SIC - Concepto 5882 de 2024

Bogot á D.C., agost o de 2024

Asunt o: Radicación: 24298441

Trám it e: 113

Act uación: 440

Folios: 20

Reciba un cordial saludo:

De conform idad con lo previst o en el art ículo 28 de la Ley 1755 de 2015, “ por m edio de la cual se regula el Derecho Fundam ent al de Pet ición y se sust it uye un t ít ulo del Código de Procedim ient o Adm inist rat ivo y de lo Cont encioso Adm inist rat ivo” , fundam ent o j urídico sobre el cual se sust ent a la consult a obj et o de la solicit ud, pr ocede la SUPERI N TEN DEN CI A D E I N D USTRI A Y COM ERCI O a em it ir un pronunciam ient o, en los t érm inos que a cont inuación se pasan a exponer:

1 . CUESTI ÓN PREV I A

Revist e de gran im port ancia precisar, en prim er lugar, que la SUPERI N TEN D EN CI A D E I N D USTRI A Y COM ERCI O a t ravés de su Oficina Asesora Jurídica no le asist e la facult ad de dirim ir sit uaciones de caráct er part icular, debido a que, una lect ura en t al sent ido im plicaría la flagrant e vulneración del debido proceso com o garant ía const it ucional. Al respect o, la Cort e Const it ucional ha est ablecido en la Sent encia C542 de 2005:

“ Los concept os em it idos por las ent idades en r espuest a a un derecho

vulneración del debido proceso com o garant ía const it ucional. Al respect o, la Cort e Const it ucional ha est ablecido en la Sent encia C542 de 2005:

“ Los concept os em it idos por las ent idades en r espuest a a un derecho de pet ición de consult a no const it uyen int erpr et aciones aut orizadas de la ley o de un act o adm inist rat ivo. No pueden r eem plazar un act o adm inist rat ivo. Dada la nat uraleza m ism a de los concept os, ellos se equiparan a opiniones, a consej os, a paut as de acción, a punt os de vist a, a recom endaciones que em it e la adm inist ración per o que dej an al adm inist rado en liber t ad para seguirlos o no” .

Ahora bien, una vez realizada la ant erior precisión, se sum inist rarán las herram ient as de inform ación y elem ent os concept uales necesarios que le perm it an absolver las inquiet udes por Ust ed m anifest adas.

2 . Fa cu lt a de s de la Su pe r in t e n de n cia de I n du st r ia y Com e r cio e n M a t e r ia de Pr ot e cción de D a t os Pe r son a le s

Superintendencia de Industria y Comercio Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Teléfono en Bogotá: 601 592 04 00 - Línea gratuita a nivel nacional:

01 8000 910 165 - Dirección: Cra. 13 #27 - 00 piso 3 - Radicaciones: Av. carrera 7 #31A-36, Bogotá D.C.- Colombia - Teléfonos: 601 587 00 00 - e-mail: contactenos@sic.gov.co G Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambiente ·-·La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción

tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior , a continuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA

Pregunta

“Las siguientes preguntas son para asambleas de propiedad horizontal presenciales que se desean grabar en audio y/o video:1. Utilizando un software especializado se hace transcripción inmediata de las intervenciones que hacen los participantes en una asamblea presencial de copropietarios. El software no graba la voz de los participantes, únicamente hace la transcripción de lo que los participantes dicen. La transcripción queda guardada automáticamente en un archivo digital. ÁLa transcripción que se hace de lasintervencion es de cada participante, sin grabar su voz, se considera como un dato personal?Respuesta

El artículo 15 de la Constitución establece que en el Tratamiento de datos personales se respetará la libertad y demás garantías consagradas en la Constitución. Esto significa que, tanto las personas naturales como jurídicas, que traten datos personales –recolecten, almacenen, usen, circulen, supriman –, están sujetas a las obligaciones establecidas en la Constitución y en la ley.

Constitución. Esto significa que, tanto las personas naturales como jurídicas, que traten datos personales –recolecten, almacenen, usen, circulen, supriman –, están sujetas a las obligaciones establecidas en la Constitución y en la ley.

Al respecto, el dato personal ha sido definido por el literal c) del artículo 3 de la Ley 1581 de 2012 en los siguientes términos:

“c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

En relación con las características de los datos personales, la Corte Constitucional ha considerado que son las siguientes:

“i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”1.

La mencionada Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de

uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo p rocesamiento sea utilizando medios tecnológicos (p. ej., mediante un software) o manuales.

En síntesis, es considerado un dato personal la información que identifica directamente a una persona natural, como también aquella información que está vinculada o asociada a una persona natural, esté determinada o sea determinable. Se considera que los datos personales son tratados cuando se

1 Corte Constitucional, sentencia C-748 de 2011, M.P. Jorge Ignacio Pretel.realizan operaciones, tales como la recolección, almacenamiento, uso, circulación o supresión, sea mediante medios manuales o tecnológicos.

Pregunta

“2. Si la transcripción que se hace de las intervenciones de cada participante, sin grabar su voz, se considera como un dato personal, Áse requiere para hacer la transcripción de una autorización previa y de cumplir con todos los lineamientos que menciona la ley de protección de datos personales? Lo anterior teniendo en cuenta la definición de dato personal que encontré en cartilla de la Superintendencia de Industria y Comercio titulada áFORMATOS MODELO PARA EL CUMPLIMIENTO DE OBLIGACIONES ESTABLECIDAS EN LA LEY 1581 DE 2012 Y SUS DECRETOS REGLAMENTARIOSá y que cito a continuación:áSe trata de cualquier información vinculada o que pueda asociarse a una persona determinada, como su nombre o número de identificación, o que puedan hacerla determinable, como sus ras gos físicos”.

continuación:áSe trata de cualquier información vinculada o que pueda asociarse a una persona determinada, como su nombre o número de identificación, o que puedan hacerla determinable, como sus ras gos físicos”.

Respuesta

La mencionada Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo p rocesamiento sea utilizando medios tecnológicos o manuales.

Por su parte, de conformidad con el literal e) del artículo 3º de la ley 1581 de 2012, se considera responsable del tratamiento:

“e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;”

En los términos anteriores, toda persona, ya sea natural o jurídica, que de manera individual o en conjunto con otros, gestiona el tratamiento de datos personales o de una base de datos, es considerado responsable del tratamiento.

Todo responsable de tratamiento debe cumplir los deberes enumerados en el artículo 17 de la ley 1581 de 2012, dentro de los cuales se encuentran:“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y

Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada ” (…)”

El responsable de tratamiento debe entonces garantizar al titular el pleno y efectivo ejercicio de su derecho de hábeas data. Para ello, es importante señalar que el tratamiento de los datos personales se rige por los principios de finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, los cuales están establecidos en el artículo 4º de la Ley 1581 de 2012.

En particular, interesa tener en cuenta el principio de libertad, que es definido en el literal c) del artículo 4º de la Ley 1581 de 2012 así:

"c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento."

En los anteriores términos, el tratamiento de los datos personales solo puede realizarse cuando exista autorización previa, expresa e informada del titular. Salvo mandato legal o judicial que releve del consentimiento, los datos

consentimiento."

En los anteriores términos, el tratamiento de los datos personales solo puede realizarse cuando exista autorización previa, expresa e informada del titular. Salvo mandato legal o judicial que releve del consentimiento, los datos personales de una persona no pueden ser obtenidos o divulgados sin su autorización. Lo anterior implica que el titular de los datos debe dar su consentimiento de manera anticipada, asegurando que ninguna acción sobre sus datos se lleve a cabo sin su consentimiento.

El deber de obtener la autorización del titular fue reglamentado por medio del Decreto 1074 de 2015, que dispuso lo siguiente:

“ARTÍCULO 2.2.2.25.2.2. Autorización . El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personalesque serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)".

Por lo anterior , cualquier forma de tratamiento está sujeta a la obligación del responsable de tratamiento de obtener la autorización del titular a más tardar al momento de su recolección. En cuanto al modo de obtener la autorización, el mismo Decreto 1074 de 2015 establece:

“2.2.2.25.2.4 MODO DE OBTENER LA AUTORIZACIÓN . Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de con formidad con lo establecido

1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de con formidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

De acuerdo con lo anterior, el responsable de tratamiento debe establecer mecanismos que permitan obtener la autorización del titular de los datos, así como su consulta posterior. Concretamente, la autorización podrá ser obtenida i) por escrito, ii) de forma oral o iii) mediante cond uctas inequívocas del titular que permitan concluir que otorgó su autorización. No obstante, el silencio del titular no puede ser considerada como una conducta inequívoca que constituya autorización para el tratamiento de datos personales.

Al respecto, es oportuno mencionar que el precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho prece pto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria

asisten por virtud de la autorización otorgada, dicho prece pto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización:

“ARTÍCULO 12. Deber de informar al Titular . El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.

c) Los derechos que le asisten como Titular.

d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados. En palabras de la Corte Constitucional2

“(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente

En palabras de la Corte Constitucional2

“(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificac ión acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”.

Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información.

Pregunta

“1(…) Si una asamblea presencial somete a la votación de los copropietarios y personas con poderes de representación el que esta sea grabada o no, Áes legalmente obligatorio para todos los participantes (copropietarios, personas con poderes de representación, administrador, contador, revisor fiscal, proveedores, residentes, invitados, etc.) acatar el resultado de la votación en caso de que el resultado sea que sí se debe grabar la asamblea y, por tanto, todos los participantes deben permitir que su cara y/o voz sean grabados?”

“2. (…) es legal que la mayoría de los copropietarios y personas con poder de representación decidan mediante votación sobre los derechos inspaniduales de cada uno de los participantes en la asamblea presencial (administrador, contador, revisor fiscal, proveedores, etc.)

2 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúben lo referente a protección de datos personales y grabación de

presencial (administrador, contador, revisor fiscal, proveedores, etc.)

2 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúben lo referente a protección de datos personales y grabación de asambleas? Es de recordar que el administrador, contador, revisor fiscal y todos los demás que no sean copropietarios o personas con poder de representación no votan en una asamblea”.

“3. Por ejemplo, si el resultado de la votación mencionada en la pregunta 1 es: 75% dice sí a que la asamblea presencial sea grabada y el 25% dice no a que la asamblea presencial sea grabada, Áes legal grabar el audio y/o video de todos los participantes (c opropietarios, personas con poderes de representación, administrador, contador, revisor fiscal, proveedores, residentes, invitados, etc.), incluyendo de aquellos cuyo voto fue negativo o que no votaron?”

Respuesta

Como se indicó en la respuesta precedente, en virtud del principio de libertad y finalidad, el tratamiento de los datos personales solo puede realizarse cuando exista autorización previa, expresa e informada del titular. Salvo mandato legal o judicial que releve del consentimiento, los datos personales de una persona no pueden ser obtenidos o divulgados sin su autorización. Lo anterior implica que el titular de los datos debe dar su consentimiento de manera anticipada, asegurando que ninguna acción sobre su s datos se lleve a cabo sin su consentimiento.

Se reitera, además, que a esta Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía

su consentimiento.

Se reitera, además, que a esta Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Pregunta

“4. Si se lleva a cabo la grabación de todos los participantes mencionada en la pregunta 1, incluyendo aquellos cuyo voto fue negativo o que no votaron, Ádicha grabación vulnera el derecho fundamental de decidir sobre los propios datos personales establecid o en la constitución de aquellos cuyo voto fue negativo o que no votaron?”

Respuesta

La Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:“Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo procesamiento sea utilizando medios tecnológicos o manuales . Como se señaló antes, el tratamiento de los datos personales solo puede realizarse cuando exista autorización previa, expresa e informada del titular. Lo anterior implica que el titular de los datos debe dar su consentimiento de manera anticipada, asegurando que ninguna acción sobre sus datos se lleve a cabo sin su consentimiento.

Además, es importante señalar que, si se realiza el tratamiento de datos biométricos, debe tenerse en cuenta que estos son datos que tienen un régimen

su consentimiento de manera anticipada, asegurando que ninguna acción sobre sus datos se lleve a cabo sin su consentimiento.

Además, es importante señalar que, si se realiza el tratamiento de datos biométricos, debe tenerse en cuenta que estos son datos que tienen un régimen reforzado de protección. Al respecto, sea lo primero decir que l os datos biométricos son datos que se refieren a las características físicas o fisiológicas o de conducta de una persona que permite su identificación única, como imagen facial o datos dactiloscópicos”3. La doctrina ha señalado lo siguiente:

“(…) La información biométrica incluye datos sobre las características físicas ( rostro, huella dactilar , palma de la mano, retina, ADN) y ‘comportamentales’ (forma de firmar, tono de voz) de las personas. Se está empezando a explorar el uso de otros datos biométricos, denominados de segunda generación, como el análisis de ondas neuronales, la luminiscencia de la piel, la exploración remota del iris, el reconocimiento facial avanzado y el olor corporal, con grandes avances en las interfaces de los sistemas y la biometría del comportamiento” 4 (subrayado fuera de texto). Y más adelante, el mismo autor hace referencia a los mecanismos biométricos de identificación, explicando lo siguiente:

“Con los mecanismos biométricos de identificación se captura, procesa y almacena información relacionada con los rasgos físicos de las personas (huellas dactilares, el ADN, la forma o silueta de la mano, patrones de la retina o el iris, aspectos faciales) para poder establecer o “autenticar” la identidad de cada sujeto. De aquí surgen los sistemas de autenticación humana o Human authentication system o (BAS). En

patrones de la retina o el iris, aspectos faciales) para poder establecer o “autenticar” la identidad de cada sujeto. De aquí surgen los sistemas de autenticación humana o Human authentication system o (BAS). En los primeros (HAS), quien efectúa la autenticación compara, entre otros rasgos la cara, el pelo o la voz de una persona, frente a la información que previamente tiene almacenada sobre ella en una base

3 https://dpej.rae.es/lema/dato-biométrico 4 Remolina, N. “Tratamiento de datos personales: aproximación internacional y comentarios a la ley 1581 de 2012”, Bogotá, Legis, 2013.de datos. El resultado de la autenticación depende del juicio de valor de la persona que realiza la comparación. En los segundos (BAS), el reconocimiento es automático, sin la intervención de una persona que haga la comparación” (subrayado fuera de texto) Así las cosas, los datos biométricos, por su propia naturaleza, son datos personales, pues constituyen “ información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables ”5. Además, dentro de la clasificación de los datos personales –públicos, semiprivados, privados y sensibles–, son calificados como datos sensibles.

Según el artículo 5º de la Ley 1581 de 2012:

“(…) se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los

política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos”.

Por lo anterior, s on datos personales considerados sensibles, entre otros, las fotos, las videograbaciones y las huellas dactilares. Si se recolecta, usa o trata este tipo de información, debe cumplirse lo indicado en la ley. El tratamiento de datos sensibles debe estar rodeado de especial cuidado y diligencia en su recolección, uso, seguridad o cualquier otra actividad que se realice con los mismos.

En cuanto a su régimen jurídico, la ley 1581 de 2012 en su artículo 6º prohíbe de manera general su tratamiento, salvo en los casos expresamente autorizados por la ley:

“Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización;

b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización;

c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación

5 Ley 1581 de 2012, art. 3º. c).o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea

y con las debidas garantías por parte de una fundación, ONG, asociación

5 Ley 1581 de 2012, art. 3º. c).o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos event os, los datos no se podrán suministrar a terceros sin la autorización del Titular;

d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;

e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares” (negrillas fuera del texto original).

Con respecto a estos datos, la Corte Constitucional ha señalado:

“En relación con el primer contenido normativo, la Sala estima que no solamente es compatible con la Carta, sino que es una exigencia del derecho a la intimidad y un desarrollo del principio del habeas data de acceso y circulación restringida. Ciertamente, como se explicó en la sentencia C-1011 de 2008, en tanto los datos sensibles pertenecen a la esfera de la intimidad de las personas, “(…) todo acto de divulgación mediante los procesos genéricos de administración de datos personales, distintos a las posib ilidades de divulgación excepcional descritas en el fundamento jurídico 2.5 del presente análisis, se encuentra proscrita. Ello en la medida que permitir que información de esta naturaleza pueda ser objeto de procesos ordinarios de acopio,

descritas en el fundamento jurídico 2.5 del presente análisis, se encuentra proscrita. Ello en la medida que permitir que información de esta naturaleza pueda ser objeto de procesos ordinarios de acopio, recolección y circulación vulneraría el contenido esencial del derecho a la intimidad”.

Como se observa, los datos personales sensibles, y dentro de ellos los biométricos, son aquellos que, dentro del conjunto más amplio de datos personales, tienen el régimen más estricto de protección. Esto es comprensible, pues estos datos pueden ser utiliz ados para actos de discriminación, poner en riesgo la intimidad o seguridad personal del Titular o, incluso, poner en riesgo su salud emocional o sicológica.

Por lo anterior, la ley ha prescrito que la regla general es que