SIC - Concepto-13187527

Bogotá D.C., 10

Asunto: Radicación: 13-187527- -00003-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 7

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, la cual fue recibida en esta Oficina Jurídica el día 18 de septiembre de 2013, en los siguientes términos.

1. Consulta El peticionario formula la siguiente solicitud: "(...) Estamos trabajando en el proceso de protección y tratamiento de información y datos personales; a continuación anexo los documentos que hemos concluido con el ánimo nos validen y den visto bueno (...)"

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por eI cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de a solicitud y de as pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.

 Promover y divulgar os derechos de !as personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Al respecto, en primer lugar, nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares, ni revisar documentos y dar el visto bueno a los mismos. Sin embargo, dentro del ámbito de las referidas competencias, a continuación le brindamos información sobre el Registro Nacional de Bases de Datos, el Aviso de Privacidad y las Políticas de tratamiento de datos. 2.1 La protección de datos personales. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y

demás garantías consagradas en la Constitución. (...)" (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2) Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada" (3) Sin embargo, se debe tener en cuenta que como lo ha manifestado la Corte Constitucional, dicha clasificación es teórica y ambas clases son modalidades de un mismo derecho fundamental. Un concepto esencial y que determina la aplicabilidad de dicha regulación es el de dato personal, el cual ha sido definido de la siguiente manera por el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (4) En relación con las características de los datos personales la Corte Constitucional ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales - son

las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."" (5) 2.2 El Registro Nacional de Bases de Datos El artículo 25 de la Ley 1581 de 2012 señala lo siguiente: "Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento." (6) De acuerdo con lo anterior, el Registro Nacional de Bases de Datos es el directorio

público de las bases de datos sujetas a tratamiento que operan en el país y los interesados deberán aportar a esta Superintendencia las políticas de tratamiento de la información, las cuales no podrán ser inferiores a los deberes del Responsable y del Encargado del Tratamiento de los datos personales contenidos en los artículo 17 y 18 de la Ley 1581 de 2012. Se debe tener en cuenta que el citado parágrafo del artículo 25 de la Ley 1581 de 2012 señaló que es deber del Gobierno Nacional reglamentar la información mínima que contendrá dicho Registro, así como los términos y condiciones bajo los cuales se inscribirán los Responsables del Tratamiento de datos, la cual a la fecha no ha sido expedida. El proyecto de dicho decreto puede ser consultado en el siguiente link: https://www.mincomercio.gov.co/descargar.php?id=65683, o ingresando a la página web: www.mincomercio.gov.co y seleccionando la opción NormativaProyectos. 2.3 El Aviso de Privacidad y las Políticas de tratamiento de datos personales. El Decreto 1377 de 2013 al reglamentar la Ley 1581 de 2012 estableció dos mecanismos a través de los cuales se debe poner en conocimiento de los titulares de los datos personales cierta información, estos son el Aviso de privacidad y las Políticas de tratamiento de la información. El Aviso de privacidad se encuentra definido en los siguientes términos en el numeral 1 del artículo 3 del Decreto 1377 de 2013: "Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de

Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales." (7) Está previsto que por regla general el Responsable ponga a disposición del titular de los datos personales las Políticas de tratamiento de la información, sin embargo, cuando ello no sea posible se hará uso del Aviso de privacidad, según lo establece el artículo 14 del Decreto 1377 de 2013: "Aviso de privacidad. En los casos en que no sea posible poner a disposición del Titular las políticas de Tratamiento de la Información, los Responsables deberán informar por medio de un Aviso de Privacidad al Titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales." (8) El contenido mínimo del Aviso de privacidad está regulado en el artículo 15 del Decreto 1377 de 2013, el cual determina: "Contenido mínimo del Aviso de Privacidad. El Aviso de Privacidad, como mínimo, deberá contener la siguiente información:

1. Nombre o razón social y datos de contacto del Responsable del

Tratamiento.

2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo.

3. Los derechos que le asisten al Titular.

4. Los mecanismos dispuestos por el Responsable para que el Titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información.

No obstante lo anterior, cuando se recolecten datos personales sensibles, el

Aviso de Privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos. En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los Titulares la política de Tratamiento de la información, de conformidad con lo establecido en este Decreto." (9) Por otra parte, las Políticas de tratamiento de la información, que según se indicó deben ser la regla general, se encuentran reguladas en los siguientes términos en el artículo 13 del Decreto 1377 de 2013: "Políticas de Tratamiento de la información. Los Responsables del Tratamiento deberán desarrollar sus políticas para el Tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de Tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información:

1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable.

2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando ésta no se haya informado mediante el Aviso de Privacidad.

3. Derechos que le asisten como Titular.

4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.

5. Fecha de entrada en vigencia de la política de Tratamiento de la información y periodo de vigencia de la base de datos.

Cualquier cambio sustancial en las políticas de Tratamiento, en los términos descritos en el artículo 5 del presente decreto, deberá ser comunicado oportunamente a los Titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas." (10) Si requieren mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, pueden consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos Notas de referencia: (1) Artículo 15 Constitución Política de Colombia. (2) Corte Constitucional Sentencia 01011 de i 16 de octubre de 2008i Magistrado Ponente: Jaime Córdoba

Triviño. (3) Ibídem. (4) Literal c artículo 3 Ley 1581 de 2012. (5) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (6) Artículo 25 Ley 1581 de 2012. (7) Artículo 3 Decreto 1377 de 2013. (8) Artículo 14 Decreto 1377 de 2013. (9) Artículo 15 Decreto 1377 de 2013. (10) Artículo 13 Decreto 1377 de 2013.