SIC - Concepto-13175657

Bogotá D.C., 10

Asunto: Radicación: 13-0175657- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 26

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula una serie de preguntas en relación la Ley 1581 de 2012 y el Decreto 1377 de 2013 las cuales abordarán a continuación.

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para

capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares. Sin embargo, dentro del ámbito de las referidas competencias, a continuación, damos respuesta de manera general a su consulta. 2.1 Primera pregunta. "Se consideran datos personales con base en la definición de "Dato Personal" consagrado en el Artículo Tercero de la Ley Estatutaria 1581 de 2012: Nombres y Apellidos, cédula de ciudadanía, pasaporte, huellas dactilares de las manos, tipo de sangre, foto, dirección del domicilio, teléfono, dirección electrónica y registro fílmico de la persona natural, como también la placa del vehículo y sus características (color, marca, etc.), o si todos éstos se consideran de naturaleza pública y cuáles?" 2.1.1 Concepto de dato personal. Los datos de carácter personal se encuentran definidos en los siguientes términos en el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (1)

En relación con las características de los datos personales la Corte Constitucional ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."" (2) De acuerdo con lo anterior, se catalogan como datos personales aquella información relacionada con una persona natural. En este sentido, en atención a su pregunta, dado que en principio la placa de un vehículo automotor y sus características no están directamente relacionadas con una persona natural, por lo cual no ostentarían el carácter de dato personal, sin embargo, sí lo puede llegar a ser la demás información que se incluya en registros de automotores. Dentro de los datos personales encontramos diferentes categorías, entre ellos los datos sensibles, semiprivados, privados y públicos, para lo cual, en cada caso le corresponde a la persona que va a llevar a cabo su tratamiento determinar en qué categoría encajan con el fin de determinar qué reglas especiales le resultan aplicables a dicha actividad. De todas formas le informamos que en opinión de esta Oficina se considera, 2.1.2 Datos públicos. Los datos públicos son definidos en los siguientes términos en el numeral 2 del artículo

3 del Decreto 1377 de 2013: "Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva."(3) En lo atinente al registro civil de las personas se debe tener en consideración lo dispuesto en el artículo 213 del Código Electoral, el cual establece: "Toda persona tiene derecho a que la Registraduría le informe sobre el número, lugar y fecha de expedición de documentos de identidad pertenecientes a terceros. Tienen carácter reservado las informaciones que reposen en los archivos de la Registraduría referentes a la identidad de las personas, como son sus datos biográficos, su filiación y fórmula dactiloscópica. De la información reservada sólo podrá hacerse uso por orden de autoridad competente. Con fines investigativos, los jueces y los funcionarios de policía y de seguridad tendrán acceso a los archivos de la Registraduría. Cualquier persona podrá inspeccionar en todo tiempo los censos electorales, pero en ningún caso se podrá expedir copias de los mismos." (4) De acuerdo con dicha norma, los nombres y números de identificación de las personas tienen carácter público y, por el contrario, tienen carácter reservado la información que hace referencia a los datos biográficos, la filiación y fórmula dactiloscópica.

2.1.3 Datos semiprivados y privados. En relación con la clasificación de los datos personales la Corte Constitucional consideró: "Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles. 2.5.6.2. Se pregunta la Sala si la omisión de estas clasificaciones en el literal c) constituye un vicio de constitucionalidad. Para la Sala la respuesta es negativa, ya que estas definiciones no son un ingrediente indispensable para la aplicación de las garantías de la ley y, en todo caso, la ausencia de definiciones puede ser llenada acudiendo a la jurisprudencia constitucional y a otros preceptos legales. En primer lugar, la clasificación de los datos personales en públicos, semiprivados y privados o sensibles, es solamente una posible forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato. El legislador, por tanto, tiene libertad para elegir o no elegir una categorización. Ahora bien, es cierto que el propio legislador estatutario adoptó algunas de estas clasificaciones, como la de datos sensibles, cuyo tratamiento se prohíbe con algunas excepciones en el artículo 6 del proyecto. Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las definiciones de otros preceptos legales, como la Ley 1266, cuyo artículo 3 dispone: "f) Dato público. Es el dato calificado como tal según los mandatos de la ley o

de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular. " En este orden de ideas, dado que la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto."{5) De acuerdo con lo anterior, las definiciones de dato semiprivado y dato privado de la Ley 1266 de 2008 deben ser aplicadas a los datos personales regulados por la Ley 1581 de 2012. En este sentido, serán datos personales semiprivados aquellos que no son públicos ni reservados, y en relación con los cuales existe interés no solamente de su titular sino de la sociedad. De acuerdo con su pregunta, dentro de la categoría de datos

semiprivados se encuentran, entre otros, las direcciones de correo electrónico de las personas naturales, el número de teléfono, la dirección de residencia y el tipo de sangre. Por su parte, tendrán el carácter de datos personales privados aquellos que solamente interesan a su titular. 2.1.4 Datos sensibles. Los datos sensibles se encuentran definidos en los siguientes términos en el artículo 5 de la Ley 1581 de 2012: "Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos."{6) Por su parte el numeral 3 del artículo 3 del Decreto 1377 de 2013 establece: "Datos sensibles: Se entiende por datos sensibles aquellos que afectan la intimidad del Titular y cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual,

y los datos biométricos." (7) Dentro de dicha categoría se han incluido los datos biométricos, como lo son las huellas dactilares. El reconocimiento a través de datos biométricos ha sido definido así: "El reconocimiento biométrico se puede describir como los métodos automatizados que pueden de manera precisa reconocer a un individuo con base en características físicas o de comportamiento. Es un área de la más amplia rama de la ciencia de identificación humana. La tecnología usada en la biométrica incluye el reconocimiento de huellas digitales, caras, patrones de venas, iris, voces y la secuencia de la pulsación de las teclas." (8) Específicamente en relación con el método de toma de huellas dactilares se ha considerado: "La biométrica con huellas digitales ha ampliamente reconocido como un método preciso de reconocimiento biométrico. En la actualidad, los lectores de huellas digitales se encuentran disponibles a un bajo costo y cada vez más integrados a computadores portátiles o a otros dispositivos portátiles de tecnología de la información y comunicaciones. La mayoría de los sistemas de reconocimiento de huellas dactilares analizan el patrón único de crestas y valles papilares, y la forma en que están organizadas las pequeñas marcas únicas de las huellas digitales, que se conocen como "minutiae". Pueden ser reconocidos y distinguido por su tipo, por coordinadas de "x" y "y" y por su dirección. Los escáneres de huellas digitales pueden operar con sistemas basados en el tacto o con sistemas ópticos que no requieren de tacto. El primero se puede encontrar en computadores portátiles y funciona de manera similar a una

cámara digital al capturar una imagen digital de la parte superior del dedo haciendo uso de una luz visible. Si bien este tipo de sensor provee una solución barata y simple, tiene algunas desventajas: cuando el dedo toca o rueda a través de la superficie del escáner, la piel elástica se deforma. La calidad de la captura de la imagen depende de manera importante de la cantidad y dirección de la presión aplicada por el usuario y la huella digital puede parecer diferente en cada toma. Al emitir una luz en o a través del dedo y capturar su reflejo o las señales transmitidas, las huellas digitales puede ser captadas sin que haya contacto entre la piel y el escáner. Para evitar huellas digitales falsas, algunos sistemas emplean la llamada tecnología de detección de vida, la cual se aprovecha de la actividad de exudar del cuerpo humano. Los lentes de gran aumento y tecnología especial de iluminación captan la transpiración de los dedos e indica si el dedo está vivo o muerto. Quienes planean la aplicación deben tener en consideración que las huellas digitales de una pequeña parte de la población no pueden ser usadas para la identificación biométrica. Esto se puede deber a la edad (piel delgada o atrofia senil de la piel por fricción), accidentes, razones genéticas, del medio ambiente o por razón de los trabajos desempeñados (por ejemplo trabajadores de construcción que han gastado sus huellas o tienen un gran número de cortadas o heridas en sus huellas digitales que siguen cambiando)." (9) De acuerdo con el artículo 6 de la Ley 1581 de 2012, por regla general, el Tratamiento

de datos sensibles se encuentra prohibido, salvo en las siguientes situaciones:  El titular autorizó de manera explícita su Tratamiento, excepto cuando la ley no exija dicha autorización.  Se requiera para salvaguardar el interés vital del dato personal y el titular se encuentre física o jurídicamente incapacitado. En este caso la autorización la dan sus representantes legales.  Se realice en desarrollo de las actividades de una fundación, ONG, asociación o cualquier organismo sin ánimo de lucro, en este caso se deben brindar garantías y los datos no se pueden suministrar a terceros sin la autorización del titular.  Se requiera para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.  Tenga una finalidad histórica, estadística o científica, se deben adoptar las medidas para suprimir la identidad de los titulares. Por lo cual, cuando se va a realizar el Tratamiento de datos personales se debe evaluar si alguno de los datos objeto de dicho Tratamiento se encuentran dentro de la categoría de datos sensibles, con el fin de que se dar cumplimiento a los requisitos especiales previstos en la norma en comento. 2.1.5 Las imágenes como datos personales. Según se indicó con antelación, el literal c del artículo 3 de la Ley 1581 de 2012 consagra una definición de datos personales. Adicionalmente se debe tener en cuenta la definición presentada por literal e del artículo 3 de la Ley 1266 de 2008: "Dato personal. Es cualquier pieza de información vinculada a una o varías personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de

protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados;" (10) Teniendo en cuenta dichas definiciones, se puede concluir que las imágenes encuadran dentro del concepto de dato personal. En relación con el carácter de datos personales de las imágenes la Agencia de Española de Protección de Datos ha considerado: "El concepto de dato personal incluye las imágenes cuando se refieran a personas identificadas o identificables. Por ello, los principios vigentes en materia de protección de datos personales deben aplicarse al uso de cámaras, videocámaras y a cualquier medio técnico análogo, que capte y/o registre imágenes (...)" (11) 2.2 Segunda pregunta. "De ser considerados (...) como "dato personal" (titular), se requiere el consentimiento previo de la persona natural para que sean registrados en la base de datos para el ingreso a un inmueble?" 2.2.1 El principio de libertad en el tratamiento de datos personales. La autorización del titular para el Tratamiento de datos personales está prevista en el artículo 9 de la Ley 1581 de 2012: "Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior." (12) Por su parte, el principio de libertad está consagrado en los siguientes términos en el literal c del artículo 4 de la Ley 1581 de 2012: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el

consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;"^?») Dicho principio, que es pilar fundamental de las normas de protección de datos personales, implica que la actividad de Tratamiento de datos personales solamente se pueda llevar a cabo con la autorización previa del titular de los mismos. En relación con los requisitos que debe cumplir dicha autorización la Corte Constitucional consideró: "De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales. Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. "(14) El artículo 7 del Decreto 1377 de 2013 prevé las distintas formas a través de las cuales se puede obtener la autorización de los titulares de los datos personales para su tratamiento: "Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del

Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los Titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a la conducta inequívoca." (15) De acuerdo con lo anterior, la autorización para el tratamiento de los datos personales puede ser obtenida a través de los siguientes modos:  Por escrito  De forma oral  Mediante conductas inequívocas del titular, cuando no se trate de aquellos datos personales catalogados como sensibles. 2.2.2 Los datos públicos como una excepción a la obligación de obtener autorización. Las excepciones para la obligación de contar con una autorización previa para el Tratamiento de los datos personales que provenga de su titular son de carácter taxativo y no pueden ser objeto de una interpretación extensiva, y se encuentran consagradas en los siguientes términos en el artículo 10 de la Ley 1581 de 2012: "Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria;

d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley." (16) Por lo cual, para el tratamiento de dato catalogados como datos personales de carácter público no se hace necesario contar con la autorización del titular del mismo, sin embargo se debe tener en cuenta que pese a que no se requiera autorización sí se debe dar cumplimiento a las demás disposiciones de la Ley 1581 de 2012, entre ellas, los deberes y principios para el tratamiento de datos personales. Dentro de los deberes y principios que se deben aplicar es de especial relevancia el principio de finalidad el cual está consagrado en los siguientes términos en el literal b del artículo 4 de la Ley 1581 de 2012: b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; (17) El principio de finalidad exige que el fin perseguido al hacer el tratamiento de datos personales sea legítimo en relación con la Constitución y la ley, al respecto la Corte Constitucional ha precisado: "Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. (...) Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de

los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas. En razón de lo anterior, el literal b) debe ser entendido en dos aspectos. Primero, bajo el principio de necesidad se entiende que los datos deberán ser conservados en una forma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de los datos personales no debe exceder del necesario para alcanzar la necesidad con que se han registrado. (...) Segundo, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos. En consecuencia, debe hacerse todo lo razonablemente posible para limitar el procesamiento de datos personales al mínimo necesario. Es decir, los datos deberán ser: (i) adecuados, (ii) pertinentes y (iii) acordes con las finalidades para las cuales fueron previstos." (18) En consecuencia, el tratamiento de los datos personales no solamente debe perseguir un fin legítimo, sino que los datos deben ser los estrictamente necesarios para la

obtención de dicha finalidad y el periodo de conservación de los mismos no puede ser más del necesario para el fin perseguido. 2.2.3 El tratamiento de datos sensibles. El artículo 6 de la Ley 1581 de 2012 regula en los siguientes términos el tratamiento de los datos sensibles: "Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares."(19) De acuerdo con lo anterior, la regla general es la prohibición del Tratamiento de datos

personales que estén catalogados como sensibles, sin embargo, sí está permitido en ciertos casos previstos en los literales a al e del citado artículo. En el caso particular del uso de datos biométricos como lo es la huella digital para brindar seguridad a las distintas instalaciones o edificaciones, dicha hipótesis no se enmarca dentro de las excepciones de los literales b,c,d y e, por lo cual se debe enmarcar en el literal a. En este sentido, para que el Tratamiento de datos biométricos en las actividades encaminadas a brindar seguridad a un edificio sea permitido se requiere de autorización explícita por parte de su titular. Al respecto se debe tener en consideración lo manifestado por la Corte Constitucional al evaluar la norma en comento: "Como se indicó en apartes previos, la prohibición de tratamiento de datos sensibles es una garantía del habeas data y del derecho a la intimidad, y además se encuentra estrechamente relacionada con la protección de la dignidad humana. Sin embargo, en ciertas ocasiones el tratamiento de tales datos es indispensable para la adecuada prestación de servicios -como la atención médica y la educacióno para la realización de derechos ligados precisamente a la esfera íntima de las personas -como la libertad de asociación y el ejercicio de las libertades religiosas y de opinión. Las excepciones del artículo 6 responden precisamente a la necesidad del tratamiento de datos sensible en dichos escenarios. Ahora bien, como se trata de casos exceptuados y que, por tanto, pueden generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos, los agentes que realizan en estos casos el tratamiento tienen una responsabilidad reforzada que se traduce

en una exigencia mayor en términos de cumplimiento de los principios del artículo 4 y los deberes del título VI. Esa mayor carga de diligencia se deberá también traducir en materia sancionatoria administrativa y penal. (...)" (20) La autorización para el Tratamiento de los datos personales sensibles fue reglamentada en el artículo 6 del Decreto 1377 de 2013: "De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de los datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

2. Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles." (21) 2.3 Tercera y sexta preguntas. "De requerirse la autorización previa por parte de la persona natural (titularvisitante), éste también puede