Artículo 16

Plazos para facilitar la información. Cuando los datos sean proporcionados por el titular, la información se facilitará en el momento de la recogida de los datos. Cuando los datos se obtengan de otra fuente, la información se facilitará: 1. Si los datos personales se utilizan para comunicarse con el titular, a más tardar en el momento de la primera comunicación. 2. Si se comunica a otro destinatario, este deberá informar al titular en la primera comunicación que le dirija.

Contenido de la información. Cuando los datos se obtengan directamente del titular, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: 1. La identidad y datos de contacto del responsable del tratamiento. 2. La finalidad o finalidades del tratamiento a que se destinarán los datos personales; cuando el responsable del tratamiento proyecte el tratamiento posterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento posterior, información sobre ese otro fin y cualquier información adicional pertinente. 3. La condición que legitima el tratamiento conforme a los artículos 6, 8 y 33 de la Ley 81 de 2019. Cuando el tratamiento esté basado en el consentimiento del interesado, se le debe informar de su derecho a revocar el consentimiento en cualquier momento, sin que ello tenga efectos retroactivos; cuando el tratamiento de datos personales sea un requisito legal o un requisito necesario para suscribir un contrato, así se indicará y cuando el tratamiento se base en los intereses legítimos del responsable del tratamiento o de un tercero, conforme al artículo 8 de la Ley 81 de 2019, se detallará cuáles son estos intereses. 4. Los destinatarios o las categorías de destinatarios de los datos personales, en su caso. 5. La intención del responsable del tratamiento de transferir datos personales a un tercer país, así como la condición prevista en el artículo 33 de la Ley 81 de 2019 que resulta aplicable. 6. El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo. 7. La existencia, forma y mecanismos o procedimientos a través de los cuales podrá ejercer los derechos de acceso, rectificación, cancelación, oposición y portabilidad. 8. La existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 19 de la Ley 81 de 2019, y, al menos en tales casos, la información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 9. Los datos de contacto del oficial de protección de datos personales. Cuando los datos personales no se hayan obtenido de su titular, el responsable del tratamiento le facilitará, además de la información a que se refiere este artículo, la referente a la categoría de los datos de que se trate y la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público.

Condiciones de licitud para el tratamiento. Se podrá proceder al tratamiento de los datos cuando se cumplan, al menos, una de las condiciones siguientes: 1. Cuando el titular de los datos haya otorgado su consentimiento previo, inequívoco e informado por un medio que permita al responsable del tratamiento probar la trazabilidad de dicho consentimiento. 2. Cuando el tratamiento tenga lugar en el marco de una relación contractual en la que el titular de datos sea parte o se celebre en su interés. 3. Cuando el tratamiento sea necesario para el cumplimiento de una obligación legal por parte del responsable del tratamiento. En estos casos, la ley que recoja la obligación debe disponer: a. La finalidad del tratamiento. b. La determinación del responsable o responsables del tratamiento. c. Las limitaciones que rigen la licitud del tratamiento por parte del responsable. d. Las categorías de datos objeto de tratamiento. e. Los titulares de los datos afectados. f. Las entidades a las que se pueden comunicar los datos y los fines de la comunicación; g. Los plazos de conservación de los datos. 4. Cuando el tratamiento esté autorizado en una ley especial o las normativas que las desarrollen. Estas leyes podrán imponer condiciones especiales al tratamiento respetando lo previsto en la Ley 81 de 2019 y el presente decreto. 5. Cuando el tratamiento sea necesario para proteger intereses vitales del titular de los datos o de otra persona natural. 6. Cuando sea requerido por una entidad pública en el ejercicio de sus funciones legales, para la salvaguarda de un interés público o por orden judicial. 7. Cuando el tratamiento sea necesario para satisfacer el interés legítimo perseguido por el responsable del tratamiento o por un tercero, siempre que prevalezcan los intereses o los derechos y libertades fundamentales del titular de los datos, en especial cuando sea un menor de edad. Para justificar el interés legítimo el responsable del tratamiento deberá demostrar que evaluó y ponderó los intereses o derechos involucrados y que adoptó las medidas necesarias para mitigar los riesgos derivados del tratamiento. Esta condición de licitud no será aplicable al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 8. Cuando se trate de datos sensibles, se atenderá a las condiciones previstas en el artículo 13 de la Ley 81 de 2019 para proceder a su transferencia a terceros.

Condiciones para el consentimiento. El consentimiento deberá ir precedido de la información prevista en el artículo 10 del presente decreto, para cumplir las exigencias de ser informado e inequívoco. El consentimiento deberá obtenerse de forma que permita su trazabilidad. Esto es, cuando el tratamiento se base en el consentimiento del interesado, el responsable del tratamiento deberá ser capaz de demostrar que aquel consistió el tratamiento de sus datos personales. Se considera válida la documentación del consentimiento, incluso por vía electrónica o por cualquier otro mecanismo, conforme al medio que se utilice en cada caso para la recogida de los datos, siempre que éste permita demostrar al responsable del tratamiento que el consentimiento fue otorgado. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos. El consentimiento para el tratamiento de datos de salud, así como otros datos sensibles, cuando la ley que los regule lo exija, deberá ser irrefutable y expreso. En el caso de tratamiento de datos de menores de edad e incapaces, el tratamiento deberá llevarse a cabo con la autorización previa del acudiente, tutor o quien ejerza la guarda y crianza o tutela del menor o incapaz. En estos casos, el responsable del tratamiento deberá demostrar que hizo todos los esfuerzos razonables para verificar esta autorización, teniendo en cuenta el estado de la tecnología disponible en cada momento. Los datos personales de los menores de edad e incapaces se pueden recopilar sin consentimiento cuando el tratamiento sea necesario para contactar con los padres, acudiente, tutor o quien ejerza la guarda y crianza o tutela del menor o incapaz y únicamente con esta finalidad.