SIC - Concepto-12184189

Bogotá D.C., 10

Asunto: Radicación: 12-184189- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 8

Respetado(a) Señor (a): [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación, nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

1. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración

de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación, resolveremos sus interrogantes respecto a la compra y utilización de bases de datos que contiene información personal como: (i) nombre, (ii) Dirección actual y dirección anterior, (iii) Cédula de Ciudadanía, (iv) EPS a la que pertenece, (v) Información sobre si la persona está o no reportada en centrales de riesgo

(Datacrédito), (vi) Información acerca de si la persona es titular o no de tarjetas de crédito, en los siguientes términos: "1. ¿Existe alguna restricción de orden legal para la obtención, comercialización y uso de bases de datos cuyo contenido sea el anteriormente expuesto en este escrito?, ¿cuál es? ¿En qué norma se fundamenta?" Respuesta: La Ley 1581 de 2012 por la cual se dictan disposiciones generales para la protección de datos personales, señala en su artículo 1 lo siguiente: “La presente ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma”. Respecto a las garantías que señala la mencionada Ley no debe entenderse que solo se proteja a las personas para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos. Al respecto la Corte Constitucional mediante sentencia C-748 de 2011 señaló lo siguiente: “No obstante, la Sala precisa, como bien lo indica la Defensoría del Pueblo, que las garantías del habeas data enunciadas en este artículo no son las únicas que comprende el derecho. Ciertamente, del derecho al habeas data se desprenden no solamente las facultades de conocer, actualizar y rectificar las actuaciones que se hayan recogido sobre el titular, sino también otras como autorizar el tratamiento, incluir nuevos datos, o excluirlos o suprimirlos de una base de datos o archivo. Por tanto, si bien la disposición se ajusta a la Carta,

no debe entenderse como una lista taxativa de las garantías adscritas al derecho”. (Subrayado fuera de texto) Por su parte la precitada Ley en su artículo 2 consagra el ámbito de aplicación así: “Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada”. Por lo anterior, las disposiciones consagradas en la Ley de protección de datos personales se aplican a los datos registrados en cualquier base de datos susceptible de tratamiento por entidades públicas o privadas. Para mayor claridad el artículo 3 de la Ley 1581 de 2012 señala las siguientes definiciones: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales. b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento. c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma/o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento. e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos. f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento. g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o

supresión. Para el tratamiento de los datos personales debe aplicarse de manera armónica e integral los siguientes principios: a) Principio de legalidad en materia de tratamiento de datos: el tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen. b) Principio de finalidad: el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular. c) Principio de libertad: el tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. d) Principio de veracidad o calidad: la información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohibe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error. e) Principio de transparencia: en el tratamiento debe garantizarse el derecho del titular a obtener del responsable del tratamiento o del encargado del tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan. f) Principio de acceso y circulación restringida: el tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el tratamiento sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley. Los datos personales, salvo la información pública, no podrán estar disponibles en internet u otros medios de divulgación o comunicación masiva, salvo que el

acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los titulares o terceros autorizados conforme a la presente ley. g) Principio de seguridad: la información sujeta a tratamiento por el responsable del tratamiento o encargado del tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. h) tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma. Respecto a la aplicación del principio de libertad para el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos, la Corte Constitucional mediante Sentencia C-748 de 2011' señaló lo siguiente: (...) “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro

organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática". (...) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. Así, por ejemplo, en la Sentencia T-022 de 19932, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 20033 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular. La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos "en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, salvaguardar su derecho a la autodeterminación informática." En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha

dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (...) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso. Así, desde el artículo 3 se dice que éste debe ser "previo, expreso e informado". Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea "obtenida por cualquier medio que pueda ser objeto de consulta posterior" Por lo anterior, la utilización de los datos personales de un titular sólo debe ser para los casos autorizados de manera previa y expresa por éste y para los fines previamente informados por el encargado o responsable del tratamiento. "2. ¿Es normal que un proveedor de bases de datos, como el que ha hecho la oferta a nuestro cliente, tenga esta clase de información en su poder? ¿Puede ser esto ilícito?" Respuesta: Sea lo primero señalar que esta Oficina Asesora Jurídica no es competente para determinar si la recolección de datos personales que hace una empresa es ilícita o no. La vulneración de los derechos del titular en el tratamiento de sus datos personales deberá decidirse en la respectiva investigación administrativa que llegare a iniciar la Delegatura de Protección de Datos Personales de esta Superintendencia. Es necesario traer a colación los derechos de los titulares consagrados en el artículo 8 de la Ley 1581 de 2012 así:

Derechos de los titulares. El Titular de los datos personales tendrá los siguientes derechos: a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado. b) Solicitar prueba de la autorización otorgada Responsable del 9ratarwenfo salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la presente ley. c) Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales. d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen. e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión sólo procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución. f) Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento. Reiteramos que para el tratamiento de los datos personales debe aplicarse los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso

y circulación restringida, seguridad y confidencialidad. "3. En el evento de que no haya restricción para adquirir a titulo de compraventa la base de datos, ¿existe alguna restricción para que nuestro cliente le dé el uso descrito en los numerales 2 y 3 del capítulo de hechos?" Respuesta: Nos remitimos a la respuesta del numeral 1, en relación a que en el tratamiento de los datos personales se debe contar con la autorización previa y expresa del titular de los mismos. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos