SIC - Concepto-13035346

Bogotá D.C., 10

Asunto: Radicación: 13-035346- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 8

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta La sociedad peticionaria formula la siguiente consulta:

(...)

1. Teniendo en cuenta que la Ley 1581 de 2012, en su artículo 15 establece la posibilidad de los Titulares a presentar reclamos sobre la información personal que reposa en Colombia Móvil, agradecemos nos informe:

a. Los reclamos en cumplimiento de la Ley 1581 de 2012, deben encuadrarse en las tipologías de quejas indicadas por la SIC? b. Si la anterior respuesta es afirmativa, nos informe en qué tipología deben ser incluidos los reclamos respecto a la Ley 1581 de 2012. c. Los reclamos presentados en cumplimiento del art. 15 de la Ley 1581 deben ser incluidos dentro de los reportes mensuales y trimestrales de quejas que se envían a la Superintendencia de Industria y Comercio?

2. Con el fin de dar cumplimiento a la Ley 1581 de 2012, agradecemos

igualmente nos informe: a. El tratamiento que debe darse al Usuario cuando éste es diferente al titular de la línea, con el fin de no desconocer el Régimen de Protección de Usuarios

de Comunicaciones. b. Qué información debe ser entregada al Usuario entendido éste como una persona diferente al Titular de la línea."

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Dentro del ámbito de las referidas competencias a continuación damos respuesta a las preguntas formuladas. 2.1 La protección de datos personales.

El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (...)" (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2) Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada" (3) Sin embargo, se debe tener en cuenta que como lo ha manifestado la Corte Constitucional, dicha clasificación es teórica y ambas clases son modalidades de un mismo derecho fundamental. Un concepto esencial y que determina la aplicabilidad de dicha regulación es el de

dato personal, el cual ha sido definido de la siguiente manera por el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinares" (4) En relación con las características de los datos personales la Corte Constitucional ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."" (5) 2.2 Primera pregunta. 2.2.1. Literal A Las tipologías de reclamos que ha establecido la Superintendencia de Industria y Comercio a través del numeral 1.9.2 del Capítulo Primero del Título V de la Circular Única aplican de manera exclusiva para los reclamos efectuados con fundamento en la Ley 1266 de 2008, tal y como expresamente lo dispone el artículo 2 de la Resolución número 76434 del 4 de diciembre de 2012: "Artículo 2. Incorporar al Título V de la Circular Única las instrucciones relativas a la protección de datos personales, en particular, acerca de la manera como

deben cumplirse las disposiciones de la Ley 1266 de 2008, relacionadas con el derecho de hábeas data frente a operadores, fuentes y usuarios de información financiera, crediticia, comercial de servicios y la proveniente de terceros países vigilados por esta Superintendencia, en cuanto se refiere a la actividad de administración de datos personales (...)" (6) De acuerdo con lo cual, la tipología de reclamos del numeral 1.9.2 del Capítulo Primero del Título V de la Circular Única no se aplica a las quejas recibidas con fundamento en la Ley 1581 de 2012. 2.2.2. Literal B A la fecha la Superintendencia de Industria y Comercio no ha dictado instrucciones referentes a la clasificación de las quejas presentadas con base en la Ley 1581 de

2012. 2.2.3. Literal C En la actualidad la Superintendencia no ha dictado instrucciones ordenando el envío de informes periódicos con fundamento en la Ley 1581 de 2012, por lo cual, a la fecha los informes que se deben remitir serán, en materia de habeas data los previstos en el numeral 1.9.1 del Capítulo Primero del Título V de la Circular Única, los cuales son semestrales. Por otra parte, en materia de comunicaciones se encuentran los previstos en el numeral 1.1.4.4 del Capítulo Primero del Título III de la Circular Única. 2.3 Segunda pregunta. 2.3.1 Literal A En su artículo 8 la Ley 1581 de 2012 consagra los derechos de los titulares de datos personales, dentro de los cuales se encuentran los siguientes:

 Conocer, actualizar y rectificar los datos personales, frente a los Responsables del tratamiento o Encargados del tratamiento.  Solicitar prueba de la autorización dada al Responsable del tratamiento, excepto cuando de acuerdo con el artículo 10 de la Ley 1581 de 2012 no se exija ese requisito.  A solicitud del titular, obtener información del uso que se le ha dado a sus datos personales, tanto del Responsable del tratamiento como del Encargado del tratamiento.  Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la Ley 1581 de 2012.  Revocar la autorización dada para el tratamiento de datos personales o solicitar la supresión del dato cuando en su tratamiento no se hayan respetado los principios y garantías constitucionales y legales. Esto procede cuando la Superintendencia de Industria y Comercio haya determinado que el Responsable del tratamiento o el Encargado del tratamiento ha incurrido en conductas contrarias a la Constitución o a la Ley 1581 de 2012.  Revocar la autorización dada para el tratamiento de datos personales o solicitar su supresión, siempre y cuando no esté obligado por la ley o un contrato a permanecer en una determinada base de datos.  Acceder de forma gratuita a los datos personales. Uno de los derechos de los titulares de datos personales es la conocer los datos personales, derecho que se concreta en el procedimiento previsto en el artículo 14 de la Ley 1581 de 2012. En efecto, dicha norma prevé que los titulares de los datos personales o sus causahabientes puedan consultar su información personal en cualquier base de datos a la cual resulte aplicable la norma en comento.

De acuerdo con lo cual, ante la solicitud efectuada por el titular a través de un medio habilitado para ello por el Responsable del tratamiento o el Encargado del tratamiento, estos últimos cuentan con el término máximo de 10 días hábiles para dar respuesta. Dicho término puede ser ampliado por un periodo no superior a 5 días, siempre y cuando dicha situación se informe al titular explicando la razón de la demora e indicando la fecha en que se dará respuesta definitiva. (7) Con el fin de materializar el derecho de los titulares de corregir, actualizar, rectificar o suprimir los datos personales, y que su tratamiento se lleve a cabo en cumplimiento de la Constitución y la ley, el artículo 15 de la Ley 1581 de 2012 prevé un procedimiento para la presentación de reclamos por parte del titular de los datos personales. A continuación se resumen las principales características de dicho trámite:  Se puede presentar el reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. (8)  El reclamo debe contener al menos la siguiente información (9):  Identificación del titular  Descripción de los hechos que dan lugar al reclamo  Dirección del titular  Documentos que se quieran usar como pruebas  Cuando el reclamo esté incompleto, dentro de los 5 días siguientes a la recepción del reclamo, se requerirá al titular para que lo subsane. Si pasados 2 meses desde el requerimiento no se completa el reclamo se entiende que ha desistido del mismo. Si quien recibe el reclamo no es competente para resolverlo debe remitirlo dentro de los 2 días siguientes a quien es competente y debe informar de ello al titular. (10)  Cuando el reclamo esté completo, a más tardar a los 2 días hábiles se incluirá

en la base de datos la leyenda "reclamo en trámite" y el motivo del reclamo, la cual se mantendrá hasta que se resuelva el reclamo. (11)  El reclamo se debe resolver en un término máximo de 15 días hábiles desde el día siguiente a la fecha de su recepción, sin embargo es posible que dicho término se extienda por máximo 8 días hábiles más, lo cual se debe informar oportunamente al interesado indicando el motivo de la demora y la fecha en la cual se le dará respuesta de fondo. (12) En este sentido, es claro que los trámites en relación con los datos personales, como son la consulta y la presentación de reclamos deben ser efectuados por el titular del dato personal, sus causahabientes o quienes estén autorizados para llevar a cabo los mismos. Por lo cual, una vez se reciba una reclamación, se debe verificar quién eleva la solicitud, y en caso de que no sea el titular del dato personal y no haya evidencia de la autorización otorgada por el titular del dato personal, dentro de los 5 días siguientes se debe requerir a quien lo presentó a fin de que complete el reclamo. 2.3.2 Literal B A efectos de la clasificación de los distintos tipos de información se debe tener en cuenta las definiciones de dato público, semiprivado y privado contenidas en la Ley 1266 de 2008: "f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil

de las personas; g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular." (13) Así mismo se debe tener en cuenta el concepto de dato sensible prevista en el artículo 5 de la Ley 1581 de 2012: "Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos." (14) De acuerdo con la clasificación de la información en privada, semiprivada, pública y sensible, a quien solicite información sin ser titular de la misma o sin que medie autorización se le puede brindar información de carácter público, no así las otras clases de información. Es de resaltar que en todo momento se respetar tener en cuenta los principios establecidos en el artículo 4 de la Ley 1581 de 2012.

Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos Notas de referencia: (1) Artículo 15 Constitución Política de Colombia. (2) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado Ponente: Jaime Córdoba

Triviño. (3) Ibídem. (4) Literal c artículo 3 Ley 1581 de 2012. (5) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (6) Artículo 2 Resolución número 76434 del 4 de diciembre de 2012, Superintendencia de Industria y Comercio. (7) Artículo 14 Ley 1581 de 2012. (8) Inciso primero artículo 15 Ley 1581 de 2012. (9) Numeral 1 artículo 15 Ley 1581 de 2012. (10) Ibídem. (11) Numeral 2 artículo 15 Ley 1581 de 2012. (12) Numeral 3 artículo 15 Ley 1581 de 2012. (13) Literales f, g y h artículo 3 Ley 1266 de 2008. (14) Artículo 5 Ley 1581 de 2012.