SIC - Concepto-13179957

Bogotá D.C., 10

Asunto: Radicación: 13-179957- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 11

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Consulta La peticionaria formula una serie de preguntas en relación con la Ley 1581 de 2012 y el Decreto 1377 de 2013, el cual reglamentó parcialmente dicha Ley.

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar os derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para

capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Dentro del ámbito de las referidas competencias a continuación damos respuesta a sus preguntas. 2.1 Primera pregunta. "(...) El artículo 10 del mismo decreto, determina el silencio del titular como fuente de legitimación para el tratamiento cuando guarda silencio durante el lapso de 30 días siguientes al envió (sic) de la comunicación por la cual se solicita la obtención personalizada del consentimiento del titular. La cuestión que se suscita es la siguiente: si se tiene el contracto del titular y se pretende obtener su consentimiento, y justamente la norma indica las formas de obtenerlo de las cuales excluye el silencio, ¿Pueden entender las empresas vigiladas por la SIC, que sus datos anteriores se siguen tratando con autorización tácita proveniente del silencio por esta previsión legal que se encuentra contenida en un Decreto? ¿Qué controles puede ejercer en estos casos la SIC para verificar que el tratamiento se hace bajo este supuesto de conducta omisiva del titular sin violar la Ley Estatutaria 1581 de 2012?" 2.1.1 Los artículos 7 y 10 del Decreto 1377 de 2013.

El artículo 10 del Decreto 1377 de 2013 estableció un régimen de transición aplicable a los datos personales recolectados antes de la expedición de dicha norma, es decir, antes del 27 de junio de 2013. En este sentido, se permitió de manera temporal el uso de mecanismos alternos exclusivamente en relación con datos recolectados con antelación a la entrada en vigencia de la Ley 1581 de 2012. Es de resaltarse que en materia de autorización para la información recolectada en vigencia de la Ley 1581 de 2013, teniendo en cuenta que la ley no exige que la autorización dada por los titulares de los datos personales para su tratamiento adopte una forma determinada, el artículo 7 del Decreto 1377 de 2013 prevé las distintas formas a través de las cuales se puede obtener la autorización de los titulares de los datos personales para su tratamiento: "Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los Titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a la

conducta inequívoca." (1) De acuerdo con lo anterior, la autorización para el tratamiento de los datos personales puede ser obtenida a través de los siguientes modos:  Por escrito  De forma oral  Mediante conductas inequívocas del titular, cuando no se trate de aquellos datos personales catalogados como sensibles. 2.1.2 Funciones de la Superintendencia de Industria y Comercio en materia de datos personales. Según se indicó con antelación, esta Superintendencia cuenta con funciones en materia de protección de datos personales, dentro de las cuales se encuentran las siguientes: "b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; (...) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones." (2) Con fundamento en dichas funciones esta Superintendencia podrá solicitar información a los Encargados y Responsables del tratamiento de datos personales y también podrá llevar a cabo investigaciones, con el fin de verificar que se esté dando cumplimiento a la regulación sobre la materia, y en caso de encontrar probado que se infringió la normativa vigente se podrán imponer las sanciones previstas en el artículo 23 de la Ley 1581 de 2012. 2.2 Segunda pregunta. "El Decreto 1377 de 2013 expresamente indica en el artículo 7 que en ningún

caso el silencio del titular puede asimilarse a una conducta inequívoca. La conducta inequívoca del titular se deberá analizar acorde con los medios utilizados por el Responsable del tratamiento para obtener dicha autorización, lo que incluye medios automatizados. Sin embargo, posteriormente en el artículo 10 numeral 3, el decreto entra en franca contradicción con la norma precedente cuando permite que, en los dos supuestos allí establecidos (carga desproporcionada e imposibilidad de obtener el consentimiento del titular) pasados 30 días de acudir a un mecanismo alterno como los avisos de presa, el silencio del titular legitima la continuidad del tratamiento. En tal supuesto y dado que existen dos prescripciones contrarias en el mismo Decreto, ¿Deben considerar los vigilados por la SIC que en cumplimiento de la sana interpretación normativa debe primar la directriz de la Corte Constitucional en el sentido de que en ningún caso el silencio del titular puede dar lugar a un tratamiento legítimo de los datos como lo indica el artículo 7 del Decreto 1377 de 2013? O bien ¿Pueden considerar los vigilados por la SIC que el mecanismo indicado en el Decreto es un mecanismo que habilita el tratamiento de datos recolectados con anterioridad a la vigencia de la norma y por ende prima esta regla consagrada en el artículo 10 del Decreto 1377 sobre la anterior del artículo 7? En este último caso, ¿Cómo deberían probar los responsables del tratamiento la autorización para dar cumplimiento a la Ley 1581 de 2012 y no estar inmerso en una situación de incumplimiento y violación de un derecho fundamental?"

2.2.1 Los artículos 7 y 10 del Decreto 1377 de 2013. No existe la contradicción a la que hace alusión la consultante dado que, según se analizó con antelación, el artículo 10 del Decreto 1377 de 2013 estableció un régimen de transición aplicable a los datos personales recolectados antes de la expedición de dicha norma y, en cambio, el artículo 7 del Decreto reglamentó lo referente a las formas como se puede otorgar autorización para el tratamiento de la información recolectada en vigencia de la Ley 1581 de 2013. En relación con la pregunta sobre la forma en que los responsables del tratamiento de datos personales deben probar que no han violado la Ley 1581 de 2012 ni un derecho fundamental, se debe tener en consideración que dicha norma no ha establecido que se deba probar de una determinada forma, por lo cual será válido cualquier medio de prueba. 2.3 Tercera pregunta. "El Decreto 1377 de 2013 prevé un supuesto en el cual la empresa que trata datos recabados con anterioridad de la ley puede argüir que la consecución del consentimiento de los titulares de tales datos, le crea una CARGA DESPROPORCIONADA que afecta su estabilidad financiera, su presupuesto o plan de negocios, evento en el que se puede acudir a mecanismos alternos (alternos a la obtención del consentimiento) como los avisos en diarios de amplia circulación y se debe notificar en los 5 días siguientes a la SIC sobre la implementación de tales mecanismos alternos. Se pregunta, ¿Qué condiciones, requisitos, circunstancias o elementos concretos deben presentarse ante la SIC por parte de las empresas que se

acojan a este supuesto y por ende se legitime el tratamiento de datos con el silencio del titular si pasados los 30 días éste guarda silencio? ¿Hay alguna instrucción concreta de la SIC para estos casos habida cuenta de la repercusión que tiene para una empresa continuar con un tratamiento que posteriormente puede resultar ilegítimo? O bien ¿Basta con presentar ante la SIC el aviso de prensa publicado? En este mismo supuesto si el Titular del dato solicita probar la autorización o condición que legitima el tratamiento de sus datos a una empresa que se ha amparado bajo este supuesto excepcional, ¿Se debe entregar simplemente la prueba del aviso? O ¿Deberá la empresa probar al titular las situaciones que le llevan a esta condición y la autorización o aprobación de la SIC al ser notificada de dicha circunstancia?" 2.3.1 El uso de mecanismos alternos con fundamento en el artículo 10 del Decreto 1377 de 2013. El artículo 10 del Decreto 1377 de 2013 dispone: "Datos recolectados antes de la expedición del presente decreto. Para los datos recolectados antes de la expedición del presente decreto, se tendrá en cuenta lo siguiente:

1. Los responsables deberán solicitar la autorización de los Titulares para continuar con el Tratamiento de sus datos personales del modo previsto en el artículo 7 anterior, a través de mecanismos eficientes de comunicación, así como poner en conocimiento de estos sus políticas de Tratamiento de la información y el modo de ejercer sus derechos.

2. Para efectos de lo dispuesto en e I numera I 1, se considerarán como mecanismos eficientes de comunicación aquellos que el Responsable o Encargado usan en el curso ordinario de su interacción con los Titulares

registrados en sus bases de datos.

3. Si los mecanismos citados en el numeral 1 imponen al Responsable una carga desproporcionada o es imposible solicitar a cada Titular el consentimiento para Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos, el Responsable podrá implementar mecanismos alternos para los efectos dispuestos en el numeral 1, tales como diarios de amplia circulación nacional, diarios locales, revistas, página de internet del responsable, carteles informativos, entre otros, e informar al respecto a la Superintendencia de Industria y Comercio, dentro de los cinco (5) días siguientes a su implementación.

Con el fin de establecer cuándo existe una carga desproporcionada para el responsable se tendrá en cuenta su capacidad económica, el número de titulares, la antigüedad de los datos, el ámbito territorial y sectorial de operación del Responsable y el mecanismo alterno de comunicación a utilizar, de manera que el hecho de solicitar el consentimiento a cada uno de los Titulares implique un costo excesivo y que ello comprometa la estabilidad financiera del responsable, la realización de actividades propias de su negocio o la viabilidad de su presupuesto programado. A su vez, se considerará que existe una imposibilidad de solicitar a cada Titular el consentimiento para el Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos cuando el responsable no cuente con datos de contacto de los Titulares, ya sea porque los mismos no obran en sus archivos,

registros o bases de datos, o bien, porque éstos se encuentran desactualizados, incorrectos, incompletos o inexactos. (...)." (3) (Subraya fuera del texto) El citado numeral 3 del artículo 10 del Decreto 1377 de 2013 prevé, durante un periodo determinado de tiempo, la posibilidad de hacer uso de mecanismos alternos en relación con la información recaudada con antelación a la vigencia de la Ley 1581 de 2012. A la fecha esta Superintendencia no ha instruido de manera específica sobre los documentos que deben ser anexados a la comunicación en la cual se informa a esta Entidad sobre el uso de mecanismos alternos con fundamento en dicha norma. Por lo cual, y entretanto no se dicten instrucciones en contrario, la información y documentación a ser remitida en dicha situación debe ser aquella que sea necesaria e idónea para que esta Superintendencia pueda verificar que se configuró alguna de las situaciones que habilitaron de manera temporal el uso de los mecanismos alternos previstos en la citada norma. Así mismo, cuando el titular de los datos personales en relación con los cuales se hizo uso de los mecanismos alternos solicite información sobre la causal que permitió el uso de dichos mecanismos, dentro de lo posible, se le debe suministrar la información y documentos que le permitan estar suficientemente informado sobre el procedimiento realizado por parte del Responsable, y en caso de que lo considere pertinente, promover las acciones consagradas a su favor en la Ley 1581 de 2012. Finalmente se debe resaltar que para implementar dichos mecanismos no se requería una autorización de esta Superintendencia, sino que se debía informar sobre su uso a esta Entidad dentro de los cinco días siguientes a su implementación.

2.4 Cuarta pregunta. "El Decreto 1377 de 2013 prevé otro supuesto en el cual la empresa que trata datos recabados con anterioridad a la vigencia de la ley puede argüir que se encuentra en IMPOSIBILIDAD de proceder a la consecución del consentimiento de los titulares de tales datos porque: los datos de contacto no se encuentren en su poder; o están desactualizados, o están incorrectos. En este evento se puede acudir a mecanismos alternos como los avisos en diarios de amplia circulación y se debe notificar en los 5 días siguientes a la SIC sobre la implementación de tales mecanismos alternos. Se pregunta, ¿Qué condiciones, requisitos, circunstancias o elementos concretos deben presentarse a la SIC por parte de las empresas que se acojan a este supuesto y por ende se legitime el tratamiento de datos con el silencio del titular si pasados los 30 días éste guarda silencio? ¿Significa así mismo este supuesto que en caso de que un titular guarde silencio, las empresas pueden seguir tratando datos desactualizados, inexactos o incorrectos sin violar el principio de CALIDAD del dato que consagra la Ley 1581 de 2012? ¿La Superintendencia de Industria y Comercio ha proferido instrucciones o exige condiciones particulares para este supuesto? (...) ¿Cómo deberían probar los responsables del tratamiento la autorización del titular para dar cumplimiento a la Ley 1581 de 2012 y no estar inmerso en una situación de incumplimiento y violación de un derecho fundamental?" 2.4.1 El principio de veracidad o de calidad. El literal d del artículo 4 de la Ley 1581 de 2012 consagra en los siguientes términos el principio de veracidad o calidad:

"La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error." (4) En relación con este principio la Corte Constitucional ha considerado: "Según el principio de veracidad, los datos personales deben obedecer a situaciones reales, deben ser ciertos, de tal forma que se encuentra prohibida la administración de datos falsos o erróneos. En la sentencia SU-082 de 1995, esta Corporación fijó el principio de integridad en el manejo de los datos. Bajo su amparo, se prohibió que el manejo de los datos fuese incompleto, en razón a que esta situación puede distorsionar la veracidad de la información. En dicha oportunidad, la Corte decidió tutelar los derechos de un usuario del sistema financiero que había sido afectado con una información incompleta. Por lo tanto, se ordenó a la entidad administradora de datos, completar la información acerca del comportamiento comercial del actor. En consecuencia, en virtud de aquél principio "la información que se registre o se divulgue a partir del suministro de datos personales debe ser completa, de tal forma que se encuentra prohibido el registro y divulgación de datos parciales, incompletos o fraccionados. Con todo, salvo casos excepcionales, la integridad no significa que una única base de datos pueda compilar datos que, sin valerse de otras bases de datos, permitan realizar un perfil completo de las personas." (5) Por su parte inciso final del numeral 3 del artículo 10 del Decreto 1377 de 2013 establece: "A su vez, se considerará que existe una imposibilidad de solicitar a cada

Titular el consentimiento para el Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos cuando el responsable no cuente con datos de contacto de los Titulares, ya sea porque los mismos no obran en sus archivos, registros o bases de datos, o bien, porque éstos se encuentran desactualizados, incorrectos, incompletos o inexactos." (6) Según se ha indicado a lo largo del presente concepto, el artículo 10 del Decreto 1377 de 2013 estableció un régimen de transición en relación con la información recolectada con antelación a su entrada en vigencia, el cual se hacía necesario a fin de evitar una parálisis en el flujo de información en el país. Es de resaltar que dicha norma no exime del cumplimiento del principio de veracidad de la información que se incluya en las bases de datos, por lo cual, aunque se haya obtenido la autorización de los datos recopilados con antelación a la vigencia del Decreto con fundamento en el artículo 10 del mismo, se hace necesario dar cumplimiento estricto a los principios y deberes consagrados en la Ley 1581 de 2012. 2.5 Quinta pregunta. "Se solicita instrucción en el cumplimiento del decreto 1377 de 2013 en lo relacionado con las dos definiciones que el mismo incluye y que no están previstas en la Ley estatutaria 1581 de 2012 relacionadas con la TRANSFERENCIA y la TRANSMISIÓN de datos. (...) ¿Pueden entender los vigilados por la SIC que el Decreto está reglamentando con la inclusión de estas dos definiciones, el principio de CIRCULACIÓN RESTRINGIDA DEL DATO? ¿Qué mecanismos de control y vigilancia adoptará la SIC para garantizar al

ciudadano que se tratan sus datos en otros países de manera segura por virtud de un contrato celebrado entre particulares y sin su consentimiento expreso?" 2.5.1 Transferencia y transmisión de datos. En primer lugar, se debe tener en consideración que el Decreto 1377 de 2013 al definir los conceptos de transmisión y transferencia de datos no está estableciendo conceptos nuevos, sino desarrollando conceptos que ya se encontraban plasmados en la Ley 1581 de 2012, y tiene como finalidad enunciar con mayor claridad en relación con dichas figuras. El principio de circulación restringida está consagrado en los siguientes términos en el literal f del artículo 4 de la Ley 1581 de 2012 en los siguientes términos: "Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;" (7) Del estudio de dicho principio encontramos que el mismo hace referencia a quiénes pueden tener acceso a los datos personales almacenamos en una base y por su parte el capítulo V del Decreto 1377 de 2013 hace referencia al título VIII de la Ley 1581 de 2012 y a los conceptos de responsable y encargado del tratamiento de datos personales. Finalmente, en atención al inciso final de su pregunta le informamos que la figura de la transmisión de datos personales tiene precisamente la función de brindar garantías a los titulares de los datos personales y que siempre tengan la posibilidad de hacer efectivo su derecho fundamental al habeas data, dado que siempre podrá

acudir al responsable que se encuentra en Colombia, y no tendrá que acudir al encargado que se encuentra ubicado en otro país. Así mismo se debe tener en consideración que el contrato de transmisión de datos personales debe tener un contenido mínimo, el cual está previsto en el artículo 25 del Decreto 1377 de 2013. Al respecto se debe tener en cuenta que esta Superintendencia cuenta con las facultades previstas en el artículo 21 de la Ley 1581 de 2012 y que fueron analizadas en el numeral 2.1.2 del presente concepto. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos Notas de referencia: (1) Artículo 7 Decreto 1377 de 2013. (2) Literales b y f Artículo 21 Ley 1581 de 2012. (3) Artículo 10 Decreto 1377 de 2013. (4) Literal d Artículo 4 Ley 1581 de 2012. (5) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (6) Inciso final numeral 3 artículo 10 Decreto 1377 de 2013. (7) Literal f Artículo 4 Ley 1581 de 2012.