SIC - Concepto-13178927

Bogotá D.C., 10

Asunto: Radicación: 13-178927- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 12

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta La peticionaria formula la siguiente consulta: "En la política de manejo de datos de (...) envían el siguiente parrafo (sic) que considero viola lo establecido en la ley 1581 -2012 y el decreto 1377-2013, ya que al pedir autorización del manejo de datos personales están incluyendo datos sensibles. ¿Esto no está prohibido por la ley? (...)"

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de a solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.

 Promover y divulgar os derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Al respecto, en primer lugar, nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares, ni pronunciarnos sobre la legalidad de una conducta. Sin embargo, dentro del ámbito de las referidas competencias, nos permitimos brindarle información sobre los datos sensibles y el artículo 10 del Decreto 1377 de 2013. 2.1 La protección de datos personales. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás

garantías consagradas en la Constitución. (...)" (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2) Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada" (3) Sin embargo, se debe tener en cuenta que como lo ha manifestado la Corte Constitucional, dicha clasificación es teórica y ambas clases son modalidades de un mismo derecho fundamental. Un concepto esencial y que determina la aplicabilidad de dicha regulación es el de dato personal, el cual ha sido definido de la siguiente manera por el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (4) En relación con las características de los datos personales la Corte Constitucional ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales - son las siguientes:

"i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."" (5) 2.2 Los datos sensibles y su tratamiento. El artículo 5 de la Ley 1581 de 2012 define los datos sensibles en los siguientes términos: "Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos." (6) El artículo 6 de dicha norma regula el Tratamiento de los datos sensibles: "Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y

este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares." (7) De acuerdo con lo anterior, la regla general es la prohibición del Tratamiento de datos personales que estén catalogados como sensibles, sin embargo sí está permitido en ciertos casos previstos en los literales a al e del citado artículo. Al respecto se debe tener en consideración lo manifestado por la Corte Constitucional al evaluar la norma en comento: "Como se indicó en apartes previos, la prohibición de tratamiento de datos sensibles es una garantía del habeas data y del derecho a la intimidad, y además se encuentra estrechamente relacionada con la protección de la dignidad humana. Sin embargo, en ciertas ocasiones el tratamiento de tales datos es indispensable para la adecuada prestación de servicios -como la atención médica y la educacióno para la realización de derechos ligados

precisamente a la esfera íntima de las personas -como la libertad de asociación y el ejercicio de las libertades religiosas y de opinión. Las excepciones del artículo 6 responden precisamente a la necesidad del tratamiento de datos sensible en dichos escenarios. Ahora bien, como se trata de casos exceptuados y que, por tanto, pueden generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos, los agentes que realizan en estos casos el tratamiento tienen una responsabilidad reforzada que se traduce en una exigencia mayor en términos de cumplimiento de los principios del artículo 4 y los deberes del título VI. Esa mayor carga de diligencia se deberá también traducir en materia sancionatoria administrativa y penal. (…)" (8) La autorización para el Tratamiento de los datos personales sensibles fue reglamentada en el artículo 6 del Decreto 1377 de 2013: "De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de los datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

2. Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato

personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso. Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles." (9) De acuerdo con lo anterior se puede concluir que no es posible negar la prestación de un servicio con fundamento en que el titular de los datos se rehúse a autorizar el Tratamiento de los datos personales de carácter sensible. 2.3 Datos recolectados antes de la expedición del Decreto 1377 de 2013. El artículo 10 del Decreto 1377 de 2013 estableció un mecanismo para facilitar la obtención de la autorización de los titulares en relación con los datos personales recolectados antes de la expedición de dicha norma, es decir, antes del 27 de junio de 2013. Sin embargo dicha figura tenía una aplicación temporal que tenía como fecha máxima de implementación el término de un mes luego de la publicación del Decreto, el cual fue publicado en el Diario Oficial número 48.834 del día 27 de junio de 2013. En este sentido, el mencionado artículo dispone: "Datos recolectados antes de la expedición del presente decreto. Para los datos recolectados antes de la expedición del presente decreto, se tendrá en cuenta lo siguiente:

1. Los responsables deberán solicitar la autorización de los Titulares para continuar con el Tratamiento de sus datos personales del modo previsto en el artículo 7 anterior, a través de mecanismos eficientes de comunicación, así como poner en conocimiento de estos sus políticas de Tratamiento de la información y el modo de ejercer sus derechos.

2. Para efectos de lo dispuesto en el numeral 1, se considerarán como

mecanismos eficientes de comunicación aquellos que el Responsable o Encargado usan en el curso ordinario de su interacción con los Titulares registrados en sus bases de datos.

3. Si los mecanismos citados en el numeral 1 imponen al Responsable una carga desproporcionada o es imposible solicitar a cada Titular el consentimiento para Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos, el Responsable podrá implementar mecanismos alternos para los efectos dispuestos en el numeral 1, tales como diarios de amplia circulación nacional, diarios locales, revistas, página de internet del responsable, carteles informativos, entre otros, e informar al respecto a la Superintendencia de Industria y Comercio, dentro de los cinco (5) días siguientes a su implementación.

Con el fin de establecer cuándo existe una carga desproporcionada para el responsable se tendrá en cuenta su capacidad económica, el número de titulares, la antigüedad de los datos, el ámbito territorial y sectorial de operación del Responsable y el mecanismo alterno de comunicación a utilizar, de manera que el hecho de solicitar el consentimiento a cada uno de los Titulares implique un costo excesivo y que ello comprometa la estabilidad financiera del responsable, la realización de actividades propias de su negocio o la viabilidad de su presupuesto programado. A su vez, se considerará que existe una imposibilidad de solicitar a cada Titular el consentimiento para el Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos cuando el responsable no cuente con datos de contacto de los Titulares, ya sea porque los mismos no obran en sus archivos, registros o bases

de datos, o bien, porque éstos se encuentran desactualizados, incorrectos, incompletos o inexactos.

4. Si en el término de treinta (30) días hábiles, contado a partir de la implementación de cualquiera de los mecanismos de comunicación descritos en los numerales 1, 2 y 3, el Titular no ha contactado al Responsable o Encargado para solicitar la supresión de sus datos personales en los términos del presente Decreto, el Responsable y Encargado podrán continuar realizando el Tratamiento de los datos contenidos en sus bases de datos para la finalidad o finalidades indicada en la política de Tratamiento de la información puesta en conocimiento de los Titulares mediante tales mecanismos, sin perjuicio de la facultad que tiene el Titular de ejercer en cualquier momento su derecho y pedir la eliminación del dato.

5. En todo caso el Responsable y el Encargado deben cumplir con todas las disposiciones aplicables de la Ley 1581 de 2012 y el presente Decreto. Así mismo, será necesario que la finalidad o finalidades del Tratamiento vigentes sean iguales, análogas o compatibles con aquella o aquellas para las cuales se recabaron los datos personales inicialmente.

Parágrafo. La implementación de los mecanismos alternos de comunicación previstos en esta norma deberá realizarse a más tardar dentro del mes siguiente de la publicación del presente decreto." (10) Específicamente en relación con su pregunta sobre la posibilidad de obtener autorización para el tratamiento de datos sensibles con fundamento en el artículo 10 del Decreto 1377 de 2013, encontramos que lo mismo resulta viable siempre y cuando

se cumplan los requisitos especiales previstos para los datos sensibles, se haya efectuado dentro del plazo previsto en el artículo 10 del Decreto 1377 de 2013 y corresponda a datos recolectados antes del 27 de junio de 2013. 2.4. Procedimiento para la consulta de los datos personales por parte de su titular. El artículo 14 de la Ley 1581 de 2012 prevé que los titulares de los datos personales o sus causahabientes puedan consultar su información personal en cualquier base de datos a la cual resulte aplicable la norma en comento. De acuerdo con lo cual, ante la solicitud efectuada por el titular a través de un medio habilitado para ello por el Responsable del tratamiento o el Encargado del tratamiento, estos últimos cuentan con el término máximo de 10 días hábiles para dar respuesta. Dicho término puede ser ampliado por un periodo no superior a 5 días, siempre y cuando dicha situación se informe al titular explicando la razón de la demora e indicando la fecha en que se dará respuesta definitiva. (11) 2.5. Procedimiento para la presentación de reclamos por parte del titular de datos personales. Con el fin de materializar el derecho de los titulares de corregir, actualizar, rectificar o suprimir los datos personales, y que su tratamiento se lleve a cabo en cumplimiento de la Constitución y la ley, el artículo 15 de la Ley 1581 de 2012 prevé un procedimiento para la presentación de reclamos por parte del titular de los datos personales. A continuación se resumen las principales características de dicho trámite:  Se puede presentar el reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. (12)  El reclamo debe contener al menos la siguiente información (13):

 Identificación del titular  Descripción de los hechos que dan lugar al reclamo  Dirección del titular  Documentos que se quieran usar como pruebas  Cuando el reclamo esté incompleto, dentro de los 5 días siguientes a la recepción del reclamo, se requerirá al titular para que lo subsane. Si pasados 2 meses desde el requerimiento no se completa el reclamo se entiende que ha desistido del mismo. Si quien recibe el reclamo no es competente para resolverlo debe remitirlo dentro de los 2 días siguientes a quien es competente y debe informar de ello al titular. (14)  Cuando el reclamo esté completo, a más tardar a los 2 días hábiles se incluirá en la base de datos la leyenda "reclamo en trámite" y el motivo del reclamo, la cual se mantendrá hasta que se resuelva el reclamo. (15)  El reclamo se debe resolver en un término máximo de 15 días hábiles desde el día siguiente a la fecha de su recepción, sin embargo es posible que dicho término se extienda por máximo 8 días hábiles más, lo cual se debe informar oportunamente al interesado indicando el motivo de la demora y la fecha en la cual se le dará respuesta de fondo. (16) 2.6 Presentación de una queja ante la Superintendencia de Industria y Comercio De acuerdo con el artículo 19 de la Ley 1581 de 2012, la Superintendencia de Industria y Comercio es la autoridad de protección de datos y en ejercicio de dicha función ejerce la vigilancia para garantizar que se respeten los derechos, principios y garantías consagrados en dicha norma. 2.6.1. Requisito de procedibilidad.

Se debe tener en cuenta que antes de acudir a esta Superintendencia para presentar una queja por infracción al régimen de protección de datos personales se debe agotar el requisito de procedi0ilidad consagrado en el artículo 16 de la Ley 1581 de 2012, el cual consiste en surtir previamente el trámite de consulta o reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. 2.6.2. Procedimiento. Teniendo en cuenta que la Ley 1581 de 2012 no establece un procedimiento para el trámite de las quejas, sino que remite al procedimiento administrativo (17), se debe aplicar el procedimiento administrativo sancionatorio previsto en el Capítulo III del Título III del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. De acuerdo con lo anterior, dichos procedimientos tendrán las siguientes características:  Averiguación preliminar: En esta etapa la autoridad administrativa determina si existe mérito para llevar a cabo un procedimiento sancionatorio.  Formulación de cargos: Una vez realizada la averiguación preliminar la Entidad determina si existe mérito para llevar a cabo la investigación, caso en el cual formulará cargos, lo cual se hará mediante acto administrativo que se debe notificar personalmente a los investigados.  Contenido del acto administrativo de formulación de cargos:  Los hechos que originan la investigación.  Personas investigadas.  Normas presuntamente infringidas.  Sanciones que se podrán imponer Contra el acto administrativo de formulación de cargos no proceden recursos, sin embargo, dentro de los 15 días siguientes a su notificación los investigados

pueden presentar descargos y solicitar y aportar pruebas.  Etapa probatoria: En la cual se practican las pruebas decretadas, una vez terminado se corre traslado por el término de 10 días a los investigados para que presenten sus alegatos.  Decisión: Tiene el siguiente contenido:  Individualización de las personas a sancionar.  Análisis de los hechos y pruebas en los cuales se fundamenta la sanción.  Normas infringidas.  Decisión final, puede ser archivo o sanción. 2.6.3 Medios para presentar la queja. El interesado puede presentar la queja a través de los siguientes medios:  Por escrito, llenando un formulario de queja y radicándolo en el Centro de Documentación e Información de la Superintendencia, ubicada en la carrera 13 27-00, piso 1 del Edificio Bochica, Bogotá, D.C, el formulario está disponible en esa dirección o en la página web de la entidad www.sic.gov.co.  El formulario también se puede radicar en las siguientes direcciones:

CADES Bogotá: CADE 30 Carrera 30 25-90 Módulo 37 Zona A

CADE Suba Calle 148 A 103 B-95 CADE Calle 13 Calle 13 37-35 Módulo 13 CADE Américas Av. Carrera 86 43-55 Sur Módulo 83

Otras ciudades: Barranquilla Carrera 57 79-10 Sede Supersociedades

Bucaramanga Calle 41 37-62 Sede Supersociedades Cali Calle 10 4-40 of. 201 Sede Supersociedades Cartagena Torre del Reloj Carrera 7 32-39 piso 2 Sede Supersociedades

Cúcuta Avenida 0 (cero) A 21-14 Sede Supersociedades Manizales Calle 23 26-60 Sede Cámara de Comercio Medellín Calle 53 45-112 Piso 20 Edificio Colseguros  A través de la página web de la entidad (http://www.sic.gov.co/es/web/guest/denuncias-y-reclamos).  Por medio de un fax al número 5-87-02-84.

3. Conclusiones 3.1 Los datos sensibles son una categoría especial de datos personales que requieren de una protección especial. En este sentido, la autorización para su Tratamiento se debe otorgar de forma explícita y no se puede negar la prestación de un servicio por el hecho de no haber autorizado su tratamiento. 3.2. Dado que la regulación no estableció lo contrario, es posible con fundamento en el artículo 10 del Decreto 1377 de 2013 obtener la autorización para el tratamiento de datos de carácter sensible. 3.3. Los titulares de los datos personaos o sus causahabientes pueden consular su información personal en cualquier base de datos a la cual resulte aplicable la ley 1581 de 2012, ante dicha solicitud el Responsable del tratamiento o el Encargado del tratamiento tienen por regla general un término máximo de 10 días hábiles para dar respuesta. 3.4. El artículo 15 de la Ley 1581 de 2012 prevé un procedimiento para la presentación de reclamos por parte del titular de los datos personales frente al Responsable del tratamiento o el Encargado del tratamiento, los reclamos por regla general deben ser resueltos en 15 días hábiles. 3.5. Frente a una infracción al régimen de protección de datos personales se puede

presentar una queja ante la Superintendencia de Industria y Comercio con el fin de que investigue y si es del caso imponga las sanciones previstas en el artículo 23 de la Ley 1581 de 2012. Previo a lo cual se debe agotar el requisito de procedibilidad consagrado en el artículo 16 de la Ley 1581 de 2012, el cual consiste en surtir el trámite de consulta o reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos Notas de referencia: (1) Artículo 15 Constitución Política de Colombia. (2) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado Ponente: Jaime Córdoba Triviño. (3) Ibídem. (4) Literal c artículo 3 Ley 1581 de 2012. (5) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (6) Artículo 5 Ley 1581 de 2012. (7) Artículo 6 Ley 1581 de 2012. (8) Corte Constitucional, Sentencia C-875 del 22 de noviembre de 2011, Magistrado ponente: Jorge Ignacio Pretelt Chaljub. (9) Artículo 6 Decreto 1377 de 2013.

(10) Artículo 10 Decreto 1377 de 2013. (11) Artículo 14 Ley 1581 de 2012. (12) Inciso primero artículo 15 Ley 1581 de 2012. (13) Numeral 1 artículo 15 Ley 1581 de 2012. (14) Ibídem. (15) Numeral 2 artículo 15 Ley 1581 de 2012. (16) Numeral 3 artículo 15 Ley 1581 de 2012. (17) Artículo 22 Ley 1581 de 2012.