SGC - Concepto sobre Procedencia de Recopilar Información - Datos Personales

Comunicación Interna

A TODOS PORUNNUEVO PAÍS Fecha: 21-05-2015 20151100031643 Página. 1 de 7

Para: CARLOS EDUARDO ALFONSOGrupo de Tecnologías de InformaciónDe: Jefe Oficina Asesora Jurídica Asunto: Concepto procedencia de recopilar información (datos personales ) En relación con la consulta efectuada verbalmente el día 8 de mayo de 2015, en cuanto a ¿qué informaciónpuede solicitarse al peticionario por parte del Servicio Geológico Colombiano en el aplicativo de PORubicado en la página web de la entidad?, me permito indicar que la Oficina Asesora Jurídica mediante correoelectrónico del 8 de abril de 2014, se pronunció sobre el ámbito de aplicación de la Ley 1581 de 2012 y suDecreto Reglamentario 1377 de 2013, indicando en su oportunidad lo siguiente: "(...) debemos indicar que mediante la Ley Estatutaria 1581 de 2012 el Congreso de la República dictó lasdisposiciones generales para la protección de los datos personales, estableciendo como ámbito deaplicación, los datos personales registrados en cualquier base de datos que los haga susceptibles detratamiento por entidades de naturaleza pública o privada. Al respecto el artículo 2 de la normaenunciada señala lo siguiente: “El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico.

Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de maneraprevia, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de lasbases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley;

b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como láprevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo; c) A las Bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia; d) A las bases de datos y archivos de información periodística y otros contenidos editoriales; e) A las bases de datos y archivos regulados por la Ley 1266 de 2008’; Hace referencia a hábeas data y regula el manejo de la información contenida en basesde datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros Firma de recibido Fecha de recibidoComunicación Interna LA | e Fecha: 21-05-2015 20151100031643 Página. 2 de 7 22f) A las bases de datos y archivos regulados por la Ley 79 de 1993°” (Subrayado fuera del texto) Adicionalmente a lo anterior, debemos señalar que si bien la información que pretende recolectarse en elaplicativo para la gestión de PQR (nombres, documentos de identificación, correo electrónico, dirección) nose encuentra amparada en las causales anteriores que excluyen la aplicación de la ley de protección de datospersonales”, dentro de la misma disposición se establece un régimen particular en cuanto al tratamiento delos datos personales, consistente en algunos casos en los cuales si bien es aplicable la protección establecidaen la Ley 1581 de 2012, no es exigible la obtención de una autorización por parte del titular del dato, así:“Artículo 10. Casos en que no es necesaria la autorización. La autorización del Titular no será necesariacuando se trate de:

a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales opor orden ¡udicial;b) Datos de naturaleza pública;c) Casos de urgencia médica o sanitaria;d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;e) Datos relacionados con el Registro Civil de las Personas.Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir conlas disposiciones contenidas en la presente ley.” A continuación desarrollaremos cada una de las causales enunciadas con el fin de verificar si son deaplicación al caso analizado. e Información requerida por la entidad en ejercicio de sus funciones legalesSobre el particular, véase como para la aplicación de la primera causal debe tenerse en cuenta las funcionesasignadas al Instituto en el marco del Decreto Ley 4131 de 2011, así como lo establecido por la CorteConstitucional en la sentencia C-748 de 2011, la cual prescribe lo siguiente: países y se dictan otras disposiciones. (Esta norma regula el nacimiento, ejecución y extinción de obligacio-nes dinerarias). Regula la realización de los Censos de Población y Vivienda en todo el territorio nacional3 Salvo que se trate de información relacionada con las obligaciones dineraria que pretenda cobrar la Entidad, las cua-les se encuentran reguladas por la Ley 1266 de 2008 y el Decreto 2952 de 2010.

Firma de recibido Fecha de recibidoComunicación Interna UA ON TODOS POR UNNUEVO PAÍS Fecha: 21-05-2015 20151100031643 Página. 3 de 7 “En relación, con las autoridades públicas o administrativas, señaló la Corporación que tal facultad “nopuede convertirse en un escenario proclive al abuso del poder informático, esta vez en cabeza de losfuncionarios del Estado. Así, el hecho que el legislador estatutario haya determinado que el dato personalpuede ser requerido por toda entidad pública, bajo el condicionamiento que la petición se sustente en laconexidad directa con alguna de sus funciones, de acompasarse con la garantía irrestricta del derecho alhábeas data del titular de la información. En efecto, amén de la infinidad de posibilidades en que bajoeste expediente puede accederse al dato personal, la aplicación del precepto bajo análisis debesubordinarse_a que la entidad administrativa receptora cumpla con las obligaciones de protección ygarantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios definalidad, utilidad y circulación restringida. Para la Corte, esto se logra a través de dos condiciones: (i) el carácter calificado del vínculo entre ladivulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y (ii) laadscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica delos usuarios de la información, habida consideración que ese grupo de condiciones permite la protecciónadecuada del derecho.

En relación con el primero señaló la Corporación que “la modalidad de divulgación del dato personalprevista en el precepto analizado devendrá legítima, cuando la motivación de la solicitud de informaciónesté basada en una clara y específica competencia funcional de la entidad.” Respecto a la segundacondición, la Corte estimó que una vez la entidad administrativa accede al dato personal adopta laposición jurídica de usuario dentro del proceso de administración de datos personales, lo que de formalógica le impone el deber de garantizar los derechos fundamentales del titular de la información,previstos en la Constitución Política y en consecuencia deberán: “(i) guardar reserva de la informaciónque les sea suministrada por los operadores y utilizarla únicamente para los fines que justificaron laentrega, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud desuministro del dato personal; (ii) informar a los titulares del dato el uso que le esté dando al mismo; (iii)conservar con las debidas seguridades la información recibida para impedir su deterioro, pérdida,alteración, uso no autorizado o fraudulento; y (iv) cumplir con las instrucciones que imparta la autoridadde control, en relación con el cumplimiento de la legislación estatutaria.” De conformidad con los criterios enunciados y las funciones propias del Instituto, debemos indicar que los no estan relacionados directamente con una competencia funcional del SGC, por lo cual no obstante suimportancia continuaremos el análisis de la siguiente.

Firma de recibido Fecha de recibidoComunicación Interna UU de TODOS POR UNNUEVO PAÍS Fecha: 21-05-2015 20151100031643 Página. 4 de 7 e Datos públicos y datos relacionados con el estado civil de las personas En relación con los datos de naturaleza pública y a efectos de dar una mayor claridad para el caso, haremosreferencia a las definiciones sobre dato público contempladas en el Decreto 1377 de 2013 y la Ley 1266 de2008, asi: Dato publico (Decreto 1377 de 2013): Es el dato que no sea semiprivado, privado o sensible.Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas,a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, losdatos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos,gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no esténsometidas a reserva. Dato público (Ley 1266 de 2008). Es el dato calificado como tal según los mandatos de la ley ode_la Constitución Política y todos aquellos que no sean semiprivados o privados, deconformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentospúblicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva ylos relativos al estado civil de las personas. Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, manifestó sobre el particular que “En loque se relaciona con los datos públicos y el registro civil de las personas, su naturaleza hace que no estén sujetos alprincipio de autorización. La información pública es aquella que puede ser obtenida sin reserva alguna, entre ella losdocumentos públicos, habida cuenta el mandato previsto en el artículo 74 de la Constitución Política”. Esta informaciónpuede ser adquirida por cualquier persona, sin necesidad de autorización alguna para ello”.

En esta medida debemos indicar que los datos relacionados a continuación, son considerados como datospúblicos, que no están sujetos a la autorización previa de su titular para su tratamiento: a) Estado civil de las personas (Artículos 1 y 2 del Decreto 1260 de 1970%)b) Datos relacionados con la profesión y oficio de la personac) Calidad de comerciante Constitución Política - Artículo 74. Todas las personas tienen derecho a acceder a los documentos públicos salvo loscasos que establezca la ley.> El estado civil de una persona es su situación jurídica en la familia y la sociedad, determinada su capacidad para ejer-cer ciertos derechos y contraer ciertas obligaciones, es indivisible, indisponible e imprescriptible, y su asignación co-rrespondea la ley.

Firma de recibido Fecha de recibidoComunicación Interna

INNO TODOS POR UN Fecha: 21-05-2015 20151100031643 Pagina. 6 de 7 “Frente a los casos de urgencia médica y sanitaria, en aras de la efectividad del derecho a la libertad en elmanejo de datos, la norma debe entenderse que opera sólo en los casos en que dada la situaciónconcreta de urgencia, no sea posible obtener la autorización del titular o resulte particularmenteproblemático gestionarla, dadas las circunstancias de apremio, riesgo o peligro para otros derechosfundamentales, ya sea del titular o de terceras personas.”Ahora bien, teniendo en cuenta las características de la información a recopilarse en la página web de laentidad para el trámite de las PQRS, debe entenderse que la misma no estaría contemplada dentro de lacausal enunciada y por tanto dicha excepción no sería aplicable al caso consultado.e Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicosEsta causal determina la procedencia de la información recolectada en el aplicativo de PQRS siempre ycuando cada dato recolectado sea tratado con el fin de recopilar información histórica, estadística ocientífica; en esta medida si los datos solicitados, su tratamiento o la finalidad del mismo informado al titularno corresponden con estos aspectos, se considera que no es procedente su tratamiento.Sobre este aspecto la Corte Constitucional indicó:

“En relación con el tratamiento para fines históricos, estadísticos o científicos, la norma no ofrece reparode constitucionalidad en razón a que delega a la Ley la manera como estos datos deben ser protegidos,además, debe interpretarse en concordancia can el literal e) del artículo 6 que señala que en estos casos“deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares” (en referenciacon el tratamiento de datos sensibles).?Finalmente, debemos indicar que los datos evidenciados en la página web de la entidad”, son datospúblicos y en consecuencia no requieren de autorización por parte del titular del dato, advirtiendo que lainformación recopilada a través de esta herramienta está sometida a los principios y políticas de tratamientoestablecidas en la ley, por lo cual se sugiere mantener las categorías establecidas e informar al usuario dedicha herramienta la existencia de la “Política De Tratamiento Y Protección De Datos Personales Del ServicioGeológico Colombiano”, relacionando el link de acceso a la misma. Sentencia C-748 de 20111 http://citrino.sgc.gov.co/par/ Firma de recibido Fecha de recibidoComunicación Interna

WA TODOS PORUNNUEVO PAÍS Fecha: 21-05-2015 20151100031643 Página. 5 de 7 d) Calidad de servidor públicoe) Datos contenidos en documentos públicos o registros públicos (Ley 1266 de 2008), tales como sen-tencias ejecutoriadas, registro mercantil, registro de instrumentos públicos, sigep, etc...f) Datos exigidos por ley para presentar peticiones (Decreto 01 de 1984) — Nombres completos, do-cumento de identidad, número de fax y dirección de correspondencia o electrónica”,g) Datos relativos al registro civil de la persona:

1. Nombresy apellidosii. Datos del nacimiento (Fecha, lugar y padres)ii, Datos del matrimonioiv, Datos de la defunciónVv. Datos de identificación (NUIP — Número Único de Identificación Persona, Cédula de ciuda-danía) Debemos precisar que con respecto a la dirección y teléfono de una persona, tanto la Corte Constitucionalcomo la Superintendencia de Industria y Comercio”, han establecido que dichos datos son de públicoconocimiento, por lo cual no se estima necesario contar con la autorización respectiva para su manejo.

No obstante lo anterior es necesario advertir que si bien los datos que se enmarquen en las anteriorescategoría no están sujetos a una autorización por parte de su titular, no debe olvidarse que el tratamiento delos mismos está sujeto a los principios y finalidades del tratamiento establecidos en la Ley 1581 de 2012,1266 de 2008 y demás normas que regulan la materia’.

e Casos de urgencia médica y sanitaria Al respecto la Corte Constitucional en sentencia C-748 de 2011 establece los requisitos para su procedencia,ast: $ Este aparte está sujeto a la ley estatutaria que expida el Congreso de la República en materia de derecho de petición.7 La Corte Constitucional estima que la dirección y el teléfono de las personas son datos que no tienen el carácter deíntimos, puesto que, por ejemplo, el conocimiento de la dirección de un individuo es algo que por el mismo desenvol-vimiento de sus actividades en el seno de la sociedad y aún por razones físicas de vecindad, no puede mantenerse ensecreto (Sentencia T-261 de junio 20 de 1995. Magistrado Ponente: Dr. José Gregorio Hernández Galindo). Tomado delconcepto 2010067114-001 del 28 de octubre de 2010 de la Superintendencia de Industria y Comercio. Esto incluye la Política de Tratamiento de Datos Personales establecida por el Servicio Geológico Colombiano. Firma de recibido Fecha de recibidoComunicación Interna NO TODDS POR UN(E Nuevo Pais Fecha: 21-05-2015 20151100031643 Página. 7 de 7 El presente concepto se emite en los términos del artículo 25 del Código de Contencioso Administrativo,ADO entonces al interesado con los elementos de juicio proporcionados, establecer lo aplicable| caso que motivó la consulta. y» Osan)Franco SantamariaJefe Oficina Asesora Jurídica(E)Proyectó: Yuli Paola Torres Pardo Firma de recibido Fecha de recibido