SIC - Resolución 38281 de 2020

REPÚBLICA DE COLOMBIA

MINISTERIO DE COMERCIO, INDUSTRIA Y TURISMO

SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO

RESOLUCIÓN NÚMERO 38281 DE 2020

(14 de Julio)

Radicación: 18-233399

El Superintendente Delegado para la Protección de Datos Personales

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que mediante Resolución No. 78705 de 22 de octubre de 20181, la Dirección de Investigación de Protección de Datos Personales, resolvió iniciar una investigación administrativa con el fin de determinar si Mervicol S.A.S, identificada con el Nit. 900.369.3788, infringió las normas sobre protección de datos personales consagradas en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

SEGUNDO. Que una vez agotada la etapa probatoria, y efectuado el análisis de los elementos probatorios que reposan en el expediente, así como del escrito de descargos2 allegado por Mervicol S.A.S, la Dirección de Investigación de Protección de Datos Personales mediante la Resolución No. 17629 de 29 de mayo de 20193, resolvió:

allegado por Mervicol S.A.S, la Dirección de Investigación de Protección de Datos Personales mediante la Resolución No. 17629 de 29 de mayo de 20193, resolvió:

TERCERO. Que en el término legal establecido, mediante escrito4 de 21 de junio de 2019, el apoderado especial de Mervicol S.A.S (en adelante el recurrente), interpuso recurso de reposición y en subsidio de apelación, contra la Resolución Nº. 17629 de 29 de mayo de 2019, con fundamento en los siguientes argumentos:

1 Folios 50-53. 2 Comunicación con número de radico No. 18-233399-00013-0000 de 16 de abril de 2019. Folios 62-27 3 Folios 71-75. 4 Comunicación con número de radicado No. 18-233399-00021-0000 de 21 de junio de 2019.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 2

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

1. VIOLACIÓN AL DEBIDO PROCESO.

El recurrente alega la violación al debido proceso durante la actuación de instancia toda vez que, en su opinión, no se cumplió el requisito establecido en el artículo 16 de la Ley 1581 de 2012 relativo a que el titular del dato debía elevar queja ante esta entidad una vez hubiese realizando el “tramite de consulta o reclamo al responsable o encargado del tratamiento”5.

En adición, arguye el recurrente que la entidad “no puede realizar una investigación sobre

2012 relativo a que el titular del dato debía elevar queja ante esta entidad una vez hubiese realizando el “tramite de consulta o reclamo al responsable o encargado del tratamiento”5.

En adición, arguye el recurrente que la entidad “no puede realizar una investigación sobre hechos que no tienen ningún asidero probatorio tal y como se enunció anteriormente pues esto iría en contravía de principio de seguridad jurídica, el debido proceso y cualquier persona podría bajo hechos falsos entrar a realizar denuncias temerarias con el fin de promover investigaciones como la presente basadas en hechos fictos”6.

2. AUSENCIA DE DAÑO SOBRE LA CONDUCTA DESPLEGADA.

La recurrente afirma que el denunciante no tuvo un daño particular por lo que asevera que no existe una configuración entre un hecho generador, un nexo causal y un daño. A punto seguido, se arguye que “únicamente se realizó una oferta amparada en el Código de Comercio artículo 845 y siguientes de un servicio que el aceptó se enviara al correo electrónico que asintió en otorgar itero (sic) de una manera inequívoca (…)”7.

3. DESPROPORCIÓN EN LA SANCIÓN ADMINISTRATIVA.

Sostiene que la multa impuesta por la entidad lesiona gravemente los intereses económicos de Mervicol S.A.S. En sus palabras, el valor de la multa “lesiona gravemente los intereses económicos (…) pues (…) la multa impuesta fue de $12.421.740 configurándose un 64.6% sobre la utilidad generada, esto quiere decir que la multa es exagerada”8.

Finalmente, solicita la revocatoria de la Resolución Nº. 17629 de 29 de mayo de 2019 y subsidiariamente reconsiderar el valor de la sanción.

sobre la utilidad generada, esto quiere decir que la multa es exagerada”8.

Finalmente, solicita la revocatoria de la Resolución Nº. 17629 de 29 de mayo de 2019 y subsidiariamente reconsiderar el valor de la sanción.

CUARTO. Que mediante la Resolución Nº. 29636 de 22 de julio de 2019, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la recurrente, confirmando en todas sus partes la Resolución No. 17629 de 29 de mayo de 2019.

QUINTO. Que mediante el artículo primero de la Resolución No. 12169 del 31 de marzo de 2020 de esta entidad se ordenó lo siguiente: “SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.”

5 ARTÍCULO 16. REQUISITO DE PROCEDIBILIDAD. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite o reclamo ante el Responsable o Encargado del Tratamiento. 6 Folio 89. 7 Folio 89.

Superintendencia de Industria y Comercio una vez haya agotado el trámite o reclamo ante el Responsable o Encargado del Tratamiento. 6 Folio 89. 7 Folio 89.

8 Folio 91.RESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 3

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

Que en el presente caso no se trata de una actuación relacionada con la garantía del habeas data contenido en el artículo 15 de la Constitución Política y cuyo texto es el siguiente: “Todas las personas (…) tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Que mediante el artículo 1 de la Resolución 28182 del 12 de junio de 2020 de la Superintendencia de Industria y Comercio se ordenó “REANUDAR a partir del 16 de junio de 2020, los términos de las actuaciones administrativas sancionatorias y disciplinarias que se surten ante las dependencias de esta Superintendencia (…)”

SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución No. 17629 de 29 de mayo de 2019, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes:

CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA

PROTECCIÓN DE DATOS PERSONALES.

las siguientes:

CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA

PROTECCIÓN DE DATOS PERSONALES.

El artículo 16 del Decreto 4886 de 26 de diciembre de 20119 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes:

“(…)

7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)”.

2. PRECISIÓN PRELIMINAR.

Estando el expediente en esta instancia, se procedió a verificar la citada Resolución Nº 17629 del 29 de mayo de 2019 que sancionó a la sociedad Mervicol S.A.S, evidenciándose lo siguiente:

 En el artículo segundo de la parte resolutiva de la Resolución Nº 17629 del 29 de mayo de 2019 existe un error formal e involuntario en la digitación del Nit de la sociedad, quedando el número 800.153.993-7 cuando en realidad es 900.369.378-8.

De conformidad con el artículo 4510 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo se procederá a corregir dicho error.

9 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 10 “Artículo 45. Corrección de errores formales. En cualquier tiempo, de oficio o a petición de parte, se podrán corregir

de sus dependencias y se dictan otras disposiciones. 10 “Artículo 45. Corrección de errores formales. En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras. En ningún caso la corrección dará lugar a cambios en el sentido material de laRESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 4

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

3. DEL TRATAMIENTO DE NÚMEROS TELEFÓNICOS MEDIANTE

“MARCADORES PREDICTIVOS”, ROBOCALLS, INTELIGENCIA ARTIFICIAL

Y OTRAS TECNOLOGÍAS O PROCEDIMIENTOS AUTOMATIZADOS PARA

CONTACTAR PERSONAS.

La Ley Estatutaria 1581 de 2012 es neutral tecnológica y temáticamente. Ello significa que aplica a cualquier Tratamiento con independencia de las técnicas, procesos o tecnologías – actuales o futuras - que se utilicen para dicho efecto. Por ende, debe observarse en la recolección, uso y Tratamiento de datos personales para diversos fines (marketing, políticos, cobro de cartera, etc) mediante el uso de técnicas o herramientas como “ marcadores predictivos”, “robocalls”, “nuisance calls” e inteligencia artificial (IA).

Dicha ley define el Dato Personal como “ cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables“11. En este orden de ideas, los núm eros telefónicos son datos personales cuando puedan asociase a una persona natural determinada o determinable. Aunque, en principio, el número telefónico, por

asociarse a una o varias personas naturales determinadas o determinables“11. En este orden de ideas, los núm eros telefónicos son datos personales cuando puedan asociase a una persona natural determinada o determinable. Aunque, en principio, el número telefónico, por sí solo, no se refiera directamente a una persona natural específica, a partir del mismo o con la interrelación con otros datos se puede establecer el nombre de la persona a que se refiere la información. Es decir, al final se puede establecer la persona Titular del dato (número telefónico).

Tratamiento, por su parte, significa “ cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión ”

12. Este término es de enorme importancia no sólo porque ha sido incluido en el artículo 15 de nuestra Constitución, sino porque determina el ámbito de aplicación13 de la Ley 1581 de 2012 en la medida que cualquier actividad que se realice, a través de medios manuales o automatizados, con o sin intervención humana, debe observar las reglas establecidas en la citada ley.

Según el artículo 9 de la Ley en comento, “ sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior ”. La autorización, por su parte, es definida como el “ consentimiento previo, expreso e informado del Titular14 para llevar a cabo el Tratamiento de datos personales ”15. Esta se encuentra vinculada al principio de libertad según el cual “ el Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser

vinculada al principio de libertad según el cual “ el Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;”16.

decisión, ni revivirá los términos legales para demandar el acto. Realizada la corrección, esta deberá ser notificada o comunicada a todos los interesados, según corresponda”.

11 Cfr. Literal c) del artículo 4 de la Ley Estatutaria 1581 de 2012 12 Cfr. Literal g) del artículo 4 de la Ley Estatutaria 1581 de 2012 13 En este sentido, el artículo 2 de la Ley 1581 dice, entre otras, lo siguiente: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.” (Destacamos) 14 El Titular es la “persona natural cuyos datos personales sean objeto de Tratamiento” (Literal –fdel artículo 3 de la Ley 1581 de 2012) 15 Cfr. Literal a) del artículo 3 de la Ley 1581 de 2012 16 Cfr. Literal c) del artículo 4 de la Ley 1581 de 2012RESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 5

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

La Ley 1581 de 2012 impone el siguiente deber a los Responsables del Tratamiento “solicitar

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

La Ley 1581 de 2012 impone el siguiente deber a los Responsables del Tratamiento “solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”17. Deber legal que es imperativo cumplir para garantizar el sigu iente derecho del Titular del dato: “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la presente ley”18.

En el presente caso se sancionó a la recurrente porque utilizó números telefónicos (datos personales) sin Autorización del Titular del Dato para contactarlo con fines de marketing a través de un mecanismo de llamadas automáticas y aleatorias (marcador predictivo o Predictive Dialing).

Esto se puso de presente en la Resolución 17629 de 2019:

Ahora bien, al recurrente , como Responsable del Tratamiento , le corresponde obtener la Autorización del Titular. No se ajusta a derecho excusarse en que los datos se obtuvieron a través de mecanismos electrónicos para jus tificar inexistencia de la Autorización del Titular del dato. Sobre el particular, se señaló lo que sigue a continuación en la Resolución 17629 de 2019:

17 Literal b) del artículo 17 de la Ley 1581 de 2012 18 Literal b) del artículo 8 de la Ley 1581 de 2012RESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 6

17 Literal b) del artículo 17 de la Ley 1581 de 2012 18 Literal b) del artículo 8 de la Ley 1581 de 2012RESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 6

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

En suma, la regulación sobre Tratamiento de Datos Personales debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para Tratar Datos pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico. Quienes crean, diseñan o usan “innovaciones tecnológicas” deben cumplir todas las normas sobre tratamiento de datos personales

Sobre las marcaciones predictivas, la Dirección puso de presente lo siguiente en la resolución recurrida:

Los marcadores predictivos son sistemas automatizados que utilizan miles o millones de números telefónicos para marcar aleatoria y automáticamente a algunos o todos ellos con miras a comunicarse con la persona Titular de ese número. Se trata de una técnica para contactar a las personas Titulares de esos datos personales (números telefónicos). Usualmente se utiliza ese procedimiento para contacto masivo de personas con fines comerciales, políticos, entre otros. En últimas, con el uso de marcadores predictivos se está realizando Tratamiento automatizado de Datos Personales (números telefónicos).

En adición a los marcadores predictivos, se utilizan, entre otras, las “ robocalls” y las “nuisance calls” (llamadas no deseadas) para contactar personas . Las primeras –robocallsEn adición a los marcadores predictivos, se utilizan, entre otras, las “ robocalls” y las “nuisance calls” (llamadas no deseadas) para contactar personas . Las primeras –robocallshacen referencia a llamadas telefónicas pregrabadas que se utilizan para enviar mensajes aRESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 7

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

determinadas bases de datos19. Las segundas -nuisance callsson llamadas telefónicas no deseadas que, entre otras, intentan promocionar un producto, servicio o idea al Titular20 por medio de una base de datos a la que se le asigna un algoritmo de marketing (u otras finalidades). Las mismas pueden ser realizadas por personas o por máquinas (robocalls) y han sido consideradas como un medio intrusivo de la vida privada que perturba la tranquila21 de las personas.

Las anteriores técnicas se han venido perfeccionando con herramientas de inteligencia artificial para mejorar su efectividad y, en algunos casos, ocultar el hecho de que el Titular está h ablando con una máquina 22. También se utilizan algoritmos predictivos en las campañas del call center para identificar y contactar las personas con las cuales existe mayor probabilidad de venderle un producto. Para el efecto, la organizaciones realizan directamente esta labor o acuden a terceros (como, por ejemplo, las empresas BPOBusiness Proc ess Outsourcing -) para efectuar dicha labor que, entre otras, involucra el Tratamieto de datos personales.

Aunque no existe una definición de Inteligencia Artificial (IA) que sea aceptada

Business Proc ess Outsourcing -) para efectuar dicha labor que, entre otras, involucra el Tratamieto de datos personales.

Aunque no existe una definición de Inteligencia Artificial (IA) que sea aceptada universalmente, la RED IBEROAMERICANA DE PROTECCIÓN DE DATOS (RIP D) ha señalado que “en su concepción amplia, se trata de un término sombrillá que incluye una variedad de técnicas computacionales y de procesos enfocados a mejorar la capacidad de las máquinas para realizar muchas actividades, los que comprenden desde modelos algorítmicos, pasando por los sistemas de machine learning, hasta llegar a las técnicas de deep learning. Particularmente se vincula el uso de algoritmos a la IA, los cuales son un conjunto de reglas o una secuencia de operaciones lógicas que propo rcionan instrucciones para que las máquinas tomen decisiones o actúen de determinada manera23”24.

La IA comprende sistemas que: a) piensan como humanos (por ejemplo, arquitecturas cognitivas y redes neuronales); b) actúan como seres humanos (por ejemplo, r azonamiento automatizado y aprendizaje); c) piensan racionalmente (por ejemplo, inferencias), o d) actúan racionalmente (por ejemplo, agentes de software inteligentes y robots incorporados que logran objetivos mediante la percepción, la planificación, el r azonamiento, el aprendizaje, la comunicación, la toma de decisiones y la actuación)25.

Desde las perspectiva de las competencias de esta Delegatura, es relevante destacar que la IA involucra la recolección, el almacenamiento, el análisis, procesamiento o interpretación de enormes cantidades de información (incluídos los Datos Personales) que son usados para

Desde las perspectiva de las competencias de esta Delegatura, es relevante destacar que la IA involucra la recolección, el almacenamiento, el análisis, procesamiento o interpretación de enormes cantidades de información (incluídos los Datos Personales) que son usados para generar diversos resultados, acciones o comportamientos por parte de las maquinas. En otras palabras, los datos personales son el alimento o el combus tible de la IA y mediante la

19 Jason C. Miller, Regulating Robocalls: Are Automated Calls the Sound of, or a Threat to, Democracy, 16 Mich. Telecomm. & Tech. L. Rev. 213 (2009). 20 Information Commissioner Office . (2020). Nuisance calls. julio 2020 , de Information Commissioner Office Sitio web: https://ico.org.uk/your-data-matters/nuisance-calls/ 21 Mark S. Nadel, Rings of Privacy: Unsolicited Telephone Calls and the Right of Privacy, 4 Yale J. on Reg. (1986). Disponible en: https://digitalcommons.law.yale.edu/yjreg/vol4/iss1/5 22 Ginger Zhe Jin. (2018). Artificial Intelligence and Consumer Privacy. julio 2020 , de University of Maryland y el National Bureau of Economic Research Sitio web: https://www.nber.org/papers/w24253 23 Cfr. Royal Society ( “Machine Learning: The Power and Promise of Computers That Learn by Example,” Royal Society, 24 RED IBEROAMERICANA DE PROTECCIÓN DE DATOS -RIPD- (2019). Recomendaciones generales para el tratamiento de datos en la inteligenciar artificial. Pág 7. El texto puede consultarse en la página web de la RIPD: https://www.redipd.org/es/documentos/guias 25 Stuart Russell and Peter Norvig, Artificial Intelligence: A Modern Approach (3rd Edition) (Essex, England:

el tratamiento de datos en la inteligenciar artificial. Pág 7. El texto puede consultarse en la página web de la RIPD: https://www.redipd.org/es/documentos/guias 25 Stuart Russell and Peter Norvig, Artificial Intelligence: A Modern Approach (3rd Edition) (Essex, England:

Pearson, 2009).RESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 8

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

misma se realizan Tratamientos de dicha información los cuales deben ser respetuosos de la Ley 1581 de 2012 y sus normas reglamentarias26.

En síntesis, es legítimo el Tratamiento de datos personales (números telefónicos) a tr avés de cualquier metodología o tecnología, como, por ejemplo, el “marcador predictivo”, “robocalls” y “nuisance calls”, inteligencia artificial, siempre y cuando se haya obtenido la Autorización previa, expresa e informada de las personas destinatarias de las llamadas telefónicas.

4. LA AUTORIZACIÓN DEL TITULAR ES UN PRERREQUISITO PARA PODER

TRATAR SUS DATOS CON FINES DE MARKETING O PUBLICIDAD.

Las actividades de marketing, publicidad y comercio electrónico son lícitas y para su realización debe aplicarse la regulación sobre tratamiento de datos personales. Durante 2019 esta entidad emitió las siguientes dos (2) guías27 para que sean tenidas en cuenta por parte de quienes efectúan esas labores:

 GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES PARA FINES DE COMERCIO ELECTRÓNICO  GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES PARA FINES DE

MARKETING Y PUBLICIDAD

 GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES PARA FINES DE COMERCIO ELECTRÓNICO  GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES PARA FINES DE

MARKETING Y PUBLICIDAD

Estas no son de obligatorio cumplimiento pero presentan orientaciones o recomendaciones para cumplir mandatos legales como, entre otros, los artículos 9 y 10 de la Ley Estatutaria 1581 de 2012, a saber:

“ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

ARTÍCULO 10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública;

26 Sobre este tema, en junio de 2019 la RED IBEROAMERICANA DE PROTECCIÓN DE DATOS -RIPDexpidió el siguiente documento: .”Recomendaciones generales para el tratamiento de datos en la inteligenciar artificial”, en donde se realizan las siguientes sugerencias a quienes desarrollan productos de IA, con el fin de orientarlos para que desde el diseño del producto se tengan en cuenta las exigencias de las regulaciones sobre tratamiento de datos personales: I. Cumplir las normas locales sobre Tratamiento de Datos Personales (TDP); II. Efectuar estudios de impacto de privacidad; III. Incorporar la privacidad, la ética y la seguridad desde el diseño y por

de datos personales: I. Cumplir las normas locales sobre Tratamiento de Datos Personales (TDP); II. Efectuar estudios de impacto de privacidad; III. Incorporar la privacidad, la ética y la seguridad desde el diseño y por defecto; IV. Materializar el principio de responsabilidad demostrada (accountability); V. Diseñar esquemas apropiados de gobernanza sobre TDP en las organizaciones que desarrollan productos de IA; VI. Adoptar medidas para garantizar los principios sobre TDP en los proyectos de IA; VII. Respetar los derechos de los titulares de los datos e implementar mecanismos efectivos para el ejercicio de los mismos; VIII. Asegurar la calidad de los datos personales; IX. Utilizar herramientas de anonimización X. Incrementar confianza y la transparencia con los titulares de los datos personales. El texto puede consultarse en la página web de la RIPD: https://www.redipd.org/es/documentos/guias

27 Los textos están disponibles en la sección de publicaciones de la Delegatura para la protección de datos personales: https://www.sic.gov.co/tema/proteccion-de-datos-personalesRESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 9

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.

Como se observa, por regla general se requiere la Autorización previa, expresa e informada

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.

Como se observa, por regla general se requiere la Autorización previa, expresa e informada para tratar los datos personales que no sean de naturale za pública. En algunos casos excepcionales, el artículo 10 de la Ley 1581 de 2012 permite el Tratamiento de datos sin el consentimiento del Titular del Dato.

No obstante lo anterior, l a recolección de Datos sin Autorización no significa que quede sin protección esa información, o los ciudadanos Titulares de los Datos. En efecto, la parte final del artículo 10 de la Ley 1581 de 2012 esa norma señala que “ quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir co n las disposiciones contenidas en la presente ley ”. (Destacamos). La falta de Autorización no genera la desaparición de la protección jurídica de los datos personales y de los Titulares de los mismos porque el Responsable o Encargado debe cumplir todas las demás obligaciones legales establecidas en la citada ley y sus decretos reglamentarios.

Así pues, la Autorización es un mecanismo muy importante de legitimación para tratar Datos personales, pero no es, per se , una forma de protección de los derechos. La efectiva protección de éstos, dependerá, entre otros, de las medidas que implementen los Responsables del Tratamiento para cumplir la regulación sobre la materia.

5. LA RECURRENTE NO PROBÓ TENER LA AUTORIZACIÓN PREVIA, EXPRESA

E INFORMADA DEL TITULAR DEL DATO PERSONAL

Responsables del Tratamiento para cumplir la regulación sobre la materia.

5. LA RECURRENTE NO PROBÓ TENER LA AUTORIZACIÓN PREVIA, EXPRESA

E INFORMADA DEL TITULAR DEL DATO PERSONAL

Ahora bien, en el numeral 9.1.1. de la Resolución 17629 de 2019 se especifica el motivo y monto de la sanción impuesta en los siguientes términos:

Nótese que la regulación sobre protección de datos impone al Responsable la carga probatoria de acreditar la autorización del Titular del Datos. Es necesario tener presente que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han impleme ntado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012” 28 y en el Decreto 1377 de 2013.

28 Cfr. Artículo 26 del Decreto 1377 de 2013.RESOLUCIÓN NÚMERO 38281 DE 2020 HOJA No. 10

Por la cual se resuelve un recurso de apelación

VERSIÓN PÚBLICA

La obtención de la Autorización puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 del Decreto 1377 de 2013 (Incorporado en el Decreto 1074 de 2015), incluso las conductas inequívocas. No obstante, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de probar que obtuvo el consentimiento previo, expreso e informado del Titular del Datos. De hecho, no sólo el Titular

2015), incluso las conductas inequívocas. No obstante, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de probar que obtuvo el consentimiento previo, expreso e informado del Titular del Datos. De hecho, no sólo el Titular tiene el derecho de “ solicitar prueba de la citada autorización ”29, sino que es deber del Responsable del Tratamiento “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular”30.

Reiteramos que la Autorización puede obtenerse utilizando diversos mecanismos o procedimientos, pero es estrictamente necesario tener la prueba de la Autorización individual y concreta de todos y cada uno de los Titulares cuyos datos se recolectan, usan o tratan.

Es preciso resaltar qu