SIC - Concepto-13195683

Bogotá D.C., 10

Asunto: Radicación: 13-195683- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 18

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula una serie de preguntas en relación con la Ley 1581 de 2012 y el Decreto 1377 de 2013.

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de a solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para

capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Al respecto, en primer lugar, nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares. Sin embargo, dentro del ámbito de las referidas competencias a continuación damos respuestas de manera general a sus preguntas. 2.1 Pregunta 1.1. "El Decreto 1377 de 2013 en el parágrafo único de su artículo 10 fijó como plazo máximo para la implementación de mecanismos alternos de comunicación el término de un mes contado a partir de la publicación de dicho decreto. Se pregunta: 1.1 ¿Qué pueden hacer hoy, cuando dicho plazo está vencido, las personas responsables de bases de datos que no tienen otra opción diferente a estos mecanismos alternos, para solicitar la autorización de los titulares de la información contenida en sus bases de datos?" 2.1.1 Respuesta. El principio de libertad se encuentra consagrado en los siguientes términos en el literal c del artículo 4 de la Ley 1581 de 2012: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales

no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;" (1) De acuerdo con la citada norma, la autorización del titular de los datos personales para su Tratamiento se requerirá siempre que no se encuentre dentro de una de las excepciones consagradas en el artículo 10 de la Ley 1581 de 2012 o cuando no exista una norma o decisión judicial que exima de la obtención de la autorización. En relación con la autorización el artículo 9 de la Ley 1581 de 2012 establece: "Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior."(2) En relación con la autorización el Decreto 1377 de 2013 dispone: "Autorización. El responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. (...) En caso de haber cambios sustanciales en el contenido de las políticas de Tratamiento a que se refiere el Capítulo III de este Decreto, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera

a la finalidad del Tratamiento." (3) Dado que la ley no exige que la autorización dada por los titulares de los datos personales para su tratamiento adopte una forma determinada, podrá adoptar cualquier forma siempre que se garantice el cumplimiento de los requisitos exigidos por la ley. En este sentido, el artículo 7 del Decreto 1377 de 2013 al reglamentar la Ley 1581 de 2013 prevé las distintas formas a través de las cuales se puede obtener la autorización de los titulares de los datos personales para su tratamiento: "Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los Titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a la conducta inequívoca." (4) De acuerdo con lo anterior, la autorización para el tratamiento de los datos personales puede ser obtenida a través de los siguientes modos:  Por escrito  De forma oral  Mediante conductas inequívocas de I titular, siempre y cuando no se trate de

datos personales sensibles. 2.2 Pregunta 1.2. "El Decreto 1377 de 2013 en el parágrafo único de su artículo 10 fijó como plazo máximo para la implementación de mecanismos alternos de comunicación el término de un mes contado a partir de la publicación de dicho decreto. Se pregunta: (...) 1.2. ¿Pueden implementar aún estos mecanismos?" 2.2.1 Respuesta. El artículo 10 del Decreto 1377 de 2013 estableció un mecanismo para facilitar la obtención de la autorización de los titulares en relación con los datos personales recolectados antes de la expedición de dicha norma, es decir, antes del 27 de junio de 2013. Sin embargo, dicha figura tenía una aplicación temporal que tenía como fecha máxima de implementación el término de un mes luego de la publicación del Decreto, el cual fue publicado en el Diario Oficial número 48.834 del día 27 de junio de 2013. Este artículo solamente resulta aplicable a la información recolectada antes de la entrada en vigencia del Decreto 1337 de 2013, y adicionalmente, quienes no hayan hecho uso de las facilidades -mecanismos alternos de comunicaciónotorgadas por dicha norma deben en todo caso obtener la autorización de los titulares de los datos personales objeto de Tratamiento de acuerdo con lo dispuesto en el artículo 7 del Decreto 1377 de 2013, según se indicó en el numeral 2.1.1 del presente concepto. 2.3 Pregunta 1.3. "El Decreto 1377 de 2013 en el parágrafo único de su artículo 10 fijó como plazo

máximo para la implementación de mecanismos alternos de comunicación el término de un mes contado a partir de la publicación de dicho decreto. Se pregunta: (...) 1.3 ¿Si se implementan estos mecanismos pueden ser sujetos de sanción por parte de la SIC?" 2.3.1 Respuesta. Quienes lleven a cabo el tratamiento sin el lleno de los requisitos legales, dentro de cual se encuentra la obtención de la autorización previa al tratamiento por parte de su titular, siempre que no se encuentre en una de las causales de exoneración de dicho requisito, podrán ser sanción por parte de la Delegatura de Protección de Datos Personales de esta Superintendencia, previa investigación administrativa. Como resultado de dicha investigación se pueden imponer las siguientes sanciones, previstas en el artículo 23 de la Ley 1581 de 2012: "Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los

correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva." (5) De acuerdo con lo anterior, ante una infracción a las normas de protección de datos personales, previa investigación, esta Superintendencia puede imponer las sanciones de multa, suspensión de las actividades relacionadas con tratamiento de datos personales y cierre temporal de la operación de tratamiento de datos. Es de resaltar que cuando se trate de datos de carácter sensible el cierre es inmediato y definitivo. 2.4 Pregunta 1.4. "El Decreto 1377 de 2013 en el parágrafo único de su artículo 10 fijó como plazo máximo para la implementación de mecanismos alternos de comunicación el término de un mes contado a partir de la publicación de dicho decreto. Se pregunta: (...) 1.4. ¿Existe algún proyecto de acto administrativo que pretenda ampliar este plazo?" 2.4.1 Respuesta. Se debe recordar que el llamado a expedir los decretos reglamentarios de la Ley 1581 de 2012 es el Gobierno Nacional y no esta Superintendencia. Así mismo, se debe tener en consideración que el artículo 10 del Decreto 1377 de 2013 se constituyó en

un mecanismo de transición que buscó evitar una parálisis en el flujo de la información en el país. 2.5. Pregunta 2.1. "¿Si el titular de la información dentro de la autorización que concede al responsable de la base de datos incluye la posibilidad de que sus datos sean vendidos o cedidos a otras personas, se entiende esto como una autorización para que los compradores de esa información puedan libremente usar sus datos? En caso de ser afirmativa la respuesta, se pregunta: 2.1 ¿Qué limitantes en el uso de la información tiene la persona que compra a otro una base de datos?" 2.5.1 Respuesta. En su artículo 13 la Ley 1581 de 2012 establece a quiénes se les pueden suministrar los datos personales que reposan en una base de datos: "Personas a quienes se les puede suministrar la información. La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas: a) A los Titulares, sus causahabientes o sus representantes legales; b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial; c) A los terceros autorizados por el Titular o por la ley." (11) Específicamente en relación con el literal c de dicha norma, esto es, cuando la ley o el titular del dato personal autorizan que los datos personales sean suministrados a terceros, la Corte Constitucional consideró: "Finalmente, en cuanto al ordinal c) que establece la posibilidad de la entrega de la información a "los terceros autorizados por el Titular o por la ley", la Corte también reiterará lo señalado en la Sentencia C-1011 de 2008. Para el Tribunal,

esas autorizaciones podrían "prestarse a equívocos, en el entendido que establecería una cláusula genérica, con base en la cual una ley posterior pudiera permitir la divulgación de información personal a otras personas, sin consideración de las garantías propias del derecho fundamental al hábeas data y de la vigencia de los principios de administración de datos personales. Al respecto, la extensión irrestricta de las posibilidades de divulgación de la información contradiría el principio de circulación restringida, comprendido por el legislador estatutario como la imposición de restricciones a la divulgación de datos en razón de su naturaleza, de la finalidad del banco de datos y de la vigencia de los citados principios." En consecuencia, esa prerrogativa dada al legislador debe entenderse en el entendido que se encuentra supeditada a la vigencia de las prerrogativas que se derivan del derecho al hábeas data y, en especial, a los principios de administración de datos personales." (7) De acuerdo con lo anterior se puede concluir que, ante la autorización del titular de sus datos personales en el sentido de que la información sea suministrada a unos determinados terceros y para la ejecución de unos ciertos fines, es posible que se entregue la información a dicho tercero. Las limitaciones a dicho tratamiento será el ceñirse a los fines previstos en la autorización, llevarlo a cabo durante el término por el cual se autorizó la permanencia de los datos en las bases y el cumplimiento de los principios y deberes establecidos en la Ley 1581 de 2012. 2.6 Pregunta 2.2. "¿Si el titular de la información dentro de la autorización que concede al responsable de la base de datos incluye la posibilidad de que sus datos sean

vendidos o cedidos a otras personas, se entiende esto como una autorización para que los compradores de esa información puedan libremente usar sus datos? En caso de ser afirmativa la respuesta, se pregunta: (...) 2.2 ¿Qué obligaciones tiene ese comprador frente a los titulares?" 2.6.1 Respuesta. De acuerdo con el rol que lleve a cabo el tercero al cual se le suministró la información, se podrá constituir en responsable o encargado del tratamiento de datos personales. El responsable del tratamiento se encuentra definido en los siguientes términos en el literal e de artículo 3 de la Ley 1581 de 2012: "e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;" (8) Así mismo, en el artículo 17 de la Ley 1581 de 2012 se han previsto los siguientes deberes para los responsables del tratamiento: "Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o

fraudulento; e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible; f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada; g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento; h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley; i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular; j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos; l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo; m) Informar a solicitud del Titular sobre el uso dado a sus datos; n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares. o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia

de Industria y Comercio." (9) Por otra parte, el concepto de encargado del tratamiento está previsto en el literal d del artículo 3 de la Ley 1581 de 2012 en los siguientes términos: "Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;" (10) En relación con esta definición la Corte Constitucional ha considerado: "(...) El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento. Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos. (...) Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto "decidir sobre el tratamiento" empleado por el literal e) parece coincidir con la posibilidad de definir -jurídica y materialmentelos fines y medios del tratamiento. Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis. Así, el concepto de responsable puede cobijar tanto a la

fuente como al usuario, en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera. De otro lado, el criterio de delegación coincide con el término "por cuenta de" utilizado por el literal e), lo que da a entender una relación de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato. Así, por ejemplo, será responsable del dato el hospital que crea la historia clínica de su paciente, la universidad o las instituciones educativas en relación con los datos de sus alumnos, pues estos determinan la finalidad (en razón de su objeto que, puede estar señalado en una ley o por el giro normal de la actividad que se desarrolla) para la recolección de los datos, así como la forma en que los datos serán procesados, almacenados, circulados, etc. Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una – el responsablele señala a la otra -el encargadocomo quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados. Volvamos al ejemplo de la historia clínica, en el que la institución de salud contrata con una compañía el procesamiento de las historias para que con un programa especial que puede determinar el responsable o la empresa contratada, le organice la información contenida en ellas, siguiendo las indicaciones que establece el hospital. En este caso, el encargado del tratamiento de los datos es la persona

jurídica que se contrata para el procesamiento de las hojas de vida. También necesario precisar, como lo señala la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad. En ese orden de ideas, corresponderá a la autoridad competente de asegurar la vigilancia, control y garantía del dato personal, examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad.(...)" (11) De la revisión de norma y jurisprudencia citada se puede concluir que el concepto de encargado hace referencia a la persona natural o jurídica que lleva a cabo el tratamiento de datos personales por cuenta del responsable del tratamiento. Así mismo, el artículo 18 la Ley 1581 de 2012 consagra los deberes de los encargados del tratamiento de datos personales: "Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o

fraudulento; c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la presente ley; d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo; e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la presente ley; f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares; g) Registrar en la base de datos las leyenda \"reclamo en trámite\" en la forma en que se regula en la presente ley; h) Insertar en la base de datos la leyenda \"información en discusión judicial\" una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal; i) Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio; j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella; k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares; l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. Parágrafo. En el evento en que concurran las calidades de Responsable del Tratamiento y Encargado del Tratamiento en la misma persona, le será exigible

el cumplimiento de los deberes previstos para cada uno." (12) Adicionalmente, y según lo dispone el citado parágrafo del artículo 18 de la Ley 1581 de 2012 cuando concurran en una misma persona las calidades de encargado y responsable, deberá cumplir con los deberes previstos para ambos. 2.7 Pregunta 2.3. "¿Si el titular de la información dentro de la autorización que concede al responsable de la base de datos incluye la posibilidad de que sus datos sean vendidos o cedidos a otras personas, se entiende esto como una autorización para que los compradores de esa información puedan libremente usar sus datos? En caso de ser afirmativa la respuesta, se pregunta: (...) 2.3. ¿El comprador debe solicitar autorización a los titulares para tratar su información, así dicha autorización ya haya sido concedida al vendedor?" 2.7.1 Respuesta. Según se indicó en el numeral 2.5.1 del presente concepto, es posible que la información cuyo tratamiento se autorizó pueda ser entregada a un tercero, cuando así lo autorice la ley o cuando así lo haya permitido el titular de los datos. En este sentido, siempre y cuando el tratamiento llevado a cabo por el tercero se circunscriba al ámbito de la autorización dada por el titular, esto es, se lleve a cabo dentro de las finalidades para las cuales se otorgó autorización y con la permanencia autorizada, se podrá soportar en dicha autorización. Sin embargo, cuando el tratamiento difiera de los términos en que fue autorizado, se deberá dar una nueva autorización para las nuevas condiciones del tratamiento, a fin de garantizar el principio de libertad del titular de la información.

2.8. Pregunta 2.4. "¿Si el titular de la información dentro de la autorización que concede al responsable de la base de datos incluye la posibilidad de que sus datos sean vendidos o cedidos a otras personas, se entiende esto como una autorización para que los compradores de esa información puedan libremente usar sus datos? En caso de ser afirmativa la respuesta, se pregunta: (...) 2.4. ¿Para qué fines puede usar esa información comprada?" 2.8.1 Respuesta. Según se indicó en las respuestas anteriores, el tratamiento de datos personales se debe llevar a cabo en el marco de la autorización dada por el titular de la información y exclusivamente para las finalidades que han sido autorizadas por el titular. 2.9. Pregunta 3.1. "¿La información pública puede ser vendida o cedida? En caso de ser afirmativa la respuesta, se pregunta: 3.1 ¿Se requiere autorización del titular para esa venta?" 2.9.1 Respuesta. Los datos públicos son definidos en los siguientes términos en el numeral 2 del artículo 3 del Decreto 1377 de 2013: "Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva."(3) El artículo 9 de la Ley 1581 de 2012 al regular la autorización de los titulares de datos personales para el Tratamiento determina:

"Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior." (13) A renglón seguido se debe revisar el artículo 10 de la ley en comento, el cual establece las excepciones para la obligación de contar con autorización previa del titular de los datos personales para su Tratamiento: "Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley." (14) Para interpretar dicha norma se debe tener en consideración que no toda la información de acceso público, como pueden ser la consignada en los registros públicos o en los directorios telefónicos, tiene el carácter de datos públicos. Por lo cual, solamente la información de acceso público que tenga el carácter de dato público puede ser objeto de tratamiento sin que medie el consentimiento previo de los titulares de los datos. En oposición, los datos de carácter personal que sean de acceso público no pierden su carácter de dato personal y, en consecuencia, para su tratamiento se debe contar con la autorización previa del titular.

2.10 Pregunta 3.2. "¿La información pública puede ser vendida o cedida? En caso de ser afirmativa la respuesta, se pregunta: (...) 3.2 ¿Las entidades que maneja