SIC - Concepto 24-538790 de 2025

Bogotá D.C., enero de 2025

Señor xxxxxxxxxx xxxxxxxxxxx

Asunto: Radicación: 24-538790

Trámite: 113

Actuación: 440

Folios: 11

Respetado Señor:

De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “ por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA

Atendiendo a la solicitud radicada ante esta Entidad en la que menciona lo siguiente:

“(…) solicitamos claridad sobre: Cumplimiento normativo de Firebase: El uso de Firebase para almacenar datos clínicos anonimizados cumple con las normativas locales de protección de datos? Acceso y control: Qué restricciones existen respecto al acceso de terceros (como Google) a los datos anonimizados almacenados en Firebase? Recomendaciones específicas: Existen guías oficiales o políticas en su país para garantizar el manejo adecuado de datos sensibles en plataformas de almacenamiento en la nube? Agradecemos de antemano su orientación en estos puntos y solicitamos una respuesta oficial que permita garantizar el cumplimiento normativo de nuestro proyecto. “

Previo a resolver su consulta es necesario realizar las siguientes precisiones:

2. CUESTIÓN PREVIA

en estos puntos y solicitamos una respuesta oficial que permita garantizar el cumplimiento normativo de nuestro proyecto. “

Previo a resolver su consulta es necesario realizar las siguientes precisiones:

2. CUESTIÓN PREVIA

Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Superintendencia de Industria y Comercio Señor ciudadano, para hacer seguimiento a su soUcitud, la entidad le ofrece los siguientes canales: Teléfono en Bogotá: 601 592 04 00 - Línea gratuita a nivel nacional: 01 8000 910 165Dirección: carrera 13 #27-00 piso 3, Bogotá D.C., Colombia -Teléfono: 601 587 00 00www.sic.gov.co - e-mail: contactenos@sic.gov.co Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambienteAl respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C542 de 2005:

“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conce ptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho

conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior , a continuación, daremos respuesta a las inquietudes presentadas.

Superintendencia de Industria y Comercio Señor ciudadano, para hacer seguimiento a su soUcitud, la entidad le ofrece los siguientes canales: Teléfono en Bogotá: 601 592 04 00 - Línea gratuita a nivel nacional: 01 8000 910 165Dirección: carrera 13 #27-00 piso 3, Bogotá D.C., Colombia -Teléfono: 601 587 00 00www.sic.gov.co - e-mail: contactenos@sic.gov.co Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambiente4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

En primer lugar, es importante recordar que, esta Oficina no es competente para referirse a las particularidades de casos concretos . En consecuencia, se responderá a continuación su consulta considerando estas competencias en el marco del régimen de protección de datos personales, en particular de la Ley 1581 de 2012 y del Capítulo 25 del Decreto 1074 de 2015, sin que pueda referirse a otros aspectos de su consulta que desbordan el ámbito de estas competencias ni a bases de datos específicas administradas por otras entidades estatales.

En efecto, los conceptos que expide esta Oficina se limitan a dar pautas de acción

referirse a otros aspectos de su consulta que desbordan el ámbito de estas competencias ni a bases de datos específicas administradas por otras entidades estatales.

En efecto, los conceptos que expide esta Oficina se limitan a dar pautas de acción respecto de las materias a cargo de la Superintendencia de Industria y Comercio, más no están encaminados a dirimir cuestiones particulares.

A partir de la exposición de las consideraciones anteriores, y en el marco del asunto de su comunicación, nos permitimos manifestar:

4.1. SERVICIOS DE COMPUTACIÓN EN LA NUBE (CLOUD COMPUTING)

De acuerdo con el Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology - NIST), la computación en la nube es “un modelo que permite el acceso ubicuo, adaptable y por demanda en red a un conjunto compartido de recursos computacionales configurables (por ejemplo: redes, servidores, almacenamiento, aplicaciones y servicios) que se pueden aprovisionar y liberar rápid amente con un mínimo de esfuerzo de gestión o interacción del proveedor de servicios” (NIST, 2021).1

Asimismo, la Superintendencia de Industria y Comercio define la computación en la nube en los siguientes términos:

“La computación en la nube es la tecnología que permite gestionar servicios informáticos de manera remota, de tal forma que cualquier servicio o procesamiento de datos, que antes se realizaba localmente, puede ejecutarse a través de la red de Internet, tal como el uso de aplicaciones, almacenamiento, gestión de datos, entre otros, haciendo un uso eficiente y económico de recursos al compartir hardware y software como plataformas, licencias, capacidad de almacenamiento y servicios con muchos usuarios, con un alto nivel de disponibilidad,

aplicaciones, almacenamiento, gestión de datos, entre otros, haciendo un uso eficiente y económico de recursos al compartir hardware y software como plataformas, licencias, capacidad de almacenamiento y servicios con muchos usuarios, con un alto nivel de disponibilidad, flexibles y por demanda; características que reducen tiempos de acceso y costos, pero se debe incrementar la seguridad en las operaciones, especialmente en la de tipo público, donde la infraestructura y demás recursos son compartidos públicamente en internet.”2

1 SIC, “Protección de los datos personales en los servicios de Computación en la Nube (Cloud Computing)”, Disponibleen: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_Proteccion_datos.pdf, pag 9. 2 IdemRespecto a las partes en el contrato de Cloud Computing, se muestra en la siguiente tabla:

Tabla 1. Partes en el tratamiento de datos personales a través de servicios de computación en la nube

Actor Descripción Proveedor de Servicios de Computación en la Nube (PSCEN) Actúa como Encargado del Tratamiento de datos personales. Es definido como el prestador de servicios que, siendo una persona física, jurídica o autoridad pública y ajena a la organización del Responsable, trata datos personales en nombre y por cuenta de és te. La relación entre el Responsable y el Encargado debe formalizarse mediante un contrato o instrumento jurídico que incluya lo establecido en los artículos 34.2 3 y 34.3 de los Estándares de protección de datos personales. Además, si el PSCEN subcontrata servicios que implican tratamiento de datos personales, debe cumplir con requisitos adicionales establecidos en el artículo 35.4 Empresa o Entidad Pública que Contrata los Servicios de

el PSCEN subcontrata servicios que implican tratamiento de datos personales, debe cumplir con requisitos adicionales establecidos en el artículo 35.4 Empresa o Entidad Pública que Contrata los Servicios de Computación en la Nube Puede asumir el rol de Responsable o Encargado del Tratamiento. Como Responsable, determina los fines, medios y alcance del tratamiento de datos personales y debe cumplir con las obligaciones jurídicas aplicables. Tanto el Responsable como el Encargado deb en implementar medidas para garantizar el cumplimiento de la regulación de protección de datos y estar en capacidad de responder ante el Titular del dato y la Autoridad de Protección de Datos por sus acciones u omisiones. Titular del Dato Personal Es la persona física a quien le conciernen los datos personales tratados. Sus derechos deben ser garantizados

3 Estándares de protección de datos personales para los Estados Iberoamericanos (2017) ”34.2. El contrato o instrumento jurídico establecerá, al menos, el objeto, alcance, contenido, duración, naturaleza y finalidad del tratamiento; el tipo de datos personales; las categorías de titulares, así como las obligaciones y responsabilidades del re sponsable y encargado.” 4 Estándares de protección de datos personales para los Estados Iberoamericanos (2017)”35.Subcontratación de servicios 35.1. El encargado podrá, a su vez, subcontratar servicios que impliquen el tratamiento de datos personales, siempre y cuando exista una autorización previa por escrito, específica o general del responsable, o bien, se esti pule expresamente en el contrato o instrumento jurídico suscrito entre este último y el encargado. 35.2. El subcontratado asumirá el carácter de encargado en los términos que estipulen la legislación

o bien, se esti pule expresamente en el contrato o instrumento jurídico suscrito entre este último y el encargado. 35.2. El subcontratado asumirá el carácter de encargado en los términos que estipulen la legislación nacional del Estado Iberoamericano aplicable en la mater ia. 35.3. El encargado formalizará la prestación de servicios del subcontratado a través de un contrato o cualquier otro instrumento jurídico que determine la legislación nacional del Estado Iberoamericano que resulte aplicable en la materia. 35.4. Cuando el subcontratado incumpla sus obligaciones y responsabilidades respecto al tratamiento de datos personales que lleve a cabo conforme a lo instruido por el encargado, asumirá la calidad de responsable conforme a la legislación nacional del Estado Iberoamericano que resulte aplicable en la materia.”al emplear servicios de computación en la nube para el tratamiento de sus datos personales.5 Autoridad de Protección de Datos (APD) También conocida como Autoridad de Control, su función es vigilar que los Responsables y Encargados que emplean servicios de computación en la nube cumplan con las disposiciones legales en materia de protección de datos personales. En los Estándares, el ca pítulo VII aborda los aspectos relacionados con las funciones de control y supervisión de la APD.

Fuente: OAJ con base en Guía para Recomendaciones para el tratamiento de datos personales mediante servicio de computación en la nube, 2021.

En el contexto de los servicios de computación en la nube, el Proveedor de Servicios de Computación en la Nube (PSCEN) opera bajo la figura de Encargado del Tratamiento de los datos personales, actuando conforme a las instrucciones del Responsable y sin ostentar poder decisorio sobre el alcance y contenido del

Servicios de Computación en la Nube (PSCEN) opera bajo la figura de Encargado del Tratamiento de los datos personales, actuando conforme a las instrucciones del Responsable y sin ostentar poder decisorio sobre el alcance y contenido del tratamiento. Los Estándares de protección de datos estipulan que el Encargado debe ejecutar el tratamiento de los datos personales sin alterar sus términos, ajustándose estrictamente a las condiciones establecidas por el Responsable (Estándares, 2017, art. 34.2). En este sentido, el PSCEN no solo limita su intervención a las disposiciones del Responsable, sino que además debe suscribir un contrato en el que se establezcan formalmente los términos de la prestación del servicio de computación en la nube, indicando claramente el objeto, alcance, contenido, duración, naturaleza y finalidad del tratamiento, así como el tipo de datos personales involucrados y las categorías de titulares (Estándares, 2017, art. 34.2).

El mencionado contrato o instrumento jurídico debe también contener una serie de obligaciones específicas para el PSCEN, establecidas en el artículo 34.3 de los Estándares. Entre dichas obligaciones se destacan:

a. “Realizar el tratamiento de los datos personales conforme a las instrucciones del responsable.

b. Abstenerse de tratar los datos personales para finalidades distintas a las instruidas por el responsable.

c. Implementar las medidas de seguridad conforme a los instrumentos jurídicos aplicables.

d. Informar al responsable cuando ocurra una vulneración a los datos personales que trata por sus instrucciones.

e. Guardar confidencialidad respecto de los datos personales tratados.

jurídicos aplicables.

d. Informar al responsable cuando ocurra una vulneración a los datos personales que trata por sus instrucciones.

e. Guardar confidencialidad respecto de los datos personales tratados.

5 Artículos 24 a 32 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017)f. Suprimir, devolver o comunicar a un nuevo encargado designado por el responsable los datos personales objeto de tratamiento, una vez cumplida la relación jurídica con el responsable o por instrucciones de éste, excepto que una disposición legal exija la co nservación de los datos personales, o bien, que el responsable autorice la comunicación de éstos a otro encargado.

g. Abstenerse de transferir los datos personales, salvo en el caso de que el responsable así lo determine, o la comunicación derive de una subcontratación, o por mandato expreso de la autoridad de control.

h. Permitir al responsable o autoridad de control inspecciones y verificaciones en sitio.

1. Generar, actualizar y conservar la documentación que sea necesaria y que le permita acreditar sus obligaciones.

j. Colaborar con el responsable en todo lo relativo al cumplimiento de la legislación nacional del Estado Iberoamericano que resulte aplicable en la materia.”

Estas obligaciones aseguran que el PSCEN se conduzca con la debida diligencia en la protección de los datos personales bajo su gestión. Los Estándares permiten al PSCEN la subcontratación de servicios relacionados con el tratamiento de datos personales, si empre y cuando medie una autorización previa por escrito del Responsable, la cual puede ser específica o general, o esté prevista explícitamente en el contrato suscrito.

tratamiento de datos personales, si empre y cuando medie una autorización previa por escrito del Responsable, la cual puede ser específica o general, o esté prevista explícitamente en el contrato suscrito.

En caso de subcontratación, el PSCEN deberá formalizar un acuerdo con el subcontratado, en el que se delimite el alcance de los servicios y se garantice la transparencia en la gestión de datos (Estándares, 2017, art. 34.3). Este acuerdo debe ser incluido en los Acuerdos de Nivel de Servicio (Service Level Agreement – SLA), asegurando así la coherencia en las obligaciones de protección de datos a través de toda la cadena de tratamiento del PSCEN (Estándares, 2017).

En consecuencia, con el objeto de garantizar el derecho constitucional que tienen los titulares a conocer, actualizar y rectificar los datos personales recolectados sobre ellos en cualquier base de datos susceptible de tratamiento por entidades públicas o privadas, los Responsables o Clientes, al momento de contratar servicios de computación en la nube, no solo deben procurar escoger al proveedor que ofrezca las mejores garantías para proteger la información, sino que también deben ser transparentes con los titulares respecto a la identificación de los administradores de los datos y el tratamiento que se realizará mediante computación en la nube.

4.2. TRANSMISIÓN DE DATOS PERSONALES

Superintendencia de Industria y Comercio Señor ciudadano, para hacer seguimiento a su soUcitud, la entidad le ofrece los siguientes

canales: Teléfono en Bogotá: 601 592 04 00 - Línea gratuita a nivel nacional: 01 8000 910 165Dirección: carrera 13 #27-00 piso 3, Bogotá D.C., Colombia -Teléfono: 601 587 00 00www.sic.gov.co - e-mail: contactenos@sic.gov.co Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambienteEl artículo 2.2.2.25.1.3., del Decreto 1074 de 2015 define la transmisión de datos personales, de la siguiente manera:

“5. Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable”. (Subrayas y negrillas fuera de texto)

De acuerdo con lo anterior, la transmisión de datos es aquella que involucra la comunicación de datos personales fuera o dentro del territorio nacional entre un responsable del tratamiento y un encargado, para que este último realice el tratamiento de esos datos por cuenta del primero.

Así pues, los encargados obran por cuenta del responsable, y es este último, quien responde frente a los titulares de los datos y las autoridades por los errores o negligencia de los encargados. Adicionalmente, los responsables del tratamiento deben desarrollar sus políticas para el tratamiento de los datos personales y velar porque los encargados del tratamiento den cabal cumplimiento a las mismas.

Así mismo, el artículo 17 de la Ley 1581 de 2012 señala las siguientes obligaciones de los responsables frente a los encargados:

“Los Responsables del Tratamiento deberán cumplir los siguientes

a las mismas.

Así mismo, el artículo 17 de la Ley 1581 de 2012 señala las siguientes obligaciones de los responsables frente a los encargados:

“Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;

f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada;

g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento;

h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley;

1. Exigir al Encargado del Tratamiento en todo momento, el respeto alas condiciones de seguridad y privacidad de la información del Titular;

(…)

l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo; (…) “

Por su parte, el encargado del tratamiento de datos personales deberá dar cumplimiento a las obligaciones consagradas en el artículo 18 de la Ley 1581 de 2012, en los siguientes términos:

respectivo; (…) “

Por su parte, el encargado del tratamiento de datos personales deberá dar cumplimiento a las obligaciones consagradas en el artículo 18 de la Ley 1581 de 2012, en los siguientes términos:

“Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

a) Garantizar al Titular, en todo tiempo el pleno y efectivo ejercicio del derecho de hábeas data. b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la presente ley. d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo. e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la presente ley. f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares. g) Registrar en la base de datos la leyenda "reclamo en trámite" en la forma en que se regula en la presente ley. h) Insertar en la base de datos la leyenda "información en discusión judicial" una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal. i) Abstenerse de circular información que esté siendo controvertida

h) Insertar en la base de datos la leyenda "información en discusión judicial" una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal. i) Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio. j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella. k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares. l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.”

Superintendencia de Industria y Comercio Señor ciudadano, para hacer seguimiento a su soUcitud, la entidad le ofrece los siguientes canales: Teléfono en Bogotá: 601 592 04 00 - Línea gratuita a nivel nacional: 01 8000 910 165Dirección: carrera 13 #27-00 piso 3, Bogotá D.C., Colombia -Teléfono: 601 587 00 00www.sic.gov.co - e-mail: contactenos@sic.gov.co Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambientePor lo anterior, cuando se pretenda realizar una transmisión de datos personales, es decir, la comunicación de los mismos dentro o fuera del territorio de la República de Colombia, entre el responsable y encargado del tratamiento, se recomienda que suscriban contratos por la prestación de servicios celebrados con terceros con el fin de garantizar una adecuada protección de datos personales en dicha relación, y en el que se establezcan de manera clara

se recomienda que suscriban contratos por la prestación de servicios celebrados con terceros con el fin de garantizar una adecuada protección de datos personales en dicha relación, y en el que se establezcan de manera clara las obligaciones especiales y los deberes legales, mencionados en los artículos 17 y 18 de la Ley 1581 de 2012, y que incluyan por lo menos:

( i ) Los alcances del tratamiento; (ii) Las actividades que el encargado realizará por cuenta del responsable para el tratamiento de los datos personales y (iii) Las obligaciones del encargado para con el titular y el responsable. Los términos de los contratos de transmisión reglamentados garantizan el cumplimiento de la ley colombiana.

Así mismo, es fundamental que, entre otras, se pacten cláusulas contractuales en las que los encargados se obliguen a: • Cumplir las políticas de tratamiento de información del responsable del tratamiento. • Garantizar seguridad y confidencialidad de los datos personales. • No usar los datos personales para fines diferentes a los autorizados por el titular • No apropiarse de los datos personales (copias de planillas, formularios, grabaciones, archivos electrónicos) luego de culminado el contrato de prestación de servicios. • Devolver al responsable todos los datos que trató durante la prestación de sus servicios.

5. TRATAMIENTO DE DATOS SENSIBLES

El tratamiento de datos sensibles, en virtud de su carácter especial, exige el cumplimiento estricto de los lineamientos establecidos en la legislación vigente, particularmente en la Ley 1581 de 2012 y el Decreto 1074 de 2015. Dichos datos, definidos como aquellos que afectan la intimidad del titular o cuyo uso

cumplimiento estricto de los lineamientos establecidos en la legislación vigente, particularmente en la Ley 1581 de 2012 y el Decreto 1074 de 2015. Dichos datos, definidos como aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, deben ser tratados únicamente bajo condiciones excepcionales y con la autorización previa, expresa e informada del titular, salvo las excepciones previstas en la ley.

Además, el tratamiento debe sujetarse a principios de finalidad, necesidad y proporcionalidad, garantizando medidas de seguridad adecuadas para proteger la integridad de la información. A continuación, se exponen los aspectos clave que deben observarse al momento de realizar el tratamiento de datos sensibles.

Tabla 2. Tratamiento de datos sensibles Superintendencia de Industria y Comercio Señor ciudadano, para hacer seguimiento a su soUcitud, la entidad le ofrece los siguientes canales: Teléfono en Bogotá: 601 592 04 00 - Línea gratuita a nivel nacional: 01 8000 910 165Dirección: carrera 13 #27-00 piso 3, Bogotá D.C., Colombia -Teléfono: 601 587 00 00www.sic.gov.co - e-mail: contactenos@sic.gov.co Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambienteConcepto Descripción o Requisitos Fuentes (Normas) Definición de datos sensibles Datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación. Incluyen información sobre origen racial o étnico, orientación política, convicciones religiosas o filosóficas, vida sexual, salud y datos biométricos. Artículo 5, Ley 1581 de 2012

discriminación. Incluyen información sobre origen racial o étnico, orientación política, convicciones religiosas o filosóficas, vida sexual, salud y datos biométricos. Artículo 5, Ley 1581 de 2012 Prohibición general Se prohíbe el tratamiento de datos sensibles salvo excepciones específicas, como autorización explícita del titular, interés vital, procesos judiciales o actividades legítimas de entidades sin ánimo de lucro con finalidades políticas, religiosas o sindicales, entre otras. Artículo 6, Ley 1581 de 2012 Autorización previa e informada Para tratar datos sensibles, se debe obtener autorización explícita, previa e informada del titular. Se debe advertir sobre el carácter facultativo de responder preguntas relacionadas con dichos datos y sobre las finalidades específicas del tratamiento. Artículo 2.2.2.25.2.3, Decreto 1074 de 2015 Condiciones para menores Está prohibido el tratamiento de datos sensibles de menores, salvo cuando sea necesario para proteger sus derechos fundamentales y se respete su interés superior. Artículo 7, Ley 1581 de 2012 Finalidades específicas El tratamiento de datos sensibles debe limitarse a las finalidades autorizadas y adoptarse medidas para la supresión de la identidad del titular cuando se use con fines históricos, estadísticos o científicos. Artículo 6, Ley 1581 de 2012 Artículo 2.2.2.25.2.3, Decreto 1074 de 2015 Medidas de seguridad Los responsables del tratamiento deben

Artículo 6, Ley 1581 de 2012 Artículo 2.2.2.25.2.3, Decreto 1074 de 2015 Medidas de seguridad Los responsables del tratamiento deben implementar medidas técnicas, humanas y administrativas para garantizar la seguridad y confidencialidad de los datos sensibles, evitando accesos no autorizados o fraudulentos. Artículo 5, Ley 1581 de 2012 Art