SIC - Concepto-13174213

Bogotá D.C., 10

Asunto: Radicación: 13-174213- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula la siguiente consulta: “(…) bajo qué condiciones, es posible la venta de bases de datos, ya sea que contengan información crediticia y financiera, doméstica, o aquella que regula la ley 1581 de 2012. (…)”

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de Protección de datos personales: • Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. • Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. • Promover y divulgar los derechos de las personas en relación con el Tratamiento

de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. • Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Dentro del ámbito de las referidas competencias, a continuación le brindamos información sobre el ámbito de aplicación de la Ley 1581 de 2012 y de la Ley 1266 de 2008 y la autorización previa de acuerdo con dichas normas. 2.1 La protección de datos personales. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que Se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.(…)” (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008 – Habeas datay 1581 de 2012 –Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008

regula el hábeas data financiero, el cual ha sido definido así: “el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero” (2) Por otra parte, el habeas data genérico ha sido definido como: “el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada” (3) Sin embargo, se debe tener en cuenta que como lo ha manifestado la Corte Constitucional, dicha clasificación es teórica y ambas clases son modalidades de un mismo derecho fundamental. Un concepto esencial y que determina la aplicabilidad de dicha regulación es el de dato personal, el cual ha sido definido de la siguiente manera por el literal c del artículo 3 de la Ley 1581 de 2012: “Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables” (4) En relación con las características de los datos personales la Corte Constitucional ha considerado: “En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales –en oposición a los impersonalesson las siguientes: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo,

situación que no se altera por su obtención por parte de un tercero de Manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”” (5) 2.2 Ámbito de aplicación de la Ley 1266 de 2008. Con el fin de determinar el ámbito de aplicación de la Ley 1266 de 2008 se deben estudiar sus artículos 1 y 2, en este sentido el artículo 1 establece los objetivos de dicha norma: “Objeto. La presente ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales a que se refiere el artículo 15 de la Constitución Política, así como el derecho a la información establecido en el artículo 20 de la Constitución Política, particularmente en relación con la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países.” (6) Así mismo, el artículo 2 de la Ley 1266 de 2008 establece en relación con su ámbito de aplicación: “Ámbito de aplicación. La presente ley se aplica a todos los datos de información personal registrados en un banco de datos, sean estos administrados por entidades de naturaleza pública o privada. Esta ley se aplicará sin perjuicio de normas especiales que disponen la confidencialidad o reserva de ciertos datos o información registrada en bancos de datos de naturaleza pública, para fines estadísticos, de investigación o

sanción de delitos o para garantizar el orden público. Se exceptúan de esta ley las bases de datos que tienen por finalidad producir la Inteligencia de Estado por parte del Departamento Administrativo de Seguridad, DAS, y de la Fuerza Pública para garantizar la seguridad nacional interna y externa. Los registros públicos a cargo de las cámaras de comercio se regirán exclusivamente por las normas y principios consagrados en las normas especiales que las regulan. Igualmente, quedan excluidos de la aplicación de la presente ley aquellos Datos mantenidos en un ámbito exclusivamente personal o doméstico y aquellos que circulan internamente, esto es, que no se suministran a otras personas jurídicas o naturales.” (7) De acuerdo con dichos artículos se puede concluir que la Ley 1266 de 2008 resulta aplicable a la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países. La finalidad que tiene el tratamiento de la información regulada por la Ley 1266 de 2008 se encuentra consignada en el artículo 10 de la Ley 1266 de 2008: El artículo 10 de la Ley 1266 de 2008 dispone: “PRINCIPIO DE FAVORECIMIENTO A UNA ACTIVIDAD DE INTERÉS PÚBLICO. La actividad de administración de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países está directamente relacionada y favorece una actividad de interés público, como lo es la actividad financiera propiamente, por cuanto ayuda a la democratización del crédito, promueve el desarrollo de la actividad de crédito, la protección de la confianza pública en el sistema financiero y la estabilidad del mismo, y genera otros

beneficios para la economía nacional y en especial para la actividad financiera, crediticia, comercial y de servicios del país. PARÁGRAFO 1o. La administración de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, por parte de fuentes, usuarios y operadores deberá realizarse de forma que permita favorecer los fines de expansión y democratización del crédito. Los usuarios de este tipo de información deberán valorar este tipo de información en forma concurrente con otros factores o elementos de juicio que técnicamente inciden en el estudio de riesgo y el análisis crediticio, y no podrán basarse exclusivamente en la información relativa al incumplimiento de obligaciones suministrada por los operadores para adoptar decisiones frente a solicitudes de crédito. La Superintendencia Financiera de Colombia podrá imponer las sanciones previstas en la presente ley a los usuarios de la información que nieguen una solicitud de crédito basados exclusivamente en el reporte de información negativa del solicitante. (…)” (8) De acuerdo con lo cual la Ley ha previsto que el tratamiento de información de carácter financiero, comercial y de servicios favorezca a la economía y en especial promueva los siguientes fines, la democratización del crédito, desarrollo de la actividad crediticia y la protección de la confianza pública en la estabilidad del sistema financiero. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: “el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y

circular esos datos con el fin de determinar el nivel de riesgo financiero” (9) 2.3 Ámbito de aplicación de la Ley 1581 de 2012. El ámbito de aplicación de la Ley 1581 de 2012 se encuentra definido en el artículo 2 de dicha norma, el cual determina: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. (…)\"(10) En consecuencia, en principio, dicha norma se aplica a los datos personales que estén registrados en cualquier base de datos, sin embargo, no resulta aplicable a las siguientes bases de datos o archivos (11): • Las que se mantengan en un ámbito personal o doméstico. • Las que tengan por finalidad la seguridad y defensa nacional, control de lavado de activos y financiación del terrorismo. • Las que contengan información de inteligencia y contrainteligencia. • Las de información periodística y contenidos editoriales. • Las reguladas por la Ley 1266 de 2008, ley estatutaria de protección de datos personales comerciales y financieros para el cálculo de riesgo crediticio (12) • Las reguladas por la Ley 79 de 1993, censos de población y de vivienda. Pese a lo cual, con fundamento en el parágrafo del artículo 2 de la Ley 1581 de 2012, a todas las bases de datos, incluso aquellas que no regula dicha ley, les

serán aplicables los principios sobre protección de datos personales. En este sentido, de acuerdo con la naturaleza de la información objeto de tratamiento se debe determinar si resulta aplicable la Ley 1581 de 2012 o la Ley 1266 de 2008, y de acuerdo con la norma aplicable se debe realizar su tratamiento. 2.4 Autorización previa de acuerdo con la Ley 1266 de 2008. El numeral 5 del artículo 8 de la Ley 1266 de 2008 establece como uno de los deberes de las fuentes de información el obtener autorización previa de los titulares de la información: “5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley.” (13) En este sentido, el parágrafo del numeral 1 del artículo 6 de la norma en comento determina cuándo se debe obtener dicha autorización y cuándo no resulta necesaria: “La administración de información pública no requiere autorización del titular de los datos, pero se sujeta al cumplimiento de los principios de la administración de datos personales y a las demás disposiciones de la presente ley. La administración de datos semiprivados y privados requiere el consentimiento previo y expreso del titular de los datos, salvo en el caso del dato financiero, crediticio, comercial, de servicios y el proveniente de terceros países el cual no requiere autorización del titular. En todo caso, la administración de datos semiprivados y privados se sujeta al cumplimiento de los principios de la

administración de datos personales y a las demás disposiciones de la presente ley.”(14) Sin embargo, dicha norma debe ser interpretada a la luz de lo manifestado por la Corte Constitucional al evaluar su constitucionalidad: “3.2.2.1. En primer término, la disposición establece que la administración de la información pública no requiere autorización del titular de los datos. Empero, condiciona esa actividad a los principios de administración de datos personales y a las demás disposiciones de la norma estatutaria. La constitucionalidad de esta disposición no plantea mayores inconvenientes, habida cuenta que el libre acceso es una de las características esenciales de la información pública, de modo tal que la supresión del requisito de consentimiento del titular para la inclusión en bases de datos es apenas un corolario lógico de la necesidad de garantizar la plena disposición de datos de esta naturaleza. En ese sentido, debe insistirse en que el acceso sin limitaciones a los datos públicos es un componente propio del ejercicio del derecho a recibir información, en los términos del artículo 20 C.P., razón por la cual lo dispuesto en este apartado por el legislador estatutario garantiza el ejercicio adecuado de ese derecho. (…) 3.2.2.2. En segundo lugar, el parágrafo indica que la administración de datos semiprivados y privados requiere el consentimiento previo y expreso del titular de los mismos. Esta regla es en todo consonante con el principio de libertad previsto en el artículo 15 C.P., de acuerdo con el cual la legitimidad constitucional de los procesos de acopio, tratamiento y divulgación de datos personales se sustenta, entre otros aspectos, en que el sujeto concernido

preste su autorización libre, previa y expresa. 3.2.2.3. En tercer término, el parágrafo objeto de estudio establece que la regla general de exigencia del consentimiento antes planteada no es aplicable para el caso del dato financiero, crediticio, comercial y de servicios y el proveniente de terceros países, el cual no requiere autorización del titular. En relación con este preciso apartado, el Procurador General y varios de los intervinientes formularon distintos argumentos para defender e impugnar la constitucionalidad del precepto, razones relacionadas con la exigibilidad del consentimiento del titular, consideraciones que ya fueron sintetizadas por la Corte a propósito del estudio de constitucionalidad del literal f) del artículo 5º. En suma, el problema jurídico planteado por los intervinientes consiste en determinar si la posibilidad prevista por el legislador estatutario, referida a permitir la administración de datos personales de contenido financiero, crediticio, comercial, de servicios y proveniente de terceros países sin consentimiento del titular, viola el principio de libertad y la autodeterminación informática, predicables ambos de los procesos de recolección, tratamiento y divulgación de información personal. Para la Corte, el análisis de constitucionalidad del precepto depende, en buena medida, de la identificación concreta de su contenido y alcance, la cual se Obtiene no sólo a partir del análisis aislado de la disposición, sino también de su comprensión sistemática a partir del contexto normativo en que se inscribe. Bajo este supuesto, se tiene que el parágrafo del numeral 1.4. (i) hace referencia a las condiciones predicables de la administración de datos semiprivados y privados que efectúa los operadores de información; y (ii)

pertenece al numeral primero del artículo 6º del Proyecto de Ley, que versa sobre los derechos de los titulares de la información frente a los operadores de los bancos de datos. (…) Si ello es así, entonces la exclusión de responsabilidad de obtención de consentimiento del titular para la administración a cargo de los operadores, es enteramente compatible con el deber que tienen las fuentes de información de obtener el consentimiento libre, previo, expreso y suficiente del titular del dato personal para suministrar su información personal, de acuerdo con la obligación prevista en el artículo 8º, numeral 5, del Proyecto de Ley Estatutaria. En otras palabras, la administración de datos personales a cargo del operador es un acto posterior a la transmisión de la información por la fuente, quien tiene el deber ineludible de contar con la autorización del sujeto concernido, en tanto expresión concreta de la eficacia del principio de libertad, según se tuvo oportunidad de explicar in extenso en el análisis de constitucionalidad del literal f) del artículo 5º del Proyecto de Ley Estatutaria. Basándose en los argumentos anteriores, la Corte concluye que el legislador estatuario ha previsto una modalidad particular de consentimiento en lo que respecta a la administración de datos personales. La primera, que puede denominarse como de autorización doble, relacionada con los datos privados y semiprivados distintos a los comerciales y financieros, caso en el cual deberá contarse con el consentimiento del titular del dato, expresado tanto a la fuente (artículo 8º-5 del Proyecto), como al operador de información (parágrafo del numeral 1.4. del artículo 6º del Proyecto). El segundo, relativo a la

administración de datos personales financieros, crediticios, comerciales, de servicios y provenientes de terceros países; evento en el que la eficacia del principio de libertad se logra con el consentimiento libre, previo y suficiente que el titular exprese ante la fuente de información, como requisito previo e ineludible para que ésta transmita los datos al operador.” (15) De acuerdo con lo anterior se puede concluir: • Cuando se trate del tratamiento de datos semiprivados o privados que no tengan el carácter de comercial o financieros se debe contar con la autorización del titular, la cual se debe dar tanto a la fuente como al operador. • Cuando sean datos personales financieros, crediticios, comerciales, de servicios Y provenientes de terceros países la fuente debe contar con el consentimiento del titular, para así poder remitir dicha información al operador. En este sentido, el numeral 1.3 del artículo 6 de la Ley 1266 de 2008 consagra el derecho de los titulares a obtener certificación de la autorización previa: “1.3 Solicitar prueba de la certificación de la existencia de la autorización expedida por la fuente o por el usuario.” (16) Así mismo, dado que la autorización dada por los titulares de la información debe ser informada, al momento de obtenerla se debe informar de manera clara cuál es el uso y la finalidad que se dará a la información. Lo anterior con el fin de que el titular pueda decidir si acepta o no que se dé un determinado uso a sus datos. 2.5 Autorización previa de acuerdo con la Ley 1581 de 2012. El principio de libertad, que es pilar fundamental de las normas de protección de datos personales, implica que la actividad de Tratamiento de datos personales

solamente se pueda llevar a cabo con la autorización previa del titular de los mismos. En relación con los requisitos que debe cumplir dicha autorización la Corte Constitucional consideró: “En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. (…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (…) En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el Consentimiento siempre fuese expreso. (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (…) De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la

persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales. Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez.” (17) En relación con la autorización el Decreto 1377 de 2013 dispone: “Autorización. El responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. (…) En caso de haber cambios sustanciales en el contenido de las políticas de Tratamiento a que se refiere el Capítulo III de este Decreto, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” (18) Dado que la ley no exige que la autorización dada por los titulares de los datos personales para su tratamiento adopte una forma determinada, por lo cual, siempre y cuando no se trate del tratamiento de datos personales sensibles, podrá adoptar cualquier forma siempre que se garantice el cumplimiento de los

requisitos analizados con antelación. En este sentido, el artículo 7 del Decreto 1377 de 2013 al reglamentar la Ley 1581 de 2013 prevé las distintas formas a través de las cuales se puede obtener la autorización de los titulares de los datos personales para su tratamiento: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los Titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a la conducta inequívoca.” (19) De acuerdo con lo anterior, la autorización para el tratamiento de los datos personales: • Por escrito • De forma oral • Mediante conductas inequívocas del titular, siempre y cuando no se trate de aquellos catalogados como sensibles, puede ser obtenida a través de los siguientes modos. En atención a su pregunta se debe recordar que el Tratamiento se debe regir por el principio de finalidad, consagrado en el literal b del artículo 4 de la Ley 1581 de 2012: “b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima

de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; (20) El principio de finalidad exige que el fin perseguido al hacer el tratamiento de datos personales sea legítimo en relación con la Constitución y la ley, al respecto la Corte Constitucional ha precisado: “Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. (…) Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas. En razón de lo anterior, el literal b) debe ser entendido en dos aspectos. Primero, bajo el principio de necesidad se entiende que los datos deberán ser conservados en una forma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de los datos personales no debe exceder del necesario para alcanzar la necesidad con que se han

registrado. (…) Segundo, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos. En consecuencia, debe hacerse todo lo razonablemente posible para limitar el procesamiento de datos personales al mínimo necesario. Es decir, los datos deberán ser: (i) adecuados, (ii) pertinentes y (iii) acordes con las finalidades para las cuales fueron previstos.” (21) En consecuencia, el tratamiento de los datos personales no solamente debe perseguir un fin legítimo, sino que dicha finalidad debe ser informada al titular al momento de la obtención de la autorización. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co.

Notas de referencia: (1) Artículo 15 Constitución Política de Colombia. (2) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado

Ponente: Jaime Córdoba Triviño. (3) Ibídem. (4) Literal c artículo 3 Ley 1581 de 2012. (5) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (6) Artículo 1 Ley 1266 de 2008. (7) Artículo 2 Ley 1266 de 2008. (8) Artículo 10 Ley 1266 de 2008. (9) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado

Ponente: Jaime Córdoba Triviño. (10) Artículo 2 Ley 1581 de 2012. (11) Ibídem. (12) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (13) Numeral 5 artículo 8 Ley 1266 de 2008. (14) Parágrafo Numeral 1 artículo 6 Ley 1266 de 2008. (15) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008, Magistrado ponente: Jaime Córdoba Triviño. (16) Numeral 1.3 artículo Ley 1266 de 2008. (17) Literales d y e artículo 3 Ley 1581 de 2012. (18) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (19) Artículo 5 Decreto 1377 de 2013. (20) Literal b artículo 4 Ley 1581 de 2012. (21) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado

Ponente: Jaime Córdoba Triviño.

Elaboró: Mariana Naranjo Arango

Revisó y aprobó: William Burgos Durango

Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA