SIC - Concepto-13180020

Bogotá D.C., 10

Asunto: Radicación: 13-180020- -00004-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 6

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Objeto de la consulta Manifiesta en su escrito lo siguiente: \"Con el fin de dar cumplimiento a lo consagrado en la Ley 1581 de 2012 sobre el Régimen de Protección de Datos personales, nos gustaría conocer que trámite debemos realizar para obtener la declaración de conformidad relativa a la transferencia internacional de datos personales expedida por la Superintendencia de industria y Comercio, con el fin de transferir nuestra bases de datos a una de las sociedades vinculadas a nuestro grupo empresarial Banco BTG Pactual, la sociedad vinculada a la cual se transferir la información se encuentra domiciliada en Chile.\" Sea lo primero indicarle que no es posible para esta Oficina resolver situaciones de carácter particular, como lo es la expuesta en su comunicación.

De todas maneras, a continuación le suministramos la información que consideramos pertinente en relación con el caso por usted planteado, con el fin de brindarle mayores elementos de juicio.

2. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta

Superintendencia:

a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional.

j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. 2.1. Transferencia y transmisión de datos personales El artículo 3 del Decreto 1377 de 2013 distingue entre transferencia y transmisión al definirlos de la siguiente manera:

4. Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

5. Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del

Responsable. Por lo anterior, la transferencia de datos la puede realizar el Responsable y/o Encargado del tratamiento de los datos personales que se encuentre ubicado en Colombia, con el fin de enviar la información dentro o fuera del país a un receptor que tiene la calidad de Responsable. Por su parte, la transmisión es la comunicación de datos personales dentro o fuera del Colombia y la realiza el Encargado por cuenta del Responsable. Respecto a la transferencia internacional de datos personales, el artículo 26 de la Ley 1581 de 2012 señala lo siguiente: Prohibición. Se prohíbe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos. Se entiende

que un país ofrece un nivel adecuado de protección de datos cuando cumpla con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los que la presente ley exige a sus destinatarios. Esta prohibición no regirá cuando se trate de: a) Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca para la transferencia. b) Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública. c) Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable. d) Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte, con fundamento en el principio de reciprocidad. e) Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la autorización del Titular. f) Transferencias legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. Parágrafo 1. En los casos no contemplados como excepción en el presente artículo, corresponderá a la Superintendencia de Industria y Comercio, proferir la declaración de conformidad relativa a la transferencia internacional de datos personales. Para el efecto, el Superintendente queda facultado para requerir información y adelantar las diligencias tendientes a establecer el cumplimiento de los presupuestos que requiere la viabilidad de la operación. Parágrafo 2. Las disposiciones contenidas en el presente artículo serán aplicables

para todos los datos personales, incluyendo aquellos contemplados en la Ley 1266 de 2008. Por lo anterior, como regla general la ley establece que se prohíbe la transferencia de datos personales a terceros países que no proporcionen niveles adecuados de protección de datos y señala como excepción los eventos en los que procede dicha transferencia. Respecto a los niveles adecuados de protección de datos personales la Corte Constitucional mediante sentencia C-748 de 2012 señaló lo siguiente: (...) [s]e entenderá que un país cuenta con los elementos o estándares de garantía necesarios para garantizar un nivel adecuado de protección de datos personales, si su legislación cuenta; con unos principios, que abarquen las obligaciones y derechos de las partes (titular del dato, autoridades públicas, empresas, agencias u otros organismos que efectúen tratamientos de datos personales), y de los datos (calidad del dato, seguridad técnica) y; con un procedimiento de protección de datos que involucre mecanismos y autoridades que efectivicen la protección de la información. De lo anterior se deriva que el país al que se transfiera los datos, no podrá proporcionar un nivel de protección inferior al contemplado en este cuerpo normativo que es objeto de estudio. (...) Por lo anterior, son dos los factores que se deberán tener en cuenta para considerar que un país cuenta con un adecuado nivel de protección de datos, a saber: (i) que existan normas constitutivas de derechos en cabeza del titular de datos y obligaciones respecto de quienes hagan tratamiento o ejercen control sobre dicho tratamiento y (ii) que se cuente con los mecanismos necesarios que garanticen la aplicación de las normas, lo cual implica el establecimiento de un conjunto de

sanciones a los infractores y un órgano de control. 2.2. Declaraciones de conformidad proferidas por la Superintendencia de Industria y Comercio El artículo 13 de la Ley 1437 de 2011 señala lo siguiente respecto al derecho de petición: Toda persona tiene derecho de presentar peticiones respetuosas a las autoridades, en los términos señalados en este Código, por motivos de interés general o particular, y a obtener pronta resolución. Toda actuación que inicie cualquier persona ante las autoridades implica el ejercicio del derecho de petición consagrado en el artículo 23 de la Constitución Política, sin que sea necesario invocarlo. Mediante él, entre otras actuaciones, se podrá solicitar el reconocimiento de un derecho o que se resuelva una situación jurídica, que se le preste un servicio, pedir información, consultar, examinar y requerir copias de documentos, formular consultas, quejas, denuncias y reclamos e interponer recursos. Por su parte el artículo 16 de la precitada ley establece el contenido de las peticiones en los siguiente términos: Toda petición deberá contener, por lo menos:

1. La designación de la autoridad a la que se dirige.

2. Los nombres y apellidos completos del solicitante y de su representante y o apoderado, si es el caso, con indicación de su documento de identidad y de la dirección donde recibirá correspondencia. El peticionario podrá agregar el número de fax o la dirección electrónica. Si el peticionario es una persona privada que deba estar inscrita en el registro mercantil, estará obligada a indicar su dirección electrónica.

3. El objeto de la petición.

4. Las razones en las que fundamenta su petición.

5. La relación de los requisitos exigidos por la ley y de los documentos que desee presentar para iniciar el trámite.

6. La firma del peticionario cuando fuere el caso.

PARÁGRAFO. La autoridad tiene la obligación de examinar integralmente la petición, y en ningún caso la estimará incompleta por falta de requisitos o documentos que no se encuentren dentro del marco jurídico vigente y que no sean necesarios para resolverla. Por lo anterior, la solicitud de declaración de conformidad para la transferencia de datos personales a terceros países, podrá hacerla a través de un derecho de petición, con el lleno de los requisitos mencionados y ante la Delegatura de Protección de datos personales de esta Entidad. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos