CC - T067-2025

TEMAS-SUBTEMAS

Sentencia T-067/25

DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICATransparencia mediante suministro de código fuente de aplicación informática (...) al no encontrarse acreditada la carga probatoria (artículo 28 de la Ley 1712 de 2014) respecto de la configuración del daño que justificaría las excepciones al acceso a la información pública solicitada por el actor, las autoridades accionadas violaron el derecho de acceso a la información pública. Adicionalmente, se afectó el ejercicio de otros derechos. En el caso específico, la falta de transparencia y acceso al código fuente de la aplicación CoronApp privó tanto al ciudadano accionante como a la sociedad en general de la posibilidad de ejercer un control adecuado y oportuno sobre esa herramienta. Esta deficiencia no solo disminuyó la extensión, obligatoriedad y funcionalidad del derecho fundamental al acceso a la información pública, sino que también impidió que los ciudadanos pudieran verificar la precisión, seguridad y uso correcto de sus datos personales, limitando así su capacidad para proteger sus derechos a la privacidad, a la protección de datos y a la participación informada en los procesos de toma de decisiones públicas. DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Contenido y alcance DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICAInstrumentos internacionales DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICAJurisprudencia constitucional DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Reglas jurisprudenciales DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA -Regulación normativa

Jurisprudencia constitucional DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Reglas jurisprudenciales DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA -Regulación normativa DERECHO DE ACCESO A LA INFORMACIÓN -Test de daño al interéspúblico/RESTRICCION DE ACCESO A LA INFORMACIONMotivación El artículo 28 desarrolla lo que se conoce como el test del daño, que busca equilibrar el derecho de acceso a la información pública y la protección de ciertos intereses que se pueden ver afectados por la publicación de determinada información. Para ello, la norma establece que el sujeto obligado que niegue el acceso a determinada información pública alegando un daño a un interés particular o público debe demostrar que: a) la información está relacionada con un objetivo constitucional y legalmente legítimo; b) se trata de una de las excepciones expresamente establecidas en los artículos 18 y 19 de la Ley 1712 de 2014; c) la información causaría un daño presente, probable y específico sobre un bien o interés constitucional; d) dicho daño excede el interés público que representa el acceso a la información. DERECHO AL HABEAS DATA-Alcance y contenido DATOS PERSONALES-Características DATOS SENSIBLES-Contenido TRATAMIENTO DE DATOS PERSONALES-Contenido y alcance DERECHO A LA INTIMIDAD-Alcance y contenido SISTEMAS DE TOMA DE DECISIONES AUTOMATIZADAS (SDA) - Concepto y aspectos básicos acerca de su funcionamiento

TRATAMIENTO DE DATOS PERSONALES-Contenido y alcance DERECHO A LA INTIMIDAD-Alcance y contenido SISTEMAS DE TOMA DE DECISIONES AUTOMATIZADAS (SDA) - Concepto y aspectos básicos acerca de su funcionamiento DERECHO A LA INTIMIDAD EN SISTEMAS DE INTELIGENCIA ARTIFICIAL (IA)-Alcance de la privacidad en el manejo de información TRANSPARENCIA ALGORÍTMICA-Garantía fundamental (...) la transparencia en el uso de esta herramienta es una garantía fundamental para asegurar un empleo adecuado y razonable de los datos personales y evitar que el uso de sistemas algorítmicos para la toma de decisiones por parte de entidades públicas derive en decisiones arbitrarias o discriminatorias.TRANSPARENCIA ALGORÍTMICA-Finalidad Lo que se busca con la transparencia algorítmica es... que el público en general pueda comprender cómo los sistemas de toma de decisiones automatizadas (SDA) procesan los datos que capturan y cómo toman decisiones que afectan la vida de las personas. Se trata de un principio con un fin constitucional: democratizar el funcionamiento interno de un sistema de toma de decisión automatizado, para que sea entendible por quienes se ven afectados por su puesta en marcha y operación. TRANSPARENCIA ALGORÍTMICA-Importancia La transparencia algorítmica es particularmente relevante en el uso de SDA por parte de entidades públicas. Lo anterior, debido a que las decisiones que toma el Estado a través de estos sistemas tienen efectos importantes en materia de derechos. DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA -Protección constitucional en el contexto de la pandemia COVID-19

toma el Estado a través de estos sistemas tienen efectos importantes en materia de derechos. DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA -Protección constitucional en el contexto de la pandemia COVID-19 DERECHO AL HABEAS DATA -Protección de su núcleo esencial en el contexto de la pandemia COVID-19 TRANSPARENCIA ALGORÍTMICA-Concepto Se trata de una garantía fundamental en una sociedad democrática, pues si un sistema de toma de decisiones automatizadas (SDA) opera y toma decisiones de manera opaca, es imposible que la sociedad evalúe su capacidad de actuar con justicia y equidad, o su impacto en la autonomía y la dignidad de las personas. Como su propia definición lo revela, la transparencia algorítmica es un concepto que se deriva de un elemento que hace parte sustancial e inescindible de la naturaleza del derecho fundamental al acceso a la información pública: la disponibilidad de información. SISTEMAS DE TOMA DE DECISIONES AUTOMATIZADAS (SDA) - Riesgos de la transparencia del código fuente (...) aunque la publicación del código fuente es uno de los mecanismos a través de los cuales se puede garantizar la transparencia algorítmica, es claro que presenta complejidades. Habrá situaciones en que una explicaciónsignificativa sobre el funcionamiento del sistema sea más apropiada que la publicidad total del código fuente, ya que esta puede crear riesgos desproporcionados para la seguridad nacional, o desconocer secretos empresariales. No obstante, es fundamental tener en cuenta que cuando se trata de SDA a cargo de entidades públicas, la transparencia algorítmica

desproporcionados para la seguridad nacional, o desconocer secretos empresariales. No obstante, es fundamental tener en cuenta que cuando se trata de SDA a cargo de entidades públicas, la transparencia algorítmica activa y pasiva debe guiarse bajo un principio de divulgación máxima. Según este principio, es fundamental que la información revelada al público para vigilar la acción digital del Estado permita examinar el desempeño de la aplicación informática o herramienta tecnológica utilizada. Por ello, en cada caso, habrá que analizar cuál es la medida que maximiza el acceso a la información, sin afectar de manera desproporcionada otros derechos e intereses. JUEZ CONSTITUCIONAL -Deber de garantizar el respeto a los derechos fundamentales

REPÚBLICA DE COLOMBIA

CORTE CONSTITUCIONAL

Sala Novena de Revisión

SENTENCIA T-067 DE 2025

Ref.: Expediente No. T-8.202.533

Acción de tutela formulada por el ciudadano Juan Carlos Upegui Mejía contra de la Agencia Nacional Digital -AND, el Instituto Nacional de Salud-INS-1 y el Ministerio de Salud y Protección Social2.

Magistrada Ponente: Natalia Ángel Cabo

Bogotá, D.C., 26 de febrero de 2025. La Sala Novena de Revisión de la Corte Constitucional, integrada por la magistrada Natalia Ángel Cabo, quien la preside, la magistrada Diana Fajardo Rivera y el magistrado Jorge Enrique Ibáñez Najar3, en ejercicio de sus competencias constitucionales, legales y reglamentarias, profiere la siguiente:

SENTENCIA.

Rivera y el magistrado Jorge Enrique Ibáñez Najar3, en ejercicio de sus competencias constitucionales, legales y reglamentarias, profiere la siguiente:

SENTENCIA.

Esta decisión se emite en el proceso de revisión de los fallos de tutela dictados, en primera instancia, por el Juzgado 64 Administrativo de Oralidad del Distrito Judicial de Bogotá, el 18 de enero de 2021 y, en segunda instancia, por el Tribunal Administrativo de Cundinamarca, Sección Segunda, 1 Vinculado al trámite de la acción de tutela mediante auto del 12 de enero de 2021, proferido por el Juzgado 64 Administrativo de Oralidad del Distrito Judicial de Bogotá, dentro del trámite de la primera instancia en el proceso de la referencia. 2 Vinculado al trámite de la acción de tutela mediante auto del 31 de enero de 2022, proferido por la Corte Constitucional, dentro del trámite de revisión en el proceso de la referencia. 3 Registro de proyecto: 18 de marzo de 2022. Los artículos 1 del Acuerdo 01 de 2022, 7 del Decreto 1265 de 1970 y 9 del Acuerdo 108 de 1997 establecen que se mantendrá la conformación de las Salas y su competencia durante el año, a pesar del ingreso de nuevos magistrados o magistradas que alteren el orden

alfabético, pero variarán en el siguiente año calendario. El parágrafo transitorio del artículo 1º del Acuerdo 01 de 2022 regula la competencia de las Salas de Revisión de Tutelas, tras la modificación de las mismas por dicho acto administrativo y la incorporación de nuevos magistrados y magistradas a esta Corporación. De conformidad con esa disposición, las salas conformadas antes del cambio de composición mantendrán su competencia para conocer los procesos en los que se radicó el proyecto de sentencia antes del 19 de diciembre de 2022.Subsección “A”, el 25 de febrero de 2021, dentro de la acción de tutela promovida por el ciudadano Juan Carlos Upegui Mejía en contra de la Agencia Nacional Digital. Síntesis de la decisión La Sala Novena de Revisión estudió la acción de tutela instaurada por el ciudadano Juan Carlos Upegui Mejía en contra de la Agencia Nacional Digital, el Instituto Nacional de Salud y el Ministerio de Salud y Protección Social por la vulneración de su derecho fundamental al acceso a la información pública. Esto debido a que las entidades accionadas negaron su solicitud de publicar el código fuente de la aplicación CoronApp. Las autoridades accionadas afirmaron que la información que solicitó el actor estaba amparada bajo reserva de confidencialidad, debido a que: (i)

comprometía la intimidad de los datos personales que recopila la aplicación por la exposición a posibles riesgos frente a terceros malintencionados que podrían acceder a la información (artículo 18, Ley 1712 de 2014, excepción por daño a intereses de particulares); y (ii) esta era necesaria para salvaguardar la seguridad de las medidas de salud pública que se adoptaron para atender la pandemia por el Covid19 (artículo 19, Ley 1712 de 2014, excepción por daño a intereses de particulares). Adicionalmente, (iii) las autoridades accionadas alegaron que se podrían ver comprometidos sus derechos de autor, al ser quienes desarrollaron la aplicación. Al conocer la acción de tutela, los jueces de primera y segunda instancia negaron el amparo solicitado por el actor. En esencia, adujeron que si se accediera a la petición del demandante, se pondría en riesgo información sensible de los ciudadanos que tienen registrados sus datos personales en la aplicación. Además, consideraron que se trataba de aspectos meramente técnicos y especializados, razón por la que era preciso actuar con la mayor cautela posible.Al examinar las decisiones, tanto de las autoridades accionadas como de los jueces de tutela que conocieron del proceso, la Corte concluyó que se había vulnerado el derecho fundamental al acceso a la información pública del actor.

Por un lado, la Sala constató que las autoridades administrativas accionadas no cumplieron con la carga de identificar el fundamento legal de la reserva de la información invocada. Tampoco cumplieron con la carga argumentativa y probatoria que acredite que revelar información genera un daño presente, real, probable y específico que excede el beneficio que representa publicar la información (artículo 28, Ley 1712 de 2014). En este punto del examen, la Sala evidenció que la justificación presentada por las entidades demandadas no era suficiente para negar la publicación del código fuente de la aplicación CoronApp. En concreto, la Corte constató que era posible tomar medidas de seguridad sobre las bases de datos en las que reposaba la información de los usuarios (p. e. separar la información, generar credenciales de acceso, contraseñas de seguridad, medios de autenticación, etc.), de tal forma que la publicación del código no comprometiera la información y los datos de las personas. Además, la Sala reiteró que, en todo caso, las entidades accionadas debían actuar con debida diligencia y cumplir con las obligaciones de custodia de la información. Por otro lado, la Corte recordó que los jueces constitucionales son garantes del derecho fundamental al acceso a la información pública en virtud de los mandatos constitucionales y estatutarios en la materia (artículo 27, Ley 1712 de 2014). Específicamente, señaló que los jueces tienen la obligación de pronunciarse sobre los requisitos que debe cumplir una decisión que invoca la reserva sobre información pública para establecer si se acreditan las exigencias previstas por la jurisprudencia constitucional y las normas estatutarias (test de admisibilidad de la reserva).

reserva sobre información pública para establecer si se acreditan las exigencias previstas por la jurisprudencia constitucional y las normas estatutarias (test de admisibilidad de la reserva). Así, la Sala llamó la atención de los jueces de instancia porque aceptaron, sin la debida ponderación, que frente a aspectos técnicos o especializados y en circunstancias de duda o vacío legal, proceda la negación del derecho alacceso a la información, en contravía del principio de maximización de la publicidad y de la buena fe. Finalmente, en esta providencia la Sala adoptó algunas medidas dirigidas a que se materialice el principio de transparencia algorítmica como parte del derecho de acceso a la información pública. Estas medidas están encaminadas a que el Estado desarrolle estrategias para incrementar la disponibilidad de la información sobre los sistemas de algoritmo en los que se sustentan las herramientas tecnológicas para la actuación estatal, como aplicaciones o sistemas de decisión automatizada. Lo anterior, en aras de que la sociedad pueda tener suficientes elementos para valorar su uso y rendimiento.

I. ANTECEDENTES

1. Hechos

1. El 6 de agosto de 2020, el ciudadano Juan Carlos Upegui Mejía presentó una petición ante la Agencia Nacional Digital (AND), con el fin de obtener una información que considera de carácter público respecto a la aplicación electrónica CoronaApp. 4 Dentro de la información requerida, el

actor solicitó lo siguiente: (i) Copia del código fuente de la aplicación CoronApp en su versión actual, con el registro de cambios en el sistema de control de

aplicación electrónica CoronaApp. 4 Dentro de la información requerida, el actor solicitó lo siguiente: (i) Copia del código fuente de la aplicación CoronApp en su versión actual, con el registro de cambios en el sistema de control de versiones -VCSque utilicen (GIT, SVN o análogos); (ii) Subsidiariamente, en caso de que no se utilice sistema de control de versiones, copia del código fuente de la aplicación en su primera versión con el nombre de CoronApp y de todas las versiones posteriores hasta la actual (…).5 4 Expediente digital T-8202533, demanda de tutela, anexo con radicado AND-EXT00345. 5 Expediente digital T-8202533, demanda de tutela, folio 2.2. El 14 de octubre de 2020, la AND negó la solicitud de información. La entidad señaló que el acceso a la copia del código fuente de la aplicación CoronApp, así como a sus modificaciones y actualizaciones, podría comprometer la privacidad de la información personal de los usuarios de la aplicación. Por tanto, consideró que se trataba de información con carácter reservado. Adicionalmente, indicó que la aplicación CoronApp era un programa en desarrollo y constantemente recibía actualizaciones y modificaciones. Según la AND, por esta razón, la aplicación no podía ser considerada como un producto terminado y, por ende, la información solicitada no podía ser publicada.

3. El 19 de octubre de 2020, el actor presentó un recurso de reposición en contra de la decisión de la AND que negó el acceso a la información

solicitada no podía ser publicada.

3. El 19 de octubre de 2020, el actor presentó un recurso de reposición en contra de la decisión de la AND que negó el acceso a la información solicitada6. El actor sostuvo que se debían seguir los lineamientos de la Ley 1712 de 20147, en particular los principios de máxima publicidad y transparencia respecto al derecho al acceso a la información pública. También señaló que la AND no indicó las disposiciones constitucionales y legales que sustentan la supuesta reserva y tampoco cumplió con la carga argumentativa para justificar por qué la información solicitada es de acceso restringido. Por último, el demandante indicó que en su petición no solicitó los datos personales de los usuarios y que, incluso si así hubiera sido, la entidad podría haber brindado una información parcial excluyéndolos.

4. El 6 de noviembre de 2020, la AND confirmó la decisión de negar el acceso a información solicitada. La agencia reiteró que si accediera a la petición se pondrían en riesgo la información sensible de los usuarios de la aplicación. Asimismo, justificó la negativa de compartir el código fuente de la aplicación CoronApp, en la necesidad de proteger los derechos de autor sobre el software, de los cuales es titular el Instituto Nacional de Salud. 6 Expediente digital T-8202533, Radicado: AND-PQRSD-00074. 7 Ley 1712 del 6 de marzo de 2014 “Por medio de la cual se crea la Ley de Transparencia y del Derecho de

Acceso a la Información Pública Nacional y se dictan otras disposiciones.”5. Por estos hechos, el 11 de diciembre de 2020, el señor Upegui Mejía presentó una acción de tutela para obtener la protección de su derecho fundamental al acceso a la información pública. En su solicitud de amparo, el actor insistió en que la negativa de la AND de entregar la información solicitada no cumplió con la carga argumentativa que se exige para justificar dicha decisión. Para explicar la forma en que la entidad accionada vulneró sus derechos, planteó en su escrito de tutela los argumentos que se describen a continuación.

6. Primero, hizo algunas precisiones sobre la aplicación CoronApp y la definición técnica del código fuente. Así, comenzó por explicar que dicha aplicación fue desarrollada por el Gobierno Nacional como un instrumento de política epidemiológica para el control de la pandemia Covid19. Con ese fin, mediante la aplicación se registraron datos sensibles de millones de colombianos. Por ello, dice el demandante, además de ser funcional y segura en términos operativos, es necesario que el registro y archivo de esos datos esté acorde con la normatividad y la garantía de la protección de datos personales.

7. Segundo, el demandante explicó que por “código fuente” se entiende “el conjunto de instrucciones que se escriben en un lenguaje de programación para que los dispositivos o computadores puedan ejecutar un programa o

presentar al usuario una página web ”8.De manera que el código de fuente no incluye información personal de los usuarios y, por ende, no puede constituir información de carácter reservado.

8. Tercero, el actor presentó varias razones por las cuales considera que tanto la aplicación CoronApp como su código fuente deben considerarse información pública. Para empezar, señaló que dicho código es público cuando se trata de una herramienta que materializa una política pública. En ese sentido, el actor sostuvo que la información solicitada se enmarca dentro de la información mínima obligatoria que deben publicar las entidades del Estado, según el literal a) del artículo 11 de la Ley 1712 de 2014. Dicha norma 8 Expediente digital T-8202533, demanda de tutela, folio 3.señala que los sujetos obligados deben publicar de manera proactiva, entre otras cosas, los “detalles pertinentes sobre todo servicio que brinde directamente al público, incluyendo normas, formularios y protocolos de atención”9.

9. Cuarto, el accionante indicó que el código fuente puede ser entendido como análogo a un protocolo de atención de la administración pública, esto es, un conjunto de pasos para ejecutar una función. La diferencia radica en que el código fuente está escrito en lenguaje de programación, razón por la que es un protocolo digital unívoco que no está sometido a interpretación, pues es leído por las máquinas en un solo sentido. Incluso, el accionante advirtió que la propia AND reconoció el carácter de información pública del código fuente al señalar que sería revelado cuando no se realicen más modificaciones. De manera que, la entidad, en su opinión, simplemente opone la existencia de un

propia AND reconoció el carácter de información pública del código fuente al señalar que sería revelado cuando no se realicen más modificaciones. De manera que, la entidad, en su opinión, simplemente opone la existencia de un término de reserva que es inexistente.

10. Sobre este punto, el actor alegó que negar la publicación inmediata del código fuente es inadmisible por dos motivos. Por un lado, porque la aplicación ya estaba en funcionamiento desde hacía varios meses, razón por la que no se trata de información en preparación, sino en uso (activa y desplegada). Por el otro, porque la idea de una “versión final” que opone la AND constituye un plazo indeterminado y arbitrario, y no una excepción clara, delimitada y precisa sustentada en una norma con fuerza de ley, como lo exigen los lineamientos normativos del derecho de acceso a la información pública.

11. Quinto, el actor señaló que el acceso al código fuente cumple los objetivos que persigue el principio de transparencia de la información. Esto, debido a que ese acceso permitiría que la ciudadanía tenga mayor control y conocimiento sobre la forma en que se toman las decisiones, se administran los datos personales y las medidas de seguridad que tiene la aplicación para garantizar el respeto por la intimidad en el manejo de esos datos, de acuerdo 9 Ley 1712 de 2014, artículo 11.acon lo previsto en los principios generales de la Ley estatutaria de habeas data

(Ley 1581 de 2012).

12. Finalmente, el demandante precisó que el derecho fundamental al acceso a la información pública ha sido reconocido por la jurisprudencia de la

(Ley 1581 de 2012).

12. Finalmente, el demandante precisó que el derecho fundamental al acceso a la información pública ha sido reconocido por la jurisprudencia de la Corte Constitucional, en las sentencias C-491 de 2007 y C-274 de 2013, y por la legislación en la materia, particularmente por la Ley 1712 de 2014. Sobre esta última norma, el actor hizo referencia a los artículos 4 (concepto del derecho), 24 (titular del derecho), 2 (principios de máxima publicidad), 3

(principio de transparencia), 28 (carga de la prueba para las autoridades públicas cuando alegan la existencia de las reservas previstas en los artículos 18 y 19), y 21 (posibilidad de divulgación parcial de la información).

13. Por todo lo anterior, el actor solicitó al juez constitucional ordenar a la AND que le suministre la información requerida, en específico, el código fuente de la aplicación CoronApp, así como el registro de versiones o cambios que ha tenido desde su creación. Para el demandante, la entidad no podía oponer el carácter reservado de la información sin cumplir la carga argumentativa y probatoria para negar el acceso a una información pública.

2. Trámite procesal de la acción de tutela en sede de instancias y contestación de las entidades accionadas

14. Mediante el auto del 14 de diciembre de 202010, el Juzgado 64

Administrativo de Oralidad del Distrito Judicial de Bogotá admitió la demanda y ordenó notificar al director de AND para que ejerciera su derecho de defensa. Adicionalmente, a través del auto del 12 de enero de 2021, dicho

Administrativo de Oralidad del Distrito Judicial de Bogotá admitió la demanda y ordenó notificar al director de AND para que ejerciera su derecho de defensa. Adicionalmente, a través del auto del 12 de enero de 2021, dicho juzgado vinculó al trámite al Instituto Nacional de Salud (INS). 2.1. Agencia Nacional Digital –AND– 10 Expediente digital T-8202533, anexo radicado “33_AUTO ADMISORIO (2)”.15. El 16 de diciembre de 2020 11, la AND manifestó que le informó al accionante que la aplicación CoronApp cuenta con una versión iOS y una versión Android. Respecto de la versión iOS, la entidad señaló que la desarrolló integralmente sin implementar la licencia GNU-GPL 3.012, en virtud del memorando de entendimiento suscrito con el Instituto Nacional de Salud (INS). Indicó, además, que los derechos de autor sobre el software están en cabeza de esta última entidad y, por ello, optó por no publicar el código fuente.

16. En relación con la versión Android, advirtió que esta es producto de una modificación al software original que se realizó bajo la licencia internacional GNU y el código fuente fue entregado por el INS a la AND. La entidad agregó que, para el momento de la contestación, del código original quedaba menos del 6%, debido a las modificaciones y ajustes que se adelantaron durante la pandemia para responder a las necesidades que se presentaron.

17. Por otro lado, la agencia resaltó que el código en cuestión se mantenía en constante actualización para cumplir con las necesidades cambiantes y proteger la información recolectada de los usuarios. Además, la AND destacó que, en consideración a la sensibilidad de los datos personales que maneja la

en constante actualización para cumplir con las necesidades cambiantes y proteger la información recolectada de los usuarios. Además, la AND destacó que, en consideración a la sensibilidad de los datos personales que maneja la aplicación, tomó las medidas que consideró necesarias para garantizar el cumplimiento de los principios señalados en las leyes 1712 de 2014 (artículo 24, numeral 3) y 1581 de 201213, sobre tratamiento de datos personales.

18. En ese sentido, la entidad indicó que las modificaciones que se hacen a la aplicación implican que, a la fecha, no exista una versión completamente 11 Expediente digital T-8202533, anexo radicado “50_ Contestación tutela CoronApp” 12 GNU (Licencia Pública General por sus siglas en inglés) es una una licencia publica general, desarrollad por primera vez en 1989, con el propósito de desarrollar un programa informático. Bajo esa licencia, cualquier persona natural o jurídica puede crear, modificar o compartir una aplicación digital abierta. El GNU es una manifestación del copyleft, un movimiento que aboga por la cesión de derechos de forma libre sin que se apliquen las restricciones propias de los derechos de autor y propiedad intelectual. 13 Ley Estatutaria 1581 del 17 de octubre de 2012, “Por la cual se dictan disposiciones generales para la protección de datos personales.”segura que mitigue todas las amenazas a la información personal de los usuarios. Por este motivo, la AND insistió en que la publicación del código

fuente “permitiría la explotación de las vulnerabilidades que aún existen” y habilitaría a personas sin autorización para acceder a la información personal registrada por los ciudadanos o entorpecer la prestación del servicio para el que fue diseñada la aplicación.

19. Por ello, la AND afirmó que, independientemente de que se hayan respetado todos los protocolos de protección de datos personales, actualmente la versión del código fuente tiene vulnerabilidades que ponen en peligro la información personal recolectada y se incrementa el riesgo de que esa información se use de forma maliciosa. Por lo anterior, la entidad accionada consideró impertinente la solicitud de publicación del código fuente y manifestó que evaluaría la posibilidad de publicarlo únicamente cuando se encuentre terminado y no implique un riesgo para los usuarios.

Adicionalmente, la agencia explicó que trabajaba en mejoras a la seguridad de la aplicación con el objetivo de materializar su deber de custodia y protección de los datos personales de los usuarios registrados.

20. En su escrito, la AND también precisó que si bien los desarrollos de la aplicación corresponden a bienes de naturaleza pública esto no equivale a decir que ostentan el carácter de bienes de uso público. En consecuencia, según lo dicho por la AND, es deber de la entidad proteger los derechos de propiedad intelectual y de autor que surgen de su desarrollo, así como la privacidad y seguridad de los datos registrados por los usuarios de la

aplicación. La agencia destacó que era imprudente e inoportuno publicar el código fuente de la aplicación, dado que a la fecha de la contestación se tenían 13’497.917 descargas y se contaba con 3’812.995 usuarios activos. De manera que constituiría un riesgo la posibilidad de una clonación (fishing) de la aplicación, que permitiera modificar funcionalidades para obtener los datos personales de los ciudadanos de forma inescrupulosa.

21. En suma, la AND consideró que, en atención al tipo de información recolectada a través de CoronApp, era necesario mantener el código fuentetemporalmente en reserva, pues la aplicación administra información sensible y su publicación constituye un grave riesgo. Por lo tanto, decidió que negar su publicación, al ser una decisión que está debidamente sustentada y que no vulnera el derecho de acceso a la información pública del accionante. 2.2. Instituto Nacional de Salud –INS–

22. El 13 de enero de 202114, el INS contestó la solicitud de amparo constitucional. Señaló que, por su función misional, adelantaba el tratamiento de datos sensibles de los ciudadanos con estricto apego a los principios y reglas establecidos en la Ley 1581 de 2012 sobre tratamiento de datos personales.

23. El INS indicó que, a través de la Resolución 1607 de 2014, adoptó el reglamento de propiedad intelectual y la política para la protección de datos persona