SIC - Concepto-13201140

Bogotá D.C., 10

Asunto: Radicación: 13-201140- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 6

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula una serie de preguntas en relación con la Ley 1581 de 2012 y el Decreto 1377 de 2013.

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para

capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Dentro del ámbito de las referidas competencias a continuación damos respuesta a sus preguntas. Primera pregunta "¿Ha entrado en vigencia total o parcial la ley 1581 de 2012? ¿de ser parcial que artículos no ha entrado a seguir (sic)?" 2.1.1 Respuesta El artículo 28 de la Ley 1581 de 2012 determina: "Régimen de transición. Las personas que a la fecha de entrada en vigencia de la presente ley ejerzan alguna de las actividades acá reguladas tendrán un plazo de hasta seis (6) meses para adecuarse a las disposiciones contempladas en esta ley." (1) De acuerdo con la norma citada, si bien la Ley 1581 de 2012 entró en vigencia con su publicación, la cual se llevó a cabo en el Diario Oficial número 48.587 del 18 de octubre de 2012, se otorgó un plazo de seis meses para llevar a cabo las actividades necesarias para dar cumplimiento a dicha norma, término que ya expiró. Por lo cual, a la fecha, la Ley 1581 de 2012 tiene plena vigencia. Segunda pregunta "¿Ha entrado en vigencia total o parcial el decreto 1377 de 2013, ¿de ser parcial

que artículos no han (sic) entrado a seguir (sic)?" 2.2.1 Respuesta El artículo 28 del Decreto 1377 de 2013 establece: "Vigencia y derogatorias. El presente decreto rige a partir de su publicación en el Diario Oficial y deroga las disposiciones que le sean contrarias." (2) De acuerdo con dicha norma, el Decreto 1377 de 2013 en su totalidad entró en vigencia a partir de su publicación en el Diario Oficial número 48.834 del 27 de junio de 2013. 2.3 Tercera pregunta "¿Con al (sic) artículo 25 respecto a la ley 1581 del 2012 referente al registro nacional de bases de datos a. ¿Se encuentra el registro ya constituido? b. ¿Es obligatorio el registro para quienes deseen constituir sus bases de datos? c. ¿Qué requisitos se deben cumplir para poder realizar el registro adecuadamente?" 2.3.1 Respuesta El artículo 25 de la Ley 1581 de 2012 señala lo siguiente: "Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos

en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento." (3) De acuerdo con lo anterior, el Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a tratamiento que operan en el país y los interesados deberán aportar a esta Superintendencia las políticas de tratamiento de la información, las cuales no podrán ser inferiores a los deberes del Responsable y del Encargado del Tratamiento de los datos personales contenidos en los artículo 17 y 18 de la Ley 1581 de 2012. Se debe tener en cuenta que el citado parágrafo del artículo 25 de la Ley 1581 de 2012 señaló que es deber del Gobierno Nacional reglamentar la información mínima que contendrá dicho Registro, así como los términos y condiciones bajo los cuales se inscribirán los Responsables del Tratamiento de datos, la cual a la fecha no ha sido expedida. El proyecto de dicho decreto puede ser consultado en el siguiente link: https://www.mincomercio.gov.co/descargar.php?id=65683, o ingresando a la página web: www.mincomercio.gov.co y seleccionando la opción Normativa - Proyectos. 2.4 Cuarta pregunta "¿Con el artículo 19 respecto a la ley 1581 del 2012 referente al registro nacional de bases de datos a. ¿Ha sido ya constituida la Delegatura para la protección de datos Personales? ¿En caso de estar ya constituida donde (sic) se encuentran sus oficinas?" 2.4.1 Respuesta El artículo 19 de la Ley 1581 de 2012 estableció:

"Artículo 19. Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley. Parágrafo 1o. El Gobierno Nacional en el plazo de seis (6) meses contados a partir de la fecha de entrada en vigencia de la presente ley incorporará dentro de la estructura de la Superintendencia de Industria y Comercio un despacho de Superintendente Delegado para ejercerlas funciones de Autoridad de Protección de Datos. Parágrafo 2°. La vigilancia del tratamiento de los datos personales regulados en la Ley 1266 de 2008 se sujetará a lo previsto en dicha norma." (4) En cumplimiento de dicha disposición a través del Decreto 4886 del 23 de diciembre 2011 se creó la Delegatura de Protección de Datos Personales, la cual funciona en la sede de la Superintendencia de Industria y Comercio, en la Carrera 13 número 27-00, Piso 7, de la ciudad de Bogotá. 2.5 Quinta pregunta "¿ Ya se están aplicando las sanciones contempladas en la norma y quien (sic) es el actual encardo (sic) de establecerlas e inspeccionar el control dichas normas en la actualidad?" 2.5.1 Respuesta El artículo 23 de la Ley 1581 de 2012 establece las sanciones que se pueden imponer por la infracción a dicha norma: "Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá

imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva." (5) La función de llevar a cabo la investigación y sanción por la infracción a la Ley 1581 de 2012 y las normas que la reglamenten está en cabeza de la Dirección de Investigación de Protección de Datos Personales. 2.6 Sexta pregunta "¿En qué oficinas o secciones de la superendía (sic) se puede recibir

información adicional al respecto y donde (sic) se encuentran?" 2.6.1 Respuesta Esta Oficina Jurídica emite sus conceptos por escrito, en esta medida, si tiene más consultas jurídicas sobre las normas que aplica esta Superintendencia puede remitirlas al correo electrónico contactenos@sic.gov.co. La dependencia a cargo de la atención a los usuarios es el Grupo de Trabajo de Atención al ciudadano, la cual puede contactar a través del siguiente número telefónico: 5920400. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos