sus actividades relacionadas con los datos bajo su gestión, incluidos los nombres de
las personas responsables, los fines del tratamiento, las categorías de titulares de
datos, los fundamentos jurídicos del tratamiento, entre otros 99 . El artículo 25
también incluye requisitos para el registro cronológico de todas las operaciones de
consulta y divulgación de datos 100.
127. La ausencia de procedimientos claros y de la obligación de registrar y archivar
todos los procedimientos llevados a cabo por las organizaciones de inteligencia para
procesar, almacenar y manipular datos personales ha permitido el uso indiscriminado
de datos personales de los miembros del Colectivo CAJAR, que han sido recopilados,
sobre todo, de forma ilegal. No puede pasar desapercibido, por tanto, que las
operaciones encubiertas de seguimiento implicaban, por ejemplo, la captura masiva
de fotografías y la elaboración de perfiles de los objetivos 101. Como expliqué
anteriormente, estas prácticas se mantuvieron e incrementaron con el uso de nuevas
tecnologías de vigilancia digital, incluso después de la entrada en vigencia de la Ley
1621, a través de los Batallones de Ciberinteligencia del Ejército colombiano.
128. Otro aspecto especialmente relevante de las medidas de reparación relativas
a la Ley 1621 se refiere a la ampliación del control judicial ex ante de las
operaciones de inteligencia. En su redacción actual, la ley sólo exige autorización
judicial previa para la interceptación telefónica, en los términos de los artículos 17 102
y 44 103 .
129. Por supuesto, la Corte IDH no desea que el Estado avance hacia un sistema
de exigencia general de control previo para todo tipo de actividades llevadas a cabo
por las organizaciones de inteligencia. Tal hipótesis podría hacer inviable e ineficaz
el funcionamiento regular de estos servicios. Esta cautela condujo al Tribunal, por
una parte, a identificar los métodos más intervencionistas a los que debería aplicarse
el sistema de control previo y, por otra, a exigir medidas que hicieran viable el control
99
Directiva 2016/680 del Parlamento Europeo y del Consejo de la Unión. Artículo 24. Registro de las
Actividades de Tratamiento. 1. Los Estados miembros dispondrán que cada responsable conserve un
registro de todas las categorías de actividades de tratamiento de datos personales efectuadas bajo su
responsabilidad. Dicho registro deberá contener toda la información siguiente: a) el nombre y los datos
de contacto del responsable del tratamiento y, en su caso, del corresponsable y del delegado de protección
de datos; b) los fines del tratamiento; c) las categorías de destinatarios a quienes se hayan comunicado
o vayan a comunicarse los datos personales, incluidos los destinatarios en terceros países u organizaciones
internacionales; d) una descripción de las categorías de interesados y de las categorías de datos
personales; e) en su caso, el recurso a la elaboración de perfiles; f) en su caso, las categorías de
transferencias de datos personales a un tercer país o a una organización internacional; g) una indicación
de la base jurídica del tratamiento, incluidas las transferencias, de que van a ser objeto los datos
personales; h) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de
datos personales; i) cuando sea posible, una descripción general de las medidas técnicas y organizativas
de seguridad a que se refiere el artículo 29, apartado 1.
100
Directiva 2016/680 del Parlamento Europeo y del Consejo de la Unión. Artículo 25. Registro
Operaciones. 1. Los Estados miembros velarán por que se conserven registros de, al menos, las
operaciones de tratamiento en sistemas de tratamiento automatizados siguientes: recogida, alteración,
consulta, comunicación incluidas las transferencias, combinación o supresión. Los registros de consulta y
comunicación harán posible determinar la justificación, la fecha y la hora de tales operaciones y, en la
medida de lo posible, el nombre de la persona que consultó o comunicó datos personales, así como la
identidad de los destinatarios de dichos datos personales. 2. Dichos registros se utilizarán únicamente a
efectos de verificar la legalidad del tratamiento, autocontrol, garantizar la integridad y la seguridad de los
datos personales y en el ámbito de los procesos penales. 3. El responsable y el encargado del tratamiento
pondrán los registros de operaciones a disposición de la autoridad de control a solicitud de esta.
101
Sentencia, párrs. 343 e 554.
102
Ley 1621 de 2013. Art. 17. (...) El monitoreo no constituye interceptación de comunicaciones. La
interceptación de conversaciones privadas telefónicas móviles o fijas, así como de las comunicaciones
privadas de datos, deberán someterse a los requisitos establecidos en el artículo 15 de la Constitución y
el Código de Procedimiento Penal y sólo podrán llevarse a cabo en el marco de procedimientos judiciales.
103
Ley 1621 de 2013. Art. 44. (...) En todo caso, la interceptación de comunicaciones estará sujeta a
los procedimientos establecidos por el artículo 15 de la Constitución y el Código de Procedimiento Penal y
sólo podrá llevarse a cabo en el marco de procesos judiciales.
33