SIC - Concepto 5906 de 2024

Bogot á, D.C. noviem bre de 2024

Asu n t o : Radicación: 24413954

Trám it e: 113

Event o: 0

Act uación: 440

Folios: 13

Respet ada Señora:

De conform idad con lo previst o en el art ículo 28 de la Ley 1755 de 2015, “ por m edio de la cual se regula el Derecho Fundam ent al de Pet ición y se sust it uye un t ít ulo del Código de Procedim ient o Adm inist rat ivo y de lo Cont encioso Adm inist rat ivo” , fundam ent o j urídico sobre el cual se sust ent a la consult a obj et o de la solicit ud, pr ocede la SUPERI N TEN DEN CI A D E I N D USTRI A Y COM ERCI O a em it ir un pronunciam ient o, en los t érm inos que a cont inuación se pasan a exponer:

1 . OBJETO D E LA CON SULTA

At endiendo a su consult a radicada ant e est a Ent idad, donde solicit a lo siguient e:

“ ( … ) La adm inist ración de un conj unt o quiere im poner el r egist r o de ingreso de sus r esident es m ediant e el sist em a de dat os biom ét ricos ( … ) Qué deben hacer los r esident es que no est én de acuerdo en propor cionar sus dat os personales?( … ) Es obligat orio? La adm inist ración y consej o pueden hacerlo aun cuando las personas no est én de acuerdo por t r at arse de sus dat os per sonales sensibles? ( … )

propor cionar sus dat os personales?( … ) Es obligat orio? La adm inist ración y consej o pueden hacerlo aun cuando las personas no est én de acuerdo por t r at arse de sus dat os per sonales sensibles? ( … ) Deben im plem ent ar ot r o sist em a para ingr eso de aquellos r esident es que no quieran r egist rar su huella y rost r o?( … ) Qué deben hacer los resident es en caso de que la adm inist ración ignor e los derechos de los resident es?( … ) Si en algún m om ent o fue dada la aut orización para el t rat am ient o de dat os personales, com o se pu ede rev ocar?”

Nos perm it im os realizar las siguient es precisiones.

2 . CUESTI ÓN PREV I A

Revist e de gran im port ancia precisar en prim er lugar que la SUPERI N TEN D EN CI A D E I N D USTRI A Y COM ERCI O a t ravés de su Oficina Asesora Jurídica no le asist e la facult ad de dirim ir sit uaciones de caráct er Superintendencia de Industria y Comercio Señor ciudadano, para hacer seguimiento a su soUcitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Teléfono en Bogotá: 601 592 04 00 - Línea gratuita a nivel nacional: 018000910 165 - Dirección: Cra. 13 #27 - 00 piso 3 - Radicaciones: Av. carrera 7 #31A-36. Bogotá D.C.- Colombia - Teléfonos: 601 587 00 00 - e-mail: contactenos@sic.gov.co G Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambiente ·-·

Bogotá D.C.- Colombia - Teléfonos: 601 587 00 00 - e-mail: contactenos@sic.gov.co G Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambiente ·-· --particular, debido a que una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C542 de 2005:

“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conc eptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan resolver su consulta de la siguiente manera:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012 en su artículo 21, señala entre otras, las siguientes funciones a cargo de esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de habeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y

como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de habeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus

funciones.4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

En cuanto a los interrogantes de la consulta citados literalmente en numeral 1 de la presente comunicación, es necesario precisar sobre la situación fáctica expuesta, que, en el marco de competencias a esta Oficina Asesora Jurídica, no está facultada para dirimir situaciones particulares, toda vez que ello conllevaría a la vulneración del debido proceso. En su lugar, profiere conceptos con alcance, conforme a lo dispuesto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, es decir, “ salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuesta a peticiones realizadas en ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución”.

En este sentido se suministrar á información y elementos conceptuales que permitan resolver su consulta como se presenta:

peticiones realizadas en ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución”.

En este sentido se suministrar á información y elementos conceptuales que permitan resolver su consulta como se presenta:

4.1. DEFINICIÓN DE DATO PERSONAL DE NATURALEZA SENSIBLE

El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”

Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.

Por su parte, el literal g) del artículo 3 define tratamiento en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión."

En este orden , el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento s ea utilizando medios

En este orden , el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento s ea utilizando medios tecnológicos o manuales.

Ahora bien, el artículo 5 de la Ley 1581 de 2012 señala lo siguiente:“Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos”.

Respecto al derecho a la intimidad, la Corte Constitucional en Sentencia C640 de 2010 ha manifestado lo siguiente:

“[D]esde 1992, la Corte Constitucional reconoció el derecho a la intimidad como un derecho fundamental que permite a las personas manejar su propia existencia como a bien lo tengan con el mínimo de injerencias exteriores. Se dijo en ese entonces que se trataba de un derecho “general, absoluto, extrapatrimonial, inalienable e imprescriptible y que se pueda hacer valer "erga omnes", vale decir, tanto frente al Estado como a los particulares . En consecuencia, toda persona, por el hecho de serlo, es titular a priori de este derecho y el único legitimado para permitir la divulgación de datos

decir, tanto frente al Estado como a los particulares . En consecuencia, toda persona, por el hecho de serlo, es titular a priori de este derecho y el único legitimado para permitir la divulgación de datos concernientes a su vida privada. (…)”

De conformidad con la definición los datos sensibles, son aquellos que afectan la intimidad de las personas el uso indebido de los mismos puede generar su discriminación, pues está relacionada, entre otros aspectos, con la salud, la orientación sexual, los hábitos del individuo y el credo religioso y político.

Ahora bien, dentro de la definición de datos sensibles, la ley establece que los datos biométricos hacen parte de esta clasificación, por lo cual debemos ahondar en su definición para determinar su tratamiento por parte de los responsables.

Los datos biométricos son los relativos a la biometría definida en el diccionario de la real academia de la lengua como Estudio mensurativo o estadístico de los fenómenos o procesos biológicos.

Al respecto, el profesor Nelson Remolina Angarita en su libro “TRATAMIENTO DE DATOS PERSONALES: APROXIMACIÓN INTERNACIONAL Y COMENTARIOS A LA LEY 1581 DE 2012” se refiere a los datos biométricos, así:

“(…) La información biométrica incluye datos sobre las características físicas (rostro, huella dactilar, palma de la mano, retina, ADN) y ‘comportamentales’ (forma de firmar, tono devoz) de las personas. Se está empezando a explorar el uso de otros datos biométricos, denominados de segunda generación, como el análisis de ondas neuronales, la luminiscencia de la piel, la exploración

datos biométricos, denominados de segunda generación, como el análisis de ondas neuronales, la luminiscencia de la piel, la exploración remota del iris, el reconocimiento facial avanzado y el olor corporal, con grandes avances en las interfaces de los sistemas y la biometría del comportamiento. (…).

“Con los mecanismos biométricos de identificación se captura, procesa y almacena información relacionada con los rasgos físicos de las personas (huellas dactilares, el ADN, la forma o silueta de la mano, patrones de la retina o el iris, aspectos faciales) p ara poder establecer o “autenticar” la identidad de cada sujeto. De aquí surgen los sistemas de autenticación humana o Human authentication system o (BAS). En los primeros (HAS), quien efectúa la autenticación compara, entre otros rasgos la cara, el pelo o la voz de una persona, frente a la información que previamente tiene almacenada sobre ella en una base de datos. El resultado de la autenticación depende del juicio de valor de la persona que realiza la comparación. En los segundos (BAS), el reconocimiento es automático, sin la intervención de una persona que haga la comparación.” (Negrilla fuera de texto).

Así las cosas, se tiene que los datos biométricos, como la huella, rostro, retina, entre otros, encuadran dentro del contexto de dato sensible.

Ahora bien, frente a los interrogantes relacionados con el registro de ingreso de residentes mediante el sistema de datos biométricos (…) ¿Qué deben hacer los residentes que no estén de acuerdo en proporcionar sus datos personales? ¿Es obligatorio? La administración y consejo pueden hacerlo aun cuando las personas no estén de acuerdo por tratarse de sus datos personales sensibles?

residentes que no estén de acuerdo en proporcionar sus datos personales? ¿Es obligatorio? La administración y consejo pueden hacerlo aun cuando las personas no estén de acuerdo por tratarse de sus datos personales sensibles?

Es importante, tener en cuenta que el artículo 6 de la Ley 1581 de 2012 sobre el tratamiento de datos sensibles prevé:

“Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.

b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.

c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siem pre que se refieranexclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular.

d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares”. (Negrilla fuera de texto)

judicial.

e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares”. (Negrilla fuera de texto)

Como se observa, l os datos personales sensibles, dentro del conjunto más amplio de datos personales, tienen el régimen más estricto de protección. Esto es comprensible, pues estos datos pueden ser utilizados para actos de discriminación, poner en riesgo la intimidad o seguridad personal del Titular o, incluso, poner en riesgo su salud emocional o sicológica.

Por lo anterior, la ley ha prescrito que la regla general es que el tratamiento – recolección, almacenamiento, uso, circulación o supresión– está prohibido, salvo en los casos precisos en los que la ley lo autoriza.

Dentro de esas excepciones, la ley establece que el Titular del dato puede otorgar su autorización expresa para el tratamiento de sus datos personales sensibles. Este requisito no es sino una expresión del principio de libertad que rige el tratamiento de l os datos personales en nuestra legislación, de conformidad con el cual “[el] Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular . Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento1”

Frente a este punto, la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio, señaló mediante Acto Administrativo No 25134 de 2023 de cara los elementos del consentimiento establecidos en el artículo 3 de la Ley 1581 de 2012 lo siguiente:

Superintendencia de Industria y Comercio, señaló mediante Acto Administrativo No 25134 de 2023 de cara los elementos del consentimiento establecidos en el artículo 3 de la Ley 1581 de 2012 lo siguiente:

(…)Aunado a lo anterior, se encuentra pertinente aclarar a la investigada los elementos del consentimiento dispuestos en el régimen general de protección de datos; por cuanto este concepto es fundamental para el efectivo cumplimiento de la Ley en cuestión.

Veamos:

El artículo tercero de la Ley 1581 de 2012 establece que la autorización o consentimiento es válido cuando se presentan los siguientes tres elementos: (i) previo; (ii) expreso e (iii) informado. Al considerar estos

1 Ley 1581 de 2012, art.4, literal c).componentes, la Corte Constitucional en sentencia C 748 del 2011 definió los mismos así:

“(…) El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tie ne que estar plenamente consciente de los efectos de su autorización . (...)” (Subrayado fuera del texto original)

De esta forma, es claro que el consentimiento del que trata la Ley 1581 de 2012 es calificado ya que se deben reunir las características de ser previo, expreso e informado para que se pueda considerar que el Titular dio su autorización para el tratamiento de sus datos y que dicho

De esta forma, es claro que el consentimiento del que trata la Ley 1581 de 2012 es calificado ya que se deben reunir las características de ser previo, expreso e informado para que se pueda considerar que el Titular dio su autorización para el tratamiento de sus datos y que dicho consentimiento es legítimo. Así, se debe verificar si estos tres conceptos se materializan en las solicitudes de autorización para el Tratamiento de los Datos Personales que realicen los Responsables.

En este punto, vale la pena mencionar que existen tres modos de obtener el consentimiento de los Titulares, el cual, de acuerdo con el artículo 2.2.2.25.2.4 del Decreto Único Reglamentario, puede ser obtenido (i) por escrito, (ii) de forma oral o (iii) med iante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. Dichos modos deben cumplir con el presupuesto de legitimidad constitucional mencionado; es decir, el consentimiento debe ser previo, expreso e informado.

Adicionalmente, al evaluar si existe una conducta inequívoca es pertinente considerar que este consentimiento se puede manifestar mediante conductas claras e incontrovertibles del Titular que no admitan duda sobre su voluntad de aprobar el Tratamiento de s us datos. Precisa el decreto reglamentario de la Ley 1581 de 2012 que “en ningún caso el silencio podrá asimilarse a una conducta inequívoca”, así pues, el registro fotográfico de los mencionados avisos de privacidad no es prueba suficiente para demostrar que el titular aprobó la utilización de sus datos de forma inequívoca.

Es pertinente aclarar al Conjunto Residencial Alameda De San José que

pues, el registro fotográfico de los mencionados avisos de privacidad no es prueba suficiente para demostrar que el titular aprobó la utilización de sus datos de forma inequívoca.

Es pertinente aclarar al Conjunto Residencial Alameda De San José que el uso de la señal o aviso de privacidad no exime del cumplimiento de las demás obligaciones contempladas por el Régimen General de Protección de Datos Personales para los Responsables y Encargados del Tratamiento. (…)”

Ahora bien, el deber de obtener la autorización del titular fue reglamentado por medio del Decreto 1074 de 2015, que dispuso lo siguiente:“ARTÍCULO 2.2.2.25.2.2. Autorización . El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)".

Por lo anterior, cualquier forma de tratamiento está sujeta a la obligación del responsable de tratamiento de obtener la autorización del titular a más tardar al momento de su recolección. En cuanto al modo de obtener la autorización, el mismo Decreto 1074 de 2015 establece:

“2.2.2.25.2.4 MODO DE OBTENER LA AUTORIZACIÓN . Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de con formidad con lo establecido

1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de con formidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

De acuerdo con lo anterior, el responsable de tratamiento debe establecer mecanismos que permitan obtener la autorización del titular de los datos, así como su consulta posterior. Concretamente, la autorización podrá ser obtenida i) por escrito, ii) de forma oral o iii) mediante cond uctas inequívocas del titular que permitan concluir que otorgó su autorización. No obstante, el silencio del titular no puede ser considerada como una conducta inequívoca que constituya autorización para el tratamiento de datos personales.

Por su parte, el artículo 12 de la Ley 1581 de 2012 sobre la información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización prevé:

“ARTÍCULO 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la

Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.

c) Los derechos que le asisten como Titular.

d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable cuando el Titular lo solicite, entregarle copia de esta”.

En armonía con lo anterior, respecto del deber de informar a los titulares la finalidad del Tratamiento, esta Superintendencia2 mediante Resolución 51683 de 2022 señaló:

“El literal c) del artículo 17 de la Ley 1581 de 2012 consagra el deber de los Responsables del Tratamiento, de “[i]nformar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”. Al respecto la Corte Constitucional en sentencia C -748 de 2011 ha señalado que: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas datadel titular del dato personal. Específicamente se dispone que son deberes de esta parte de la relación: (…) (ii) Informar al titular la finalidad de esa autorización y actuar en

derechos –intimidad y habeas datadel titular del dato personal. Específicamente se dispone que son deberes de esta parte de la relación: (…) (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas (…)”. Por su parte, el artículo 4 de la Ley 1581 de 2012 contempla los principios para el Tratamiento de datos personales, entre los cuales se encuentra el principio de finalidad que está previsto en el literal b) así: “[e]l Tratamiento debe obedecer a una final idad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”. Sobre esto, la Honorable Corte Constitucional en sentencia C -748 de 2011, señaló que en virtud del principio de finalidad los datos personales deben ser procesados con un propósito específico y explicito, razón por la cual se impone el deber de informar cl ara, suficiente y previamente al Titular acerca de la finalidad de la

2 En ejercicio de las facultades legales conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el decreto 4886 de 2011 artículo 17 modificado por el artículo 7 del Decreto 092 de 2022.información suministrada, prohibiendo así la recopilación de datos sin la especificación clara acerca de su finalidad.”

Ahora bien, con respecto a la responsabilidad en el tratamiento datos personales, la Delegatura para la Protección de Datos Personales de

la especificación clara acerca de su finalidad.”

Ahora bien, con respecto a la responsabilidad en el tratamiento datos personales, la Delegatura para la Protección de Datos Personales de Superintendencia de Industria y Comercio3 indico:

(…)“El “Responsable del tratamiento está definido como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de datos”. No debe perderse de vista que según el artículo 4 de la ley 675 de 2001:”Un edificio o conjunto se somete al régimen de propiedad horizontal mediante escritura pública registrada en la Oficina de Registro de Instrumentos Públicos. Realizada esta inscripción, surge la persona jurídica a que se refiere esta ley”.

Recalca el artículo 32 de esa norma que la propiedad horizontal, una vez constituida legalmente, da origen a una persona jurídica.

Por consiguiente, al RECURRENTE y a cualquier propiedad horizontal por el solo hecho de ser una persona jurídica que recolecta datos personales, le corresponde cumplir la Constitución y las leyes 1581 de 2012 o 1266 de 2008 (según el caso) y las respectivas disposiciones reglamentarias. (…)

De otra parte, no debe perderse de vista que en este caso estamos frente al tratamiento de fotos y de vídeo grabaciones de personas las cuales son datos biométricos y jurídicamente son catalogados como sensibles por el artículo 5 de la Ley 1581 de 2012. La información biométrica incluye datos sobre las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.

biométrica incluye datos sobre las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.

El tratamiento del dato sensible no solo está prohibido como regla general de la Ley 1581 de 2012 sino que “ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles” tal y como lo dispones el precitado artículo 6 del decreto 1377 de 1013.(…)" (negrilla fuera del texto original)

Es así como, los edificios de oficinas o conjuntos residenciales que se someten al régimen de propiedad horizontal son personas jurídicas responsables del tratamiento de los datos de todas las personas que ingresan a sus instalaciones.

3 En ejercicio de las facultades legales conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el decreto 4886 de 2011 artículo 17 modificado por el artículo 7 del Decreto 092 de 2022, la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio profirió sobre responsabilidad en el tratamiento de datos personales de edificios o conjuntos con régimen de propiedad horizontal caso Edificio Carrera Séptima PH, la Resolución No 92618 de 2018 Por la cual se resuelve recurso de apelación y confirma en todas sus partes la Resolución No 43530 de 2018.Por lo tanto, están obligados a obtener la autorización de las personas y deben demostrar que informaron todo lo que ordena el artículo 12 de la ley 1581 de

2012. Las fotos e imágenes de videovigilancia son datos biométricos, catalogados como información s ensible, cuyo tratamiento requiere de autorización previa, expresa, informada y especial.

2012. Las fotos e imágenes de videovigilancia son datos biométricos, catalogados como información s ensible, cuyo tratamiento requiere de autorización previa, expresa, informada y especial.

Téngase en consideración que, sobre la autorización para el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos , se reitera que debe tenerse presente el prin