Datos de tus miembros: qué exige la Ley 1581 en Colombia

Un gimnasio maneja nombres, documentos, teléfonos, historiales de pago y, con frecuencia, información de salud y composición corporal. En Colombia todo eso está regulado por la Ley 1581 de 2012 y sus decretos reglamentarios.

Cumplir no es solo evitar sanciones: es lo que permite pedirle a alguien que se mida con tranquilidad. Este artículo resume las obligaciones prácticas.

Este texto es informativo y no sustituye asesoría jurídica. Para su caso concreto, consulte con un abogado.

Los roles: quién es qué

La ley distingue dos figuras, y saber cuál eres determina tus obligaciones:

• Responsable del tratamiento: quien decide sobre la base de datos y sus finalidades. Ese eres tú respecto de los datos de tus miembros.
• Encargado del tratamiento: quien trata los datos por cuenta del responsable. Es el rol del proveedor de software que usas.

Esto importa: si un miembro pide acceso o supresión de sus datos, el obligado a responder eres tú, no tu proveedor.

Datos sensibles: la parte que más afecta a un gimnasio

La ley define como sensibles aquellos que afectan la intimidad o cuyo uso indebido puede generar discriminación. Entre ellos, los datos relativos a la salud.

En un gimnasio, esto normalmente incluye:

• Composición corporal y porcentaje de grasa.
• Lesiones, patologías y limitaciones físicas.
• Fotografías de progreso corporal.
• Datos de valoración física en general.

El tratamiento de datos sensibles tiene reglas más estrictas:

• Está prohibido, salvo excepciones — entre ellas, que el titular haya dado autorización explícita.
• El titular puede negarse a entregarlos, y hay que informarle que no está obligado.
• No se pueden condicionar servicios a que los entregue, salvo que sean estrictamente necesarios.

!> Consecuencia práctica: no puedes publicar un ranking de composición corporal ni fotos de progreso sin autorización específica para esa publicación. La autorización general de tratamiento no cubre la difusión pública.

La autorización: qué debe contener

Debe ser previa, expresa e informada, y debe poder consultarse después. Necesita informar:

1. Quién trata los datos, con datos de contacto.
2. Para qué se van a usar. Con finalidades concretas: gestionar la membresía, cobrar, diseñar rutinas, comunicar novedades.
3. Qué derechos tiene el titular.
4. Si hay datos sensibles, indicarlo y aclarar que no está obligado a entregarlos.
5. Cómo ejercer sus derechos: canal y procedimiento.

Formatos válidos: documento firmado, casilla en un formulario electrónico, o cualquier medio que permita conservar prueba. Lo crítico es poder demostrar después que la obtuviste.

Y una recomendación práctica: separa las finalidades en casillas distintas. Una para gestionar la membresía, otra para comunicaciones comerciales, otra para datos de valoración física, otra para uso de imagen. Así quien no quiere que publiques su foto puede seguir siendo miembro sin problema.

Los derechos del titular y tus plazos

Los plazos son concretos:

• Consultas: hasta 10 días hábiles, prorrogables por 5 más.
• Reclamos: hasta 15 días hábiles, prorrogables por 8 más.

En ambos casos, si necesitas la prórroga debes informar los motivos y la fecha estimada de respuesta.

Lo que debes tener implementado

1. Política de tratamiento de datos, publicada y accesible.
2. Autorización recogida y conservada para cada titular.
3. Canal de atención designado —un correo específico funciona— para consultas y reclamos.
4. Registro de las solicitudes recibidas y sus respuestas.
5. Medidas de seguridad razonables: control de acceso, respaldos, que no cualquiera pueda ver todo.
6. Contrato con tus encargados —el proveedor de software— que regule el tratamiento.
7. Registro Nacional de Bases de Datos, si aplica según el tamaño de tu operación. Verifica los criterios vigentes.

Los errores frecuentes en gimnasios

No pedir autorización. El más común. Si tus miembros nunca firmaron nada, no tienes base para tratar sus datos.

Autorización genérica. Un "acepto términos" sin especificar finalidades no cumple con el requisito de ser informada.

Publicar sin permiso específico. Fotos en redes, rankings de composición corporal, testimonios con nombre. La autorización de tratamiento no equivale a autorización de uso de imagen.

Enviar publicidad a quien no la autorizó. Las finalidades comerciales requieren autorización propia y revocable.

No poder responder qué datos tienes. Si un miembro pregunta, debes poder responder. Con la información dispersa en tres sistemas, no puedes.

Conservar indefinidamente. Los datos se conservan mientras sea necesario para las finalidades informadas y las obligaciones legales. Después, se eliminan o anonimizan.

Qué hacer si te piden supresión

1. Verifica la identidad del solicitante.
2. Comprueba si hay un deber legal o contractual que impida borrar — por ejemplo, obligaciones contables sobre facturación.
3. Si no lo hay, suprime y confirma por escrito.
4. Si lo hay, explica cuál es y qué se conserva y por cuánto tiempo.
5. Registra la solicitud y la respuesta.

Por dónde empezar

Si hoy no tienes nada:

1. Redacta la política de tratamiento y publícala.
2. Añade la autorización, con casillas separadas, al formulario de alta.
3. Designa el correo de atención.
4. Recoge autorización de tus miembros actuales — un correo con confirmación funciona.
5. Revisa qué datos sensibles tienes y si tienes permiso para tenerlos.

El punto 4 es el más trabajoso y el más urgente si llevas años operando sin él.