SIC - Concepto-12195841

Bogotá D.C., 10

Asunto: Radicación: 12-195841- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 10

Respetado(a) Señor (a): [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación, nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto.

1. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para

protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación, resolveremos sus interrogantes respecto a las bases de datos mantenidos en un ámbito personal o doméstico, en los siguientes términos: \"1) Si una empresa (sociedad persona jurídica privada) tiene bases de datos de sus clientes y las utiliza exclusivamente para su uso y no la transmite a terceros, no se someterá a lo establecido en la ley 1581 de 2012?. En ese

orden de ideas, no se tendría que informar ni solicitar la autorización del titular para usar su información de la base de datos que la empresa tiene para su uso exclusivo?

Respuesta: La Ley 1581 de 2012 en su artículo 2 señala el ámbito de aplicación de la siguiente manera: Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (...) La precitada Ley aplica al tratamiento de datos personales registrado en cualquier base de datos de entidades públicas o privadas. Respecto al tratamiento de los datos personales por parte de las personas privadas la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: Para terminar, resalta la Sala la importancia de esta disposición, en tanto reconoce que el tratamiento de datos personales también puede ser efectuado por personas privadas; de hecho, en el mundo globalizado, el sector privado lleva a cabo una parte muy considerable del tratamiento de datos, lo que lo dota de un poder informático a gran escala y lo convierte en un potencial vulnerador del derecho al habeas data. De ahí que uno de los grandes retos de la protección de los datos personales es la creación de mecanismos para hacer responsables a los particulares por el tratamiento inadecuado y abusivo de datos personales.

Por su parte, el artículo 3 de la mencionada Ley, señala, entre otras, las siguientes definiciones: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales. b) Base de Datos: Conjunto organizado de datos personales que sea objeto

de Tratamiento. c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. (...) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos ylo el Tratamiento de los datos. (...) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Por lo anterior, es responsable del tratamiento de los datos personales la persona jurídica privada cuando decide sobre los mismos o su tratamiento, esto es, la recolección, almacenamiento, uso, circulación o supresión. La Ley 1581 de 2012 señala en su artículo 2 las excepciones para la no aplicación de dicha norma, entre ellas, las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Al respecto, la Corte Constitucional en la sentencia antes mencionada señaló lo siguiente: Constitucionalidad del literal a): la excepción “las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico”. El literal a) ofrece tres contenidos normativos: (i) señala que uno de los casos exceptuados de la reglas del proyecto es el de “las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico”, (ii) A continuación, indica que “cuando estas bases de datos vayan a ser suministradas a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización.” Por último, (iii) precisa que en este último caso, es decir, cuando los datos son suministrados a

un tercero, el respetivo responsable o encargado de las bases de datos y archivos quedará sujeto a las disposiciones de la ley. En relación con el primer contenido normativo, uno de los intervinientes asegura que la excepción debe cobijar todo dato que circula internamente, es decir, no solamente a nivel personal y doméstico, sino también, por ejemplo, a nivel de una empresa, y entiende que lo que delimita la circulación interna es el tratamiento del dato sin la intención de suministrarlo a terceros. La Sala, por el contrario, encuentra que la regla, tal cual está redactada en el proyecto, es compatible con la Constitución y que la Corte no puede extender el ámbito de la excepción a hipótesis que no fueron previstas por el legislador, por las razones que a continuación se exponen: El primer contenido normativo del literal a) tiene tres elementos: (i) hace referencia a datos personales, (ii) contenidos en bases de datos (iii) “mantenidos en un ámbito exclusivamente personal o doméstico”. El último elemento, que es el cuestionado por el interviniente, se refiere al ámbito de la intimidad de las personas naturales; ciertamente, los ámbitos personal y doméstico son las esferas con las que tradicionalmente ha estado ligado el derecho a la intimidad, el cual, en tanto se relaciona con la posibilidad de autodeterminación como un elemento de la dignidad humana, no puede predicarse de las personas jurídicas. Por tanto, esta excepción busca resolver la tensión entre el derecho a la intimidad y el derecho al habeas data. Así, en tanto los datos mantenidos en estas esferas (i) no están destinados a la circulación ni a la divulgación, y (ii) su tratamiento tampoco puede dar lugar a

consecuencias adversas para el titular, tiene sentido que su tratamiento esté exceptuado de algunas disposiciones del proyecto. Por ejemplo, no sería razonable que la protección de los datos personales mantenidos en estos ámbitos (por ejemplo, un directorio telefónico doméstico) estuviera a cargo de la Superintendencia de Industria y Comercio o que quien trata los datos estuviera sometido al régimen sancionatorio que prevé el proyecto. Ahora bien, no puede entenderse que el primer contenido normativo del literal a) se extienda al tratamiento de cualquier dato cuando circule internamente, como pretende ASOBANCARIA. En primer lugar, si bien es cierto una de las razones por las cuales la excepción del literal a) es razonable es porque los datos “mantenidos en un ámbito exclusivamente personal o doméstico” no están destinados a circular, de ahí no se sigue que todo dato que no circula o circula internamente deba ser exceptuado, pues para que opere la excepción, por voluntad del legislador, se requiere además que los datos sean mantenidos por una persona natural en su esfera íntima. Ciertamente, se trata de dos hipótesis diferentes, razón por la cual, por ejemplo, en el texto de la Ley 1266, si bien fueron tratadas conjuntamente, fueron unidas por la conjunción “y”, lo que significa que son dos ideas distintas. (l) En segundo lugar, no hay razones para concluir que, en el contexto de una regulación general y mínima del habeas data (2), el tratamiento de datos que circulan internamente merezca las mismas consecuencias jurídicas del tratamiento de datos “mantenidos en un ámbito exclusivamente personal o doméstico”; en otras palabras, no hay argumentos constitucionales que lleven a concluir que las dos

hipótesis deben recibir el mismo trato legal. El que los datos no circulen o circulen internamente, no asegura que su tratamiento no pueda tener consecuencias adversas para su titular. Piénsese por ejemplo en las hojas de vida de los empleados de una empresa mantenidas en el ámbito interno; si bien no van a ser divulgadas a terceros, su tratamiento y circulación interna sí puede traer consecuencias negativas para el titular del dato (por ejemplo, en términos sancionatorios o de ascensos), razón por la cual deben estar sujetas a las reglas generales que consagra el proyecto de ley. En este orden de ideas, siempre y cuando se cumplan las condiciones mencionadas previamente y se entienda que, en todo caso, esta hipótesis sí se encuentra sujeta a los principios del artículo 4, para la Sala la excepción prevista en la primera regla del literal se ajusta a la Carta. (...) En consecuencia, la aplicación de la excepción prevista en el literal a) de la Ley 1581 de 2012 debe cumplir con los siguientes requisitos: (i) que los datos personales no estén destinados a circular y (ii) que los datos sean mantenidos por una persona natural en su esfera íntima. Por lo anterior, los datos personales que se encuentren en bases de datos de personas jurídicas privadas no les sería aplicable esta excepción y, por lo tanto, deben cumplir con las obligaciones previstas en la Ley, en relación con la autorización por parte del titular de los datos personales para el tratamiento de los mismos. \"2) Si una empresa (sociedad persona jurídica privada) suministró a un tercero la base de datos de sus clientes antes de la expedición de la ley 1581

de 2012, está en la obligación de informar y solicitar la autorización del titular de la información?. En el evento de tener que informar y solicitar autorización del titular por transmitir la información a un tercero antes de la expedición de la mencionada ley, el régimen de protección de datos personales será aplicable para este caso?\" Respuesta: Sea lo primero señalar que esta Oficina Asesora Jurídica mediante un concepto no puede solucionar situaciones particulares. La Ley 1581 del 17 de Octubre de 2012 fue publicada en el diario oficial No. 48.587 del 18 de Octubre de 2012, la cual podrá consultarla en nuestra página www.sic.gov.co en el icono \”normatividad\”, allí escoge \”Leyes\” y escoge la Ley 1581 de 2012. El artículo 30 de la precitada Ley señala lo siguiente; \”Vigencia. La presente Ley rige a partir de su promulgación\”. Respecto a la promulgación el artículo 165 de la Constitución Política de Colombia señala lo siguiente: \”Aprobado un proyecto de ley por ambas cámaras, pasará al Gobierno para su sanción. Si éste no lo objetare, dispondrá que se promulgue como ley; si lo objetare, lo devolverá a la cámara en que tuvo origen\”. El artículo 11 del Código Civil Colombianos señala lo siguiente: \”OBLIGATORIEDAD DE LA LEY - MOMENTO DESDE EL CUAL SURTE EFECTOS. La ley es obligatoria y surte sus efectos desde el día en que ella misma se designa, y en todo caso después de su promulgación\” Respecto a la promulgación de la Ley la Corte Constitucional mediante sentencia C932 de 2006 señaló lo siguiente: PROMULGACIÓN DE LA LEY-Efectos En el ordenamiento jurídico colombiano la promulgación de la ley equivale a su publicación, y que si bien no es un requisito para la validez de la misma, si lo es para su vigencia y obligatoriedad, es decir, para que ésta vincule a los asociados. En esa medida la jurisprudencia constitucional ha relacionado los conceptos de promulgación de la ley -que se materializa mediante su publicación en el Diario Oficialy de eficacia jurídica o vigencia de la misma, entendidas estas últimas como fuerza o capacidad para producir efectos jurídicos de una norma, pues como antes se señaló los mandatos legales sólo serán oponibles a los asociados -y por ende éstos sólo resultarán afectados por sus consecuencias jurídicasa partir de su publicación, por lo tanto una ley mientras no haya sido publicada es inoponible y no produce efectos jurídicos. Respecto a la retroactividad de la Ley, la Corte Constitucional mediante sentencia C619 de 2001, señaló lo siguiente: Con fundamento en las normas constitucionales transcritas, puede afirmarse que en relación con los efectos de la ley en el tiempo la regla general es la irretroactividad, entendida como el fenómeno según el cual la ley nueva rige todos los hechos y actos que se produzcan a partir de su vigencia. Obviamente, si una situación jurídica se ha consolidado completamente bajo la ley antigua, no existe propiamente un conflicto de leyes, como tampoco se da el mismo cuando los hechos o situaciones que deben ser regulados se generan durante la vigencia de la ley nueva. La

necesidad de establecer cuál es la ley que debe regir un determinado asunto, se presenta cuando un hecho tiene nacimiento bajo la ley antigua pero sus efectos o consecuencias se producen bajo la nueva, o cuando se realiza un hecho jurídico bajo la ley antigua, pero la ley nueva señala nuevas condiciones para el reconocimiento de sus efectos. La fórmula general que emana del artículo 58 de la Constitución para solucionar los anteriores conflictos, como se dijo, es la irretroactividad de la ley, pues ella garantiza que se respeten los derechos legítimamente adquiridos bajo la ley anterior, sin perjuicio de que se afecten las meras expectativas de derecho. No obstante, la misma Carta fundamental en el mencionado artículo, autoriza expresamente la retroactividad de las leyes penales benignas al reo, o de aquellas que comprometen el interés público o social. Ahora bien, cuando se trata de situaciones jurídicas en curso, que no han generado situaciones consolidadas ni derechos adquiridos en el momento de entrar en vigencia la nueva ley, ésta entra a regular dicha situación en el estado en que esté, sin perjuicio de que se respete lo ya surtido bajo la ley antigua. Sobre este tema la jurisprudencia de esta Corte, como también la de la h. Corte Suprema de Justicia y del h. Consejo de Estado, han expresado: “El principio de la irretroactividad de la ley tiene plena aplicación en el ordenamiento jurídico colombiano y ha sido desarrollado por una abundante jurisprudencia de la H. Corte Suprema de Justicia, del H. Consejo de Estado y de esta misma Corte Constitucional. “Una nueva ley, dispone tal principio fundamental para la seguridad jurídica

en el Estado Social de Derecho, no puede regular las situaciones jurídicas del pasado que ya se han definido o consolidado, y que por tanto resultan incólumes en sus efectos jurídicos, con la fuerza que les presta la ley bajo la cual se constituyeron. “En la doctrina y la jurisprudencia sobre esta materia jurídica se recurre a términos como ^ los “derechos adquiridos”, de mucha raigambre clásica, pero que hoy son sustituidos por las expresiones “situaciones jurídicas subjetivas o particulares”, opuestas en esta concepción a las llamadas “meras expectativas”, que apenas conforman una simple posibilidad de alcanzar un derecho, y que por tanto sí pueden ser reguladas o modificadas por la ley, según un principio generalmente aceptado en la doctrina universal “Las meras expectativas no constituyen derecho contra la ley nueva que las anule o cercene”, dice el art. 17 de la ley 153 de 1887, precepto que además ha adquirido la fuerza expresiva de un aforismo. Vale la pena también anotar que en la C.P. sólo existe una excepción al principio de la irretroactividad en materia penal, por la prevalencia de la ley permisiva o favorable, según lo dispone el artículo 58 en concordancia con el 29 de la C.P. Por lo anterior, la Ley 1581 de 2012 es obligatoria y surte sus efectos para todos los hechos y actos desde el 18 de octubre de 2012, fecha en la cual se hizo la publicación en el diario oficial. El artículo 17 de la precitada Ley señala los deberes de los responsables del tratamiento de los datos personales así: Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento

deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular. c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible. f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a éste se mantenga actualizada. g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento. h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley. i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular. j) Tramitar las consultas y reclamos formulados en los términos señalados en la

presente ley. k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos. l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo. m) Informar a solicitud del Titular sobre el uso dado a sus datos. Por lo anterior, desde la entrada en vigencia de la Ley 1581 de 2012 le corresponde a los responsables del tratamiento de datos personales, informar al titular sobre el uso dado de sus datos. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA Referencias: (1) El artículo 2 de la Ley 1266 dispone al respecto: “(...) quedan excluidos de la aplicación de la presente ley aquellos datos mantenidos en un ámbito exclusivamente personal o doméstico y aquellos que circulan internamente, esto es, que no se suministran a otras personas jurídicas o naturales”. También fueron tratadas como dos hipótesis diferentes en la sentencia C-1011 de 2008, M.P. Jaime Córdoba Triviño, en la que la Corte manifestó sobre el contenido del inciso quinto del artículo 2: “(...) la Sala considera oportuno identificar dos contenidos diferenciados, que se predican del inciso quinto. El primero, que prescribe la inaplicabilidad de la normatividad estatutaria a aquellos datos que mantenidos en un ámbito personal o doméstico. El segundo,

relacionado con la exclusión de la aplicación de la norma estatutaria respecto de los datos que circulan internamente, esto es, que no se suministran a otras personas naturales jurídicas.” (2) En la Ley 1266 el legislador decidió darles el mismo tratamiento, es decir, resolvió excluir las dos hipótesis de la aplicación de sus disposiciones; sin embargo, como explicó esta Corte en la sentencia C-1011 de 2008, ello se debió a que la Ley 1266 se refiere exclusivamente a los datos personales financieros y comerciales destinados a calcular el riesgo crediticio de las personas, ámbito en el que sí es razonable excluir los datos que circulan internamente, pues no pueden ser usados precisamente para calcular el riesgo