SIC - Concepto-13228746

Bogotá D.C 10

Asunto: Radicación: 13-228746--1-0

Trámite: 113

Evento: Actuación: 440

Folios: 13

Apreciado Señor: [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto.

1. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el

Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación resolveremos sus inquietudes en los siguientes términos: "Remita información, e indique con tal precisión, que decisiones, conceptos o circulares, ha expedido en general la Superintendencia de Industria y Comercio en el marco de la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013 y en especial sobre la Transferencia de datos a Terceros Países (Artículo 26 de la ley)"

Respuesta: La Dirección de Investigaciones de Protección de Datos Personales

ha emitido las siguientes decisiones: Radicad Fecha Solicitud Entidad Decisi o ón 1 1326/07/201 Inconformidad con el uso de su No Archivo 177082 3 información sin su autorización expresa identificado 2 1302/08/201 Uso de bases de datos con datos de E-INFORMA Archivo 183631 3 empresas y representantes legales 3 1320/08/201 Eliminación toda la información GOOGLE Archivo 196500 3 relacionada con una investigación penal indexada por el responsable. 4 1322/08/201 Eliminación - no autoriza el uso de los E-INFORMA Archivo 199342 3 datos de su empresa 5 1309/09/201 Información en las bases de datos N/A Archivo 212479 3 Esta Oficina Asesora Jurídica ha emitido los siguientes conceptos hasta el 31 de octubre de 2013: Radicado Tema 1 12Vigencia de la Ley 1581 de 2012 180327 2 12Tratamiento de bases de datos personales 184189 3 12Autorización para tratamiento de datos personales 195841 4 12Autorización para el tratamiento de datos personales 185526 5 12Bases y archivos de datos personales 192621 6 12Datos Personales 200375 7 12Transferencia de datos personales 189838 8 12Finalidad del tratamiento de los datos personales 210618 9 12- Ámbito de aplicación de la Ley de datos personales 203907 10 12Autorización para el tratamiento de datos personales 204595 12 12Finalidad del tratamiento de los datos personales 204553 13 12- Ámbito de aplicación de la Ley de datos personales 195856

14 12- Ámbito de aplicación de la Ley de datos personales 195855 15 12Transferencia de datos personales 197582 16 12Registro de Bases de datos 19586217 12Autorización para el tratamiento de datos personales 215065 18 12Autorización para el tratamiento de datos personales 213646 19 12Autorización para el tratamiento de los datos personales 221151 20 12Autorización para el tratamiento de los datos personales 235154 21 12Aplicación de la Ley 1581 de 2012 228716 22 12Registro Nacional de Bases de datos 226210 23 12Aplicación de la Ley 1581 de 2012 224856 24 13-738 Autorización para el tratamiento de los datos personales 25 13Tratamiento de los datos personales de niños, niñas y adolescentes 234427 26 13Tratamiento de datos sensibles biométricos como huella dactilar 138688 27 13Autorización para el Tratamiento de datos personales 138181 28 13Autorización para el Tratamiento de datos personales 141520 29 13Bases y archivos de datos personales 143332 30 13- Ámbito de aplicación de la ley 1581 de 2012 151968 31 13Dato personal 147609 32 13- Ámbito de aplicación de la ley 1581 de 2012 145258 33 13Bases y archivos de datos personales 164366 34 13Transferencia de datos personales 155133 35 13Registro nacional de datos personales 153891 36 13Registro nacional de datos personales 151654 37 13Autorización para el Tratamiento de datos personales 150537 38 13Autorización para el Tratamiento de datos personales 148648

39 13Clasificación de los datos personales 144015 40 13Clasificación de datos personales 139924 41 13Tratamiento de datos personales por la ONG 156148 42 13Registro Nacional de bases de datos 161601 43 13Autorización para el tratamiento de datos personales 162737 44 13Responsables y encargados del tratamiento de datos personales 165548 45 13Transferencia y Transmisión de datos personales 163296 46 13Políticas para el tratamiento de datos personales 170538 47 13Autorización para el tratamiento de los datos personales 170826 48 13Competencia de la Superintendencia de Industria y Comercio en la 172182 protección de datos personales 49 13Datos personales en directorios telefónicos e internet 172191 50 13- Ámbito de aplicación de la Ley 1581 de 2012 173980 51 13Autorización para el tratamiento de los datos personales 179246 52 13Autorización para el tratamiento de los datos personales 179002 53 13Transmisión y transferencia de datos personales 180020 54 13Autorización y finalidad para el tratamiento de los datos personales 179842 55 13Políticas para el tratamiento de los datos personales 180723 56 13Autorización para el tratamiento de los datos personales 172766 57 13Dato personal 180778 58 13Autorización para el tratamiento de los datos personales 180541 59 13Procedimientos de recolección y tratamiento de datos personales 185168 60 13Bases de datos y archivos de datos personales 186047 61 13Registro nacional de bases de datos 187904 62 13Autorización para el tratamiento de los datos personales

192697 63 13- Ámbito de aplicación de la Ley 1581 de 2012 193384 64 13- Ámbito de aplicación de la Ley 1581 de 2012 193885 65 13- Ámbito de aplicación de la Ley 1581 de 2012 183143 66 13Supresión de datos personales 184753 67 13Dato personal 184826 68 13Datos en bases o archivo del ámbito personal o doméstico 194060 69 13- Ámbito de aplicación de la ley 1581 de 2012 218068 70 13Datos recolectados con anterioridad a la expedición del Decreto 1377 198187 de 2013 71 13Ambito de aplicación de la ley 1581 de 2012 199119 72 13- Ámbito de aplicación de la ley 1581 de 2012 200690 73 13Supresión de datos personales 200321 74 13Tratamiento de datos personales de niños, niñas y adolescentes 198482 75 13Circulación de información crediticia, financiera, comercial, de 201967 servicios o de terceros países 76 13Autorización para el tratamiento de datos personales 201633 77 13Ambito de aplicación de la ley 1581 de 2012 204927 78 13Aviso de privacidad 207015 79 13Datos personales en directorios telefónicos 207115 80 13- Ámbito de aplicación de la ley 1581 de 2012 205217 81 13- Ámbito de aplicación de la ley 1581 de 2012 204174 82 13Políticas de tratamiento de la información 204397 83 13Ambito de aplicación de la ley 1581 de 2012 206713 84 13Autorización para el tratamiento de datos personales

204364 85 13Autorización para el tratamiento de datos personales 203593 86 13Dato personal Público 202764 87 13Dato personal Público 208478 88 13Autorización para el tratamiento de datos personales, régimen de 209895 transición 89 13Transmisión de datos personales 208880 90 13Políticas de tratamiento de la información 188772 91 13- Ámbito de aplicación de la Ley 1581 de 2012 211980 92 13Políticas de tratamiento de la información 212006 93 13Dato personal Público 211232 94 13- Ámbito de aplicación de la Ley 1581 de 2012 218031 95 13Vigencia de la ley 1581 de 2012 215098 96 13Aplicación de la Ley 1581 de 2012, autorización para el tratamiento de 218218 los datos personales 97 13Protección de datos personales en servicios de comunicaciones 231052 98 13Sanciones de la SIC por violación a la Ley 1581 de 2012 y sus 220294 decretos reglamentarios 99 13Principios de la administración de datos personales de contenido 220327 financiero, comercial, crediticio, de servicios o de terceros países 100 13Autorización para el tratamiento de datos personales 219379 101 13Supresión de datos personales 225497 102 13Autorización para el tratamiento de datos personales 230081 103 13Bases de datos 105984 104 13Autorización para el tratamiento de datos personales 179245 105 13Cédula de Ciudadanía 179704 106 13Autorización para el tratamiento de datos personales 180988 107 13Registro de bases de datos

181300 108 13Autorización para el tratamiento de datos personales 181808 109 13Registro de bases de datos 184307 110 13Autorización para el tratamiento de datos personales 185451 111 13Tratamiento de datos de niños, niñas y adolescentes 186541 112 13191221 Conservación de datos personales 113 13Autorización para el tratamiento de datos personales 182635 114 13Tratamiento de datos personales 183913 115 13Autorización para el tratamiento de datos personales 177801 116 13Autorización para el tratamiento de datos personales 179251 117 13Tratamiento de datos personales 179228 118 13Registro de Bases de datos 179237 119 13Aplicación del Decreto 1377 de 2013 179111 120 13Registro de Bases de datos 179242 121 13Aplicación del Decreto 1377 de 2013 178454 122 13Registro de Bases de datos 179917 123 13Tratamiento de datos personales 180843 124 13Autorización para el tratamiento de datos personales 181172 125 13Aplicación de la Ley 1581 de 2012 179507 126 13Autorización para el tratamiento de datos personales 180905 127 13Políticas de tratamiento de datos personales 180736 128 13Registro de Bases de datos 182124 129 13Autorización para el tratamiento de datos personales 182044 130 13Autorización para el tratamiento de datos personales 184140 131 13Aplicación de la Ley 1581 de 2012 186311 132 13- Ámbito de aplicación de la Ley de datos personales 186238 133 13Supresión de datos personales 184183 134 13Autorización para el tratamiento de datos personales

184657 135 13Autorización para el tratamiento de datos personales 184191 136 13Autorización para el tratamiento de datos personales 187447 137 13Autorización para el tratamiento de datos personales 190071 138 13Tratamiento de datos personales 191906 139 13Supresión de datos personales 192311 140 13Autorización para el tratamiento de datos personales 193318 141 13Tratamiento de datos personales 201716 142 13-34612 Registro de bases de datos 143 13-33980 Tratamiento de datos personales de niños, niñas y adolescentes 144 13-35346 Existencia de obligación de reportar a SIC quejas por Ley 1581 de 2012 145 13-37288 Sanciones a aplicar habeas data y protección datos personales 146 13-43998 Seguridad a las bases de datos 147 13-46262 Procedimiento registro de bases de datos 148 13-47863 Obligaciones para el manejo de bases de datos 149 13-48593 Obligaciones de responsables de manejos de bases de datos y políticas 150 13-48381 Autorización para el manejo de bases de datos, 151 13-51560 Registro de bases de datos personales 152 13-51294 Eliminación de información de bases de datos 153 13-55869 Supresión de datos personales 154 13-55717 Autorización para el tratamiento de datos personales 155 13-59718 Vigencia Ley 1581 de 2012 156 13-63678 Aplicación de la Ley 1581 157 13-62721 Manejo de datos personales 158 13-61728 Deberes de responsables y encargados del tratamiento de datos personales 159 13-61771 Qué deben presentar las empresas cuando sean objeto de auditoria 160 13-43365 Obligación de empresas de registrar su bases de datos ante SIC

161 13-89834 Tratamiento de datos personales de niños y adolescentes 162 13-91111 Reglamentación Ley 1581 de 2012 163 13-92172 Ámbito de aplicación Ley 1581, aplicación a datos de sociedades 164 13-92903 Registro nacional de bases de datos 165 13-94322 Ámbito de aplicación de la Ley 1581 de 2012 166 13-94422 Reglamentación ley 1581 de 2012 167 13-95458 Registro de bases de datos 168 13-98309 Ámbito de aplicación de la Ley 1581 de 2012 169 13Reglamentación de la Ley 1581 100128 170 13Bases de datos públicas 100672 171 13Autorización para el tratamiento de datos personales 102526 172 13Marco jurídico de protección de datos personales 106887 173 13- Ámbito de aplicación de la Ley 1581 de 2012 105113 174 13Datos personales 105178 175 13Datos de naturaleza pública 106884 176 13Trámite registro manual Interno de políticas de protección de datos 107444 personales 177 13Transferencia de datos al exterior 109881 178 13Políticas de tratamiento 111616 179 13Registro de bases de datos 114338 180 13Registro de bases de datos 114807 181 13Registro de bases de datos 114544 182 13Intercambio de información con otros países 143292 183 13Aplicación Ley 1581 de 2012 118575 184 13Registro de datos bases de datos 121694 185 13Autorización para tratamiento de datos personales 123335 186 13Autorización para el tratamiento de datos personales 123870 187 13Reglamentación registro de bases de datos

129769 188 13Bases de datos personales 129470 189 13Autorización para el tratamiento de datos personales 131944 190 13Consultas y reclamos de datos personales 143334 191 13Líneas de denuncias anónimas 142524 192 13Pregunta si la Ley 1581 está en audio o video 145306 193 13- Ámbito de aplicación Ley 1581,no aplica a datos de sociedades 152015 194 13Finalidad en el tratamiento de datos personales 156211 195 13Registro de bases de datos 167348 196 13Decreto 1377 de 2013 167420 197 13Solicitud de datos personales y huellas para ingreso a edificio 168579 198 13Tratamiento de datos personales 170207 199 13Aplicación de la ley 1581 a entidades públicas y excepciones para 173228 requisito de autorización 200 13Decreto 1377 de 2013 173089 201 13Dato público 175657 202 13Decreto 1377 de 2013 177649 203 13Políticas de privacidad 179230 204 13Autorización para el tratamiento de datos personales 179257 205 13Tratamiento de datos sensibles 178927 206 13- Ámbito de aplicación de la Ley 1581 de 2012, procedimiento para dar 178915 cumplimiento 207 13Obligación de obtener autorización 178928 208 13Autorización para el tratamiento de datos personales 179253 209 13Artículo 10 Decreto 1377 de 2013 179236 210 13Autorización para el tratamiento de datos personales 178828 211 13- Ámbito de aplicación Ley 1581 de 2012 y Decreto 1377 de 2013,

179535 ámbito de aplicación Ley 1266 de 2008 212 13Autorización para tratamiento de datos personales 179717 213 13Finalidad para el tratamiento de datos personales 179738 214 13Autorización para el tratamiento de datos personales 179748 215 13Tratamiento de datos personales 180227 216 13Supresión de datos personales 180418 217 13Autorización para el tratamiento de los datos personales 180419 218 13Plazo para aplicar lo dispuesto en el articulo 10 Decreto 1377 180081 219 13Plazo para aplicar lo dispuesto en el articulo 10 Decreto 1377 179926 220 13- Ámbito de aplicación Ley 1581 de 2012 y Decreto 1377 de 2013 179961 221 13Transferencia de datos, transmisión, declaración de conformidad 179900 222 13Datos sensibles 179878 223 13- Ámbito de aplicación Ley 1581 de 2012, autorización para el 179879 cumplimiento de contratos 224 13Autorización para el tratamiento de datos personales, régimen de 179901 transición 225 13Artículo 10 Decreto 1377 de 2013 179957 226 13Artículo 10 decreto 1377 179905 227 13Autorización para el tratamiento de datos personales, régimen de 180516 transición 228 13Aplicación de la Ley 1581 y Decreto 1377 a empresas de servicios 180523 públicos 229 13- Ámbito aplicación Ley 1581 de 2012 y Decreto 1377 2013 180532 230 13Autorización para el tratamiento de datos personales, régimen de 180535 transición 231 13Autorización para el tratamiento de datos personales, régimen de

181334 transición 232 13- Ámbito de aplicación Ley 1581 de 2012 181604 233 13- Ámbito de aplicación Ley 1581 de 2012 181177 234 13- Ámbito de aplicación Ley 1581 de 2012 181711 235 13Artículo 10 Decreto 1377 de 2013 181354 236 13Autorización, excepciones, datos sensibles, datos de salud 181591 237 13Artículo 10 Decreto 1377 de 2013 181731 238 13Autorización, artículo 10 Decreto 1377, quién debe obtener la 180683 autorización 239 13Registro de bases de datos personales 182767 240 13Autorización para el tratamiento de datos personales, régimen de 182682 transición 241 13- Ámbito de aplicación Ley 1581 autorización, permanencia datos, 183213 principio seguridad informática 242 13Cuando no se requiere autorización para el tratamiento de datos 182460 personales 243 13Formas de obtener autorización, quién puede otorgar la autorización 182335 244 13Autorización, principios 182152 245 13- Ámbito de aplicación de la Ley 1581 de 2012 183237 246 13Autorización, artículo 10 Decreto 1377 183864 247 13- Ámbito de aplicación 1581,1266, autorización 184295 248 13Entrega de información a terceros, autorización 186279 249 13Datos personales y su clasificación 185656 250 13Autorización para el tratamiento de datos personales, régimen de 186182 transición 251 13Tratamiento datos personales de niños, ámbito de aplicación Ley 1581 186386 252 13Aplicación a personas jurídicas, ámbito de aplicación

185866 253 13Posibilidad de conservar en medio magnético autorizaciones 186745 254 13Artículo 10 Decreto 1377 de 2013 y formas de obtener autorización 186687 255 13Artículo 10 Decreto 1377 de 2013, autorización, sanciones 186524 256 13- Ámbito de aplicación, autorización, artículo 10 Decreto 1377, datos 184461 públicos, datos de acceso publico 257 13Registro bases de datos, Aviso privacidad, Políticas de tratamiento 187527 258 13Autorización previa, excepciones, entidades públicas, datos públicos 187842 259 13Autorización previa 187873 260 13- Ámbito de aplicación a entidades públicas, curso de capacitación 188688 261 13- Ámbito de aplicación a entidades públicas, autorización, excepciones 188693 262 13Artículo 10 Decreto 1377 de 2013 188671 263 13Revocatoria autorización, supresión datos 188413 264 13- Ámbito de aplicación a colegios 189328 265 13- Ámbito de aplicación a personas privadas, principios, autorización, 189130 supresión, sanciones 266 13- Ámbito de aplicación Ley 1581 para vigilados de la SIC o para todos 189185 267 13- Ámbito de aplicación de la Ley 1581 de 2012 190097 268 13Supresión de datos personales 191520 269 13- Ámbito de aplicación Ley 1581 de 2012 191528 270 13- Ámbito de aplicación Ley 1581 de 2012, concepto doméstico, colegios, 190557 empleadores, colegios, IPS 271 13- Ámbito de aplicación Ley 1581 para personas privadas, autorización,

192047 finalidades 272 13información a incluir en el Registro Nacional de Bases de Datos 192062 273 13Autorización de tratamiento de datos personales 193828 274 13- Ámbito de aplicación de la Ley 1581 de 2012 193820 275 13Supresión de datos, prestación de servicios 194113 276 13Ambito de aplicación Ley 1581 de 2012 194327 277 13- Ámbito de aplicación de la Ley 1581 de 2012 194948 278 13- Ámbito de aplicación Ley 1581 y 1266, secreto empresarial o 195857 comercial 279 13Artículo 10 Decreto 1377 de 2013 195683 280 13- Ámbito de aplicación de la Ley 1581 de 2012 y Decreto 1377 de 2013, 199132 concepto de dato personal 281 13- Ámbito de aplicación Ley 1266 de 2008, Ámbito de aplicación Ley 199238 1581 de 2012 282 13Registro de bases de datos 199788 283 13Autorización para el tratamiento de datos personales 200870 284 13Entrada en vigencia de la Ley 1581 de 2012 201140 285 13Autorización para el tratamiento de los datos personales 201632 286 13Autorización previa 203704 287 13Huella, datos biométricos, datos sensibles, vigilancia, Políticas de 205093 tratamiento de datos, 288 13Autorización para el tratamiento de datos personales 206068 289 13Principio de veracidad, tramite antes de reporte, queja 208712 290 13Imágenes como datos personales, vigilancia con cámaras de video, 208109 autorización 291 13protección de datos personales

211226 292 13Supresión de datos, excepciones ley y contrato 217997 293 13Vigilancia, datos biométricos, ámbito de aplicación 220607 294 13- Ámbito de aplicación, entrega de información a autoridades 220441 295 13Autorización, excepciones, supresión, excepciones 222034 296 13Transferencia internacional de datos personales 222104 297 13Transferencia y transmisión al exterior 225904 Respecto a las circulares, en la actualidad esta Entidad se encuentra trabajando en la expedición de las instrucciones para la adecuación de los responsables y/o encargados del tratamiento a las disposiciones de la Ley 1581 de 2012 y sus decretos reglamentarios. Una vez, se tenga el proyecto de instrucción se publicará en nuestra página web www.sic.gov.co, a través del icono "Normativa" con el fin de recibir los comentarios del público en general para su posterior publicación en el Diario Oficial, por lo cual, le sugerimos estar pendiente de las instrucciones que expida esta Superintendencia. "2) Indicar, en virtud del conocimiento técnico por ser ustedes las autoridad (sic) competente, si la República Bolivariana de Venezuela ha adoptado, o tiene regulado, el aspecto de la protección de datos personales, teniendo en cuenta que la Constitución de este país señala: (..)" Respuesta: Esta Oficina Asesora Jurídica no es competente para emitir concepto sobre si existe o no protección de datos personales en las legislaciones de otros países. En todo caso, si su interés es la transferencia y transmisión internacional de datos personales tenga en cuenta lo siguiente: El artículo 3 del Decreto 1377 de 2013 distingue entre transferencia y transmisión

al definirlos de la siguiente manera:

4. Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

5. Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del

Responsable. Por lo anterior, la transferencia de datos la puede realizar el Responsable y/o Encargado del tratamiento de los datos personales que se encuentre ubicado en Colombia, con el fin de enviar la información dentro o fuera del país a un receptor que tiene la calidad de Responsable. Por su parte, la transmisión es la comunicación de datos personales dentro o fuera del Colombia y la realiza el Encargado por cuenta del Responsable. Respecto a la transferencia internacional de datos personales, el artículo 26 de la Ley 1581 de 2012 señala lo siguiente: Prohibición. Se prohibe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos. Se Entiende que un país ofrece un nivel adecuado de protección de datos cuando cumpla con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los que la presente ley exige a sus destinatarios. Esta prohibición no regirá cuando se trate de: a) Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca para la transferencia. b) Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del

Titular por razones de salud o higiene pública. c) Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable. d) Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte, con fundamento en el principio de reciprocidad. e) Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la autorización del Titular. f) Transferencias legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. Parágrafo 1. En los casos no contemplados como excepción en el presente artículo, corresponderá a la Superintendencia de Industria y Comercio, proferir la declaración de conformidad relativa a la transferencia internacional de datos personales. Para el efecto, el Superintendente queda facultado para requerir información y adelantar las diligencias tendientes a establecer el cumplimiento de los presupuestos que requiere la viabilidad de la operación. Parágrafo 2. Las disposiciones contenidas en el presente artículo serán aplicables para todos los datos personales, incluyendo aquellos contemplados en la Ley 1266 de 2008. Por lo anterior, como regla general la ley establece que se prohibe la transferencia de datos personales a terceros países que no proporcionen niveles adecuados de protección de datos y señala como excepción los eventos en los que procede dicha transferencia. Así mismo, señala la competencia de esta Superintendencia para proferir las declaraciones de conformidad relativas a la transferencia internacional de datos personales en los casos no contemplados como excepción

en el artículo 26. Respecto a los niveles adecuados de protección de datos personales la Corte Constitucional mediante sentencia C-748 de 2012 señaló lo siguiente: “(...) [s]e entenderá que un país cuenta con los elementos o estándares de garantía necesarios para garantizar un nivel adecuado de protección de datos personales, si su legislación cuenta; con unos principios, que abarquen las obligaciones y derechos de las partes (titular del dato, autoridades públicas, empresas, agencias u otros organismos que efectúen tratamientos de datos personales), y de los datos (calidad del dato, seguridad técnica) y; con un procedimiento de protección de datos que involucre mecanismos y autoridades que efectivicen la protección de la información. De lo anterior se deriva que el país al que se transfiera los datos, no podrá proporcionar un nivel de protección inferior al contemplado en este cuerpo normativo que es objeto de estudio. (...)” Por lo anterior, son dos los factores que se deberán tener en cuenta para considerar que un país cuenta con un adecuado nivel de protección de datos, a saber: (i) que existan normas constitutivas de derechos en cabeza del titular de datos y obligaciones respecto de quienes hagan tratamiento o ejercen control sobre dicho tratamiento y (ii) que se cuente con los mecanismos necesarios que garanticen la aplicación de las normas, lo cual implica el establecimiento de un conjunto de sanciones a los infractores y un órgano de control. Ahora bien, para que esta Superintendencia profiera las declaraciones de conformidad, para la transferencia internacional de datos personales deberá presentar un derecho de petición de conformidad con el artículo 131 de la Ley 1437 de 20112 que señala lo siguiente:

Toda persona tiene derecho de presentar peticiones respetuosas a las autoridades, en los términos señalados en este Código, por motivos de interés general o particular, y a obtener pronta resolución. Toda actuación que inicie cualquier persona ante las autoridades implica el ejercicio del derecho de petición consagrado en el artículo 23 de la Constitución Política, sin que sea necesario invocarlo. Mediante él, entre otras actuaciones, se 1 Artículo declarado inexequible con efectos diferidos hasta el 31 de diciembre de 2014 mediante sentencia C818 de 2011. 2 Código de procedimiento administrativo y de lo contencioso administrativo podrá solicitar el reconocimiento de un derecho o que se resuelva una situación jurídica, que se le preste un servicio, pedir información, consultar, examinar y requerir copias de documentos, formular consultas, quejas, denuncias y reclamos e interponer recursos. Por su parte el artículo 163 de la precitada ley establece el contenido de las peticiones en los siguiente términos: “Toda petición deberá contener, por lo menos: a) La designación de la autoridad a la que se dirige. b) Los nombres y apellidos completos del solicitante y de su representante y o apoderado, si es el caso, con indicación de su documento de identidad y de la dirección donde recibirá correspondencia. El peticionario podrá agregar el núme