SIC - Concepto-13188772

Bogotá D.C., 10

Asunto: Radicación: 13-188772- -00004-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 8

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Objeto de la consulta Manifiesta en su escrito lo siguiente: \"(...) En cumplimiento con el Decreto 1377 de 2013 el cual hace referencia al manejo de los datos personales, comedidamente le solicito me informe a qué departamento y cómo se debe informar sobre la Política de tratamiento de datos personales implementado por la empresa, con el fin de dar cumplimiento al decreto\".

A continuación, nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

2. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el

derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre

otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. 2.1. Políticas de tratamiento de la información El artículo 17 de la Ley 1581 de 2012 señala los siguientes deberes para los responsables del tratamiento: Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data. b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular. c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible. f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a éste se mantenga actualizada. g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento. h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo

Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley. i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular. j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley. k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos. l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo. m) Informar a solicitud del Titular sobre el uso dado a sus datos. n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares. o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. En concordancia con lo anterior, es importante mencionar el deber que tienen los responsables de fijar las políticas de tratamiento de datos personales y, para ello, el artículo 13 del Decreto 1377 de 2013 señala lo siguiente: Políticas de Tratamiento de la información. Los Responsables del Tratamiento deberán desarrollar sus políticas para el Tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de Tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los

Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información:

1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del

Responsable.

2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando ésta no se haya informado mediante el Aviso de Privacidad.

3. Derechos que le asisten como Titular.

4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización.

5. Procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.

6. Fecha de entrada en vigencia de la política de Tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de Tratamiento, en los términos descritos en el artículo 5 del presente decreto, deberá ser comunicado oportunamente a los Titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.

Por lo anterior, los responsables tienen la obligación de desarrollar las políticas para el tratamiento de los datos personales, las cuales deben constar en medio físico o electrónico y ser puestas en conocimiento de los titulares. Dichas políticas deberán contener los deberes de los responsables señalados en el artículo 17 de la Ley 1581 de 2012 y la información del artículo 13 del Decreto 1377 de 2013. 2.2. Aviso de Privacidad El artículo 3 del Decreto 1377 de 2013, define los avisos de privacidad en los siguientes términos:

Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.

Por su parte, el artículo 14 del precitado decreto dispone lo siguiente: Aviso de privacidad. En los casos en los que no sea posible poner a disposición del Titular las políticas de Tratamiento de la Información, los Responsables deberán informar por medio de un Aviso de Privacidad al Titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales. En concordancia con lo anterior, el artículo 15 del mencionado decreto señala: Contenido mínimo del Aviso de Privacidad. El Aviso de Privacidad, como mínimo, deberá contener la siguiente información:

1. Nombre o razón social y datos de contacto del Responsable del Tratamiento.

2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo.

3. Los derechos que le asisten al Titular.

4. Los mecanismos dispuestos por el Responsable para que el Titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información.

No obstante lo anterior, cuando se recolecten datos personales sensibles, el Aviso de Privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las

preguntas que versen sobre este tipo de datos. En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los Titulares la política de Tratamiento de la información, de conformidad con lo establecido en este Decreto. Ahora bien, los responsables deben acreditar la puesta a disposición del aviso de privacidad en los términos del artículo 16 del citado decreto así: Deber de acreditar puesta a disposición del aviso de privacidad y las políticas de Tratamiento de la información. Los Responsables deberán conservar el modelo del Aviso de Privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los Titulares la existencia de políticas del Tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven. Para el almacenamiento del modelo, el Responsable podrá emplear medios informáticos, electrónicos o cualquier otra tecnología que garantice el cumplimiento de lo previsto en la Ley 527 de 1999. El artículo 17 del mencionado decreto dispone los medios de difusión del aviso de privacidad así: Medios de difusión del aviso de privacidad y de las políticas de Tratamiento de la información. Para la difusión del Aviso de Privacidad y de la política de Tratamiento de la información, el Responsable podrá valerse de documentos, formatos electrónicos, medios verbales o cualquier otra tecnología, siempre y cuando garantice y cumpla con el deber de informar al Titular. Por lo anterior, el aviso de privacidad tiene como objeto que el responsable informe al titular de los datos personales sobre las políticas de tratamiento de información, la

forma de acceder a ellas y la finalidad que se pretende con sus datos personales en el tratamiento, el cual puede ser difundido a través de documentos, formatos electrónicos, medios verbales o cualquier otra tecnología. Los responsables deberán conservar el modelo del aviso de privacidad por cualquier medio informático, electrónico o cualquier otra tecnología que permita: (i) que la información se accesible para su posterior consulta; (ii) que el documento sea conservado en el formato en que se haya generado o en algún formato que permita demostrar que reproduce con exactitud la información; (iii) que se conserve, toda la información que permita determinar el origen, la fecha y la hora en que fue producido el documento. 2.3. Registro de bases de datos El artículo 25 de la Ley 1581 de 2012 señala lo siguiente respecto al registro de bases de datos: (...) Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento. El registro de las bases de datos deberá realizarse aportando las políticas de tratamiento de la información las cuales no podrán ser inferiores a los deberes del responsable y encargado del tratamiento de los datos personales. Al respecto, el

Gobierno Nacional reglamentará la información mínima que contendrá dicho Registro, así como los términos y condiciones bajo los cuales se inscribirán los Responsables del Tratamiento de Datos, estableciendo un plazo de un año, contado a partir de la promulgación de la ley, es decir, hasta el 18 de octubre de 2013. De lo anterior, existe un proyecto de decreto para la reglamentación del artículo 25 de la Ley 1581 de 2012 que podrá consultarlo en la página del Ministerio de Comercio, Industria y Turismo, en el icono \"Normatividad\", escoge \"proyectos\" y allí encuentra el documento.

3. Conclusiones 3.1. Las políticas de tratamiento de la información deberán contener como mínimo las obligaciones de los responsables y encargados señalados en los artículos 17 y 18 respectivamente de la Ley 1581 de 2013 y la información señalada en el artículo 13 del Decreto 1377 de 2013, dichas políticas deberán ser remitidas a esta Superintendencia al momento de realizar el registro de bases de datos personales. 3.2. El aviso de privacidad tiene como objeto que el responsable informe al titular de los datos personales sobre las políticas de tratamiento de información, la forma de acceder a ellas y la finalidad que se pretende con sus datos personales en el tratamiento, el cual puede ser difundido a través de documentos, formatos electrónicos, medios verbales o cualquier otra tecnología.

Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos