Aunque la ley ya se promulgó y con ella se regulan las prácticas de las empresas para proteger el derecho a la intimidad de los usuarios, estableciendo canales, horarios y periodicidad, todavía hay preocupaciones y puntos contradictorios con el régimen de Protección de Datos Personales. Laura Torrado, asociada de la firma de abogados Posse Herrera Ruiz, explica los alcances.
SEMANA: ¿En qué consiste la Ley Dejen de Fregar?
LAURA TORRADO: La Ley 2300 de 2023 o más conocida como la ley “Dejen de Fregar” es una norma que establece medidas encaminadas a proteger el derecho a la intimidad de los usuarios. Determina así, los canales, los horarios y la periodicidad en la que estos pueden recibir información de contenido publicitario o comercial. Por otro lado, con la entrada en vigencia de esta ley se intensificó la rigurosidad del Registro de Números Excluidos (RNE), pues en su artículo 5 estableció que el Gobierno Nacional a través de MinTIC en coordinación con la Comisión de Regulación de Comunicaciones (CRC), en seis meses posteriores a la entrada en vigor (que se cumplieron el pasado 10 de abril de 2024), debían ajustar el RNE para que los usuarios pudiera elegir no recibir SMS, mensajes por aplicaciones o web, correos electrónicos y llamadas telefónicas de carácter comercial o publicitario por parte de los productores y proveedores de bienes y servicios en Colombia.
De esta forma, impone a los productores de bienes y servicios la carga de consultar el RNE y abstenerse de remitir comunicaciones comerciales o publicitarias por los canales que hayan sido excluidos por sus usuarios o consumidores.
SEMANA: ¿A qué tipo de empresas cubre?
L.T.: La Ley 2300 en principio sería aplicable a las personas naturales y jurídicas que adelanten gestiones de cobranza. Sin embargo, en su artículo 5 extendió su aplicación a todos los productores y proveedores de bienes y servicios privados o públicos.
Por lo tanto, esta norma aplica a cualquier productor de bienes y servicios públicos y privados en Colombia, independientemente de si adelanta o no gestiones de cobranza.
SEMANA: ¿Qué permite la ley y qué restricciones tiene?
L.T.: Principalmente la Ley 2300 dispone que las comunicaciones a los consumidores comerciales tendrán las siguientes restricciones horarias: solo se pueden enviar comunicaciones de lunes a viernes entre 7:00 a.m. y 7:00 p.m. y los sábados entre 8:00 a.m. y 3:00 p.m.; se prohíbe cualquier tipo de contacto los domingos y festivos; se prohíbe el contacto por varios canales en una semana y se prohíbe el contacto en más de una ocasión en un mismo día.
Asimismo, restringe los canales por los cuales se puede contactar a los consumidores, generando en los prestadores de bienes y servicios la carga de consultar el RNE para verificar qué canales de comunicación han restringido sus consumidores para contactarlos.
Finalmente, la Ley impide que al ingresar a un establecimiento se exija a los consumidores que acepten recibir mensajes comerciales, establece la necesidad de una autorización expresa para utilizar la información para alimentar bases de datos y genera la obligación de disponer de mecanismos para cancelar la recepción de mensajes y correos electrónicos, también conocido como opt-out.
Esto no impide los contactos necesarios para cumplir con un contrato específico, pues se limita a comunicaciones de carácter comercial o publicitario.
SEMANA: ¿Qué pasa con los consumidores?
L.T.: Si bien los consumidores se podrían ver beneficiados al dejar de recibir comunicaciones indeseadas en horarios inadecuados y por canales indeseados, la Ley también los restringe, pues en el RNE no permite elegir de qué empresa se desea o no recibir comunicaciones comerciales o publicitarias.
SEMANA: Por ejemplo…
L.T.: Si un consumidor excluye su correo electrónico como canal de comunicación, ninguna empresa podrá enviarle comunicaciones de contenido publicitario o comercial a través de dicho medio. De esta forma, si el consumidor quiere recibir información de promociones y descuentos de ciertas marcas y de ciertos eventos, tendría que acudir a esos establecimientos específicos y autorizar expresamente el envío de comunicaciones por ese canal.
Las compañías deberían crear los mecanismos de consulta para ingresar al RNE, cargar los datos de sus consumidores y verificar si han excluido o no determinado canal para enviarle contenido comercial o publicitario.
SEMANA: ¿Cómo funciona el registro en números excluidos?
L.T.: El RNE es una plataforma en la que los ciudadanos pueden inscribirse y elegir los canales de los cuales desean excluirse para recibir contenido de carácter comercial o publicitario.
Así, los medios de contacto que los consumidores pueden excluir en el RNE para recibir información publicitaria o comercial son los siguientes: mensajes de texto (SMS), mensajes por aplicaciones o web, correos electrónicos y llamadas telefónicas.
Por parte de las empresas, estas deberán registrarse en el sistema con el ánimo de contrastar la información de sus bases de datos con aquella disponible en el RNE. Para hacerlo deben crear su cuenta en el sistema, designar a un administrador encargado de las consultas, preparar un documento CSV con los datos personales para cargarlo al sistema y hacer la consulta (esta consulta podrá tener hasta 10.000 registros simultáneos) y comprobar si sus usuarios están registrados y se han excluido sus canales para dejar de contactarlos.
De acuerdo con la CRC, el RNE se actualiza diariamente en horas de la madrugada. Sin embargo, como se mencionó anteriormente en la Ley se establece una periodicidad específica para su consulta.
SEMANA: ¿Qué significa eso? ¿Que no puedo recibir llamadas o se identifican los canales para recibirlas?
L.T.: Esto significa que puedo decidir si no quiero que me contacten a través de llamadas, mensajes de texto, correo electrónico o aplicaciones web (la cual incluiría por ejemplo WhatsApp). Por ejemplo, puedo decidir si solo quiero que me contacten por correo electrónico, pero no por SMS o aplicaciones web.
SEMANA: ¿Qué pasa si estoy en el registro de números excluidos y una empresa me llama?
L.T.: Si un usuario excluyó alguno de sus canales y la empresa lo contacta por el canal excluido, puede ser debido a dos situaciones: una, que la empresa no haya revisado de manera juiciosa la base de datos de exclusiones en el RNE y en consecuencia, desconozca que el usuario excluyó sus canales, y esa empresa puede ser objeto sujeto de posibles sanciones por parte de la Superintendencia de Industria y Comercio; o dos que el usuario haya dado su autorización específica a la empresa para ser contactado por ese canal específico a pesar de la Ley 2300.
SEMANA: ¿Qué beneficios tiene la ley?
L.T.: La Ley puede ser beneficiosa para los usuarios, pues su propósito principal es proteger su intimidad, limitando la cantidad y forma en la que las empresas podrán contactarlos.
Así mismo, dispone una herramienta de fácil acceso para que el usuario pueda registrarse en el sistema y excluir sus canales para cesar los contactos comerciales o de cobranza de manera definitiva.
SEMANA: ¿Qué preocupaciones deja la ley?
L.T.: Si bien la Ley puede tener una intención y un espíritu positivo, también genera amplias complejidades para el desarrollo de las actividades de las empresas, tiene puntos de encuentro que en algunos casos pueden ser contradictorios con el régimen de protección de datos y en algunos casos puede limitar el derecho de elección de los consumidores.
SEMANA: ¿Cómo se pueden ejemplificar estas situaciones?
L.T.: En la dificultad de implementación, el RNE permite contrastar hasta 10.000 datos de manera simultánea. Esto es insuficiente y genera unas cargas desproporcionadas para las empresas, pues la gran mayoría de compañías tienen un volumen mucho más grande de clientes, lo que implicaría tener que hacer múltiples consultas para verificar si sus consumidores se han excluido de algún canal de comunicación. Además, el RNE ha presentado fallas y ha generado serios problemas a la hora de realizar consultas por las empresas. Hacer las consultas de manera diaria en el RNE es una obligación de imposible cumplimiento, por las cargas que la misma implica. Si bien la norma no establece una periodicidad específica, la CRC ha anunciado que lo actualiza de forma diaria. Descargar los datos y presentarlos en el formato que pide el RNE es riesgoso y en algunos casos contrario a las políticas de seguridad de la información de las compañías, pues en el procedimiento de descarga y consulta de la información, pueden presentarse incidentes de seguridad.
Las personas encargadas de la administración de la cuenta del RNE no necesariamente son las personas indicadas, ni capacitadas, para procesar datos personales, por lo que una vez más, las compañías se enfrentan a un riesgo alto de posibles incidentes.
La Ley no atiende a las realidades de los mercados, ni de las empresas, pues limita el ejercicio de la actividad publicitaria y comercial.
SEMANA: En ese orden de ideas, ¿cuáles son los puntos contradictorios con el Régimen de Protección de Datos Personales?
L.T.: La Ley 2300 tiene un vacío jurídico, pues establece que, salvo que exista autorización expresa, las compañías no podrán contactar a los titulares por el canal que ha sido excluido. Sin embargo, el régimen de protección de datos personales (artículo 12 de la Ley 1581 de 2012) no exige que en la autorización se discriminen los canales de contacto, ni la facultad de elegirlos. Por lo cual, en la práctica, lo que se estaría haciendo es generar que todas las compañías retomen las autorizaciones de sus consumidores, incluyendo la posibilidad de elegir los canales de contacto por los cuales desean ser contactados.
Además, el exigir la descarga y copia de los datos en un archivo de las condiciones que se requieren para adelantar la consulta en el RNE, contraría lo establecido en los artículos 26 y 27 del Decreto 1377 de 2013, el cual exige que las compañías cuenten con medidas apropiadas y efectivas para salvaguardar la seguridad de los datos personales tratados.
Para muchas compañías que tienen sus matrices por fuera de Colombia, puede resultar complejo e incluso imposible el acceder a las bases de datos para luego comparar las mismas con la información disponible en el RNE, debido justamente a las medidas adoptadas a nivel global para salvaguardar la seguridad de la información.
SEMANA: ¿Tiene efectos nocivos para los consumidores?
L.T.: Se afecta el derecho de recibir información de los consumidores, toda vez que dejarían de recibir información de su interés de las compañías debido a una exclusión general en el RNE.
Se afecta el derecho de elección de los consumidores, pues si bloquean un canal de comunicación lo hacen para todas las compañías y en la práctica estarían obligados a acudir una a una a las compañías de las que sí quieren recibir información.
SEMANA: ¿Qué dudas o interrogantes genera?
L.T.: El primer gran interrogante de esta regulación recae en la periodicidad en la que las empresas deberán consultar el RNE para conocer qué usuarios han excluido sus canales en el sistema. La periodicidad de las consultas no está establecida aún por la SIC y la CRC.
Por otro lado, es importante analizar dentro de las compañías cómo se pueden implementar mecanismos de consulta y preparar un estimado de clientes con los que cuentan para comprender el alcance de los retos que genera la consulta por cada 10.000 datos.
Otro interrogante proviene de la excepción establecida en la Ley. Según la norma, una empresa podrá contactar a un usuario por determinado canal si cuenta con su autorización expresa. Sin embargo, el régimen de datos personales no exige que en dicha autorización se discriminen los canales a través de los cuales el usuario desea ser contactado. ¿Esto estaría cambiando el régimen de protección de datos? ¿Cómo puede la SIC modular esto?
Por otro lado, sería importante analizar cómo interactúa la ley con el principio de responsabilidad demostrada o accountability establecido en el régimen de protección de datos personales, toda vez que, el subir la información al sistema puede generar incidentes de seguridad por diferentes razones, por ejemplo, el administrado no siempre será un experto en materia de seguridad de la información.
SEMANA: ¿Se puede ser selectivo con el tipo de empresas de las que se quieren recibir llamadas?
L.T.: Como se mencionó, el RNE no permite seleccionar las empresas que el usuario desea que lo contacten. Sin embargo, la Ley 2300 contempla como excepción legal la autorización del titular, por lo que el titular tendría que autorizar expresamente a la compañía de la que quiere recibir información para ser contactado por los canales que ha excluido.