las actividades de tratamiento y a las dependencias de la entidad, así como el apoyo técnico, jurídico, administrativo y operativo requerido para el ejercicio de sus funciones, de conformidad con las competencias y los instrumentos institucionales vigentes.

Asimismo, la entidad promoverá la participación del Oficial en actividades de capacitación y actualización relacionadas con el Régimen General de Protección de Datos Personales, responsabilidad demostrada, gestión de riesgos, Registro Nacional de Bases de Datos y gestión de incidentes que involucren datos personales.

Artículo 5. Comunicación. Comuníquese la presente resolución al servidor público Carlos Andrés Bernal Casas y a todas las dependencias de la Secretaría Jurídica Distrital, por conducto de la Dirección de Gestión Corporativa.

Artículo 6. Vigencia. La presente resolución rige a partir de su publicación.

COMUNÍQUESE Y CÚMPLASE.

Dada en Bogotá D. C., a los 02 días del mes de septiembre del año 2026.

MAURICIO ALEJANDRO MONCAYO VALENCIA

Secretario Jurídico Distrital

Nota: Ver norma original en Anexos.