SIC - Concepto-13231052

Bogotá D.C., 10

Asunto: Radicación: 13-231052- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 8

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Objeto de la Consulta Manifiesta en su escrito lo siguiente: \"Son procedentes los recursos de reposición y en subsidio apelación ante la Superintendencia de Industria y Comercio que consagra la Resolución 3066 de 2011 emanada de la Comisión de Regulación de Comunicaciones, que se presenten en contra de las decisiones de fondo que tomen los tratantes datos personales (sic) a las PQR presentada por los datos personales en virtud de la los (sic) derechos consagrados en la Ley 1581 y en el Decreto 1377 de 2013 proferido por el Ministerio de Industria y Turismo?

A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

2. Atribuciones de la Superintendencia de Industria y Comercio en materia de servicios de telecomunicaciones De acuerdo con las atribuciones conferidas a la Superintendencia de Industria y Comercio por el Decreto 4886 de 2011, corresponde a esta entidad: (i) Velar por la

observancia de las disposiciones sobre protección al consumidor y los usuarios de los servicios de telecomunicaciones y dar trámite a las quejas o reclamaciones que se presenten; (ii) Resolver los recursos de apelación y queja que se interpongan contra las decisiones adoptadas en primera instancia por los proveedores de los servicios de telecomunicaciones; (iii) Reconocer los efectos del silencio administrativo positivo en los casos de solicitudes no atendidas adecuadamente por los proveedores de servicios de telecomunicaciones dentro del término legal e imponer las sanciones que correspondan de acuerdo con la ley; (iv) Imponer, previa investigación, de acuerdo con el procedimiento aplicable, sanciones por violación de las normas sobre protección al consumidor y del régimen de protección a usuarios de los servicios de telecomunicaciones. Las principales normas que regulan los servicios de comunicaciones en Colombia se encuentran contenidas en la Ley 1341 de 2009 "Por la cual se definen principios y conceptos sobre la sociedad de la información y la organización de las Tecnologías de la Información y las Comunicaciones -TIC-, se crea la Agencia Nacional de Espectro y se dictan otras disposiciones." La normativa aplicable en materia de protección de los usuarios de servicios de comunicaciones está contenida en la Resolución CRC 3066 de 2011 de la Comisión de Regulación de Comunicaciones, acto que puede ser consultado en la página de internet de la Comisión de Regulación de Comunicaciones, www.crc.gov.co. Así mismo, en el título III de la Circular Única de la Superintendencia de Industria y Comercio se encuentran las instrucciones impartidas por esta entidad en relación con los servicios no domiciliarios de telecomunicaciones. La Circular Única puede ser

consultada en nuestra página de internet www.sic.gov.co

3. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias

internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. 3.1. Protección de datos personales en servicios de comunicaciones El artículo 8 de la Resolución CRC 3066 de 2013 señala lo siguiente: \”PRINCIPIO DE PROTECCIÓN DE DATOS PERSONALES. Los datos personales podrán ser intercambiados con otros proveedores de servicios de comunicaciones sólo para efectos de la prevención y control de fraudes en las comunicaciones y el cumplimiento de las disposiciones legales y regulatorias que así lo exijan. En todo caso, por tratarse de tratamiento de datos personales, se requerirá la autorización expresa del titular para este fin, la cual podrá obtenerse de manera expresa desde la firma del contrato. En el tratamiento de los datos personales de los usuarios, los proveedores de servicios de comunicaciones deberán observar los principios legales de veracidad o calidad, finalidad legítima, acceso y circulación restringida, temporalidad de la información, interpretación integral de derechos constitucionales, seguridad, confidencialidad, libertad, transparencia, de los datos personales de los usuarios.

PARÁGRAFO: Los principios señalados en el presente artículo deberán ser interpretados de conformidad con lo establecido en las normas vigentes en

materia de protección de datos personales.\" En concordancia con lo anterior el literal j) del artículo 10.1., de la mencionada resolución señala como derecho de los usuarios de comunicaciones el siguiente: \"j. Gozar de una protección especial en cuanto al manejo confidencial y privado de los datos personales que ha suministrado al proveedor, así como al derecho a que dichos datos no sean utilizados por el proveedor para fines distintos a los autorizados por el usuario.\" El artículo 22 de la precitada resolución, respecto a la obligación de los proveedores de servicios de comunicaciones de asegurar los datos personales de sus usuarios señala lo siguiente: \”SEGURIDAD DE LOS DATOS E INFORMACIÓN. Con el fin de asegurar la protección de los datos personales suministrados por el usuario al momento de la celebración del contrato y, en todo caso, durante la ejecución del mismo, los proveedores garantizarán que dichos datos sean utilizados para la correcta prestación del servicio y el adecuado ejercicio de los derechos de los usuarios. Los datos personales de los usuarios no podrán ser utilizados por los proveedores de servicios de comunicaciones para la elaboración de bases de datos con fines comerciales o publicitarios, distintos a los directamente relacionados con los fines para los que fueron entregados, salvo que el usuario así lo autorice, de manera expresa y escrita. Igualmente, los proveedores no podrán entregar a su arbitrio los datos de localización y de tráfico del usuario, salvo autorización expresa y escrita del usuario y los casos que expresamente señale la presente resolución.

PARÁGRAFO: Los proveedores de servicios de comunicaciones no tienen la obligación ni asumen responsabilidad en la identificación del tipo de información que cursa por sus redes o sobre aquélla que se haga pública a

través de los servicios de comunicaciones por parte de los usuarios.\" Por lo anterior, los proveedores de servicios de comunicaciones tienen la obligación de salvaguardar en todo momento desde la celebración del contrato de prestación de servicios los datos personales de sus usuarios de conformidad con las normas vigentes, es decir, la Ley 1266 de 2008 y sus decretos reglamentarios cuando se trate de información financiera, crediticia, comercial o de servicios y la Ley 1581 de 2012 y el Decreto 1377 de 2013 para el tratamiento de los datos personales. 3.2. Procedimiento para consultas y reclamos en la protección de datos personales El artículo 14 de la ley 1581 de 2012 señala el siguiente procedimiento para el trámite de consultas de datos personales: \”Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a éstos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular. La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de ésta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

Parágrafo. Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal.\" Por su parte, el artículo 15 de la precitada ley señala el siguiente procedimiento para reclamos en datos personales: \"Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas:

1. El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

2. Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga \"reclamo en trámite\" y el motivo del mismo, en un término

no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.

3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

Por lo anterior, la Ley 1581 de 2012 no establece la procedencia del recurso de reposición y en subsidio el de apelación para las consultas y reclamos en protección de datos personales y señala el término de diez (10) días para que el proveedor de servicios de comunicaciones en calidad de responsable del tratamiento responda la petición de consultas presentadas por el usuario, y si no le fuera posible responder en este término debe informar al usuario los motivos de la demora y la fecha en que se atenderá el trámite, el cual no podrá exceder de cinco (5) días hábiles siguientes al vencimiento del primer término y cuando se trate de la presentación de un reclamo para la corrección, actualización o supresión de los datos, el proveedor del servicio cuenta con quince (15) días para atender los reclamos a partir de la fecha de su recibo y si no fuera posible contestar dentro de este término deberá informar al titular los motivos de la demora y la fecha en que se dará respuesta sin que exceda ocho (8) días hábiles siguientes al vencimiento del primer término.\"

Ahora bien, el artículo 16 de la Ley 1581 de 2012 señala como requisito de procedibilidad para elevar queja ante esta Superintendencia lo siguiente: \"Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento.\"

4. Conclusiones 4.1. Los proveedores de servicios de comunicaciones actúan como responsables o encargados del tratamiento de los datos personales de sus usuarios y por ello tienen la obligación de salvaguardar en todo momento dicha información de conformidad con las normas aplicables para ello como la Ley 1581 de 2012 y sus decretos reglamentarios. 4.2. El usuario podrá presentar las peticiones o reclamos que considere pertinentes de acuerdo al procedimiento señalado en los artículos 14 y 15 de la ley 1581 de 2012 antes mencionado. 4.3. Para las consultas y reclamos en protección de datos personales no proceden los recursos de reposición y en subsidio el de apelación ante esta Superintendencia. 4.4. La Ley 1581 de 2012 señala como requisito de procebilidad que el titular de los datos personales presente la consulta o reclamo ante el proveedor del servicio de comunicaciones como responsable del tratamiento, para que pueda acudir a esta Superintendencia y solicitar la protección de sus derechos en caso que la respuesta sea desfavorable o no sea resuelta en el término señalado por la ley.

Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co

Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos