SIC - Concepto-13186541

Bogotá D.C., 10

Asunto: Radicación: 13-186541- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 12

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Objeto de la Consulta En su escrito, en relación con la protección de datos personales, consulta: "¿Cómo debe llevarse a cabo el tratamiento de la base de datos personales de una institución educativa de carácter formal, cuando esta posee toda la información tanto de los padres de familia o acudientes como la de los estudiantes menores de edad? "¿Cuál es el término para que la misma institución obtenga la autorización del manejo de la base de datos de sus titulares? "¿Es procedente solicitar dicha autorización por correo electrónico cuando el número del estudiantado supera los 1.500?" A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto.

Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de

protección de datos personales:

 Velar por eI cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar os derechos de !as personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.sea necesaria para el ejercicio efectivo de sus funciones. Nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares. Sin embargo, dentro del ámbito de las referidas competencias, a continuación damos respuesta de manera general a su consulta. 2.1 Ámbito de aplicación de la Ley 1581 de 2012 Las bases de datos se encuentran definidas en los siguientes términos en el literal b

del artículo 3 de la Ley 1581 de 2012: "b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento;" (1) El dato personal está definido en los siguientes términos en el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (2) En relación con las características de los datos personales la Corte Constitucional ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."(3) Por su parte el ámbito de aplicación de la Ley 1581 de 2012 se encuentra definido en el artículo 2 de dicha norma, el cual determina: "Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. "La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado

del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. (...)\"(4) De acuerdo con lo anterior, la Ley 1581 de 2012 resulta aplicable al Tratamiento que de datos personales efectúen tanto personas de naturaleza privada como pública. Sin embargo, la misma no resulta aplicable a las siguientes bases de datos o archivos(5):  Las que se mantengan en un ámbito personal o doméstico.  Las que tengan por finalidad a seguridad y defensa nacional, control de avado de activos y financiación del terrorismo.  Las que contengan información de inteligencia y contrainteligencia.  Las de información periodística y contenidos editoriales.  Las reguladas por la Ley 1266 de 2008, ley estatutaria de protección de datos personales comerciales y financieros para el cálculo de riesgo crediticioLas reguladas por la Ley 79 de 1993, censos de población y de vivienda. 2.2 El tratamiento de datos personales de niños, niñas y adolescentes El artículo 7 de la Ley 1581 de 2012 establece: "Derechos de los niños, niñas y adolescentes. En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. "Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública. "Es tarea del Estado y las entidades educativas de todo tipo proveer información y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños, niñas y adolescentes respecto del Tratamiento indebido de sus datos personales, y proveer de

conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su información personal y la de los demás. "El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta ley."(6) En relación con la materia el artículo 12 del Decreto 1377 de 2013 establece: "Requisitos especiales para el Tratamiento de datos personales de niños, niñas y adolescentes. El Tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: "1. Que responda y respete el interés superior de los niños, niñas y adolescentes. "2. Que se asegure el respeto de sus derechos fundamentales. "Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. "Todo Responsable y Encargado involucrado en el Tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente Decreto. "La familia y la sociedad deben velar porque los Responsables y Encargados

del Tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente decreto (sic)." (7) Por lo cual, en principio, se encuentra prohibido el tratamiento de datos personales de niños, niñas y adolescentes. Sin embargo, es necesario que dicha norma sea interpretada a la luz del pronunciamiento de la Corte Constitucional al estudiar la constitucionalidad de la Ley 1581 de 2012. Para abordar la materia, Corte Constitucional analiza quiénes son los niños, niñas y adolescentes: "Es importante referir brevemente qué se entiende por niño, niña y adolescente en el ordenamiento jurídico colombiano. En desarrollo de este concepto, el Código de la Infancia y la Adolescencia, en su artículo 3°, estableció: "(...) se entiende por niño o niña las personas entre los 0 y 12 años, y por adolescente las personas entre 12 y 18 años de edad". La anterior definición fue declarada exequible por esta Corporación. Además es consonante con la definición en sentido amplio que contiene la Convención sobre los derechos del niño como "(...) todo ser humano menor de dieciocho años de edad (...)"." (8) En segundo lugar dicho Tribunal recuerda la protección especial de la que gozan los niños, niñas y adolescentes: "En definitiva, (i) el principio del interés superior de los niños, las niñas y adolescentes se realiza en el estudio de cada caso en particular y tiene por fin asegurar su desarrollo integral; (ii) este principio, además, persigue la realización efectiva de los derechos fundamentales de los menores de 18 años y también resguardarlos de los riesgos prohibidos que amenacen su

desarrollo armónico. Estos riesgos no se agotan en los que enuncia la ley sino que también deben analizarse en el estudio de cada caso particular; (iii) debe propenderse por encontrar un equilibrio entre los derechos de los padres o sus representantes legales y los de los niños, las niñas y adolescentes. Sin embargo, cuando dicha armonización no sea posible, deberán prevalecer las garantías superiores de los menores de 18 años. En otras palabras, siempre que prevalezcan los derechos de los padres, es porque se ha entendido que ésta es la mejor manera de darle aplicación al principio del interés superior de los niños, las niñas y adolescentes. "La calidad de sujetos de especial protección constitucional de los menores de dieciocho años tiene su fundamento en la situación de vulnerabilidad e indefensión en la que se encuentran, pues su desarrollo físico, mental y emocional está en proceso de alcanzar la madurez requerida para la toma de decisiones y participación autónoma dentro de la sociedad. El grado de vulnerabilidad e indefensión tiene diferentes grados y se da partir de todos los procesos de interacción que los menores de 18 años deben realizar con su entorno físico y social para el desarrollo de su personalidad. Por lo anterior, el Estado, la sociedad y la familia deben brindar una protección especial en todos los ámbitos de la vida de los niños, niñas y adolescentes, en aras de garantizar su desarrollo armónico e integral. "Adicional a lo expuesto, la protección constitucional reforzada de la cual son titulares los niños, las niñas y adolescentes tiene su sustento en (i) el respeto de su dignidad humana, y (ii) la importancia de construir un futuro promisorio

para la comunidad mediante la efectividad de todos sus derechos fundamentales. "En este orden de ideas, esta Sala encuentra que en el caso concreto del tratamiento de los datos de los niños, niñas y adolescentes, existe un riesgo prohibido que esta población en situación de vulnerabilidad está expuesta a sufrir, principalmente por la desbordante evolución de los medios informáticos, entre los que se encuentran la Internet y las redes sociales. Si bien, el acceso a los distintos sistemas de comunicación, les permite disfrutar de todos sus beneficios y ventajas, también su mal uso puede generar un conflicto en el ejercicio y efectividad de sus derechos fundamentales al buen nombre, al honor, a la intimidad, entre otros. El anterior planteamiento fue abordado en el Memorando sobre la protección de datos personales y la vida privada en las redes sociales en Internet, en particular de niños, niñas y adolescentes, adoptado en Montevideo el 28 de julio de 2009. Si bien, este documento no integra el denominado bloque de constitucionalidad y por tanto sus recomendaciones no son vinculantes para el Estado colombiano, constituye un documento valioso en torno al tema de la protección de datos personales de los niños, las niñas y adolescentes." (9) Posteriormente el tribunal constitucional estudia la corresponsabilidad que existe para la protección de los derechos de las niñas, niños y adolescentes: "En cuanto al inciso 3° del artículo 7° del proyecto debe también resaltarse que no sólo el Estado y las entidades educativas deben desarrollar acciones para evitar el uso inadecuado de los datos personales de los menores de 18 años sino que también son responsables en el aseguramiento de dicha garantía (i) los progenitores u otras personas que se encuentren a cargo de

su cuidado y los educadores; (ii) el legislador, quien debe asegurarse que en cumplimiento de sus funciones legislativas, específicamente, en lo referente al tratamiento de los datos personales de los menores de 18 años, dicha normativa no deje de contener las medidas adecuadas de protección para garantizar su desarrollo armónico e integral, y la efectividad de sus derechos fundamentales contenidos en la Constitución Política y en los estándares internacionales que existen sobre la materia; (iii) el sistema judicial; específicamente los servidores públicos deben proteger los derechos derivados del uso de los datos personales de los menores de 18 años observando los estándares internacionales o documentos especializados sobre la materia; (iv) los medios de comunicación; (v) las empresas que proveen los servicios de acceso a la Internet, desarrollan las aplicaciones o las redes sociales digitales, a quienes se advierte que deben comprometerse en la defensa de los derechos fundamentales de los niños, niñas y adolescentes." (10) Finalmente, la Corte Constitucional concluye que en ciertos casos sí es posible el tratamiento de datos personales de niños, niñas y adolescentes: "Esta Sala observa que la interpretación del inciso segundo, no debe entenderse en el sentido de que existe una prohibición casi absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello, daría lugar a la negación de otros derechos superiores de esta población como el de la seguridad social en salud, interpretación ésta que no se encuentra conforme con la Constitución. De lo que se trata entonces, es de reconocer y asegurar la plena vigencia de todos los derechos fundamentales de esta población, incluido el habeas data. "En este mismo sentido, debe interpretarse la expresión "naturaleza pública".

Es decir, el tratamiento de los datos personales de los menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes. "Sumado a la efectividad del interés superior de esta población, también es importante que se les asegure su derecho a ser escuchados en todos los asuntos que los afecten; y el tratamiento de sus datos, sin duda alguna, es un asunto que les concierne directamente. "En definitiva, siguiendo las recomendaciones que emitió el Comité acerca de esta importante garantía, la Corte considera relevante que la opinión del menor de 18 años sea siempre tenida en cuenta, pues la madurez con que expresen sus juicios acerca de los hechos que los afectan debe analizarse caso por caso. La madurez y la autonomía no se encuentran asociadas a la edad, más bien están relacionadas con el entorno familiar, social, cultural en el cual han crecido. En este contexto, la opinión del niño, niña, y adolescente siempre debe tenerse en cuenta, y el elemento subjetivo de la norma "madurez" deberá analizarse en concreto, es decir, la capacidad que ellos tengan de entender lo que está sucediendo (el asunto que les concierne) y derivar sus posibles consecuencias. "En definitiva, el inciso segundo del artículo objeto de estudio es exequible, si se interpreta que los datos de los niños, las niñas y adolescentes pueden ser objeto de tratamiento siempre y cuando no se ponga en riesgo la prevalencia

de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior, cuya aplicación específica devendrá del análisis de cada caso en particular." (11) De acuerdo con lo cual, será posible de manera excepcional el tratamiento de datos personales de los niños, niñas y adolescentes cuando se cumplan los siguientes criterios:  La finalidad del tratamiento responda al interés superior de los niños, niñas y adolescentes  Se asegure el respeto de sus derechos fundamentales de los niños, niñas y adolescentes.  De acuerdo con la madurez del niño, niña o adolescente se tenga en cuenta su opinión.  Se cumpla con los requisitos previstos en la Ley 1581 de 2012 para el tratamiento de datos personales. De acuerdo con el pronunciamiento de la Corte Constitucional cuando se cumpla con ciertos requisitos, se puede llevar a cabo el tratamiento de datos personales de niños, niñas y adolescentes, caso en el cual se deberá cumplir con los principios y deberes previstos en la Ley 1581 de 2012. La representación legal de los incapaces, categoría dentro de la cual se encuentran los niños, niñas y adolescentes, de acuerdo con el artículo 62 del Código Civil corresponde a sus representantes legales. En esta medida, para el tratamiento de un dato personal de un niño, niña o adolescente, la autorización previa para dicho tratamiento debe ser otorgada por el representante legal del menor, los cuales, en principio, serán conjuntamente sus padres, y se aplicará lo previsto en la Ley 1581 de 2012. Específicamente la autorización previa será abordada al hacer referencia al principio de libertad.

Sin embargo, debe tenerse en cuenta, que en la medida de lo posible, debe contarse con la opinión del niño, niña y adolescente, según analizó la Corte Constitucional en la Sentencia C-748 de 2011. 2.3 Autorización en relación con datos personales de adultos En relación con los datos personales de adultos resulta aplicable el régimen general de autorización previa, el cual se estudia a continuación. El principio de libertad, que es pilar fundamental de las normas de protección de datos personales, implica que la actividad de Tratamiento de datos personales solamente se pueda llevar a cabo con la autorización previa del titular de los mismos. En relación con los requisitos que debe cumplir dicha autorización la Corte Constitucional consideró: "En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. (...) "En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (...) "En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. Lo anterior, por varias razones: "En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (...) "En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso. (...)

"En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (...) "De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales. Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez." (12) Respecto de la autorización el Decreto 1377 de 2013 dispone: "Autorización. El responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. (...) "En caso de haber cambios sustanciales en el contenido de las políticas de Tratamiento a que se refiere el Capítulo III de este Decreto, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos

personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento." (13) Dado que la ley no exige que la autorización dada por los titulares de los datos personales para su tratamiento adopte una forma determinada, por lo cual, siempre y cuando no se trate del tratamiento de datos personales sensibles, podrá adoptar cualquier forma siempre que se garantice el cumplimiento de los requisitos analizados con antelación. En este sentido, el artículo 7 del Decreto 1377 de 2013 al reglamentar la Ley 1581 de 2013 prevé las distintas formas a través de las cuales se puede obtener la autorización de los titulares de los datos personales para su tratamiento: "Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los Titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a la

conducta inequívoca." (14) De acuerdo con lo anterior, la autorización para el tratamiento de los datos personales puede ser obtenida a través de los siguientes modos:  Por escrito  De forma oral  Mediante conductas inequívocas del titular, cuando no se trate de datos personales de carácter sensible.

3. Conclusiones 3.1 En principio, de acuerdo con el artículo 7 de la Ley 1581 de 2012, está prohibido el tratamiento de los datos personales de los niños, niñas y adolescentes, sin embargo, la Corte Constitucional consideró que puede darse el tratamiento de dichos datos siempre y cuando se cumpla con unos determinados requisitos. 3.2. Cuando se trate de datos personales de niños, niñas y adolescentes la autorización previa para el tratamiento debe ser dada por el representante legal, contando, en lo posible, con la opinión del menor. 3.3. Para el tratamiento de datos personales de adultos se aplican las reglas generales de autorización, según se analizó en el numeral 3 del presente concepto.

Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co.

Notas de referencia: (1) Literal b artículo 3 Ley 1581 de 2012. (2) Literal c artículo 3 Ley 1581 de 2012. (3) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (4) Artículo 2 Ley 1581 de 2012. (5) Ibídem. (6) Artículo 7 Ley 1581 de 2012. (7) Artículo 12 Decreto 1377 de 2013.

(8) Corte Constitucional Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (9) Ibídem (10) Ibídem (11) Ibídem (12) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (13) Artículo 5 Decreto 1377 de 2013. (14) Artículo 7 Decreto 1377 de 2013. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA