SIC - Concepto-13194994

Bogotá D.C., 10

Asunto: Radicación: 13-0194994- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 7

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta La peticionaria formula las siguientes preguntas: 1. "Las peticiones presentadas por los usuarios a los proveedores de redes y servicios relacionadas con la nueva Ley de Habeas Data se deben tramitar bajo el procedimiento previsto en la Resolución CRC 3066 de 2011 o bajo el procedimiento previsto en el título V de la Ley 1581 de 2012?" 2. "Bajo que (sic) tipología de queja de la Circular SIC 14 de 2012 se deben clasificar?"

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de a solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración

de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar os derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Sin embargo, dentro del ámbito de las referidas competencias, a continuación, damos respuesta de manera general a sus preguntas. 2.1 La protección de datos personales. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (...)" (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-.

Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2) Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada."(3) Sin embargo, se debe tener en cuenta que como lo ha manifestado la Corte Constitucional, dicha clasificación es teórica y ambas clases son modalidades de un mismo derecho fundamental. Un concepto esencial y que determina la aplica0ilidad de dicha regulación es el de dato personal, el cual ha sido definido de la siguiente manera por el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables." (4) En relación con las características de los datos personales la Corte Constitucional ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside

exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."" (5) 2.2 Primera pregunta. De acuerdo con lo dispuesto en los artículos 8 y 22 de la Resolución número 3066 del 18 de mayo de 2011 de la Comisión de Regulación de Comunicaciones, el procedimiento a seguir cuando se trate de la infracción a las normas de protección de datos personales es el procedimiento especial previsto en la Ley 1581 de 2012, el cual se analiza a continuación. 2.2.1. Procedimiento para la consulta de los datos personales por parte de su titular. Uno de los derechos de los titulares de datos personales es la conocer los datos personales, derecho que se concreta en el procedimiento previsto en el artículo 14 de la Ley 1581 de 2012. En efecto, dicha norma prevé que los titulares de los datos personales o sus causahabientes puedan consultar su información personal en cualquier base de datos a la cual resulte aplicable la norma en comento. De acuerdo con lo cual, ante la solicitud efectuada por el titular a través de un medio habilitado para ello por el Responsable del tratamiento o el Encargado del tratamiento, estos últimos cuentan con el término máximo de 10 días hábiles para dar respuesta. Dicho término puede ser ampliado por un periodo no superior a 5 días, siempre y cuando dicha situación se informe al titular explicando la razón de la demora e indicando la fecha en que se dará respuesta definitiva. (6)

2.2.2. Procedimiento para la presentación de reclamos por parte del titular de datos personales. Con el fin de materializar el derecho de los titulares de corregir, actualizar, rectificar o suprimir los datos personales, y que su tratamiento se lleve a cabo en cumplimiento de la Constitución y la ley, el artículo 15 de la Ley 1581 de 2012 prevé un procedimiento para la presentación de reclamos por parte del titular de los datos personales. A continuación, se resumen las principales características de dicho trámite:  Se puede presentar el reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. (7)  El reclamo debe contener al menos la siguiente información (8):  identificación del titular  Descripción de los hechos que dan lugar al reclamo  Dirección del titular  Documentos que se quieran usar como pruebas  Cuando el reclamo esté incompleto, dentro de los 5 días siguientes a la recepción del reclamo, se requerirá al titular para que lo subsane. Si pasados 2 meses desde el requerimiento no se completa el reclamo se entiende que ha desistido del mismo. Si quien recibe el reclamo no es competente para resolverlo debe remitirlo dentro de los 2 días siguientes a quien es competente y debe informar de ello al titular. (9)  Cuando el reclamo esté completo, a más tardar a los 2 días hábiles se incluirá en la base de datos la leyenda "reclamo en trámite" y el motivo del reclamo, la cual se mantendrá hasta que se resuelva el reclamo. (10)  El reclamo se debe resolver en un término máximo de 15 días hábiles desde el día siguiente a la fecha de su recepción, sin embargo es posible que dicho

término se extienda por máximo 8 días hábiles más, lo cual se debe informar oportunamente al interesado indicando el motivo de la demora y la fecha en la cual se le dará respuesta de fondo. (11) 2.2.3 Presentación de una queja ante la Superintendencia de industria y Comercio De acuerdo con el artículo 19 de la Ley 1581 de 2012, la Superintendencia de industria y Comercio es la autoridad de protección de datos y en ejercicio de dicha función ejerce la vigilancia para garantizar que se respeten los derechos, principios y garantías consagrados en dicha norma. 2.2.3.1. Requisito de procedibilidad. Se debe tener en cuenta que, antes de acudir a esta Superintendencia para presentar una queja por infracción al régimen de protección de datos personales, se debe agotar el requisito de procedibilidad consagrado en el artículo 16 de la Ley 1581 de 2012, el cual consiste en surtir previamente el trámite de consulta o reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. 2.2.3.2. Procedimiento. Teniendo en cuenta que la Ley 1581 de 2012 no establece un procedimiento para el trámite de las quejas, sino que remite al procedimiento administrativo (12), se debe aplicar el procedimiento administrativo sancionatorio previsto en el Capítulo iii del Título iii del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. De acuerdo con lo anterior, dichos procedimientos tendrán las siguientes características:  Averiguación preliminar: En esta etapa la autoridad administrativa determina si existe mérito para llevar a cabo un procedimiento sancionatorio.

 Formulación de cargos: Una vez realizada la averiguación preliminar la Entidad determina si existe mérito para llevar a cabo la investigación, caso en el cual formulará  cargos, lo cual se hará mediante acto administrativo que se debe notificar personalmentea los investigados. Contenido del acto administrativo de formulación de cargos:  Los hechos que originan la investigación.  Personas investigadas.  Normas presuntamente infringidas.  Sanciones que se podrán imponer Contra el acto administrativo de formulación de cargos no proceden recursos, sin embargo, dentro de los 15 días siguientes a su notificación los investigados pueden presentar descargos y solicitar y aportar pruebas.  Etapa probatoria: En la cual se practican las pruebas decretadas, una vez terminado se corre traslado por el término de 10 días a los investigados para que presenten sus alegatos.  Decisión: Tiene el siguiente contenido:  Individualización de las personas a sancionar.  Análisis de los hechos y pruebas en los cuales se fundamenta la sanción.  Normas infringidas.  Decisión final, puede ser archivo o sanción. 2.3 Segunda pregunta. La Circular Externa número 14 del 10 de julio de 2012 tiene por finalidad instruir sobre el cumplimiento de las normas en materia de protección de usuarios de servicios de comunicaciones, por lo cual no resulta aplicable a las quejas que se presenten ante un proveedor de servicios de comunicaciones con ocasión de la infracción a la Ley 1581 de 2012. En este sentido, y en caso de que sea necesario, esta Superintendencia dictará instrucciones específicas sobre el cumplimiento de las normas de protección

de datos personales. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos Notas de referencia: (1) Artículo 15 Constitución Política de Colombia. (2) Corte Constitucional, Sentencia C-1011 del 16 de octubre de 2008. Magistrado

Ponente: Jaime Córdoba Triviño. (3) Ibídem. (4) Literal c artículo 3 Ley 1581 de 2012. (5) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. (6) Artículo 14 Ley 1581 de 2012. (7) Inciso primero artículo 15 Ley 1581 de 2012. (8) Numeral 1 artículo 15 Ley 1581 de 2012. (9) Ibídem. (10) Numeral 2 artículo 15 Ley 1581 de 2012. (11) Numeral 3 artículo 15 Ley 1581 de 2012. (12) Artículo 22 Ley 1581 de 2012.