SIC - Concepto-13147609

Bogotá D.C., 10

Asunto: Radicación: 13-147609--1-0

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

1. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de

sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación daremos respuesta a sus interrogantes, respecto a su consulta "Solicito se me informe si el dato denominado [correo electrónico] creado por una compañía para el uso laboral y corporativo del usuario al que el mismo pertenece e identifica, a la luz de la ley 1581 de 2012"

Primer cuestionamiento "Se considera un dato personal o corporativo" Respuesta: El artículo 3 de la Ley 1581 de 2012 define el dato personal así: "c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables". Al respecto la Corte Constitucional mediante Sentencia C-748 de 2011 señala lo siguiente: [E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales1 - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."2 Es necesario aclarar que la Ley 1581 de 2012 no señala una clasificación de datos personales, sin embargo ante ese vacío la Corte Constitucional en la sentencia antes mencionada, señaló lo siguiente: "Se pregunta la Sala si la omisión de estas clasificaciones en el literal c) constituye un vicio de constitucionalidad. Para la Sala la respuesta es negativa, ya que estas definiciones no son un ingrediente indispensable para la aplicación de las garantías de la ley y, en todo caso, la ausencia de definiciones puede ser llenada acudiendo a la jurisprudencia constitucional y a

otros preceptos legales. En primer lugar, la clasificación de los datos personales en públicos, semiprivados y privados o sensibles, es solamente una posible forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato. El legislador, por tanto, tiene libertad para elegir o no elegir una categorización. 1 Ver sentencia T-729 de 2002, M.P. Eduardo Montealegre Lynnett. 2 Crf. Sentencia T-414 de 1992, M.P. Ciro Angarita Barón Ahora bien, es cierto que el propio legislador estatutario adoptó algunas de estas clasificaciones, como la de datos sensibles, cuyo tratamiento se prohibe con algunas excepciones en el artículo 6 del proyecto. Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las definiciones de otros preceptos legales, como la Ley 1266, cuyo artículo 3 dispone: "f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado. Es semiprívado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a

la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Titulo IV de la presente ley. h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular." En este orden de ideas, dado que la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto." Por lo anterior, el correo electrónico de carácter laboral reúne las características del dato personal y se debe tener en cuenta la naturaleza de esta clase de datos, esto es, si son datos públicos, semiprivados o privados. Al respecto debemos indicar que el correo electrónico es un servicio de red que permite el envío y recibo mensajes, que permite identificar a una persona natural, por lo que son considerados datos de naturaleza semiprivada en la medida en que este tipo de dato no tienen el carácter de íntimos o reservados y no solo son relevantes para su titular sino que le puede interesar además a un grupo de personas. Segundo cuestionamiento "En qué casos y basados en qué criterios un dato se considera personal y en qué casos se considera como corporativo" Respuesta: Nos remitimos a la respuesta anterior, en relación a que el correo electrónico asignado a una persona natural para que ejerza una actividad laboral es un dato personal que permite identificarla. Ahora bien, la Ley 1581 de 2012 al definir el dato personal se refiere solo a la información vinculada o que pueda asociarse a una o varias personas naturales

determinadas o determinables, por lo que un correo electrónico empresarial identifica a la persona jurídica y no sería sujeto de aplicación de la Ley 1581 de 2012. Tercer cuestionamiento "En el evento que se considere un dato personal, ¿Sería objeto de la protección otorgada por la ley 1581 de 2012?" Respuesta: La Ley 1581 de 2012 en su artículo 2 señala el ámbito de aplicación de la siguiente manera: Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (...) La precitada Ley aplica al tratamiento de datos personales registrado en cualquier base de datos de entidades públicas o privadas. Respecto al tratamiento de los datos personales por parte de las personas privadas la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: [P]ara terminar, resalta la Sala la importancia de esta disposición, en tanto reconoce que el tratamiento de datos personales también puede ser efectuado por personas privadas; de hecho, en el mundo globalizado, el Sector privado lleva a cabo una parte muy considerable del tratamiento de datos, lo que lo dota de un poder informático a gran escala y lo convierte en un potencial vulnerador del derecho al habeas data. De ahí que uno de los grandes retos de la protección de los datos personales es la creación de mecanismos para hacer responsables a los particulares por el tratamiento inadecuado y abusivo de datos personales. Por su parte, el artículo 3 de la mencionada Ley, señala, entre otras, las siguientes definiciones: a) Autorización: Consentimiento previo, expreso e informado del Titular

para llevar a cabo el Tratamiento de datos personales. b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento. c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. (...) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos. (...) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Por lo anterior, es responsable del tratamiento de los datos personales la persona natural o jurídica pública o privada cuando decide sobre la base de datos en la que se encuentran o su tratamiento, esto es, la recolección, almacenamiento, uso, circulación o supresión. En consecuencia, como se mencionó en la respuesta del primer cuestionamiento los datos laborales de una persona se consideran datos personales de carácter semiprivado y teniendo en cuenta, que pueden ser sujetos de tratamiento por parte del responsable del mismo (persona natural o jurídica pública o privada), son objeto de protección bajo la Ley 1581 de 2012, si se encuentran en una base de datos. Cuarto cuestionamiento "En el evento que se considere un dato corporativo, ¿Sería objeto de la protección otorgada por la ley 1581 de 2012?” Respuesta: Como se mencionó en la respuesta del segundo cuestionamiento, si el correo electrónico es para la identificación de una persona jurídica, por ejemplo, empresaxx@ymailxx.com no le es aplicable la Ley 1581 de 2012 por cuanto el

dato personal que se protege en dicha disposición es para la información que pueda vincularse a una persona natural. Quinto cuestionamiento "El correo electrónico usado por una persona natural que desarrolla con el mismo correo actividades propias de un establecimiento de comercio, ¿Se considera un dato personal o corporativo?” Respuesta: Nos remitimos a las respuestas anteriores Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.qov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos