SIC - Concepto-21265501

Bogotá, D.C., 10 Respetado(a) señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012]

ASUNTO: Número 21-265501

Trámite 113 Evento 0 Actuación 440

Reciba un cordial saludo: De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud radicada ante esta Entidad a través de la cual realiza la siguiente consulta: “SE ME PERDIO (SIC) UN OBJETO DE VALOR EN LAS INTALACIONES DE UN RESTAURANTE, PEDI RESPETUOSAMENTE QUE ME DEJARAN ACCEDER A LOS VIDEOS Y ME DENEGARON LA SOLICITUD POR LA LEY DE HABEAS DATA, Y ME PIDIERON UNA DENUNCIA PARA PODER DARMELOS, EL HECHO ES QUE NECESITO EL VIDEO PARA PODER HACER UNA DENUNCIA Y ME ESTAN

VULNERANDO EL DERECHO A PODER HACERLA, ENTONCES LA CONSULTA ES

ESO CONTENIDO NORMATIVO PARA PODER TRAMITAR MI PETICION CORRECTAMENTE Y SEA RESUELTA” Al respecto, nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Es importante precisar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su

Oficina Asesora Jurídica no dirime situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizads la anterior precisión, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan resolver las inquietudes manifestadas.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012 “Por la cual se dictan disposiciones generales para la protección de datos personales”, en su artículo 21 señala las siguientes funciones para esta Superintendencia: “a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantarlas investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de habeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerirla colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley.” En ese orden de ideas, la Superintendencia, en materia de protección de datos personales, tiene como una de sus funciones vigilar el cumplimiento de este régimen en Colombia.

4. DATOS PERSONALES Y SU TRATAMIENTO El ámbito de aplicación de la Ley 1581 de 2012 está definido en los siguientes términos: “ÁMBITO DE APLICACIÓN. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

La presente ley aplicará al tratamiento de datos personales efectuando en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable a la legislación colombiana en virtud de normas y tratados internacionales.” (Negrillas fuera de texto) Por lo tanto, esta Ley es aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento. Ahora, por su parte, la misma Ley trae una definición de Base de Datos, así: “Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento.” En consecuencia, cualquier conjunto organizado de datos personales, sin importar si es análogo o digital, es considerado como una base de datos. Los datos personales tienen una regulación especial, que exige unos requisitos mínimos para su tratamiento. La Ley 1581 de 2012, en el literal c) del artículo 3 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.” Por otro lado, el literal g) del artículo 3 de la misma ley define el tratamiento de datos personales en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales,

tales como la recolección, almacenamiento, uso, circulación o supresión." Al respecto, la Corte Constitucional, en sentencia C-748 de 2011, señaló lo siguiente: "(…)[E]l tratamiento es definido como cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Este vocablo, al igual que los dos analizados en precedencia, es de uso en el ámbito europeo y se encuentra tanto en la Directiva 95/46 del Parlamento Europeo como en los Estándares dictados en la reciente conferencia que se dio en Madrid (España), en la que se definió tratamiento como “cualquier operación o conjunto de operaciones, sean o no automatizadas, que se apliquen a datos de carácter personal, en especial su recogida, conservación, utilización, revelación o supresión (…)” Además, en la misma providencia agregó que el tratamiento se entiende como tal sin importar el medio por el cual se realice. Para la Corte, el tratamiento es: “cualquier operación que se pretenda hacer con el dato personal, con o sin ayuda de la informática, pues a diferencia de algunas legislaciones, la definición que aquí se analiza no se circunscribe únicamente a procedimientos automatizados.” Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo procesamiento sea utilizando medios tecnológicos o manuales. Ahora, en cuanto al responsable del Tratamiento, la misma Ley lo define así: “Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por

sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos” En consecuencia, la persona natural o jurídica que cumpla con estas condiciones será considerada como Responsable del tratamiento, y estará sujeta a las obligaciones y responsabilidades que le exige la Ley.

5. AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES La Ley 1581 establece que la autorización para el tratamiento de Datos personales debe ser otorgada por el Titular de los datos. Así lo contempla el principio de libertad que contiene esta Ley: “Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento” En el mismo sentido, la ley define al titular de los datos personales de la siguiente manera: “Titular: Persona natural cuyos datos personales sean objeto de Tratamiento” Por lo tanto, la autorización para el tratamiento de datos personales solamente puede ser otorgada por el titular de estos datos, quien tendrá tal calidad de conformidad con esta definición.

Ahora bien, como parte de una garantía para los derechos de las personas, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización: “ARTÍCULO 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.

b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta” Esta información brindada de manera previa al consentimiento es fundamental, pues la autorización del Titular debe darse de manera libre e informada, lo que supone que debe conocer el detalle del uso que el Responsable le dará a los datos que el titular le entrega. 5.1. CASOS EN LOS QUE NO ES NECESARIA LA AUTORIZACIÓN Aunque la autorización para el tratamiento de datos personales es la regla general, la Ley también contiene una serie de excepciones. Se trata de escenarios en los cuales no es necesario contar con la autorización del titular para tratar los datos personales recolectados. Así lo dispone el artículo 10 de la citada Ley: “ARTÍCULO 10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo

caso cumplir con las disposiciones contenidas en la presente ley.” (Negrilla fuera de texto) Solo en estos casos la autorización no será necesaria. No obstante, como estas excepciones son taxativas, en cualquier caso que no encaje dentro de las excepciones, el Responsable deberá contar con la autorización previa del titular antes de tratar de cualquier manera sus datos personales. De igual forma, como lo veremos a continuación, a pesar de que la autorización no sea necesaria en estos casos, el tratamiento sí debe respetar los demás principios contenidos en la Ley.

6. SOLICITUD DE VIDEOS DE VIGILANCIA RELACIONADOS CON HECHOS DELICTIVOS Como explicamos en el punto anterior, los datos personales no requieren de autorización previa del titular cuando van a ser tratados por orden de una autoridad administrativa o judicial. Por lo tanto, cuando una persona requiera videos de vigilancia privados para incluirlos dentro de un proceso judicial, deberá pedirle a una autoridad administrativa o judicial que solicite estos elementos ante el propietario de los videos.

Ahora bien, la Corte Constitucional ha tenido la oportunidad de evaluar algunos casos sobre la petición de este tipo de información por parte de particulares. Por ejemplo, mediante Sentencia T-114 de 20181 la Corte revisó un caso en el cual una empresa se negó a entregarle los videos de seguridad a una usuaria, que los requería para revisar si su padre había muerto o no en circunstancias naturales dentro del establecimiento del propietario. La primera consideración que realizó la Corte Constitucional, fue evaluar si la información recogida por el circuito de cerrado de televisión era pública, privada o semiprivada: “(…) Se tiene que la información captada por las cámaras de seguridad instaladas en el

domicilio de una persona es indiscutiblemente privada. De igual manera, la información captada por los equipos de vigilancia instalados en establecimientos privados abiertos al público también tienen la naturaleza de privada, debido a que continuamente se encuentra registrando información de las personas que frecuentan este tipo de lugares. Cosa distinta, ocurre con los dispositivos de seguridad instalados en establecimientos y/o instituciones públicas, debido a que, según la tipología establecida por la jurisprudencia de la Corte Constitucional, está captando imágenes en un lugar abierto al público. Lo anterior sin perjuicio de las particularidades de cada caso, por cuanto, puede ocurrir que dentro de una residencia se instalen unas cámaras de seguridad por orden legal y/o judicial, circunstancia en la cual no se puede considerar que las imágenes que capten dichos equipos sean de carácter privado, toda vez que, la utilización de dicho material estaría destinado a fines completamente diferentes a los personales. (…)”2 (Negrilla fuera del texto original) Por lo tanto, queda claro que cuando el circuito de vigilancia esté ubicado en un espacio privado, la información que este sistema capte será igualmente privada. Lo contrario ocurrirá cuando el sistema de vigilancia se encuentre en un establecimiento público, caso en el cual, por regla general, la información que recoja será pública. Ahora, que la información sea privada implica que esta solo se podrá acceder a esta por medio de orden judicial, así lo estableció la Corte Constitucional: “(…) La jurisprudencia de la Corte Constitucional define la información privada como aquella que se encuentra en el ámbito propio del sujeto a quien le incumbe y, por ende, sólo puede accederse a esta por orden de autoridad judicial en el ejercicio

de sus funciones . La información personal comprende la relacionada con los libros de los comerciantes, los documentos privados, las historias clínicas, la información extraída a partir de la inspección del domicilio o luego de la práctica de pruebas en procesos penales sujetas a reserva . De igual forma, tiene naturaleza de información privada “la información genética que reposa en bancos de sangre, esperma, laboratorios, consultorios médicos u odontológicos o similares (…)”3 (Negrilla fuera del texto original) 1 Disponible en: https://www.corteconstitucional.gov.co/relatoria/2018/t-114-18.htm 2 Corte Constitucional, Sentencia T-114 de 2018. Magistrado Ponente: Carlos Bernal Pulido. 3 Ibídem. Esta interpretación de la Corte Constitucional es armónica con los principios contenidos en la Ley 1581 de 2012, especialmente los de finalidad, confidencialidad y acceso y circulación restringida4. Y es que es importante entender que, aunque los sistemas de video vigilancia se instalan normalmente para fortalecer la seguridad de un determinado espacio, esos sistemas no solo captan actuaciones delictivas; también recogen información sobre eventos legales pero privados, y que pueden incluir información de carácter personal y privada: “(…) De igual manera, esta Corte, en aquella oportunidad, recordó que los sistemas de videovigilancia no solo graban las actuaciones delictivas, sino todas las actividades que llevan a cabo las personas en espacios públicos, con el agravante de que, en la mayoría de los casos, la ciudadanía no tiene conocimiento de que está siendo grabada, ni mucho menos que está siendo observada, ni tampoco para qué fines se utilizan los

mencionados videos .(…)”5 (Negrilla fuera del texto original) Por lo tanto, toda la información recogida por estos sistemas de video vigilancia debe recibir la protección legal que le otorga la Ley 1581 de 2012. Esto por supuesto no implica que esta información sea inaccesible. Lo que ocurre es que, por su naturaleza, es necesario que sea solicitada por una autoridad administrativa o judicial, que garantice que el tratamiento se hará para los fines permitidos por la Ley. A esta misma conclusión llegó la Corte Constitucional en la citada sentencia: “(…) la Sala de Revisión no encontró vulnerado el derecho al habeas data, en tanto la accionada no tuvo a su disposición datos personales de la tutelante, ni divulgó información personal de su fallecido padre. Tampoco estableció vulneración alguna a su derecho de acceso a la administración de justicia, en razón de que la respuesta a su derecho de petición hubiere sido negativa, por cuanto, en ningún momento se le está impidiendo acudir ante un juez, por el contrario, una vez, decida iniciar el correspondiente proceso judicial, la tutelante tendrá la oportunidad para solicitar el decreto de la referida prueba (…)6 (Negrilla fuera del texto original) Por lo tanto, quien requiera información privada para incorporarla en un proceso judicial, deberá pedir que la prueba sea ordenada por el Juez competente. 4 Ley 1581 de 2012: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual

debe ser informada al Titular; (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; (…) h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.” 5 Corte Constitucional, Sentencia T-114 de 2018. Magistrado Ponente: Carlos Bernal Pulido. 6 Ibídem

7. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal en el marco de los interrogantes planteados en la solicitud formulada, a continuación, hacemos unas precisiones finales.

Por regla general, cualquier tratamiento de datos personales, debe estar precedido por la autorización del titular para tratar sus datos, salvo que exista una excepción legal que releve este requisito. Ahora

bien, como lo desarrollamos en el punto 5.1. de este concepto, la autorización para el tratamiento no siempre es necesaria. Existen algunas excepciones legales que contempla la Ley 1581 de 2012, dentro de la cual se resalta el literal a) del artículo 10 de esta Ley, que establece que la autorización no será necesaria para la “a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;”. Por lo tanto, cuando una persona requiera de información privada para incorporarla en un proceso judicial o administrativo, deberá pedirle al Juez o la Autoridad administrativa competente que ordene el Decreto de esta prueba. La orden de esta Autoridad será de obligatorio cumplimiento, hará que la autorización del titular de la información no sea necesaria, y permitirá que esta información sea incluida en el proceso correspondiente. Le recordamos que los hechos delictivos en Colombia son atendidos por la Fiscalía General de la Nación. Por lo tanto, para su caso particular, le recomendamos que se acerque a esa Autoridad para que lo asesoren en esta materia, y pueda pedir los videos que requiere mediante una orden judicial o administrativa, que le permita continuar con su denuncia. En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1437 de 2011, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos

a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1 Atentamente;

JAZMÍN ROCÍO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Diego A. M.

Revisó y aprobó: Rocío Soacha