DPS - Memorando M-2023-1400-041706

No. de radicación: M-2023-1400-041706

MEMORANDO Fecha radicación: 2023-07-13 09:32:08 AM

PARA: Dilia Nelma Forero Sánchez

Jefe de Oficina OFICINA ASESORA DE PLANEACIÓN DE: OFICINA ASESORA JURÍDICA ASUNTO: solicitud de concepto jurídico – Protección de datos sensibles beneficiarios de Prosperidad Social y uso en evaluaciones La Oficina Asesora Jurídica recibió mediante memorando del 27 de junio del año en curso con radicado N.º 2023-1300-038158, en el cual se solicita línea jurídica y posición institucional respecto de las pauta legales a seguir institucionalmente para la entrega de datos sensibles de beneficiarios para ser usados en las evaluaciones a las políticas públicas, programas y proyectos; motivo por el cual y de conformidad con las competencias establecidas en el Decreto 2094 de 2016, procede esta oficina a presentar la posición jurídica frente a la consulta en los siguientes términos:

1. ANTECEDENTES En este sentido, se solicita a la Oficina Asesora Jurídica adoptar una posición institucional y señalar las pautas legales a seguir institucionalmente para la entrega de los datos sensibles de beneficiarios para ser usados en las evaluaciones a las políticas, programas y proyectos que se desarrollan directamente y/o indirectamente mediante terceros (particulares).

Es por ello por lo que en la misma solicitud la OAP cita la ley de protección de datos personales y la clasificación que se hace de las clases de datos que se pueden generar: (i) datos privados, (ii) datos semiprivados, (iii) datos públicos, (iv) datos sensibles y (v) datos de niños, niñas y adolescentes.

La Oficina Asesora de Planeación, en adelante la OAP, eleva solicitud a esta Oficina Asesora Jurídica en

semiprivados, (iii) datos públicos, (iv) datos sensibles y (v) datos de niños, niñas y adolescentes.

La Oficina Asesora de Planeación, en adelante la OAP, eleva solicitud a esta Oficina Asesora Jurídica en la que señala que en el marco del seguimiento y evaluación a las políticas públicas y sociales del sector se deben analizar datos e información que revisten de protección legal y constitucional, aunado a que la administración de estos debe ser respetuosa de los derechos que les asiste a los beneficiarios del correcto uso de la información y de la confidencialidad de toda la información que actualmente se tiene en las distintas bases de datos y fuentes de información.

2. PROBLEMA JURÍDICO ¿Pueden las distintas direcciones y áreas técnicas del Departamento Administrativo para la Prosperidad Social compartir y hacer uso de la información considerada sensible de los beneficiarios de los programas sociales y a partir de ella realizar los diagnósticos y evaluaciones de las políticas públicas?

3. CONSIDERACIONESPara efectos de absolver la consulta, resulta pertinente referirnos de forma previa a los siguientes aspectos: (i) el marco legal y jurisprudencial existente respecto del trato de datos (ii) los conceptos anteriores emitidos por esta Oficina Asesora Jurídica respecto del tratamiento de datos y (iii) el contenido de la información que administra el Departamento Administrativo para la Prosperidad Social.

1. El marco legal y jurisprudencial existente respecto del trato de datos La Constitución política de Colombia establece en el artículo 15 que «todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. […] En la recolección,

igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. […] En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución». A su vez, la Ley 1266 de 2008 desarrolla el «derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales». Esta misma disposición define el alcance del (i) dato público, (ii) dato semiprivado, (iii) dato privado, así como los principios que rigen la administración de los datos y los deberes de los operadores de las bases de datos, como es el caso de las entidades públicas como el Departamento Administrativo para la Prosperidad Social. Posteriormente fue expedida la Ley Estatutaria 1581 de 2012 como el instrumento mediante el cual se dictan disposiciones generales para la protección de datos personales y establece el alcance «del derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo20 de la misma» En el literal e del artículo 3 de la misma ley establece que se entiende por responsable del tratamiento,

como la «Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos»¸ por su parte se entiende como titular persona natural cuyos datos personales sean objeto de tratamiento, y como tratamiento se entiende como «Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión». Esa misma disposición define que se entiende por datos sensibles como «aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos»[1] Por su parte, el Gobierno nacional mediante el Decreto 1377 de 2013 reglamentó parcialmente la Ley 1581 de 2012, hoy recopilado por el Decreto 1074 de 2015 y cuyo objeto es reglamentar las disposiciones generales de la protección de datos, como es el caso de las autorizaciones, la recolección de datos, los límites, así como las políticas de tratamiento, entre otros.Respecto del análisis jurisprudencial la honorable Corte Constitucional en varios sentencias de constitucionalidad ha desarrollado el alcance, contenido y núcleo esencial del derecho a la intimidad, en

donde ha señalado que «el derecho a la intimidad supone la existencia y goce de una órbita reservada para cada persona, exenta del poder de intervención del Estado o de las intromisiones arbitrarias de la sociedad, que le permita a dicho individuo el pleno desarrollo de su vida personal, espiritual y cultura»[2]. En esa misma línea jurisprudencial es que la Corte desde año 1996 y reiterada en las sentencias T–169 de 2000 y T–1233 de 2001 ha indicado que:

[…]el derecho a la intimidad es vulnerado por lo menos de las siguientes maneras: (i) La intromisión en la intimidad de la persona que sucede con el simple hecho de ingresar en el campo que ella se ha reservado. Es un aspecto meramente material, físico, objetivo, independiente de que lo encontrado en dicho interior sea publicado o de los efectos que tal intrusión acarree. (…) En la divulgación de hechos privados, en la cual incurre quien presenta al público una información cierta, veraz, pero no susceptible de ser compartida, es decir, perteneciente al círculo íntimo de cada quien, siempre y cuando no se cuente con autorización para hacerlo bien de su titular, bien de autoridad competente[3]

2. Los conceptos anteriores emitidos por esta Oficina Asesora Jurídica Esta Oficina Asesora Jurídica – OAJha emitido en al menos dos oportunidades concepto respecto del tratamiento de datos y de la información requerida por la entidad pública o administrativa en el ejercicio de sus funciones legales; entre otros.

En el concepto bajo radicado N.º 2019‐1400‐002867 en el que esta oficina señalo que:

La recolección, tratamiento y circulación de datos se encuentra contenido en el artículo 15 de la Carta Política, el cual determina que todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre bancos de datos y en archivos de entidades públicas y privadas […] y citó lo establecido en el artículo 9 y 10 de la Ley 1581 de 2012 que establecen «Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior [4]. Negrilla fuera del texto. Por su parte, en otro concepto bajo el radicado 20171900264793, esta OAJ señalo que:

Tratándose de dos Entidades Públicas que en ejercicio de sus funciones legales pretenden el intercambio de información, aplica en concepto de transferencia de datos, en el entendido de que el responsable y/o encargado del tratamiento de datos personales le envía dicha información a otra persona jurídica de naturaleza pública, no con el objetivo de que realice su tratamiento a su cuenta, sino para que a su vez la entidad receptora actúe como responsable del tratamiento […] y adiciono que “el artículo 13 de la Ley 1581 de 2012, determina en su literal b) que la información que reúna las condiciones establecidas en la enunciada ley podrá suministrarse a las entidades públicas o

administrativas en ejercicio de sus funciones legales o por orden judicial […] En conclusión, es procedente que el DPS comparta con otras Entidades Públicas la información pública clasificada e información pública reservada, que se encuentra en su base de datos como sujeto obligado, sin autorización previa e informada del titular, siempre y cuando la misma sea necesaria para el desarrollo de las funciones administrativas asignadas a las entidades intervinientes.

3. Contenido de la información que administra el Departamento Administrativo para la Prosperidad SocialEl Departamento Administrativo para la Prosperidad Social - DPS -, en el marco de su objeto misional tiene bajo su responsabilidad liderar el sector de la inclusión social y reconciliación, lo que necesariamente implica la formulación, coordinación, implementación y constante evaluación de las políticas públicas de justicia social que contribuyan entre otras a contribuir con la paz total, como una de las apuestas estratégicas del Gobierno nacional.

En ese sentido todo lo relacionado con la atención a comunidades pobres y vulnerables, la asistencia y atención a víctimas del conflicto armado, la política de primera infancia y adolescencia entre otras políticas sociales, pasan necesariamente por un proceso de caracterización, diseño y ajuste cuando sea necesario, con el propósito de contribuir en la desigualdades sociales existentes y superación de las condiciones de vulnerabilidad. Lo anterior, implica un proceso de análisis de fuentes de información que permita aportar en decisiones de los programas y oferta social, es decir en Política Pública, que va desde la focalización de la oferta, priorización territorial, análisis poblacional por edad, étnica, condición sexual. Este ejercicio, conlleva a que

desde el interior de la Entidad y en coordinación con otras Entidades del orden nacional y territorial se comparta información que pueda contener datos sensibles, privado, confidenciales e incluso con reserva legal, pero con ello no se quiere decir que esta no se pueda analizar. La información que actualmente conocen las entidades públicas o privadas que ejercen una función pública, tales como los operadores o terceros contratados para cumplir con el objeto misional, se rigen con políticas de protección de datos personales [5] que todas las entidades deben adoptar, y donde como mínimo las Entidades que administración fuentes de información cuentan (i) la autorización de las personas para recoger información, (ii) el deber de custodiar esta información bajo unos estándares de seguridad que impida sea pública o vulnerable de ser usado para fines distintos y (iii) posible de ser compartida con otras dependencias o entidades públicas bajo unos mínimos de seguridad de fuente, uso, manejo y salvaguarda de la información, como lo es un documento suscrito por las dependencias y entidades interesadas como lo es un acuerdo de intercambio de información.

4. CONCLUSIONES Frente al planteamiento jurídico de adoptar una posición institucional y señalar las pautas legales a seguir institucionalmente para la entrega de los datos sensibles de beneficiarios para ser usados en las evaluaciones a las políticas, programas y proyectos que se desarrollan directamente y/o indirectamente mediante terceros, la Oficina Asesora Jurídica se pronuncia en el siguiente sentido:

1. La información que actualmente administra el DPS por medio de las direcciones y subdirecciones,

que contienen datos personales de los beneficiarios que acceden a la oferta institucional existente, es información considera sensible y confidencial lo que nos obliga a tener una adecuada administración de esta

2. Al respecto, el DPS adoptó una política de protección de datos personales en la que se establecen los criterios para la recolección, almacenamiento, uso, circulación y supresión de los datos personales tratados por el DPS[6].

3. En ese sentido y a lo manifestado por esta Oficina Asesora Jurídica en conceptos previos, es que nos permitimos señalar que información contenida en las distintas fuentes de información no es pública y por ende no se pueda publicitar a toda la comunidad en general, usar en campañas publicitarias, o como prueba judicial, salvo una orden expresa de un juez de la República.

4. Lo anterior, no quiere decir que, bajo unos estándares mínimos de seguridad, la información considerada sensible o confidencial pueda usarse como parte del ejercicio de formulación, diseño yseguimiento de las políticas públicas, así como de ejercicios de caracterización y focalización de la oferta.

5. Para ello, resulta importante ceñirse a la política de protección de datos personales y del uso de instrumentos como los acuerdos de intercambio de información suscritos por los responsables del acceso, suministro y análisis de la información.

6. Bajo unos estándares mínimos de seguridad es viable compartir la información de los distintos programas social y de la oferta institucional existente, en donde se deje trazabilidad de los datos compartidos, de los responsables y de las necesidades de su uso.

Este concepto se emite bajo los lineamientos del Artículo 8º del Decreto 4802 de 2011[7], sin perjuicio de lo dispuesto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015[8].

[1] Ley 1581 de 2012, artículo 5

dispuesto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015[8].

[1] Ley 1581 de 2012, artículo 5

[2] Corte Constitucional Colombiana, C 8112014

[3] Ibídem

[4] Ley 1581 de 2012, artículo 9

[5] https://prosperidadsocial.gov.co/politica-de-proteccion-de-datos-personales/

[6] https://prosperidadsocial.gov.co/politica-de-proteccion-de-datos-personales/

[7] ARTÍCULO 8. OFICINA ASESORA JURÍDICA. Son funciones de la Oficina Asesora Jurídica las siguientes: “9. Compilar, organizar y sistematizar la normatividad y jurisprudencia relativa al objetivo y funciones de la Unidad y velar por su aplicación y difusión interna, y establecer la posición jurídica”.

[8] Artículo modificado por el art. 1º de la Ley 1755 de 2015. Atentamente,

LUCY EDREY ACEVEDO MENESES Jefe de Oficina Desea adjuntar documento: NO

Elaboró: Martha Lucía Velásquez Prada Revisó: Martha Lucía Velásquez Pradae PROSPERIDAD SOCIAL C.filfi:.i• Na. cat!litilt ffo.

LAl-l004 lAHOOl ll llll lllllllllllllllllllllllllllllllll 1111111111111111111 CER875538