SIC - Concepto-13009847

Bogotá D.C., 10

Asunto: Radicación: 13-9847--2-0

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto.

1. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo El derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el

Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación resolveremos sus interrogantes en los siguientes términos:

1. Respecto al registro ante la Superintendencia de Industria y Comercio de los manuales que contengan el procedimiento para cumplir la ley 1581 de 2012, y para la debida atención de consultas y reclamos, además de las bases de datos a las que se aplique la disposición legal, pregunta lo siguiente: 1.1. ¿Ante qué dependencia de dicha Superintendencia se hace el registro?

Respuesta: El artículo 25 de la Ley 1581 de 2012 señala lo siguiente:

Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento. Por lo anterior, el Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a tratamiento que operan en el país y los interesados deberán aportar a esta Superintendencia a través de la Delegatura de Protección de Datos Personales las políticas de tratamiento de la información, las cuales no podrán ser inferiores a los deberes del responsable y engargado del tratamiento de los datos personales contenidos en la Ley 1581 de 2012. 1.2 ¿Cuál es el procedimiento para hacerlo? El paragráfo del precitado artículo, señaló que es deber del Gobierno Nacional reglamentar la información mínima que contendrá dicho Registro así como los términos y condiciones bajo los cuales se inscribirán los Responsables del

Tratamiento de Datos, estableciendo un plazo de un año contado a partir de la promulgación de la ley, es decir, hasta el 18 de octubre de 2013, de manera que el Decreto Reglamentario que en su momento se expida será el que fijara la forma como tendrán que inscribirse quienes tengan la calidad de Responsables del Tratamiento de datos personales. 1.3 "¿Quién los debe hacer?" Respuesta: El artículo 3 define al responsable y encargado del tratamiento de los datos personales así: La Corte Constitucional mediante Sentencia C-748 de 2011 aclaró la diferencia entre encargado y responsable del tratamiento de los datos personales así: (...) Constitucionalidad de los literales d) y e): definiciones de encargado y responsable de tratamiento del dato En los literales d) y e) del artículo 3, se hace expresa mención al encargado y al responsable del dato, respectivamente. La Sala observa que la diferenciación de estos dos sujetos era determinante, por cuanto de ello depende el ámbito de sus deberes, enumerados en el título VI del proyecto, de modo que dichas definiciones están ligadas al principio de legalidad en materia sancionatoria y son una garantía para el titular del dato respecto de quién es obligado a cumplir diferentes prerrogativas que se desprenden del habeas data. Sin embargo, se debe señalar desde ahora, al igual que se indicó en la sentencia C1011 de 2008, que todos los principios de la administración de datos personales identificados en este proyecto -los cuales serán estudiados en otro acápiteson oponibles a todos los sujetos involucrados en el tratamiento del dato, entiéndase en la recolección, circulación, uso, almacenamiento, supresión, etc., sin

importar la denominación que los sujetos adquieran, es decir, llámense fuente, responsable del tratamiento, operador, encargado del tratamiento o usuario, entre otros. Hechas estas aclaraciones, pasa la Sala a examinar la constitucionalidad de las definiciones. El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento. Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos (1) [34]. Estas definiciones parecen inspirarse en el derecho comunitario europeo, especialmente en la Directiva 95/46/CE y en el Dictamen 1/2010 del Grupo Consultivo sobre Protección de Datos (2) [35], a las que vale la pena remitirnos por razones meramente ilustrativas y con el fin de acercamos al correcto entendimiento de uno y otro Concepto, labor que a veces se torna difícil por el avance de las tecnologías de la información y otros retos que impone la globalización. (3) [36] El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos. También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos etc. Por su parte,

precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable. (4) [37]. Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto "decidir sobre el tratamiento" empleado por el literal e) parece coincidir con la posibilidad de definirjurídica y materialmentelos fines y medios del tratamiento. Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos (5) [38]; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis. Así, el concepto de responsable puede cobijar tanto a la fuente (6) [39] como al usuario (7) [40], en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera. De otro lado, el criterio de delegación coincide con el término "por cuenta de" utilizado por el literal e), lo que da a entender una relación de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato. (...) Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre

las cuales una -el responsablele señala a la otra -el encargadocomo quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados. (...) (...) Establecida la diferencia entre responsable y encargado, la Sala observa, en primer lugar, que las definiciones de los literales d) y e) representan ejercicio legítimo de la libertad de configuración del legislador estatutario justificada en la forma cómo se desarrolla el tratamiento del dato, y en segunda lugar, que la clasificación tiene además utilidad desde el punto de vista constitucional, esta es, definir el régimen de responsabilidades y obligaciones de quienes participan en el tratamiento del dato personal. En efecto, de acuerdo con las definiciones acogidas por el proyecto de ley, los responsables del tratamiento tienen mayores compromisos y deberes frente al titular del dato, pues son los llamados a garantizar en primer lugar el derecho fundamental al habeas data, así como las condiciones de seguridad para impedir cualquier tratamiento ilícito del dato. La calidad de responsable igualmente impone un haz de responsabilidades, específicamente en lo que se refiere a la seguridad y a la confidencialidad de los datos sujetos a tratamiento. En la sentencia C-1011 de 2008, se señaló que en la administración de datos personales es posible identificar varias etapas, cuya diferenciación permite adscribir determinados niveles de responsabilidad a los sujetos que participan de él. Así, por ejemplo, sobre la calidad de la información, el encargado del tratamiento tendrá deberes de diligencia y cuidado en la medida en que como lo consagra el proyecto de ley, está obligado a realizar de forma oportuna, la actualización, rectificación o supresión del dato, según el caso, literal c) del

artículo 18. En esa línea, lo importante para una verdadera garantía del derecho al habeas data, es que se pueda establecer de manera clara la responsabilidad de cada sujeto o agente en el evento en que el titular del dato decida ejercer sus derechos. Cuando dicha determinación no exista o resulte difícil llegar a ella, las autoridades correspondientes habrán de presumir la responsabilidad Solidaria de todos, aspecto éste sobre el que guarda silencio el proyecto de ley y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta 8 [44], El responsable del tratamiento de los datos personales es la persona natural o jurídica que decide sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera o su acceso y el encargado es la persona natural o jurídica que realiza el tratamiento de los datos personales por instrucción del responsable. Por lo anterior, la obligación del registro de bases de datos personales le corresponde al responsable del tratamiento. Finalmente, respecto a los manuales para el cumplimiento de la Ley 1581 de 2012 y de la debida atención de consultas y reclamos son obligaciones de los responsables y encargados del tratamiento de acuerdo a los artículo 17 y 18 así: Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (...) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.

(...)

18. Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que

rijan su actividad: (...) f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares. Por lo anterior, la adopción de manuales para el cumplimiento de la Ley de Protección de datos Personales corresponde al responsable o encargado del Tratamiento de los mismos, sin necesidad de registrarlos a esta entidad.

2. Respecto a la proscripción del tratamiento de los datos personales de menores de edad, pregunta lo siguiente: 2.1. "Al incluir la excepción de que se podrán tratar siempre que sean datos de naturaleza pública, que se entiende por dato de naturaleza pública? ¿Lo que no esté incluido dentro de dicho concepto, no podrá tratarse ni siquiera con autorización expresa y por escrito de los representantes legales del menor?" Respuesta: El artículo 7 de la Ley 1581 de 2012 señala lo siguiente: Derechos de los niños, niñas y adolescentes. En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública. Es tarea del Estado y las entidades educativas de todo tipo proveer información y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños,

niñas y adolescentes respecto del Tratamiento indebido de sus datos personales, y proveer de conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su información personal y la de los demás. El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta Ley. El tratamiento de los datos personales de los niños, niñas y adolescentes son prohibidos, salvo que sean de naturaleza pública. Al respecto, la Honorable Corte Constitucional mediante sentencia C-748 de 2011 señaló lo siguiente: [E]sta Sala observa que la interpretación del inciso segundo, no debe entenderse en el sentido de que existe una prohibición casi absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello, daría lugar a la negación de otros derechos superiores de esta población como el de la seguridad social en salud, interpretación ésta que no se encuentra conforme con la Constitución. De lo que se trata entonces, es de reconocer y asegurar la plena vigencia de todos los derechos fundamentales de esta población, incluido el habeas data. En este mismo sentido, debe interpretarse la expresión "naturaleza pública". Es decir, el tratamiento de los datos personales de los menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes. Sumado a la efectividad del interés superior de esta población, también es importante que se les asegure su derecho a ser escuchados en

todos los asuntos que los afecten; y el tratamiento de sus datos, sin duda alguna, es un asunto que les concierne directamente. (...) En definitiva, el inciso segundo del artículo objeto de estudio es exequible, si se interpreta que los datos de los niños, las niñas y adolescentes pueden ser objeto de tratamiento siempre y cuando no se ponga en riesgo la prevalencia de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior, cuya aplicación específica devendrá del análisis de cada caso en particular. Con el fin de proteger los derechos fundamentales, prevalentes y de interés superior de los niños, niñas y adolescentes, sólo podrá realizarse el tratamiento (recolección, almacenamiento, uso, circulación o supresión) de los datos personales, cuando sean de naturaleza pública y los de naturaleza distinta, siempre y cuando reúna las condiciones señaladas por la Corte Constitucional mediante Sentencia C-748 de 2011 así: "pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes." Así mismo, los progenitores, educadores, el Estado, los servidores públicos, legisladores, medios de comunicación, empresas que presten servicios de Tecnologías de la Información y las Comunicaciones y la sociedad en general Deben propender por la protección de los derechos fundamentales de los niños, niñas y adolescentes. Cabe resaltar que, el Gobierno Nacional dentro de los seis (6) meses siguientes a la promulgación de la Ley 1581 de 2012, es decir, del 18 de octubre de 2012 debe reglamentar lo concerniente al tratamiento de los datos personales de niños, niñas

y adolescentes. 2.2. "¿Se pueden recoger datos de menores, si éstos son anónimos, es decir, si no están asociados concretamente a un nombre y un número de identificación?, Sería por ejemplo el caso de que la madre de un menor se le pregunta cuántos hijos tiene, y cuáles son sus edades y sus gustos, pero sin que digan sus nombre o números de identificación." Respuesta: El artículo 3 de la ley 1581 de 2012 define el dato personal así: "Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables." Al respecto, la Corte Constitucional mediante sentencia C-748 de 2011 señaló lo siguiente: (...) [E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales (9) [29] - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. "(10) [30] (...) Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o

sensibles. (11) [31] Por lo anterior, el dato personal es cualquier información vinculada o que pueda Asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. Como se indicó en la respuesta anterior, el tratamiento de los datos personales de niños, niñas y adolescentes, entre ellos, la recolección son prohibidos salvo los que son sean de naturaleza pública y los de naturaleza distinta, siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes. Tenga en cuenta que los datos personales así sean anónimos, pueden permitir la identificación de una persona cuando se relacione con otros. 2.3. "¿Si yo habilito una página web, o una red social con una marca que me pertenece, y menores de edad ingresan y comparten allí sus datos personales sin que yo se lo haya solicitado, soy responsable de dichos datos, y se consideran que los estoy recolectando, en contravía de los que dice la ley?" Respuesta: La Ley 1581 de 2012 en su artículo 2 señala el ámbito de aplicación de la siguiente manera:

Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (...) Por su parte, el artículo 3 de la mencionada Ley define base de datos así: "b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento. " La precitada Ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos de entidades públicas o privadas. Respecto al concepto de bases de datos o archivos la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: El literal b) define las bases de datos como un u(...) conjunto organizado de datos personales que sea objeto de tratamiento". Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación. Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley. Por lo anterior, la Ley 1581 de 2012 se aplica a los datos personales que se

encuentren en bases de datos o archivos de entidades públicas o privadas, entendidos estos, como el conjunto organizados o depósitos ordenados de datos personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos. Respecto a la protección de los datos personales de los niños, niñas y adolescentes, la Corte Constitucional en sentencia C-748 de 2011 señaló lo siguiente: [A] la luz de lo expuesto precedentemente, esta Corporación considera que el principio del interés superior de los niños, las niñas y adolescentes se concreta, en el caso particular, en el establecimiento de condiciones que permitan garantizar los derechos de los menores de 18 años en la sociedad de la Información y el Conocimiento, dentro de la cual se encuentran las herramientas de Internet y redes sociales. Se concluye entonces, ante la evidencia del entorno inmediato que rodea el proceso de crecimiento y desarrollo de los niños, las niñas y los adolescentes en el aspecto físico, mental y emocional; y la urgencia del reconocimiento de su dignidad humana, que todos los actores Involucrados en el aseguramiento y efectividad de los derechos de los menores de 18 años deben cumplir con sus responsabilidades en la protección de los mismos, concretamente, en la salvarguarda de sus datos personales. (...) En cuanto al inciso 3o del artículo 7o del proyecto debe también resaltarse que no sólo el Estado y las entidades educativas deben desarrollar acciones para evitar el uso inadecuado de los datos personales de los menores de 18 años sino que también son responsables en el aseguramiento de dicha garantía (i) los

progenitores u otras personas que se encuentren a cargo de su cuidado y los educadores; (ii) el legislador, quien debe asegurarse que en cumplimiento de sus funciones legislativas, específicamente, en lo referente al tratamiento de los datos personales de los menores de 18 años, dicha normativa no deje de contener las medidas adecuadas de protección para garantizar su desarrollo armónico e integral, y la efectividad de sus derechos fundamentales contenidos en la Constitución Política y en los estándares internacionales que existen sobre la materia; (iii) el sistema judicial; específicamente los servidores públicos deben proteger los derechos derivados del uso de los datos personales de los menores de 18 años observando los estándares internacionales o documentos especializados sobre la materia; (iv) los medios de comunicación; (v) las empresas que proveen los servicios de acceso a la Internet, desarrollan las aplicaciones o las redes sociales digitales, a quienes se advierte que deben comprometerse en la defensa de los derechos fundamentales de los niños, niñas y adolescentes. En definitiva, existe una corresponsabilidad de todos los actores frente al manejo y tratamiento de la información de los niños, niñas y adolescentes. La Ley impone la obligación a los progenitores, educadores, el Estado, los servidores públicos, legisladores, medios de comunicación, empresas que presten servicios de Tecnologías de la Información y las Comunicaciones y la sociedad en general de propender por la protección de los derechos fundamentales de los niños, niñas y adolescentes. El Estado, y las entidades educativas de todo tipo de proveer información y capacitar a los representantes legales y tutores sobre los Eventuales riesgos a los que se enfrentan los niños, niñas y adolescentes

respecto del Tratamiento indebido de sus datos personales, y proveer de conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su información personal y la de los demás, en especial 0or la utilización de las Tecnologías de la Información y las Comunicaciones. _ Reiteramos que el responsable del tratamiento de los datos personales, es aquella persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos, es decir, la recolección, almacenamiento, uso, circulación o supresión. 2.4 "¿Las actividades promocionales dirigidas a menores, podrán llevarse a cabo interactuando con ellos a través de sus representantes legales o con los datos personales de estos últimos? O como manejarían las actividades promocionales dirigidas a menores que requieren recolección de datos personales? ¿qué datos si podrían tratarse?" Respuesta: Reiteramos lo mencionado en las respuestas de los numerales anteriores, respecto al tratamiento de los datos personales de los niños, niñas y adolescentes. 2.5 "¿Qué pasa con la información de menores que ya se tiene recogida antes de la entrada en vigencia de la Ley 1581 de 2012?" Respuesta: Sea lo primero señalar que la nueva Ley de datos personales es la 1581 del 17 de Octubre de 2012 y fue publicada en el diario oficial No. 48.587 del 18 de Octubre de 2012, la cual podrá consultarla en nuestra página www.sic.gov.co en el icono "normatividad", allí escoge "Leyes" y escoge la Ley 1581 de 2012.

El artículo 30 de la precitada Ley señala lo siguiente; "Vigencia. La presente Ley rige a partir de su promulgación" . Respecto a la promulgación el artículo 165 de la Constitución Política de Colombia señala lo siguiente: "Aprobado un proyecto de ley por ambas cámaras, pasará al Gobierno para su sanción. Si éste no lo objetare, dispondrá que se promulgue como lev; si lo objetare, lo devolverá a la cámara en que tuvo origen." El artículo 11 del Código Civil Colombianos señala lo siguiente: "OBLIGATORIEDAD DE LA LEY - MOMENTO DESDE EL CUAL SURTE EFECTOS. La ley es obligatoria y surte sus efectos desde el día en que ella Misma se designa, y en todo caso después de su promulgación". Respecto a la promulgación de la Ley la Corte Constitucional mediante sentencia C932 de 2006 señaló lo siguiente: PROMULGACIÓN DE LA LEY-Efectos En el ordenamiento jurídico colombiano la promulgación de