SIC - Concepto-13011913

Bogotá D.C., 10

Asunto: Radicación: 13-011913- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 18

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta Se consulta si las cartas de desistimiento para desvincularse o vincularse a una empresa, presentadas por los usuarios, reúnen las características señaladas en el artículo 206 de la Decisión 486 de la Comisión de la Comunidad Andina. .

2. Materia objeto de consulta Consideramos que ante su consulta debemos conceptuar desde el punto de vista de la competencia desleal, por manifestarse en su comunicación que es el tema de su interés, pero también desde el punto de vista de la normatividad en materia de protección de datos personales, teniendo en cuenta que esas cartas de vinculación o desvinculación de un cliente a una empresa pueden contener datos personales, como lo veremos adelante.

Las facultades legales de la Superintendencia de Industria y Comercio en materia de competencia desleal, de acuerdo con el Decreto 4886 de 2011, son: (i) adoptar, en ejercicio de funciones jurisdiccionales las decisiones que correspondan en materia de competencia desleal (Superintendente Delegado para Asuntos Jurisdiccionales ) y (ii) tramitar, de acuerdo con el procedimiento legalmente aplicable, las investigaciones

administrativas de competencia desleal (Superintendente Delegado para la Protección de la Competencia). Teniendo en cuenta que la violación a secretos empresariales es una conducta considerada en nuestro país como acto de competencia desleal, tanto por la Ley 256 de 1996 como por la Decisión 486 de la Comisión de la Comunidad Andina, dentro del marco de nuestras facultades en esa materia absolveremos su consulta brindándole información de carácter general que le sirva para tomar su decisión empresarial. Por otra parte, de acuerdo con el Decreto 4886 de 2011, la Ley 1266 de 2008, por la cual se reguló el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países, y la Ley 1581 de 2012, Ley para la Protección de Datos Personales, la Superintendencia de Industria y Comercio tiene las siguientes funciones en materia de datos: (i) vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la Ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera; (ii) velar por el cumplimiento de la legislación en materia de protección de datos personales; (iii) adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data, para lo cual, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de

los datos, la rectificación, actualización o supresión de los mismos; (iii) disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva; (iv) promover y divulgar los derechos de las personas en relación con el tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; (v) impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones" previstas en la presente ley; (vi) solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones; (vii) proferir las declaraciones de conformidad sobre las transferencias internacionales de datos; (viii) administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento; (ix) sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional; (x) requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales, y (xi) las demás que le sean asignadas por ley. De tal manera que nos pronunciaremos sobre su consulta, en el marco de nuestras

funciones en materia de competencia desleal y protección de datos. 2.1 En materia de competencia desleal 2.1.1 Secreto empresarial De acuerdo con el artículo 260 de la Decisión 486 de la Comisión de la Comunidad Andina, se considera secreto empresarial1 cualquier información no divulgada que una persona natural o jurídica legítimamente posea, que pueda usarse en alguna actividad productiva, industrial o comercial, y que sea susceptible de transmitirse a un tercero, en la medida en que tal información sea: a) secreta, en el sentido de que, como conjunto o en la configuración y reunión precisa de sus componentes, no sea generalmente conocida ni fácilmente accesible por quienes se encuentran en los círculos que normalmente manejan la información respectiva. b) que tenga un valor comercial por ser secreta; y c) que haya sido objeto de medidas razonables tomadas por su legítimo poseedor para mantenerla secreta. Dicha información, según la norma, puede estar referida a la naturaleza, características, o finalidades de productos, métodos o procesos de producción o medios o formas de distribución o comercialización de productos o prestación de servicios. 1 También puede ser "el conocimiento reservado sobre ideas, productos o procedimientos industriales que el empresario, por su valor competitivo para la empresa, desea mantener oculto." PACHÓN, Manuel. SÁNCHEZ AVILA, Zoraida. El Régimen Andino de la Propiedad Industrial. Ediciones Jurídicas Gustavo Ibáñez. Bogotá 1995, página 181. El secreto empresarial también constituye una alternativa para proteger una invención que carece de alguno de los requisitos de patentabilidad descritos o que no quiere patentarse, siempre y cuando la información sobre el invento cumpla con las

condiciones expuestas arriba. 2.1.2 Protección del secreto empresarial En nuestro ordenamiento jurídico diferentes disposiciones regulan actualmente el tema de los secretos industriales y comerciales y su protección: a) Decisión 486 de la Comisión de la Comunidad Andina, Régimen Común sobre Propiedad Industrial (Título XVI, Capítulo II, artículos 260 a 266)2. b) Ley 256 de 1996, por la cual se dictaron normas sobre competencia desleal (artículo 16)3. 2 DECISIÓN 486 DE LA COMISIÓN DE LA COMUNIDAD ANDINA, artículo 262.- "Quien lícitamente tenga control de un secreto empresarial, estará protegido contra la divulgación, adquisición o uso de tal secreto de manera contraria a las prácticas leales de comercio por parte de terceros. Constituirán competencia desleal los siguientes actos realizados respecto a un secreto empresarial: "a) explotar, sin autorización de su poseedor legítimo, un secreto empresarial al que se ha tenido acceso con sujeción a una obligación de reserva resultante de una relación contractual o laboral; "b) comunicar o divulgar, sin autorización de su poseedor legítimo, el secreto empresarial referido en el inciso a) con ánimo de obtener provecho propio o de un tercero o de perjudicar a dicho poseedor; "c) adquirir un secreto empresarial por medios ilícitos o contrarios a los usos comerciales honestos; "d) explotar, comunicar o divulgar un secreto empresarial que se ha adquirido por los medios referidos en el inciso c); "e) explotar un secreto empresarial que se ha obtenido de otra persona sabiendo, o debiendo saber, que la persona

que lo comunicó adquirió el secreto por los medios referidos en el inciso c), o que no tenía autorización de su poseedor legítimo para comunicarlo; "f) comunicar o divulgar el secreto empresarial obtenido conforme al inciso e), en provecho propio o de un tercero, o para perjudicar al poseedor legitimo del secreto empresarial; o, "Un secreto empresarial se considerará adquirido por medios contrarios a los usos comerciales honestos cuando la adquisición resultará, entre otros, del espionaje industrial, el incumplimiento de un contrato u otra obligación, el abuso de confianza, la infidencia, el incumplimiento de un deber de lealtad, o la instigación a realizar cualquiera de estos actos". 3 LEY 256 DE 1996, artículo 16. Violación de secretos. "Se considera desleal la divulgación o explotación, sin autorización de su titular, de secretos industriales o de cualquiera otra clase de secretos empresariales a los que se haya tenido acceso legítimamente, pero con deber de reserva, o ilegítimamente, a consecuencia de algunas de las conductas previstas en el inciso siguiente o en el artículo 18 de esta ley. "Tendrá asimismo la consideración de desleal, la adquisición de secretos por medio de espionaje o procedimientos análogos, sin perjuicio de las sanciones que otras normas establezcan. "Las acciones referentes a la violación de secretos procederán sin que para ello sea preciso que concurran los requisitos a que hace referencia el artículo 2o. de esta ley". c) Código Sustantivo del Trabajo, artículo 58, numeral 24. d) Código Penal, artículo 3085.

La protección del secreto empresarial perdura mientras se den y subsistan las condiciones descritas en el artículo 260 de la Decisión 486 de la Comisión de la Comunidad Andina. Así las cosas, un invento o cualquier información empresarial tendrá la protección por la vía del secreto empresarial v esa protección podrá tener una vigencia permanente en el tiempo, siempre que durante el transcurso del mismo conserve las condiciones mencionadas en la norma citada. La protección del secreto empresarial no requiere trámite alguno, pero quien detente el secreto debe tomar las medidas necesarias para evitar su divulgación y, en general, mantener las condiciones de protección expuestas en el artículo 260 de la Decisión 486 Andina. En la norma, si bien no establece una forma específica o particular de proteger el secreto, sí se impune claramente a su poseedor la carga de adoptar los mecanismos que resulten razonables para evitar que la información sea de conocimiento general y para impedir un fácil acceso a la misma. Conforme a lo señalado, si una persona posee una información que reúna las características anotadas para considerarla secreto empresarial, y esta es divulgada, adquirida o usada de manera no autorizada, su propietario o titular podrán iniciar las acciones previstas en el Capítulo III del Título XVI del Ordenamiento Comunitario 4 CÓDIGO SUSTANTIVO DEL TRABAJO, artículo 58. Obligaciones especiales del trabajador. "Son obligaciones especiales del trabajador: (...) 2a. No comunicar con terceros, salvo la autorización expresa, las informaciones que tenga sobre su trabajo, especialmente sobre las cosas que sean de naturaleza reservada o cuya divulgación pueda ocasionar perjuicios

al empleador, lo que no obsta para denunciar delitos comunes o violaciones del contrato o de las normas legales del trabajo ante las autoridades competentes." 5 CÓDIGO PENAL, artículo 308. Violación de reserva industrial o comercial. <Penas aumentadas por el artículo 14 de la Ley 890 de 2004, a partir del 1° de enero de 2005. El texto con las penas aumentadas es el siguientes "El que emplee, revele o divulgue descubrimiento, invención científica, proceso o aplicación industrial o comercial, llegados a su conocimiento por razón de su cargo, oficio o profesión y que deban permanecer en reserva, incurrirá en prisión de treinta y dos (32) a noventa (90) meses y multa de veintiséis punto sesenta y seis (26.66) a tres mil (3.000) salarios mínimos legales mensuales vigentes. En la misma pena incurrirá el que indebidamente conozca, copie u obtenga secreto relacionado con descubrimiento, invención científica, proceso o aplicación industrial o comercial. La pena será de cuarenta y ocho (48) a ciento veintiséis (126) meses de prisión y multa de ciento treinta y tres punto treinta y tres (133.33) a cuatro mil quinientos (4500) salarios mínimos legales mensuales vigentes, si se obtiene provecho propio o de tercero." Andino, concordante con lo señalado en los artículos 20 y siguientes de la Ley 256 de 1996, y en el Código Penal Colombiano. 2.1.3 Acceso a secretos empresariales con motivo de una relación de trabajo, profesionales o de negocios De conformidad con el artículo 264 de la Decisión 486, la persona que detente el

secreto empresarial lo podrá transmitir o autorizar su uso a un tercero, bajo las condiciones de no divulgación6. El acceso que terceros tienen a secretos empresariales en virtud de relaciones laborales, profesionales o de negocios, se reglamenta en el artículo 265 de la Decisión 486, y en el artículo 16 de la Ley 256 de 1996, así: Decisión 486, artículo 265. "Toda persona que con motivo de su trabajo, empleo, cargo, desempeño de su profesión o relación de negocios, tenga acceso a un secreto empresarial sobre cuya confidencialidad se le haya prevenido, deberá abstenerse de usarlo o divulgarlo, o de revelarlo sin causa justificada y sin consentimiento de la persona que posea dicho secreto o de un usuario autorizado". Ley 256 de 1996, artículo 16. "Violación de secretos. Se considera desleal la divulgación o explotación, sin autorización de su titular, de secretos industriales o de cualquiera otra clase de secretos empresariales a los que se haya tenido acceso legítimamente, pero con deber de reserva, o ilegítimamente, a consecuencia de algunas de las conductas previstas en el inciso siguiente o en el artículo 18 de esta ley". De lo anterior puede concluirse que el poseedor del secreto empresarial debe informar sobre la confidencialidad de la información, advertir sobre el acceso a ella sólo en razón de los cargos o funciones y, en consecuencia, advertir sobre la obligación de abstenerse de divulgarlo o revelarlo, todo sin perjuicio de adelantar las gestiones tendientes a la protección de la información. 6 DECISIÓN 486 DE LA COMISIÓN DE LA COMUNIDAD ANDINA, artículo 264. "Quien posea legítimamente un

secreto empresarial podrá transmitir o autorizar el uso a un tercero. El tercero autorizado tendrá la obligación de no divulgar el secreto empresarial por ningún medio, salvo pacto en contrario con quien le transmitió o autorizó el uso de dicho secreto. En los convenios en que se transmitan conocimientos técnicos, asistencia técnica o provisión de ingeniería básica o de detalle, se podrán establecer cláusulas de confidencialidad para proteger los secretos empresariales allí contenidos, siempre y cuando las mismas no sean contrarias a las normas sobre libre competencia". Una vez concluida la relación laboral, profesional o empresarial entre quien ejerce derechos sobre el secreto industrial y el depositario legítimo de la información sobre el mismo, debe tenerse en cuenta que la protección del secreto industrial perdura mientras lo hagan también las condiciones establecidas en el artículo 260 de la Decisión 486 de la Comisión de la Comunidad Andina, de tal manera que la terminación de un vínculo laboral o contractual no da por terminada la protección del secreto empresarial. Sin perjuicio de lo anterior, en la legislación laboral se prevé en el artículo 58 del Código Sustantivo del Trabajo la obligación especial del trabajador de "no comunicar con terceros, salvo autorización expresa, las informaciones que tenga sobre su trabajo, especialmente las cosas que sean de naturaleza reservada o cuya divulgación pueda ocasionar perjuicios al empleador, lo que no obsta para denunciar delitos comunes o violaciones del contrato o de las normas legales del trabajo ante las autoridades competentes". En los convenios en que se transmitan conocimientos técnicos, asistencia técnica o provisión de ingeniería básica o de detalle, se podrán establecer cláusulas de

confidencialidad para proteger los secretos empresariales allí contenidos, siempre y cuando las mismas no sean contrarias a las normas sobre libre competencia". 2.1.4 El secreto empresarial desde el punto de vista de las normas de competencia desleal Establece el artículo 16 de la Ley 256 de 1996, Régimen de Competencia Desleal7: "Violación de secretos: se considera desleal la divulgación o explotación, sin autorización de su titular, de secretos industriales o de cualquiera otra clase de secretos empresariales a los que se haya tenido acceso legítimamente, pero con deber de reserva, o ilegítimamente, a consecuencia de algunas de las conductas previstas en el inciso siguiente o en el artículo 18 de esta ley. Tendrá así mismo la consideración de desleal, la adquisición de secretos por medio de espionaje o procedimientos análogos, sin perjuicio de las sanciones que otras normas establezcan. 7 GALÁN CORONA, Eduardo. Supuestos de Competencia Desleal por violación de secretos. En: La Regulación contra la Competencia Desleal en la Ley de 10 de Enero de 1991, Madrid 1992, p. 93-94. g En los términos de los artículos anteriores, la configuración del ilícito concurrencial de violación de secretos dependerá de la presencia de los siguientes elementos: (i) que exista un secreto comercial o industrial, (ii) que dicho secreto haya sido divulgado o explotado por un tercero que accedió a éste legítimamente, pero con deber de reserva, o que accedió a éste ilegítimamente, y (iii) que la divulgación o explotación del secreto

se haya realizado sin autorización de su titular. En relación con el primer elemento de la configuración del ilícito, la existencia de un secreto comercial o industrial, debe darse las siguientes condiciones: (i) verificarse la existencia de un conocimiento que verse sobre cosas, procedimientos, hechos, actividades y cuestiones similares; (ii) que dicho conocimiento tenga carácter de reservado o privado, porque sus titulares han optado voluntariamente por no hacerlo accesible a terceros; (iii) que dicho secreto recaiga sobre procedimientos o experiencias industriales o comerciales, o esté relacionado con la actividad de la empresa o su parte organizativa; (iv) que los titulares del secreto tengan voluntad e interés consciente de mantenerlo reservado, adoptando las medidas necesarias para ello7; y, (v) que la información tenga "un valor comercial, efectivo o potencial, en el sentido que su conocimiento, utilización o posesión permite una ganancia, ventaja económica o competitiva sobre aquellos que no la poseen o no la conocen8. Conforme a lo expuesto, podría constituir secreto comercial cualquier tipo de información, sea técnica, comercial o de negocios, incluyendo procesos secretos, fórmulas, programas, especificaciones de productos, dibujos, planes de comercialización, listas de clientes, programas de computadoras, información de investigación y desarrollo, planes especiales de precio, información sobre costos o cualquiera otra información confidencial, siempre que se cumpla con los requisitos a los cuales se ha hecho referencia en los párrafos precedentes. Sobre el criterio que esta Superintendencia ha tenido para juzgar los casos de violación de secretos, puede consultar las sentencias que están a su disposición a

través de la siguiente ruta electrónica, www.sic.gov.co/Normatividad/Jurisprudencia. Igualmente, en la página de la Comunidad Andina de Naciones, www.comunidadandina.org, puede consultar las interpretaciones judiciales que sobre el tema ha hecho el Tribunal de Justicia de la Comunidad Andina, una de las cuales es la identificada como 49-IP-2009. 8 ESCUDERO, Sergio. La Protección de la Información no Divulgada. En: Los Retos de la Propiedad Industrial en el siglo XXI, p. 321. 2.2 En materia de protección de datos personales En caso de que la información de las cartas a las que se refiere en su consulta contengan datos personales y que estos se encuentren almacenados en una base de dato o archivo, no sólo podría verse protegida como secreto empresarial, sino también como dato personal, en el marco de la Ley 1581 de 2012, que también impone obligaciones especiales a los responsables y encargados del tratamiento de los mismos, sobre lo cual nos permitimos exponerle aspectos generales. 2.2.1 Datos personales en bases de datos o archivos La Ley 1581 de 2012 en su artículo 2 señala su ámbito de aplicación de la siguiente manera: "Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.(...)" Por su parte, el artículo 3 de la mencionada Ley señala las siguientes definiciones: "a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales. b) Base de Datos: Conjunto organizado de datos personales que sea objeto de

Tratamiento. c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento. e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos. f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento. g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión." De lo anterior se concluye que la citada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión de datos personales registrados en cualquier base de datos o archivo de entidades públicas o privadas. Respecto al concepto de bases de datos o archivos la Corte Constitucional, mediante Sentencia C-748 de 2011, señaló lo siguiente: "El literal b) define las bases de datos como un "(...) conjunto organizado de datos personales que sea objeto de tratamiento". Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación. Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo

que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley." La Ley 1581 de 2012 se aplica, por lo tanto, a los datos personales que se encuentren en bases de datos o archivos de entidades (personas naturales o jurídicas) públicas o privadas, entendidos estos, como el conjunto organizado o depósitos ordenados de datos personales, susceptibles de tratamiento, es decir, de recolección, almacenamiento, uso, circulación o supresión. 2.2.2 Autorización para el tratamiento de los datos personales En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la mencionada ley así: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento" Al respecto, la Corte Constitucional, mediante Sentencia C-748 de 2011 señaló lo siguiente: "[Pjrincipio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de

mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática". (...) En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. Sobre el particular, en la Sentencia C-1011 de 2008 se sostuvo que tales características concretan la libertad del individuo frente al poder informático (...) Por lo anterior, el tratamiento de los datos personales sólo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitir al titular que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. Ahora, en el artículo 10 de la Ley 1581 de 2012 se enumeran los casos en los cuales no es necesaria la autorización previa del titular para el tratamiento de sus datos personales: "Artículo 10. Casos en que no es necesaria la autorización. La autorización del

Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial. b) Datos de naturaleza públi. (sic) c) Casos de urgencia médica o sanitaria. d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos. e) Datos relacionados con el Registro Civil de las Personas." 2.2.3. Finalidad de los datos personales El literal b) del artículo 4 de la Ley 1581 de 2012 dice, sobre el principio de finalidad, uno de los que debe aplicarse de manera armónica e integral el desarrollo, interpretación y aplicación de esa norma: "el tratamiento debe obedecerá una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular". Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: "Principio de finalidad: En virtud de tal principio, el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular. La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima, sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información

suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está haciendo usado para la finalidad por él autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i)un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii)un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas. En razón de lo anterior, el literal b) debe ser entendido en dos aspectos. Primero, bajo el principio de necesidad se entiende que los datos deberán ser conservados en unaJorma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de lo