SIC - Concepto-13208880

Bogotá D.C., 10

Asunto: Radicación: 13-208880- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 5

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos. A continuación, nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto.

1. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta

una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j)Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación resolveremos sus interrogantes, respecto a la transmisión de datos personales en los siguientes términos: Primer cuestionamiento \"Teniendo en cuenta que el Contrato del artículo 25 está regulado en el Capítulo V Y'Transferencias y transmisiones internacionales de datos\", solicito se me informe si al realizar un contrato de transmisión entre el encargado y el responsable del tratamiento de la información, cuando están domiciliados en

territorio nacional, ¿de debe proceder a la firma del contrato de transmisión?\" Respuesta: El artículo 3 del Decreto 1377 de 2013 distingue entre transferencia y transmisión al definirlos de la siguiente manera: \"4. Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

5. Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.\" Por lo anterior, la transferencia de datos la puede realizar el Responsable y/o Encargado del tratamiento de los datos personales que se encuentre ubicado en Colombia, con el fin de enviar la información dentro o fuera del país a un receptor que tiene la calidad de Responsable.

Por su parte, la transmisión es la comunicación de datos personales dentro o fuera del Colombia y la realiza el Encargado por cuenta del Responsable. En concordancia con lo anterior, el artículo 25 del precitado decreto señala lo siguiente: \”Artículo 25. Contrato de transmisión de datos personales. El contrato que suscriba el Responsable con los Encargados para el Tratamiento de datos personales bajo su control y responsabilidad señalará los alcances del Tratamiento, las actividades que el Encargado realizará por cuenta del Responsable para el Tratamiento de los datos personales y las obligaciones del Encargado para con el Titular y el Responsable. Mediante dicho contrato el Encargado se comprometerá a dar aplicación a las

obligaciones del Responsable bajo la política de Tratamiento de la información fijada por éste y a realizar el Tratamiento de datos de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables. Además de las obligaciones que impongan las normas aplicables dentro del citado contrato, deberán incluirse las siguientes obligaciones en cabeza del respectivo Encargado:

1. Dar Tratamiento, a nombre del Responsable, a los datos personales conforme a los principios que los tutelan.

2. Salvaguardar la seguridad de las bases de datos en los que se contengan datos personales.

3. Guardar confidencialidad respecto del Tratamiento de los datos personales.\" El código civil colombiano define el contrato en los siguientes términos: \"El contrato es real cuando, para que sea perfecto, es necesaria la tradición de la cosa a que se refiere; es solemne cuando está sujeto a la observancia de ciertas formalidades especiales, de manera que sin ellas no produce ningún efecto civil; y es consensual cuando se perfecciona por el solo consentimiento\”.

En consecuencia y de acuerdo a la clasificación de los contratos, el de transmisión señalado en el Decreto 1377 de 2013 es un contrato solemne que exige la suscripción del mismo, la real academia de la lengua define suscribir así: \" 1. tr. Firmar al pie o al final de un escrito\”, por lo que sin dicha solemnidad el contrato no tiene ningún efecto civil y, por ende, la exoneración de no contar con la autorización del titular para el tratamiento de los datos personales no se aplica. Las transmisiones pueden hacerse cuando el Responsable y Encargado suscriban un contrato para el Tratamiento de datos personales bajo su control y responsabilidad y

señalen lo siguiente: (i) los alcances del Tratamiento; (ii) las actividades que el Encargado realizará por cuenta del Responsable para el Tratamiento de los datos personales y (iii) las obligaciones del Encargado para con el Titular y el Responsable. El encargado deberá cumplir con las obligaciones del Responsable bajo la política de tratamiento de la información y realizar el tratamiento de los datos personales de acuerdo a la finalidad que autorizó el titular de los mismos garantizando la confidencialidad de los datos y la seguridad de las bases de datos que los contenga. Segundo cuestionamiento \"En caso que NO sea obligatoria la firma del contrato, pero las partes realicen el contrato de transmisión de datos entre domiciliados en el territorio nacional, ¿Se obtiene igual la facultad de no informar de este hecho al titular no contar con su consentimiento para el tratamiento de los datos?\" Respuesta: Nos remitimos a la respuesta anterior, en relación a que el Decreto 1377 de 2013 exige que el responsable y encargado suscriban el contrato de transmisión y sin ello el mencionado contrato no ningún efecto. Tercer cuestionamiento \"En caso que SEA obligatoria la firma del contrato, pero las partes realicen el contrato de transmisión de datos entre domiciliados en el territorio nacional, ¿Se obtiene igual la facultad de no informar de este hecho al titular no contar con su consentimiento para la (sic) tratamiento de datos?\" Respuesta: Reiteramos que si no se cumple con el requisito de suscripción del contrato no es posible exonerar al responsable y encargado de no contar con la autorización del titular para el tratamiento de sus datos personales. Así mismo, insistimos en la definición del contrato de transmisión en el que se señala que la

comunicación de los datos personales puede hacerse dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos