Artículo 19

Condiciones de licitud para el tratamiento. Se podrá proceder al tratamiento de los datos cuando se cumplan, al menos, una de las condiciones siguientes: 1. Cuando el titular de los datos haya otorgado su consentimiento previo, inequívoco e informado por un medio que permita al responsable del tratamiento probar la trazabilidad de dicho consentimiento. 2. Cuando el tratamiento tenga lugar en el marco de una relación contractual en la que el titular de datos sea parte o se celebre en su interés. 3. Cuando el tratamiento sea necesario para el cumplimiento de una obligación legal por parte del responsable del tratamiento. En estos casos, la ley que recoja la obligación debe disponer: a. La finalidad del tratamiento. b. La determinación del responsable o responsables del tratamiento. c. Las limitaciones que rigen la licitud del tratamiento por parte del responsable. d. Las categorías de datos objeto de tratamiento. e. Los titulares de los datos afectados. f. Las entidades a las que se pueden comunicar los datos y los fines de la comunicación; g. Los plazos de conservación de los datos. 4. Cuando el tratamiento esté autorizado en una ley especial o las normativas que las desarrollen. Estas leyes podrán imponer condiciones especiales al tratamiento respetando lo previsto en la Ley 81 de 2019 y el presente decreto. 5. Cuando el tratamiento sea necesario para proteger intereses vitales del titular de los datos o de otra persona natural. 6. Cuando sea requerido por una entidad pública en el ejercicio de sus funciones legales, para la salvaguarda de un interés público o por orden judicial. 7. Cuando el tratamiento sea necesario para satisfacer el interés legítimo perseguido por el responsable del tratamiento o por un tercero, siempre que prevalezcan los intereses o los derechos y libertades fundamentales del titular de los datos, en especial cuando sea un menor de edad. Para justificar el interés legítimo el responsable del tratamiento deberá demostrar que evaluó y ponderó los intereses o derechos involucrados y que adoptó las medidas necesarias para mitigar los riesgos derivados del tratamiento. Esta condición de licitud no será aplicable al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 8. Cuando se trate de datos sensibles, se atenderá a las condiciones previstas en el artículo 13 de la Ley 81 de 2019 para proceder a su transferencia a terceros.

Condiciones para el consentimiento. El consentimiento deberá ir precedido de la información prevista en el artículo 10 del presente decreto, para cumplir las exigencias de ser informado e inequívoco. El consentimiento deberá obtenerse de forma que permita su trazabilidad. Esto es, cuando el tratamiento se base en el consentimiento del interesado, el responsable del tratamiento deberá ser capaz de demostrar que aquel consistió el tratamiento de sus datos personales. Se considera válida la documentación del consentimiento, incluso por vía electrónica o por cualquier otro mecanismo, conforme al medio que se utilice en cada caso para la recogida de los datos, siempre que éste permita demostrar al responsable del tratamiento que el consentimiento fue otorgado. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos. El consentimiento para el tratamiento de datos de salud, así como otros datos sensibles, cuando la ley que los regule lo exija, deberá ser irrefutable y expreso. En el caso de tratamiento de datos de menores de edad e incapaces, el tratamiento deberá llevarse a cabo con la autorización previa del acudiente, tutor o quien ejerza la guarda y crianza o tutela del menor o incapaz. En estos casos, el responsable del tratamiento deberá demostrar que hizo todos los esfuerzos razonables para verificar esta autorización, teniendo en cuenta el estado de la tecnología disponible en cada momento. Los datos personales de los menores de edad e incapaces se pueden recopilar sin consentimiento cuando el tratamiento sea necesario para contactar con los padres, acudiente, tutor o quien ejerza la guarda y crianza o tutela del menor o incapaz y únicamente con esta finalidad.

Fuentes de acceso público. A los efectos de la Ley 81 de 2019, sólo podrán ser consideradas fuentes de acceso público: 1. Las publicaciones estatales de carácter oficial publicadas en Gaceta Oficial. 2. Los medios de comunicación. 3. Los directorios telefónicos en los términos previstos por su normativa específica. 4. Las listas oficiales de profesionales mantenidas por las entidades que los agrupen en lo referente a nombre, título o profesión, actividad, dirección laboral o comercial y pertenencia a la entidad. Los colegios profesionales y demás entidades a las que corresponda elaborar estos listados estarán obligados a atender los derechos de los interesados en dejar constancia de su oposición al uso de sus datos con fines distintos al que responde la elaboración del citado listado. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista de profesionales en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su expedición. Los interesados tendrán derecho a que la entidad responsable del mantenimiento de estos listados indique gratuitamente que se oponen a que sus datos personales puedan utilizarse para fines de mercado.

Disposiciones generales sobre ejercicio de los derechos. Los derechos de los titulares de datos personales podrán ejercerse directamente por el titular de los datos o por medio de representante legal. Será nulo cualquier acto o convenio entre los responsables del tratamiento o custodios de la base de datos y los titulares de los datos que limiten esos derechos. El responsable del tratamiento establecerá protocolos sencillos, accesibles y gratuitos que permitan al titular de los datos ejercer sus derechos y al responsable del tratamiento dar respuesta en tiempo y forma. El responsable del tratamiento informará al titular de los datos sobre los medios a su disposición para ejercer los derechos que le correspondan. Los medios deberán ser fácilmente accesibles y el responsable del tratamiento no podrá denegar el derecho por el solo motivo de optar el titular de los datos por otro medio, siempre que no suponga un coste desproporcionado para el responsable del tratamiento. El solicitante deberá acreditar su identidad en el momento de la solicitud, así como los datos de contacto necesarios para enviarle la respuesta al ejercicio de su derecho. En el caso de ejercicio por medio de representante legal, deberá acompañarse a la solicitud la documentación que acredite la misma conforme al ordenamiento jurídico vigente. El custodio de la base de datos podrá tramitar, por cuenta del responsable del tratamiento, las solicitudes de ejercicio a los derechos formuladas por los afectados, si así se establece en el contrato o acto jurídico que les vincule. El responsable del tratamiento deberá dar respuesta al ejercicio de los derechos, incluso cuando no obrassen datos en sus bases de datos relacionados con el solicitante. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de los derechos formulado por el afectado recaerá sobre el responsable del tratamiento. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos, se atenderá lo dispuesto en aquellas, siempre que respeten los requisitos que se establecen en la Ley 81 de 2019 y en este decreto. Cada derecho deberá ejercitarse separadamente sin que el ejercicio de uno excluya a los demás.