SIC - Concepto-13055869

Bogotá D.C., 10

Asunto: Radicación: 13-055869- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 10

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Consulta El peticionario formula la siguiente consulta: "Cuando una empresa tiene mis datos, como usuario puedo solicitar que sean eliminados?"

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;  Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para

protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Al respecto, en primer lugar, nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares. Sin embargo, dentro del ámbito de las referidas competencias, nos permitimos brindarle información sobre los derechos de los titulares de datos personales, la forma de formular una consulta, una reclamación y de presentar una queja. 2.1 La protección de datos personales. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y

privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (...)" (1) " Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2) Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada" (3) Sin embargo, se debe tener en cuenta que como lo ha manifestado la Corte Constitucional, dicha clasificación es teórica y ambas clases son modalidades de un mismo derecho fundamental. Un concepto esencial y que determina la aplicabilidad de dicha regulación es el de dato personal, el cual ha sido definido de la siguiente manera por el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (4) En relación con las características de los datos personales la Corte Constitucional ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las

características de los datos personales -en oposición a los impersonales - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."" (5) 2.2 Derechos de los titulares de datos personales. En su artículo 8 la Ley 1581 de 2012 consagra los derechos de los titulares de datos personales, dentro de los cuales se encuentran los siguientes:  Conocer, actualizar y rectificar los datos personales, frente a los Responsables del tratamiento o Encargados del tratamiento.  Solicitar prueba de la autorización dada al Responsable del tratamiento, excepto cuando de acuerdo con el artículo 10 de la Ley 1581 de 2012 no se exija ese requisito.  A solicitud del titular, obtener información del uso que se le ha dado a sus datos personales, tanto del Responsable del tratamiento como del Encargado del tratamiento.  Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la Ley 1581 de 2012.  Revocar la autorización dada para el tratamiento de datos personales o solicitar la supresión del dato cuando en su tratamiento no se hayan respetado los principios y garantías constitucionales y legales. Esto procede cuando la Superintendencia de Industria y Comercio haya determinado que el

Responsable del tratamiento o el Encargado del tratamiento ha incurrido en conductas contrarias a la Constitución o a la Ley 1581 de 2012.  Revocar la autorización dada para el tratamiento de datos personales o solicitar su supresión, siempre y cuando no esté obligado por la ley o un contrato a permanecer en una determinada base de datos.  Acceder de forma gratuita a los datos personales. Al respecto se debe tener en cuenta los conceptos de responsables y encargados del tratamiento de datos personales, los cuales están consignados en los literales d y e del artículo 3 de la Ley 1581 de 2012: "d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;" (6) 2.2.1 Derecho a revocar la autorización y obtener la supresión del dato personal. Teniendo en cuenta que su consulta hace referencia a la supresión de datos personales a continuación se analiza dicho derecho, también conocido como derecho de oposición. Al respecto, se debe tener en cuenta que dicho artículo fue declarado exequible por la Corte Constitucional bajo el entendido de que sea interpretado de la siguiente forma: "En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en aras de garantizar el debido proceso, siempre y cuando la

Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos." (7) De acuerdo con lo cual el titular del dato puede revocar la autorización y pedir la supresión siempre que lo quiera y no esté legal o contractualmente obligado a permanecer en la base de datos, y también cuando no se haya hecho un uso adecuado del dato. Adicionalmente se debe tener en cuenta que solamente para la segunda de las hipótesis se requiere la declaratoria por parte de la Superintendencia de Industria y Comercio. 2.3. Procedimiento para la consulta de los datos personales por parte de su titular. Tal y como se estudió en el numeral inmediatamente anterior, uno de los derechos de los titulares de datos personales es la conocer los datos personales, derecho que se concreta en el procedimiento previsto en el artículo 14 de la Ley 1581 de 2012. En efecto, dicha norma prevé que los titulares de los datos personales o sus causahabientes puedan consultar su información personal en cualquier base de datos a la cual resulte aplicable la norma en comento. De acuerdo con lo cual, ante la solicitud efectuada por el titular a través de un medio habilitado para ello por el Responsable del tratamiento o el Encargado del tratamiento, estos últimos cuentan con el término máximo de 10 días hábiles para dar respuesta. Dicho término puede ser ampliado por un periodo no superior a 5 días, siempre y cuando dicha situación se informe al titular explicando la razón de la

demora e indicando la fecha en que se dará respuesta definitiva. (8) 2.4. Procedimiento para la presentación de reclamos por parte del titular de datos personales. Con el fin de materializar el derecho de los titulares de corregir, actualizar, rectificar o suprimir los datos personales, y que su tratamiento se lleve a cabo en cumplimiento de la Constitución y la ley, el artículo 15 de la Ley 1581 de 2012 prevé un procedimiento para la presentación de reclamos por parte del titular de los datos personales. A continuación se resumen las principales características de dicho trámite:  Se puede presentar el reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. (9)  El reclamo debe contener al menos la siguiente información (10):  Identificación del titular  Descripción de los hechos que dan lugar al reclamo  Dirección del titular  Documentos que se quieran usar como pruebas  Cuando el reclamo esté incompleto, dentro de los 5 días siguientes a la recepción del reclamo, se requerirá al titular para que lo subsane. Si pasados 2 meses desde el requerimiento no se completa el reclamo se entiende que ha desistido del mismo. Si quien recibe el reclamo no es competente para resolverlo debe remitirlo dentro de los 2 días siguientes a quien es competente y debe informar de ello al titular. (11)  Cuando el reclamo esté completo, a más tardar a los 2 días hábiles se incluirá en la base de datos la leyenda "reclamo en trámite" y el motivo del reclamo, la cual se mantendrá hasta que se resuelva el reclamo. (12)  El reclamo se debe resolver en un término máximo de 15 días hábiles desde

el día siguiente a la fecha de su recepción, sin embargo es posible que dicho término se extienda por máximo 8 días hábiles más, lo cual se debe informar oportunamente al interesado indicando el motivo de la demora y la fecha en la cual se le dará respuesta de fondo. (13) 2.5 Presentación de una queja ante la Superintendencia de Industria y Comercio De acuerdo con el artículo 19 de la Ley 1581 de 2012, la Superintendencia de Industria y Comercio es la autoridad de protección de datos y en ejercicio de dicha función ejerce la vigilancia para garantizar que se respeten los derechos, principios y garantías consagrados en dicha norma. 2.5.1. Requisito de procedibilidad. Se debe tener en cuenta que antes de acudir a esta Superintendencia para presentar una queja por infracción al régimen de protección de datos personales se debe agotar el requisito de procedibilidad consagrado en el artículo 16 de la Ley 1581 de 2012, el cual consiste en surtir previamente el trámite de consulta o reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. 2.5.2. Procedimiento. Teniendo en cuenta que la Ley 1581 de 2012 no establece un procedimiento para el trámite de las quejas, sino que remite al procedimiento administrativo (14), se debe aplicar el procedimiento administrativo sancionatorio previsto en el Capítulo III del Título III del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. De acuerdo con lo anterior, dichos procedimientos tendrán las siguientes características:  Averiguación preliminar: En esta etapa la autoridad administrativa determina si existe mérito para llevar a cabo un procedimiento sancionatorio.

 Formulación de cargos: Una vez realizada la averiguación preliminar la Entidad determina si existe mérito para llevar a cabo la investigación, caso en el cual formulará cargos, lo cual se hará mediante acto administrativo que se debe notificar personalmente a los investigados. Contenido del acto administrativo de formulación de cargos:  Los hechos que originan la investigación.  Personas investigadas.  Normas presuntamente infringidas.  Sanciones que se podrán imponer Contra el acto administrativo de formulación de cargos no proceden recursos, sin embargo, dentro de los 15 días siguientes a su notificación los investigados pueden presentar descargos y solicitar y aportar pruebas.  Etapa probatoria: En la cual se practican las pruebas decretadas, una vez terminado se corre traslado por el término de 10 días a los investigados para que presenten sus alegatos.  Decisión: Tiene el siguiente contenido:  Individualización de las personas a sancionar.  Análisis de los hechos y pruebas en los cuales se fundamenta la sanción.  Normas infringidas.  Decisión final, puede ser archivo o sanción. 2.5.3 Medios para presentar la queja. El interesado puede presentar la queja a través de los siguientes medios:  Por escrito, llenando un formulario de queja y radicándolo en el Centro de Documentación e Información de la Superintendencia, ubicada en la carrera 13 27-00, piso 1 del Edificio Bochica, Bogotá, D.C, el formulario está disponible en esa dirección o en la página web de la entidad (http://www.sic.gov.co/es/web/guest/protecco).

El formulario también se puede radicar en las siguientes direcciones:

CADES Bogotá: CADE 30 Carrera 30 25-90 Módulo 37 Zona A

CADE Suba Calle 148 A 103 B-95 CADE Calle 13 Calle 13 37-35 Módulo 13 CADE Américas Av. Carrera 86 43-55 Sur Módulo 83

Otras ciudades: Barranquilla Carrera 57 79-10 Sede Supersociedades

Bucaramanga Calle 41 37-62 Sede Supersociedades Cali Calle 10 4-40 of. 201 Sede Supersociedades Cartagena Torre del Reloj Carrera 7 32-39 piso 2 Sede Supersociedades Cúcuta Avenida 0 (cero) A 21-14 Sede Supersociedades Manizales Calle 23 26-60 Sede Cámara de Comercio Medellín Calle 53 45-112 Piso 20 Edificio Colseguros  A través de la página web (http://www.sic.gov.co/es/web/guest/denuncias-yreclamos).  Por medio de un fax al número 5-87-02-84. 2.5.4 Sanciones a imponer. El artículo 23 de la Ley 1581 de 2012 establece las sanciones a imponer en caso de que se determine que el Responsable del tratamiento o el Encargado del tratamiento incumplieron el régimen de protección de datos personales, cuando se trate de personas de naturaleza privada.  Multas hasta por 2000 salarios mínimos mensuales legales vigentes, las cuales pueden ser sucesivas, mientras subsista el incumplimiento.  Suspensión de las actividades relacionadas con tratamiento de datos

personales hasta por 6 meses, durante el cual deberán adoptar los correctivos necesarios.  Cierre temporal de operaciones relacionadas con el tratamiento de datos personales cuando haya pasado el periodo de suspensión sin que se hubieran implementado los correctivos.  Cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles. Cuando se trate de entidades de naturaleza pública la investigación la llevará a cabo la Procuraduría General de la Nación.

3. Conclusiones 3.1. En ejercicio del derecho previsto en el literal e del artículo 8 de la Ley 1581 de 2012 el titular de un dato personal puede revocar la autorización dada para el tratamiento del dato personal o solicitar la supresión del dato personal, siempre y cuando no esté obligado contractual o legalmente a permanecer en la base de datos. 3.2. Adicionalmente, cuando el Responsable o Encargado del tratamiento hayan infringido la Constitución o la Ley 1581 de 2012, y así haya sido declarado por la Superintendencia de Industria y Comercio, podrá el titular revocar la autorización para el tratamiento del dato personal o solicitar su supresión. 3.3. Los titulares de los datos personales o sus causahabientes puedan consultar su información personal en cualquier base de datos a la cual resulte aplicable la ley 1581 de 2012, ante dicha solicitud el Responsable del tratamiento o el Encargado del tratamiento tienen por regla general un término máximo de 10 días hábiles para dar respuesta. 3.4. El artículo 15 de la Ley 1581 de 2012 prevé un procedimiento para la presentación de reclamos por parte del titular de los datos personales frente al Responsable del tratamiento o el Encargado del tratamiento, los reclamos por regla

general deben ser resueltos en 15 días hábiles. 3.5 Frente a una infracción al régimen de protección de datos personales se puede presentar una queja ante la Superintendencia de Industria y Comercio con el fin de que investigue y si es del caso imponga las sanciones previstas en el artículo 23 de la Ley 1581 de 2012. Previo a lo cual se debe agotar el requisito de procedibilidad consagrado en el artículo 16 de la Ley 1581 de 2012, el cual consiste en surtir el trámite de consulta o reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos Notas de referencia: (1) Artículo 15 Constitución Política de Colombia. (2) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado Ponente: Jaime

Córdoba Triviño. (3) Ibídem. (4) Literal c artículo 3 Ley 1581 de 2012. (5) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (6) Literales d y e artículo 3 Ley 1581 de 2012. (7) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt

Chaljub. (8) Artículo 14 Ley 1581 de 2012. (9) Inciso primero artículo 15 Ley 1581 de 2012. (10) Numeral 1 artículo 15 Ley 1581 de 2012. (11) Ibídem. (12) Numeral 2 artículo 15 Ley 1581 de 2012. (13) Numeral 3 artículo 15 Ley 1581 de 2012. (14) Artículo 22 Ley 1581 de 2012.