Con la pandemia ocasionada por la propagación de la Covid-19 los Estados adoptaron múltiples instrumentos que no solo les permitió controlar la transmisión de la enfermedad sino, además, conocer en tiempo real el estado de salud de las personas. A partir de uso de aplicaciones el Estado colombiano y las entidades territoriales tuvieron acceso ilimitado a datos personales y sensibles, amparados en la excepción relativa al ejercicio de funciones públicas y a la situación de emergencia sanitaria. Teniendo en cuenta este contexto, a partir de la revisión de un caso específico y aplicando un método comparativo con el referente mundial para el tratamiento de datos personales, el presente artículo tiene por objetivo mostrar con base en qué tipo de responsabilidad y de qué forma se articulan sus elementos, en los casos de tratamiento indebido de los datos personales por parte del Estado; en ese sentido, en el presente escrito se presentan los argumentos de orden legal y teórico que permiten afirmar que si bien las entidades estatales en cumplimiento de sus funciones no requieren de autorización para el tratamiento de los datos personales, no están exentas de cumplir con las demás condiciones legales que aseguren los derechos al habeas data y a los datos personales. Para el caso específico de los datos relativos al estado de salud en el contexto de una emergencia sanitaria, cuando las autoridades estatales no informan expresamente cuál es la finalidad con la que tratarán los datos personales y no apliquen las reglas del consentimiento informado, habrá lugar a la atribución de responsabilidad estatal por la afectación relevante a bienes o derechos convencional y constitucionalmente amparados; esto, en la medida en que en estos casos hay una transgresión de derechos directamente relacionados con la personalidad: el derecho al habeas data y a los datos personales.