SIC - Concepto-13123335

Bogotá D.C., 10

Asunto: Radicación: 13-123335- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula las siguientes preguntas: 1. "(...) En la formación de los contratos, y específicamente en aquellos contratos de tracto sucesivo o suministro, la información básica para la identificación de las partes es vital para su ejecución, entre otros aspectos, para el cobro de los servicios prestados en los períodos (sic) correspondientes. Se pregunta: 1.1 ¿Puede considerarse que el nombre, la identificación y la dirección de ubicación del cliente, es de la naturaleza y esencial del contrato (necesario), Que en virtud de ello, no se requiere la autorización del titular para el almacenamiento De estos datos, o debe entenderse que con la suscripción del contrato está incluida esta autorización, cuando razonablemente el cliente conoce que es necesaria esta información básica contractual? 1.2 ¿En la eventualidad de a respuesta negativa, ello quiere decir que las bases de datos de clientes no pueden enviarse ni siquiera las facturas para el cobro de los servicios? ¿Si en ese extremo la situación fuera así, qué mecanismos tendría el prestador del servicio para ejercer sus derechos? 1.3 ¿En el mismo sentido, y en la eventualidad que se tuviera que solicitar

una autorización para acceder a esos datos, podría negarse el servicio en caso que no media (sic) la autorización? 1.4 ¿Si se tratara de un servicio público domiciliario, donde la única posibilidad de negar la prestación del servicio es la imposibilidad técnica, ¿cómo podría el prestador del servicio garantizar la información necesaria para ejercer sus derechos, y cuya principal prestación a su favor es el pago? 1.5 Si fuera necesaria la autorización aI momento de celebrarse en contrato ¿debe entenderse que el Titular tiene el derecho a revocar esa autorización, salvo que se pacte en el contrato, y esa revocatoria posterior podría ser una causal válida para la terminación del contrato, por imposibilidad de sobreviniente para el prestador en el cobro de los servicios ante la ausencia de información para el cobro?

2. En servicios públicos, especialmente los domiciliarios y de comunicaciones, existe un régimen especial de protección de los derechos del consumidor, y establecen ciertas normas diferentes a las convencionales. Entre ellas las condiciones en que se atienden las Peticiones, quejas, reclamos y recursos, entre ellas los plazos y el efecto de silencio positivo cuando no se cumple en los términos. La 1581 establece el derecho a consultar y presentar quejas, en este sentido, esta Ley estatutaria y que si bien tiene relación con derechos fundamentales de las personas, no estableció el efecto de silencio positivo cuando no se conteste en el plazo señalado. Por tanto se debe concluir que estos casos no generan silencio positivo en empresas de esta naturaleza. Se pregunta: 2.1 ¿Esa apreciación e (sic) correcta? 2.2 En caso que al respuesta sea negativa, podría por favor entregar el

sustento legal para establecer efectos de silencio administrativo positivo?

3. En el mismo contexto, la Ley 1581 establece como requisito de procedibilidad para acudir a la SIC, agotar la instancia del responsable o encargado del tratamiento. Al no haberse contemplado el agotamiento de la vía gubernativa, y siendo el sentido una solución inmediata a través de la SIC, no es necesario agotar la vía gubernativa, y por tanto se deben otorgar recursos de reposición ni apelación. 3.1 ¿Se puede afirmar que no proceden recursos contra la actuación del responsable del tratamiento, y por ende no se debe agotar la vía gubernativa? 3.2 En caso que la respuesta fuera contraria a la apreciación, cuál es la Delegatura de la SIC quien conocería del recurso de apelación?

4. Las empresas de comunicaciones deben asignar a sus PQR el código CUN. 4.1 ¿Para los casos de consulta y reclamo relacionados con habeas data, se debe asignar dicho código? 4.2 ¿Si la naturaleza de la empresa es otra debe implementarse el CUN? 5. ¿Hay o habrá alguna instrucción en relación con los avisos que deben incluirse en las bases de datos, cuando hay un reclamo en trámite?

6. En las entradas a ciertas edificaciones, por razones de seguridad, se solicitan documentos y se toman datos de las personas, inclusive huellas o fotografías. 6.1 Es necesario pedir autorización? 6.2 Por cuanto (sic) se puede almacenar dicha información? 7 En relación con la temporalidad y necesidad de mantener la información, en los casos en que se haya terminado una relación contractual, pero existan obligaciones pendientes de cumplir, por ejemplo, pago de servicios, por

cuánto tiempo es factible mantener en las bases de datos la información de la deuda? ¿Por el término de caducidad o prescripción para el ejercicio de los derechos? ¿Hasta que haya una decisión de castigar la cartera? ¿Existe algún otro criterio que se deba considerar? 8 La Resolución CRC 3066 establece alertas normas en relación con información y datos personales, entre ellos directorio telefónico y la posibilidad y al mismo tiempo de compartir datos personales con otros operadores para efectos de prevención de fraudes. Estas normas deben entenderse como un régimen especial? (...)"

2. Materia objeto de la consulta La Superintendencia de industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales: • Velar por eI cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. • Disponer el bloqueo temporal de los datos cuando, de IS solicitud y de as pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. • Promover y divulgar os derechos de !as personas en con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. • Impartir instrucciones sobre las medidas y procedimientos necesarios para la

adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. • Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Dentro del ámbito de las referidas competencias, a continuación damos respuesta a sus preguntas. 2.1 La protección de datos personales. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los Siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (...)" (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2) Por otra parte, el habeas data genérico ha sido definido como:

"el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada" (3) Sin embargo, se debe tener en cuenta que como lo ha manifestado la Corte Constitucional, dicha clasificación es teórica y ambas clases son modalidades de un mismo derecho fundamental. Un concepto esencial y que determina la aplicabilidad de dicha regulación es el de dato personal, el cual ha sido definido de la siguiente manera por el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (4) En relación con las características de los datos personales la Corte Constitucional ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."" (5) 2.2 Pregunta 1.1 Ámbito de aplicación de la Ley 1581 de 2012. El ámbito de aplicación de la Ley 1581 de 2012 se encuentra definido en el artículo 2 de dicha norma, el cual determina:

"Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. (...)\"(8) En consecuencia, en principio, dicha norma se aplica a los datos personales que estén registrados en cualquier base de datos, sin embargo, no resulta aplicable a las siguientes bases de datos o archivos (9): • Las que se mantengan en un ámbito personal o doméstico. • Las que tengan por finalidad la seguridad y defensa nacional, control de lavado de activos y financiación del terrorismo. • Las que contengan información de inteligencia y contrainteligencia. • Las de información periodística y contenidos editoriales. • Las regladas por la Ley 1266 de 2008, ley estatutaria de protección de datos personales comerciales y financieros para el cálculo de riesgo crediticio • Las reguladas por la Ley 79 de 1993, censos de población y de vivienda. Pese a lo cual, con fundamento en el parágrafo del artículo 2 de la Ley 1581 de 2012, a todas las bases de datos, incluso aquellas que no regula dicha ley, les serán aplicables los principios sobre protección de datos personales. De acuerdo con lo anterior se concluye que la información requerida para relaciones de carácter contractual no se encuentra excluida de la aplicación de la Ley 1581 de 2012, y dado que de acuerdo con las reglas de hermenéutica jurídica

no es posible llevar a cabo una interpretación extensiva a las excepciones, se concluye que dicha norma resulta aplicable a la información de las personales de quienes suscriben un contrato. Habiendo concluido que sí resulta aplicable la Ley 1581 de 2012 corresponde verificar si dicha situación se encuentra dentro de las excepciones a la obligación de contar con autorización previa del titular para su tratamiento. La autorización del titular para el Tratamiento de datos personales está prevista en el artículo 9 de la Ley 1581 de 2012: "Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior." (10) Por su parte, el principio de libertad está consagrado en los siguientes términos en el literal c del artículo 14 de la Ley 1581 de 2012: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;" (11) Dicho principio, que es pilar fundamental de las normas de protección de datos personales, implica que la actividad de Tratamiento de datos personales solamente se pueda llevar a cabo con la autorización previa del titular de los mismos. En relación con los requisitos que debe cumplir dicha autorización la Corte Constitucional consideró: "De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo,

expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales. Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez." (12) Las excepciones para la obligación de contar con una autorización previa para el Tratamiento de los datos personales que provenga de su titular son de carácter taxativo y no pueden ser objeto de una interpretación extensiva, se encuentran consagradas en los siguientes términos en el artículo 10 de la Ley 1581 de 2012: "Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley." (13) De la revisión del citado artículo encontramos que el tratamiento de la información

obtenida con ocasión de la suscripción de un contrato no se encuentra excluida de la obligación de obtener la autorización previa del titular de los datos. En este sentido se debe tener en consideración que ni la Ley 1581 de 2012 ni la Sentencia C-748 de 2011 exigen que la autorización dada por los titulares de los datos personales para su tratamiento adopte una forma determinada, por lo cual, En principio, y entretanto no se regule en contrario, podrá adoptar cualquier forma siempre que se garantice el cumplimiento de los requisitos analizados con antelación 2.3 Pregunta 1.2 Los mecanismos usados por las partes con el fin de obtener el cumplimiento las obligaciones contraídas en una relación contractual se escapan de las facultades de esta Superintendencia, y en consecuencia corresponde a las partes regularlas y si es del caso acudir a las autoridades judiciales correspondientes, con el fin de obtener el cumplimiento de las obligaciones contractuales. 2.4 Pregunta 1.3 De acuerdo con el artículo 333 de la Constitución Política en Colombia la actividad económica y la iniciativa privada son libres, por lo cual, en materia de contratación privada, las partes podrán decidir si contratan o no contratan entre sí o en qué términos lo hacen, siempre que no contravengan las normas de obligatorio cumplimiento. En este sentido, dado que no se ha dispuesto como regla general para la contratación privada una prohibición a la negativa a contratar, se podría no contratar con quien no acepta el tratamiento de los datos personales requeridos para el cumplimiento del mismo, excepto que se trate de un sector que tenga una regulación específica en contrario. Una prohibición para no contratar en caso de que no se otorgue autorización para

el tratamiento de los datos solamente ha sido prevista para el caso de datos sensibles, de acuerdo con el inciso final del artículo 6 del Decreto 1377 de 2013, así: "(...) Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles." (14) 2.5 Pregunta 1.4 El artículo 134 de la Ley 142 de 1994 establece: "Del derecho a los servicios públicos domiciliarios. Cualquier persona capaz de contratar que habite o utilice de modo permanente un inmueble, a cualquier título, tendrá derecho a recibir los servicios públicos domiciliarios al hacerse parte de un contrato de servicios públicos." (15) En relación con este derecho la Superintendencia de Servicios Públicos Domiciliarios ha considerado: "En la práctica, no siempre la materialización de este derecho encuentra una satisfacción pelan como lo exige la propia Constitución, pues, como pasa a explicarse, pueden existir algunas restricciones para la prestación de estos servicios, en algunos casos en razón a que la propia limitación de coberturas no lo haga posible. Como se verá más adelante, la diferencia con otros servicios públicos radica en que para la prestación de los llamados servicios públicos domiliciliarios, se necesita hacerla a través de redes físicas conectadas al inmueble, salvo el caso de servicios como el de telecomunicaciones, que permiten el uso de redes inalámbricas o tecnologías más avanzadas. (...) Entonces, el acceso a los servicios públicos domiciliarios puede presentar restricciones físicas o financieras, que la propia normatividad desde el nivel constitucional ha reconocido. En otros casos, como se verá más adelante, la misma ley ha impuesto limitaciones por razones de prevalencia del interés

general y en defensa de otros bienes jurídicos tutelados de orden constitucional prevalente, como la protección de un ambiente sano, el ordenamiento urbano, el derecho a la propiedad, la seguridad, la salubridad, el orden público y hasta la propia vida. No obstante, en cada caso corresponde a las autoridades hacer las evaluaciones objetivas correspondientes con el fin de garantizar el derecho de acceso a los servicios públicos previsto tanto en la Constitución, como la Ley 142 de 1994. (...)"(16) Así mismo, dicha Superintendencia también se ha pronunciado sobre la acreditación de requisitos personales para acceder a la prestación de un servicio público domiciliario al interpretar el artículo 129 de la Ley 142 de 1994: "De acuerdo con este artículo, en el contrato de servicios públicos las empresas pueden exigir requisitos no sólo respecto de las condiciones del bien, sino de la persona que solicita el servicio. Lógicamente, estas condiciones deben ser razonables y proporcionadas, pero sobre todo Ajustadas a la ley, con el fin de evitar que se viole el derecho de acceso a los servicios públicos. En el caso de inmuebles por razones de seguridad, deben ajustarse además a las normas técnicas respectivas. En el caso de las condiciones del solicitante previstas en el contrato, la empresa, con el fin de cerciorarse a qué título actúa el solicitante, puede establecer en las condiciones uniformes del contrato requisitos para determinar la calidad de propietario, poseedor del inmueble, suscriptor o usuario. La empresa, como en cualquier relación contractual, debe saber quién es la parte contratante y tener certeza de que la persona que solicita el servicio estaba en las condiciones previstas por el artículo 134 de la Ley 142

de 1994. Finalmente, conforme a lo anterior, resulta pertinente señalar que la ley de servicios públicos domiciliarios, los únicos requisitos que establece para acceder al servicio son: que la persona sea capaz de contratar y que habite o utilice un inmueble de modo permanente, teniendo así derecho a hacerse parte en un contrato de servicios públicos domiciliarios y recibir los correspondientes servicios. (...)”(17) Teniendo en cuenta que en su pregunta hace referencia a información correspondiente al incumplimiento de una obligación, consideramos que dicha situación se debe regular por la Ley 1266 de 2008 y no por la Ley 1581 de 2012. En consecuencia se debe tener en cuenta lo dispuesto en el numeral 5 del artículo 8 de la Ley 1266 de 2008, en el cual se establece como uno de los deberes de las fuentes de información el obtener autorización previa de los titulares de la información: "5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley."(18) En este sentido, el parágrafo del numeral 1 del artículo 6 de la norma en comento determina cuándo se debe obtener dicha autorización y cuándo no resulta necesaria: "La administración de información pública no requiere autorización del titular de los datos, pero se sujeta al cumplimiento de los principios de la administración de datos personales y a las demás disposiciones de la

Presente ley. La administración de datos semiprivados y privados requiere el consentimiento previo y expreso del titular de los datos, salvo en el caso del dato financiero, crediticio, comercial, de servicios y el proveniente de terceros países el cual no requiere autorización del titular. En todo caso, la administración de datos semiprivados y privados se sujeta al cumplimiento de los principios de la administración de datos personales y a las demás disposiciones de la presente ley." (19) En relación con esta norma, la Corte Constitucional al evaluar la constitucionalidad de la Ley 1266 de 2008 consideró: "3.2.2.1. En primer término, la disposición establece que la administración de la información pública no requiere autorización del titular de los datos. Empero, condiciona esa actividad a los principios de administración de datos personales y a las demás disposiciones de la norma estatutaria. La constitucionalidad de esta disposición no plantea mayores inconvenientes, habida cuenta que el libre acceso es una de las características esenciales de la información pública, de modo tal que la supresión del requisito de consentimiento del titular para la inclusión en bases de datos es apenas un corolario lógico de la necesidad de garantizar la plena disposición de datos de esta naturaleza. En ese sentido, debe insistirse en que el acceso sin limitaciones a los datos públicos es un componente propio del ejercicio del derecho a recibir información, en los términos del artículo 20 C.P., razón por la cual lo dispuesto en este apartado por el legislador estatutario garantiza el ejercicio adecuado de ese derecho. (...) 3.2.2.2. En segundo lugar, el parágrafo indica que la administración de datos

semiprivados y privados requiere el consentimiento previo y expreso del titular de los mismos. Esta regla es en todo consonante con el principio de libertad previsto en el artículo 15 C.P., de acuerdo con el cual la legitimidad constitucional de los procesos de acopio, tratamiento y divulgación de datos personales se sustenta, entre otros aspectos, en que el sujeto concernido preste su autorización libre, previa y expresa. 3.2.2.3. En tercer término, el parágrafo objeto de estudio establece que la regla general de exigencia del consentimiento antes planteada no es aplicable para el caso del dato financiero, crediticio, comercial y de servicios y el proveniente de terceros países, el cual no requiere autorización del titular. En relación con este preciso apartado, el Procurador General y varios de los intervinientes formularon distintos argumentos para defender e impugnar la constitucionalidad del precepto, razones relacionadas con la exigibilidad del Consentimiento del titular, consideraciones que ya fueron sintetizadas por la Corte a propósito del estudio de constitucionalidad del literal f) del artículo 5°. En suma, el problema jurídico planteado por los intervinientes consiste en determinar si la posibilidad prevista por el legislador estatutario, referida a permitir la administración de datos personales de contenido financiero, crediticio, comercial, de servicios y proveniente de terceros países sin consentimiento del titular, viola el principio de libertad y la autodeterminación informática, predicables ambos de los procesos de recolección, tratamiento y divulgación de información personal. Para la Corte, el análisis de constitucionalidad del precepto depende, en buena medida, de la identificación concreta de su contenido y alcance, la cual

se obtiene no sólo a partir del análisis aislado de la disposición, sino también de su comprensión sistemática a partir del contexto normativo en que se inscribe. Bajo este supuesto, se tiene que el parágrafo del numeral 1.4. (i) hace referencia a las condiciones predicables de la administración de datos semiprivados y privados que efectúa los operadores de información; y (ii) pertenece al numeral primero del artículo 6° del Proyecto de Ley, que versa sobre los derechos de los titulares de la información frente a los operadores de los bancos de datos. (...) Si ello es así, entonces la exclusión de responsabilidad de obtención de consentimiento del titular para la administración a cargo de los operadores, es enteramente compatible con el deber que tienen las fuentes de información de obtener el consentimiento libre, previo, expreso y suficiente del titular del dato personal para suministrar su información personal, de acuerdo con la obligación prevista en el artículo 8°, numeral 5, del Proyecto de Ley Estatutaria. En otras palabras, la administración de datos personales a cargo del operador es un acto posterior a la transmisión de la información por la fuente, quien tiene el deber ineludible de contar con la autorización del sujeto concernido, en tanto expresión concreta de la eficacia del principio de libertad, según se tuvo oportunidad de explicar in extenso en el análisis de constitucionalidad del literal f) del artículo 5° del Proyecto de Ley Estatutaria. Basándose en los argumentos anteriores, la Corte concluye que el legislador estatuario ha previsto una modalidad particular de consentimiento en lo que respecta a la administración de datos personales. La primera, que puede denominarse como de autorización doble, relacionada con los datos privados

y semiprivados distintos a los comerciales y financieros, caso en el cual deberá contarse con el consentimiento del titular del dato, expresado tanto a la fuente (artículo 8°-5 del Proyecto), como al operador de información (parágrafo del numeral 1.4. del artículo 6° del Proyecto). El segundo, relativo a la administración de datos personales financieros, crediticios, comerciales, De servicios y provenientes de terceros países; evento en el que la eficacia del principio de libertad se logra con el consentimiento libre, previo y suficiente que el titular exprese ante la fuente de información, como requisito previo e ineludible para que ésta transmita los datos al operador." (20) De acuerdo con lo anterior se puede concluir: • Cuando se trate del tratamiento de datos semiprivados o privados que no tengan el carácter de comercial o financieros se debe contar con la autorización del titular, la cual se debe dar tanto a la fuente como al operador. • Cuando sean datos personaos financieros, crediticios, comerciales, de servidos y provenientes de terceros países la fuente debe contar con el consentimiento del titular, para así poder remitir dicha información al operador. En este sentido, el numeral 1.3 del artículo 6 de la Ley 1266 de 2008 consagra el derecho de los titulares a obtener certificación de la autorización previa: "1.3 Solicitar prueba de la certificación de la existencia de la autorización expedida por la fuente o por el usuario." (21) 2.6 Pregunta 1.5 El literal e del artículo 8 de la Ley 1581 de 2012 consagra el siguiente derecho a favor de los titulares de datos personales: "Revocar la autorización y/o solicitar la supresión del dato cuando en el

Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;" (22) Al respecto, se debe tener en cuenta que dicho artículo fue declarado exequible por la Corte Constitucional bajo el entendido de que sea interpretado de la siguiente forma: "En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En Este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Enc