SIC - Concepto-13173980

Bogotá D.C., 10

Asunto: Radicación: 13-0173980- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 17

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos. A continuación, nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

1. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos

fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación resolveremos sus inquietudes, respecto al alcance y aplicación de la Ley 1581 de 2012 en los siguientes términos: Primer cuestionamiento "Las bases de datos de los empleados, que son necesarias para actuaciones de tipo administrativo en las empresas, están sujetas a la Ley?, es decir, las empresas debemos aplicar las acciones que dispone la Ley para este tipo de

información (autorización expresa e informada...)" Respuesta: La Ley 1581 de 2012 en su artículo 2 señala el ámbito de aplicación de la siguiente manera: Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (...) La precitada ley aplica al tratamiento de datos personales registrado en cualquier base de datos de entidades públicas o privadas. Respecto al tratamiento de los datos personales por parte de las personas privadas la Corte Constitucional mediante

Sentencia C-748 de 2011 señaló lo siguiente:

[P]ara terminar, resalta la Sala la importancia de esta disposición, en tanto reconoce que el tratamiento de datos personales también puede ser efectuado por personas privadas; de hecho, en el mundo globalizado, el sector privado lleva a cabo una parte muy considerable del tratamiento de datos, lo que lo dota de un poder informático a gran escala y lo convierte en un potencial vulnerador del derecho al habeas data. De ahí que uno de los grandes retos de la protección de los datos personales es la creación de mecanismos para hacer responsables a los particulares por el tratamiento inadecuado y abusivo de datos personales. Por su parte, el artículo 3 de la mencionada Ley, señala, entre otras, las siguientes definiciones: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales. b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento. c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o

varias personas naturales determinadas o determinables. (...) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos. (...) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Por lo anterior, los datos personales que se encuentren en bases de datos de personas jurídicas, deben cumplir con las obligaciones previstas en la ley de protección de datos personales, en calidad de responsables o encargados según el caso. Ahora bien, respecto a la autorización del titular, la Ley 1581 de 2012 consagra el principio de libertad definido en el literal c) del artículo 4 de la mencionada ley así: c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: "[Pjrincipio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de

un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática". (...) En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. Sobre el particular, en la Sentencia C-1011 de 2008 se sostuvo que tales características concretan la libertad del individuo frente al poder informático (...) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (...) En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. (...) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (...)" Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su

información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La autorización del titular fue reglamentada a través del Decreto 1377 de 2013 y en su artículo 5 señala lo siguiente: Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. En concordancia con lo anterior, el artículo 7 del precitado decreto dispone: Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los Titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (¡i) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca. Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar

mecanismos que garanticen su consulta posterior. Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita. Cuando se trate de datos sensibles la autorización deberá ser expresa. Segundo cuestionamiento " Los fondos de empleados en las empresas tienen información sobre los hijos de los empleados, que en la mayoría de los casos son menores de edad. Como se aplica la Ley (sic) en estos casos?

Respuesta: El artículo 7 de la Ley 1581 de 2012 señala lo siguiente: Derechos de los niños, niñas y adolescentes. En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública. Es tarea del Estado y las entidades educativas de todo tipo proveer información y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños, niñas y adolescentes respecto del Tratamiento indebido de sus datos personales, y proveer de conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su

información personal y la de los demás. El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta Ley. El tratamiento de los datos personales de los niños, niñas y adolescentes son prohibidos, salvo que sean de naturaleza pública. Al respecto, la Honorable Corte Constitucional mediante sentencia C-748 de 2011 señaló lo siguiente: [E]sta Sala observa que la interpretación del inciso segundo, no debe entenderse en el sentido de que existe una prohibición casi absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello, daría lugar a la negación de otros derechos superiores de esta población como el de la seguridad social en salud, interpretación ésta que no se encuentra conforme con la Constitución. De lo que se trata entonces, es de reconocer y asegurar la plena vigencia de todos los derechos fundamentales de esta población, incluido el habeas data. En este mismo sentido, debe interpretarse la expresión "naturaleza pública". Es decir, el tratamiento de los datos personales de los menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes. Sumado a la efectividad del interés superior de esta población, también es importante que se les asegure su derecho a ser escuchados en todos los asuntos que los afecten; y el tratamiento de sus datos, sin duda alguna, es un asunto que les concierne directamente. (...) En definitiva, el inciso segundo del artículo objeto de estudio es exequible, si se interpreta que los datos de los niños, las niñas y adolescentes pueden ser

objeto de tratamiento siempre y cuando no se ponga en riesgo la prevalencia de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior, cuya aplicación específica devendrá del análisis de cada caso en particular. En concordancia con lo anterior, el artículo 12 del Decreto 1377 2013 señala los requisitos especiales para el tratamiento de los datos personales de los niños, niñas y adolescentes en los siguientes términos: Articulo 12. Requisitos especiales para el Tratamiento de datos personales de niños niñas y adolescentes. El Tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos:

1. Que responda y respete el interés superior de los niños, niñas y adolescentes.

2. Que se asegure el respeto de sus derechos fundamentales.

Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. Todo Responsable y Encargado involucrado en el Tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente Decreto. La familia y la sociedad deben velar porque los Responsables y Encargados

del Tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente decreto. Por lo anterior, el tratamiento de los datos personales de los niños, niñas y adolescentes podrá hacerse cuando se trate de datos de naturaleza pública y cuando cumpla los requisitos de respetar el interés superior de los niños, niñas y adolescentes y que se asegure el respeto de sus derechos fundamentales. El representante legal otorgará la autorización para el tratamiento de los datos personales, una vez, se haya ejercido el derecho del menor a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. Así mismo, los progenitores, educadores, el Estado, los servidores públicos, legisladores, medios de comunicación, empresas que presten servicios de Tecnologías de la Información y las Comunicaciones y la sociedad en general deben propender por la protección de los derechos fundamentales de los niños, niñas y adolescentes. Tercer cuestionamiento "Los colegios tienen bases de datos de sus estudiantes (menores de edad), con información sensible y en algunos casos biométrica, Ia Ley (sic) dice que estos datos no pueden ser tratados. Como se aplica la Ley (sic) en estos casos?" Respuesta: El artículo 5 de la Ley 1581 de 2012 señala lo siguiente: Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a

sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos. La Corte Constitucional mediante sentencia C-748 de 2011 señaló lo siguiente: "La Sala encuentra que esta definición se ajusta a la jurisprudencia Constitucional y su delimitación, además de proteger el habeas data, es una garantía del derecho a la intimidad, razón por la cual la Sala la encuentra compatible con la Carta Política. En efecto, como explicó la Corte en la sentencia C-1011 de 2008, la información sensible es aquella "(...) relacionada, entre otros aspectos, con la orientación sexual, los hábitos del individuo y el credo religioso y político. En estos eventos, la naturaleza de esos datos pertenece al núcleo esencial del derecho a la intimidad, entendido como aquella 'esfera o espacio de vida privada no susceptible de la interferencia arbitraria de las demás personas, que al ser considerado un elemento esencial del ser, se concreta en el derecho a poder actuar libremente en la mencionada esfera o núcleo, en ejercicio de la libertad personal y familiar, sin más limitaciones que los derechos de los demás y el ordenamiento jurídico." Conforme a esta explicación, la definición del artículo 5 es compatible con el texto constitucional, siempre y cuando no se entienda como una lista taxativa, sino meramente enunciativa de datos sensibles, pues los datos que pertenecen a la esfera intima son determinados por los cambios y el desarrollo histórico." Dentro de la definición de datos sensibles, la ley establece que los datos biométricos

hacen parte de esta clasificación, por lo cual debemos ahondar en su definición para determinar su tratamiento por parte de los responsables. Los datos biométricos, son los relativos a la biometría definida en el diccionario de la real academia de la lengua así: "Estudio mensurativo o estadístico de los fenómenos o procesos biológicos". La biometría es una tecnología de seguridad basada en el reconocimiento de una característica física e intransferible de las personas, como la huella digital, que al ser una característica única de cada individuo, permite distinguir a un ser humano de otro. (3) Por lo anterior, los datos sensibles tienen el siguiente tratamiento de acuerdo al artículo 6 de la Ley 1581 de 2012: Tratamiento de datos sensibles. Se prohibe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización. b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización. c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular.

d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares. Al respecto, la Corte Constitucional mediante la sentencia C-748 de 2011 señaló lo siguiente: [CJomo se indicó en apartes previos, la prohibición de tratamiento de datos sensibles es una garantía del habeas data y del derecho a la intimidad, y además se encuentra estrechamente relacionada con la protección de la dignidad humana. Sin embargo, en ciertas ocasiones el tratamiento de tales datos es indispensable para la adecuada prestación de servicios -como la atención médica y la educacióno para la realización de derechos ligados precisamente a la esfera íntima de las personas -como la libertad de asociación y el ejercicio de las libertades religiosas y de opinión. Las excepciones del artículo 6 responden precisamente a la necesidad del tratamiento de datos sensible en dichos escenarios. (...) En efecto, los datos sensibles (de las partes, los testigos y otros intervinientes) en muchos procesos judiciales son indispensables para resolver una controversia; piénsese por ejemplo en un proceso de tutela sobre discriminación o en un proceso penal en el que una víctima reclama reparación por violaciones a sus derechos como consecuencia de una persecución política o religiosa. En estos casos los datos sensibles deben ser puestos en conocimiento de la respectiva autoridad judicial no solamente para resolver la controversia, sino incluso para la adopción de medidas de protección.

En concordancia con lo anterior, el artículo 6 del Decreto 1377 de 2013 señala lo siguiente: De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de elatos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

2. Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles. Por lo anterior, no podrá hacerse el tratamiento de los datos sensibles, entre ellos, los biométricos, salvo en los casos señalados taxativamente en la ley, para lo cual, deberá informarse al titular la no obligatoriedad de suministrarlos e informarle la finalidad para la cual se va a realizar el tratamiento, así como obtener su consentimiento expreso. Caber resaltar que si el titular no autoriza el tratamiento de los datos sensibles no se podrá impedir el acceso a los trámites, diligencias o actuaciones ante entidades públicas o privadas. En el caso de los datos sensibles de los menores de edad, además de los requisitos

para el tratamiento de dichos datos, la autorización podrá hacerla en representante legal del niño, niña y adolescente una vez, se haya ejercido el derecho del menor a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. Cuarto cuestionamiento "Algunas empresas utilizamos sistemas de control de ingreso, los cuales funcionan con detectores biométricos (huella, pupila, palma, voz...) esta información esta almacenada en bases de datos, La Ley (sic) dice que estos datos no pueden ser tratados. Cómo se aplica la Ley (sic) en estos casos?

Respuesta: Nos remitimos a la respuesta anterior, respecto al tratamiento de los datos sensibles, entre ellos, los biométricos.

Quinto cuestionario "Que pasa en el caso de las empresas que tienen sistemas cerrado de televisión para seguridad, y donde la información de los visitantes o empleados es almacenada. Esta información es biométrica para los términos de la Ley (sic)" Respuesta: Como se mencionó en la respuesta anterior, la biometría es una tecnología de seguridad basada en el reconocimiento de una característica física e intransferible de las personas, como la huella digital, que al ser una característica única de cada individuo, permite distinguir a un ser humano de otro. El diccionario de la real academia de la lengua define la videovigilancia de la siguiente manera: "1. f. Esp. Vigilancia a través de un sistema de cámaras, fijas o móviles." En relación con la videovigilancia la Autoridad Española de Protección de Datos ha considerado: "La captación y/o el tratamiento de imágenes con fines de vigilancia es una práctica muy extendida en nuestra sociedad. La videovigilancia generalmente

persigue garantizar la seguridad de los bienes y personas. (...) La utilización de medios técnicos para la vigilancia repercute sobre los derechos de las personas lo que obliga a fijar garantías. (...)" En este sentido, la finalidad de la videovigilancia por regla general es la de garantizar la seguridad de bienes o personas en determinados lugares. Sin embargo, debe tenerse en cuenta que las imágenes que se recogen a través de estos sistemas son datos personales de conformidad con la definición del literal c) del artículo 3 de la Ley 1581 de 2012 que señala lo siguiente: "c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables". Al respecto la Corte Constitucional mediante Sentencia C-748 de 2011 señala lo siguiente: [E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonalesson las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación Por lo anterior, a la recolección de imágenes a través de sistemas cerrados de televisión le resulta aplicable la Ley 1581 de 2013 y se deben observar los principios de legalidad, finalidad, libertad, calidad o veracidad, seguridad, confidencialidad,

acceso y circulación restringida y transparencia. Sexto cuestionario "Todas las bases de datos deben ser registradas ante la SIC, o existe un número mínimo de registros para que aplique (una base de datos de 50 empleados.... una base de 3000 clientes)?

Respuesta: El artículo 25 de la Ley 1581 de 2012 señala lo siguiente: Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país.

El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento. Por lo anterior, el Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a tratamiento que operan en el país y los interesados deberán aportar a esta Superintendencia las políticas de tratamiento de la información, las cuales no podrán ser inferiores a los deberes del responsable y encargado del tratamiento de los datos personales contenidos en los artículo 17 y 18 de la Ley 1581

de 2012 así: Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data. b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular. c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualiza