SIC - Concepto-13225904

Bogotá D.C., 10

Asunto: Radicación: 13-0225904- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 10

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta La peticionaria formula la siguiente consulta: "(...) Quisiera preguntar si una empresa que traslado (sic) su centro de datos al exterior tiene derecho a manejar mi información o debe tener una autorización específica para que información se encuentre fuera de colombia (sic) (...)"

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de a solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar os derechos de las personas en relación con el

Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los responsables del Tratamiento y Encargados del Tratamiento de la información que sea necesaria para el ejercicio efectivo de sus funciones. Nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares. Sin embargo, dentro del ámbito de las referidas competencias, a continuación, damos respuesta de manera general a su consulta. 2.1 La protección de datos personales. El artículo 15 de la Constitución Política consagra los derechos a la intimidad, al buen nombre y a la protección de datos personales o habeas data en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (...)" (1) Dicho derecho ha sido desarrollado principalmente en las leyes 1266 de 2008Habeas datay 1581 de 2012 -Protección de datos personales-. Al respecto la Corte Constitucional ha considerado que la Ley 1266 de 2008 regula el hábeas data financiero, el cual ha sido definido así: "el derecho que tiene todo individuo a conocer, actualizar y rectificar su información personal comercial, crediticia y financiera, contenida en centrales de información pública o privada, que tiene como función recopilar, tratar y circular esos datos con el fin de determinar el nivel de riesgo financiero" (2) Por otra parte, el habeas data genérico ha sido definido como: "el derecho que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan escogido sobre ellas en archivos y bancos de datos de naturaleza pública y privada" (3) Sin embargo, se debe tener en cuenta que como lo ha manifestado la Corte Constitucional, dicha clasificación es teórica y ambas clases son modalidades de un mismo derecho fundamental. Un concepto esencial y que determina la aplicabilidad de dicha regulación es el de dato personal, el cual ha sido definido de la siguiente manera por el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (4) En relación con las características de los datos personales la Corte Constitucional ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión

de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."" (5) 2.2. Ámbito de aplicación de la Ley 1581 de 2012. En primer lugar, se debe estudiar el artículo 2 de la Ley 1581 de 2012, el cual fija el ámbito de aplicación de dicha norma: "Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. (...)\"(6) En consecuencia, el régimen de protección de datos personales se aplica a los datos personales que estén registrados en cualquier base de datos, sin embargo, no resulta aplicable a las siguientes bases de datos o archivos (7):  Las que se mantengan en un ámbito personal o doméstico.  Las que tengan por finalidad la seguridad y defensa nacional, control de lavado de activos y financiación del terrorismo.  Las que contengan información de inteligencia y contrainteligencia.  Las de información periodística y contenidos editoriales.

 Las regladas por la Ley 1266 de 2008, ley estatutaria de protección de datos personales comerciales y financieros para el cálculo de riesgo crediticio (8)  Las reguladas por la Ley 79 de 1993, censos de población y de vivienda. Pese a lo cual, con fundamento en el parágrafo del artículo 2 de la Ley 1581 de 2012, a todas las bases de datos, incluso aquellas que no regula dicha ley, les serán aplicables los principios sobre protección de datos personales. 2.3. Conceptos de encargado y responsable del tratamiento. Se deben tener en cuenta los conceptos de responsable y de encargado del tratamiento: "d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;" (8) En este sentido, es posible que una persona natural o jurídica lleve a cabo actividades que impliquen el tratamiento de datos personales, sin embargo, dicha actividad se efectúe por cuenta del responsable del tratamiento, este sería un encargado del tratamiento y le serían aplicables los deberes previstos en el artículo 18 de la Ley 1581 de 2012. 2.4. Transmisión internacional de datos personales. La transmisión de datos personales está definida en los siguientes términos en el numeral 5 del artículo 3 del Decreto 1377 de 2013: "Transmisión: Tratamiento de datos personales que implica la comunicación de

los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable." (9) Al respecto se debe tener en consideración lo dispuesto en el artículo 24 del Decreto 1377 de 2013: "De la transferencia y transmisión internacional de datos personales. Para la transmisión y transferencia de datos personales, se aplicarán las siguientes reglas:

1. Las transferencias internacionales de datos personales deberán observar lo previsto en el artículo 26 de la Ley 1581 de 2012.

2. Las transmisiones internacionales de datos personales que se efectúen entre un Responsable y un Encargado para permitir que el Encargado realice el Tratamiento por cuenta del Responsable, no requerirán ser informadas al Titular ni contar con su consentimiento cuando exista un contrato en los términos del artículo 25 siguiente." (10) Cuando el tercero que tenga el rol de encargado del tratamiento de datos personales y lo realice por cuenta del responsable, se encuentre fuera o dentro del territorio colombiano se presenta la figura de la transmisión de datos y se regula por los artículos 24 y 25 del Decreto 1377 de 2013.

Así mismo, de acuerdo con el citado numeral 2 del artículo 24 del Decreto 1377 de 2013, cuando se trate de una transmisión internacional se debe contar con un contrato suscrito entre el responsable y el encargado, que debe tener el contenido mínimo previsto en el artículo 25 de dicha norma, lo anterior a fin de no tener que informar al titular dicha operación, ni requerir de su consentimiento. 2.5. Revocatoria de la autorización y solicitud de supresión. El literal e del artículo 8 de la Ley 1581 de 2012 consagra el siguiente derecho a favor

de los titulares de datos personales: "Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;" (11) Al respecto, se debe tener en cuenta que dicho artículo fue declarado exequible por la Corte Constitucional bajo el entendido de que sea interpretado de la siguiente forma: "En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos." (12) En este sentido el artículo 9 del Decreto 1377 de 2013 dispone: "Revocatoria de la autorización y/o supresión del dato. Los titulares podrán en todo momento solicitar al Responsable o Encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El Responsable o Encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el Responsable y/o el Encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012." (13) De acuerdo con lo cual el titular del dato puede revocar la autorización y pedir la supresión siempre que lo quiera y no esté legal o contractualmente obligado a permanecer en la base de datos, y también cuando no se haya hecho un uso adecuado del dato. Adicionalmente se debe tener en cuenta que solamente para la segunda de las hipótesis se requiere la declaratoria por parte de la Superintendencia de Industria y Comercio. De acuerdo con lo cual, dentro del ámbito de la Ley 1581 de 2012, cuando en un contrato se ha autorizado el Tratamiento de datos personales y se ha obligado a permanecer en dicha base de datos, no resulta aplicable la figura de la revocatoria de la autorización. Sin embargo, en caso de que el Responsable o el Encargado hayan violado la constitución o la ley al llevar a cabo el Tratamiento, se podrá retirar el dato

personal, previo pronunciamiento esta Superintendencia. 2.6 Procedimiento para la consulta de los datos personales por parte de su titular. Tal y como se estudió en el numeral inmediatamente anterior, uno de los derechos de los titulares de datos personales es la conocer los datos personales, derecho que se concreta en el procedimiento previsto en el artículo 14 de la Ley 1581 de 2012. En efecto, dicha norma prevé que los titulares de los datos personales o sus causahabientes puedan consultar su información personal en cualquier base de datos a la cual resulte aplicable la norma en comento. De acuerdo con lo cual, ante la solicitud efectuada por el titular a través de un medio habilitado para ello por el Responsable del tratamiento o el Encargado del tratamiento, estos últimos cuentan con el término máximo de 10 días hábiles para dar respuesta. Dicho término puede ser ampliado por un periodo no superior a 5 días, siempre y cuando dicha situación se informe al titular explicando la razón de la demora e indicando la fecha en que se dará respuesta definitiva. (14) 2.7. Procedimiento para la presentación de reclamos por parte del titular de datos personales. Con el fin de materializar el derecho de los titulares de corregir, actualizar, rectificar o suprimir los datos personales, y que su tratamiento se lleve a cabo en cumplimiento de la Constitución y la ley, el artículo 15 de la Ley 1581 de 2012 prevé un procedimiento para la presentación de reclamos por parte del titular de los datos personales. A continuación, se resumen las principales características de dicho trámite:  Se puede presentar el reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. (15)

 El reclamo debe contener al menos la siguiente información (16):  Identificación del titular  Descripción de los hechos que dan lugar al reclamo  Dirección del titular  Documentos que se quieran usar como pruebas  Cuando el reclamo esté incompleto, dentro de los 5 días siguientes a la recepción del reclamo, se requerirá al titular para que lo subsane. Si pasados 2 meses desde el requerimiento no se completa el reclamo se entiende que ha desistido del mismo. Si quien recibe el reclamo no es competente para resolverlo debe remitirlo dentro de los 2 días siguientes a quien es competente y debe informar de ello al titular. (17)  Cuando el reclamo esté completo, a más tardar a los 2 días hábiles se incluirá en la base de datos la leyenda "reclamo en trámite" y el motivo del reclamo, la cual se mantendrá hasta que se resuelva el reclamo. (18)  El reclamo se debe resolver en un término máximo de 15 días hábNes desde el día siguiente a la fecha de su recepción, sin embargo es posible que dicho término se extienda por máximo 8 días hábiles más, lo cual se debe informar oportunamente al interesado indicando el motivo de la demora y la fecha en la cual se le dará respuesta de fondo. (19) 2.8. Presentación de una queja ante la Superintendencia de Industria y Comercio De acuerdo con el artículo 19 de la Ley 1581 de 2012, la Superintendencia de Industria y Comercio es la autoridad de protección de datos y en ejercicio de dicha función ejerce la vigilancia para garantizar que se respeten los derechos, principios y garantías

consagrados en dicha norma. 2.8.1. Requisito de procedibilidad. Se debe tener en cuenta que antes de acudir a esta Superintendencia para presentar una queja por infracción al régimen de protección de datos personales se debe agotar el requisito de procedibilidad consagrado en el artículo 16 de la Ley 1581 de 2012, el cual consiste en surtir previamente el trámite de consulta o reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. 2.8.2. Procedimiento. Teniendo en cuenta que la Ley 1581 de 2012 no establece un procedimiento para el trámite de las quejas, sino que remite al procedimiento administrativo (20), se debe aplicar el procedimiento administrativo sancionatorio previsto en el Capítulo III del Título III del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. De acuerdo con lo anterior, dichos procedimientos tendrán las siguientes características:  Averiguación preliminar: En esta etapa la autoridad administrativa determina si existe mérito para llevar a cabo un procedimiento sancionatorio.  Formulación de cargos: Una vez realizada la averiguación preliminar la Entidad determina si existe mérito para llevar a cabo la investigación, caso en el cual formulará cargos, lo cual se hará mediante acto administrativo que se debe notificar personalmente a los investigados. Contenido del acto administrativo de formulación de cargos:  Los hechos que originan la investigación.  Personas investigadas.  Normas presuntamente infringidas.  Sanciones que se podrán imponer Contra el acto administrativo de formulación de cargos no proceden recursos, sin

embargo, dentro de los 15 días siguientes a su notificación los investigados pueden presentar descargos y solicitar y aportar pruebas.  Etapa probatoria: En la cual se practican las pruebas decretadas, una vez terminado se corre traslado por el término de 10 días a los investigados para que presenten sus alegatos.  Decisión: Tiene el siguiente contenido:  Individualización de las personas a sancionar.  Análisis de los hechos y pruebas en los cuales se fundamenta la sanción.  Normas infringidas.  Decisión final, puede ser archivo o sanción. 2.8.3. Medios para presentar la queja. El interesado puede presentar la queja a través de los siguientes medios:  Por escrito radicándolo en el Centro de Documentación e Información de la Superintendencia, ubicada en la carrera 13 27-00, piso 1 del Edificio Bochica, Bogotá, D.C. También se puede radicar en las siguientes direcciones:

CADES Bogotá: CADE 30 Carrera 30 25-90 Módulo 37 Zona A

CADE Suba Calle 148 A 103 B-95 CADE Calle 13 Calle 13 37-35 Módulo 13 CADE Américas Av. Carrera 86 43-55 Sur Módulo 83

Otras ciudades: Barranquilla Carrera 57 79-10 Sede Supersociedades

Bucaramanga Calle 41 37-62 Sede Supersociedades Cali Calle 10 4-40 of. 201 Sede Supersociedades Cartagena Torre del Reloj Carrera 7 32-39 piso 2 Sede Supersociedades

Cúcuta Avenida 0 (cero) A 21-14 Sede Supersociedades Manizales Calle 23 26-60 Sede Cámara de Comercio Medellín Calle 53 45-112 Piso 20 Edificio Colseguros  A través de la página web de la Entidad (http://www.sic.gov.co/es/web/guest/denuncias-y-reclamos).  Por medio de un fax al número 5-87-02-84. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos