Seguridad, privacidad y habeas data
Qué exige la Ley 1581 sobre los datos de un visitante
Una portería recolecta datos personales todos los días: nombres, cédulas, placas. La copropiedad es responsable de ese tratamiento, y la mayoría de los conjuntos lo hace sin saberlo, en un cuaderno que se guarda por años.
Esta página explica qué obliga la norma, qué decisiones tomó Mjestic al respecto y cómo está construido el aislamiento entre copropiedades.
El marco, en términos utilizables
Un conjunto residencial que lleva un registro de visitantes, un directorio de residentes o un archivo de correspondencia está tratando datos personales. Eso lo convierte en responsable del tratamiento, con obligaciones concretas frente a las personas cuyos datos maneja.
De los principios de la ley, cuatro son los que aprietan en una portería:
- Finalidad. El dato se recolecta para algo informado y legítimo, y no se puede usar para otra cosa después.
- Libertad. El tratamiento requiere autorización previa e informada del titular, salvo las excepciones que la propia ley contempla.
- Acceso y circulación restringida. El dato no queda disponible para quien no tiene por qué verlo.
- Seguridad y confidencialidad. Hay que proteger el dato y quien lo trata está obligado a reservarlo, incluso después de terminada su relación con la copropiedad.
A eso se suma la regla que más se ignora: el tratamiento sólo puede durar el tiempo razonable y necesario para la finalidad que lo justificó. No hay un número en la norma, y precisamente por eso el criterio hay que fijarlo, documentarlo y aplicarlo. Un cuaderno de minuta de 2019 en un archivador es un tratamiento que ya no tiene finalidad.
El titular, además, conserva sus derechos: conocer qué datos suyos existen, actualizarlos, rectificarlos, solicitar su supresión y revocar la autorización. Una copropiedad debería tener un canal para atender eso y una política de tratamiento publicada.
Esta página describe cómo está construido Mjestic y ofrece contexto general sobre la norma. No es asesoría jurídica: la política de tratamiento de datos de una copropiedad, su aviso de privacidad y sus plazos de conservación conviene revisarlos con un abogado.
El visitante es el titular más desprotegido de todos
La finalidad que justifica registrarlo es concreta y limitada: poder saber quién entró si más adelante ocurre algo. Esa finalidad se agota. A los seis meses, el nombre de un domiciliario que pasó una vez no le sirve a nadie, y sin embargo en un cuaderno seguirá ahí durante años.
Mjestic aplica el vencimiento de forma automática, sin que nadie tenga que acordarse. Al cumplirse el plazo se retiran el nombre, la cédula y la placa del preaviso, de la solicitud de ingreso y del tramo de la minuta donde aparecían. Lo que queda es que hubo un ingreso, cuándo y quién lo autorizó.
Se anonimiza, no se borra
Borrar la fila completa se llevaría por delante el aforo y el histórico, que son agregados: cuánta gente entró un martes a las siete no identifica a nadie y sí le sirve a la administración para dimensionar turnos. Se retira lo que identifica y se conserva lo que no.
Que esa rutina pueda escribir sobre la minuta es la única excepción a su inmutabilidad en todo el sistema, y está acotada a una función con nombre propio, reservada al rol de servicio. Se prefirió una función acotada a abrirle a alguien un permiso general de escritura sobre el histórico.
6 meses
Plazo tras el cual se retiran nombre, cédula y placa del visitante.
Sin biometría
Mjestic no recolecta huella ni ningún otro dato biométrico, que la ley clasifica como sensible.
Una excepción
La anonimización es lo único que puede reescribir la minuta, y sólo el tramo identificable.
El límite honesto de la anonimización automática
La rutina alcanza los campos estructurados: el nombre del preaviso, el número de documento, la placa. Lo que no alcanza es el texto que el vigilante escribió a mano.
Si en la minuta quedó escrito «llegó el señor Pérez preguntando por la 804», ningún patrón automático reconoce con certeza que ahí hay un nombre sin adivinar, y adivinar sobre un histórico inmutable es peor que no tocarlo. El freno real son las notas predefinidas: como el noventa por ciento de los registros se hace tocando una nota y no escribiendo, la superficie de texto libre con datos personales es pequeña por construcción.
Decirlo importa. Una copropiedad que sepa esto puede incluirlo en la capacitación de la portería —no escribir nombres completos en el texto libre— y resolver por procedimiento lo que el sistema no resuelve solo.
Cómo está construido el aislamiento entre copropiedades
Las reglas viven en la base de datos
La separación entre conjuntos no depende de que la aplicación recuerde filtrar. Está escrita como Row Level Security en PostgreSQL: políticas que validan el rol y el conjunto del usuario a partir de su credencial y deciden qué filas existen antes de que la consulta devuelva algo.
La alternativa habitual —conectarse con un usuario privilegiado y filtrar por conjunto en cada consulta— convierte un filtro olvidado en una fuga entre copropiedades. Aquí, olvidarlo no devuelve datos ajenos: devuelve cero filas. Un error visible en lugar de uno silencioso.
Quién puede hacer qué, también
Que sólo la portería registre minutas o que sólo la administración publique comunicados no es una comprobación de la interfaz que se pueda saltar llamando directamente a la API: está escrito en las funciones de la base. Una sola fuente de verdad, en lugar de dos que se separan en la primera regla que cambie.
Registros no falsificables
El cliente nunca envía la hora. Todo registro se sella con el reloj de la base de datos, así que el reloj de una tablet no puede alterar una minuta ni un tiempo de respuesta. Y la minuta no tiene pantalla de edición: una corrección es un registro nuevo.
El PIN de la portería no se puede leer
Se guarda su hash, encerrado de modo que ninguna consulta de la aplicación puede extraerlo, ni siquiera con permisos de administración. La verificación ocurre dentro de la base, que responde sí o no.
Verificado, no afirmado
El aislamiento entre conjuntos, el código de un solo uso, la inmutabilidad de la minuta, los tiempos de respuesta y la retención del dato del visitante están cubiertos por una batería de pruebas automáticas que corre contra una base real en cada cambio. Una regla que se rompa detiene la publicación en lugar de aparecer meses después.
Lo que le queda por hacer a la copropiedad
- Tener una política de tratamiento de datos publicada y un aviso de privacidad que informe la finalidad del registro de visitantes.
- Informar en la reja. Un aviso visible en la portería que diga qué datos se recolectan, para qué y por cuánto tiempo es la forma práctica de cumplir el principio de transparencia con alguien que pasa treinta segundos ahí.
- Tener un canal para atender consultas y reclamos de titulares que quieran conocer, actualizar, rectificar o suprimir sus datos.
- Revisar qué más se está recolectando. Los lectores de huella en la reja capturan un dato sensible con un régimen mucho más exigente. Vale la pena preguntarse si la finalidad lo justifica.
Preguntas frecuentes
¿La Ley 1581 de 2012 aplica a un conjunto residencial?
Sí. Una copropiedad que lleva un registro de visitantes, un directorio de residentes o un archivo de correspondencia está tratando datos personales, y por lo tanto actúa como responsable del tratamiento bajo la Ley 1581 de 2012 y su decreto reglamentario 1377 de 2013. Eso implica tener una política de tratamiento, informar la finalidad al titular, atender consultas y reclamos, y conservar el dato sólo durante el tiempo razonable y necesario para la finalidad que lo justificó.
¿Qué pasa con el visitante que sólo mostró la cédula en la reja?
Es el caso más delicado, porque el visitante no abrió una cuenta, no aceptó unos términos y probablemente no vuelva nunca. La finalidad que justifica registrarlo —saber quién entró si más adelante ocurre algo— se agota con el tiempo, y con ella se agota la justificación para conservar su nombre y su documento. Mjestic aplica ese razonamiento de forma automática: a los seis meses retira el nombre, la cédula y la placa, y conserva el hecho auditable de que hubo un ingreso, cuándo y quién lo autorizó.
¿Por qué anonimizar en lugar de borrar el registro?
Porque borrar la fila se llevaría por delante el aforo y el histórico, que son agregados y no identifican a nadie. Cuánta gente entró un martes a las siete es información útil para la administración y no dice nada sobre ninguna persona en particular. Se retira lo que identifica y se conserva lo que no, que es exactamente la diferencia entre supresión y anonimización.
¿Por qué seis meses y no otro plazo?
El plazo no sale de la ley: la ley exige que sea razonable y necesario para la finalidad, sin fijar un número. Seis meses es una decisión de la administración que cubre el incidente que se descubre tarde sin acumular años de cédulas de gente que ya no vuelve. Está en un solo lugar del sistema y cambiarlo es cambiar un intervalo, de modo que una copropiedad con una razón documentada para otro plazo puede fijarlo.
¿Un conjunto puede exigirle la huella a un visitante?
La huella es un dato biométrico y la Ley 1581 lo clasifica como dato sensible, con un régimen más exigente: el titular no está obligado a entregarlo, hay que informarle que se trata de un dato sensible y por qué se pide, y la autorización debe ser explícita. Mjestic no recolecta biometría, y esa es una razón de peso para revisar los lectores de huella que algunas porterías siguen usando en la reja.
¿Los datos de una copropiedad pueden verse desde otra?
No. La separación está escrita como política de acceso dentro de PostgreSQL, por debajo de la aplicación: la base decide qué filas existen para quien pregunta. Una consulta mal escrita no devuelve datos del conjunto vecino, devuelve cero filas. La diferencia con filtrar en el código es que ahí un olvido produce una fuga silenciosa, y aquí produce un resultado vacío que se nota de inmediato.
Siga por aquí
Control de acceso y registro de visitantes
El residente preavisa desde su celular y el visitante llega con un código de un solo uso. Sin fila en la reja.
Minuta digital para la portería
El libro de novedades sin cuaderno: registro por toques, foto opcional y un histórico que nadie puede reescribir.
El panel de administración
Auditoría, métricas de la operación y exportación a CSV para el consejo y la asamblea.
La aplicación para residentes
Android nativo: preavisar visitas, recibir comunicados y acusar recibo de la correspondencia.
Los planes y la forma de cotizar
Dos planes con el precio publicado: uno para quien administra un conjunto y otro para quien lleva varios.
¿Su consejo quiere revisar esto en detalle?
Podemos hacer la demostración con el foco puesto en la protección de datos y el aislamiento entre copropiedades, que es lo que suele preguntar un consejo antes de aprobar.