SIC - Concepto-12185526

Bogotá D.C., 10

Asunto: Radicación: 12-185526- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 6

Respetado(a) Señor (a): [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación, nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

1. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus

derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación, resolveremos sus interrogantes, respecto a la autorización de sus clientes para el envío de información comercial en los siguientes términos: \"1. De ninguno de estos clientes afiliados tenemos soporte por escrito de su autorización, debemos contactarlos para que nos firmen la autorización

porque el número de clientes es muy grande y no sabemos si es posible ubicarlos para solicitar su autorización.\" Respuesta: Sea lo primero señalar que la nueva Ley de datos personales es la 1581 del 17 de Octubre de 2012 y fue publicada en el diario oficial No. 48.587 del 18 de Octubre de 2012, la cual podrá consultarla en nuestra página www.sic.gov.co en el icono \”normatividad\”, allí escoge \”Leyes\” y escoge la Ley 1581 de 2012. El artículo 30 de la precitada Ley señala lo siguiente; \”Vigencia. La presente Ley rige a partir de su promulgación\". Respecto a la promulgación el artículo 165 de la Constitución Política de Colombia señala lo siguiente: \"Aprobado un proyecto de ley por ambas cámaras, pasará al Gobierno para su sanción. Si éste no lo objetare, dispondrá que se promulgue como ley; si lo objetare, lo devolverá a la cámara en que tuvo origen\”. El artículo 11 del Código Civil Colombianos señala lo siguiente: \”OBLIGATORIEDAD DE LA LEY - MOMENTO DESDE EL CUAL SURTE EFECTOS. La ley es obligatoria y surte sus efectos desde el día en que ella misma se designa, y en todo caso después de su promulgación\”. Respecto a la promulgación de la Ley la Corte Constitucional mediante sentencia C932 de 2006 señaló lo siguiente: PROMULGACIÓN DE LA LEY-Efectos En el ordenamiento jurídico colombiano la promulgación de la ley equivale a su publicación, y que si bien no es un requisito para la validez de la misma, si lo es para

su vigencia y obligatoriedad, es decir, para que ésta vincule a los asociados. En esa medida la jurisprudencia constitucional ha relacionado los conceptos de promulgación de la ley -que se materializa mediante su publicación en el Diario Oficialy de eficacia jurídica o vigencia de la misma, entendidas estas últimas como fuerza o capacidad para producir efectos jurídicos de una norma, pues como antes se señaló los mandatos legales sólo serán oponibles a los asociados -y por ende éstos sólo resultarán afectados por sus consecuencias jurídicasa partir de su publicación, por lo tanto una ley mientras no haya sido publicada es inoponible y no produce efectos jurídicos. Por lo anterior, la Ley 1581 de 2012, es obligatoria y surte sus efectos para todos los hechos y actos a partir del 18 de octubre de 2012, fecha en la cual se hizo la publicación en el diario oficial. La Ley 1581 de 2012 en su artículo 3 señala las siguientes definiciones: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales (...) c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. (...) f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento. g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. El tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad

definido en el literal c) del artículo 4 de la mencionada Ley así: c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados el consentimiento. Al respecto la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: (...) Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática”. (...) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. Así, por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del

Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular. La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (...) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso. Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida

por cualquier medio que pueda ser objeto de consulta posterior” Por lo anterior, la utilización de los datos personales de un titular sólo debe ser para los casos autorizados de manera previa y expresa por éste. \"2. Qué tipo de mansajes se debe solicitar nos firmen?\" Respuesta: Nos remitimos a la respuesta anterior, en relación a que la autorización del titular de los datos personales es necesaria para el tratamiento de los mismos, tales como la recolección, almacenamiento, uso, circulación o supresión. \"3. En el almacén tenemos otros servicios en los cuales los clientes deben entregar datos como domicilios, lista de regalos, plan separe, etc., a estos clientes también tendría que solicitarse la firma pro (sic) escrito\" Respuesta: Nos remitimos a las respuestas anteriores, e insistimos que el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables y su tratamiento debe hacerse bajo el amparo del principio de libertad. \"4. Si la ley exige el soporte de autorización del envío y teniendo en cuenta que el volumen de clientes que manejamos es un poco dispendioso el archivo y la búsqueda se necesitaría tener por largo tiempo\” Respuesta: No es clara para esta Oficina Asesora Jurídica su inquietud, por lo que nos abstenemos de emitir algún concepto al respecto. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos