SIC - Concepto-13263887

Bogotá D.C., 10

Asunto: Radicación: 13-263887- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Estimado(a) Señor: [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta La peticionaria formula la siguiente consulta: 1. “La petición principal es que se me informe el procedimiento específico a seguir para que se bajen informaciones que publican en servidores registrados en Colombia.” 2. “Así mismo que se me informe el procedimiento específico a seguir para que se bajen informaciones que publican en NO servidores registrados (sic) en Colombia. (…)” 3. “Finalmente que me informen las direcciones en Colombia de los siguientes buscadores y la persona responsable de la base de datos respectiva (…)”

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales: • Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. • Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las

pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. • Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares. Sin embargo, dentro del ámbito de las referidas competencias, a continuación damos respuesta de manera general a sus preguntas. 2.1 Primera pregunta. El ámbito de aplicación territorial de la Ley 1581 de 2012 y, en general, del régimen de protección de datos personales está previsto en el inciso segundo del artículo 2 de la Ley 1581 de 2012 en los siguientes términos: “(…) La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados

internacionales. (…)” 1 Al evaluar la exequibilidad de dicho inciso la Corte Constitucional consideró: “El inciso segundo indica que la ley se aplicará al tratamiento de datos personales (i) efectuado en el territorio colombiano o (ii) que tiene lugar fuera del territorio, pero es llevado a cabo por un responsable o encargado del tratamiento al que le es aplicable la legislación colombiana en virtud de normas y tratados internacionales. Para la Sala, esta disposición se ajusta a la Carta, pues amplía el ámbito de protección a algunos tratamientos de datos personales que ocurren fuera del territorio nacional, en virtud del factor subjetivo. En un mundo globalizado en el que el flujo transfronterizo de datos es constante, la aplicación extraterritorial de los estándares de protección es indispensable para garantizar la protección adecuada de los datos personales de los residentes en Colombia, pues muchos de los tratamientos, en virtud de las nuevas tecnologías, ocurren precisamente fuera de las fronteras. Por tanto, para la Sala se trata de una medida imperiosa para garantizar el derecho al habeas data. Esta disposición debe además leerse en conjunto con los artículos sobre transferencia de datos a terceros países, de los cuales se ocupará la Sala más adelante.”2 Teniendo en cuenta dichos criterios, la regulación colombiana sobre protección de datos personales resultará aplicable cuando se presenten uno de los siguientes criterios: • El tratamiento se lleve a cabo en el territorio colombiano. • Una norma o tratado ha previsto que la regulación colombiana sea aplicable al Responsable o Encargado del tratamiento que no está ubicado en el territorio colombiano.

1 Inciso 2 artículo 2 Ley 1581 de 2012 2 Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub Así mismo, se debe tener en cuenta la definición de tratamiento de datos prevista en el literal g del artículo 3 de la Ley 1581 de 2012: “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” 3 De acuerdo con lo cual, se entenderá que se llevó a cabo tratamiento de datos personales y, en consecuencia, resultará aplicable la Ley 1581 de 2012 cuando se realice cualquier operación sobre datos personales en el territorio colombiano, entre ellas, la recolección de los datos personales. 2.2 Segunda pregunta. Procedimientos para la protección de los datos personales. 2.2.1 Procedimiento para la consulta de los datos personales por parte de su titular. Uno de los derechos de los titulares de datos personales es la conocer los datos personales, derecho que se concreta en el procedimiento previsto en el artículo 14 de la Ley 1581 de 2012. En efecto, dicha norma prevé que los titulares de los datos personales o sus causahabientes puedan consultar su información personal en cualquier base de datos a la cual resulte aplicable la norma en comento. De acuerdo con lo cual, ante la solicitud efectuada por el titular a través de un medio habilitado para ello por el Responsable del tratamiento o el Encargado del tratamiento, estos últimos cuentan con el término máximo de 10 días hábiles para dar respuesta. Dicho término puede ser ampliado por un periodo no superior a 5 días, siempre y cuando dicha situación se informe al titular explicando la razón de

la demora e indicando la fecha en que se dará respuesta definitiva. 4 2.2.2 Procedimiento para la presentación de reclamos por parte del titular de datos personales. 3 Literal 6 artículo 3 Ley 1581 de 2012 4 Artículo 14 Ley 1581 de 2012 Con el fin de materializar el derecho de los titulares de corregir, actualizar, rectificar o suprimir los datos personales, y que su tratamiento se lleve a cabo en cumplimiento de la Constitución y la ley, el artículo 15 de la Ley 1581 de 2012 prevé un procedimiento para la presentación de reclamos por parte del titular de los datos personales. A continuación se resumen las principales características de dicho trámite: • Se puede presentar el reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. 5 • El reclamo debe contener al menos la siguiente información 6: - Identificación del titular - Descripción de los hechos que dan lugar al reclamo - Dirección del titular - Documentos que se quieran usar como pruebas • Cuando el reclamo esté incompleto, dentro de los 5 días siguientes a la recepción del reclamo, se requerirá al titular para que lo subsane. Si pasados 2 meses desde el requerimiento no se completa el reclamo se entiende que ha desistido del mismo. Si quien recibe el reclamo no es competente para resolverlo debe remitirlo dentro de los 2 días siguientes a quien es competente y debe informar de ello al titular. 7 • Cuando el reclamo esté completo, a más tardar a los 2 días hábiles se incluirá en la base de datos la leyenda “reclamo en trámite” y el motivo del reclamo, la cual se mantendrá hasta que se resuelva el reclamo. 8

• El reclamo se debe resolver en un término máximo de 15 días hábiles desde el día siguiente a la fecha de su recepción, sin embargo es posible que dicho término se extienda por máximo 8 días hábiles más, lo cual se debe informar oportunamente al interesado indicando el motivo de la demora y la fecha en la cual se le dará respuesta de fondo. 9 5 Inciso primero artículo 15 Ley 1581 de 2012 6 Numeral 1 artículo 15 Ley 1581 de 2012 7 Ibídem 8 Numeral 2 artículo 15 Ley 1581 de 2012 9 Numeral 3 artículo 15 Ley 1581 de 2012 2.2.3 Presentación de una queja ante la Superintendencia de Industria y Comercio De acuerdo con el artículo 19 de la Ley 1581 de 2012, la Superintendencia de Industria y Comercio es la autoridad de protección de datos y en ejercicio de dicha función ejerce la vigilancia para garantizar que se respeten los derechos, principios y garantías consagrados en dicha norma. 2.2.3.1 Requisito de procedibilidad.

Se debe tener en cuenta que, antes de acudir a esta Superintendencia para presentar una queja por infracción al régimen de protección de datos personales, se debe agotar el requisito de procedibilidad consagrado en el artículo 16 de la Ley 1581 de 2012, el cual consiste en surtir previamente el trámite de consulta o reclamo ante el Responsable del tratamiento o ante el Encargado del tratamiento. 2.2.3.2 Procedimiento. Teniendo en cuenta que la Ley 1581 de 2012 no establece un procedimiento para el trámite de las quejas, sino que remite al procedimiento administrativo, se debe

aplicar el procedimiento administrativo sancionatorio previsto en el Capítulo III del Título III del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. De acuerdo con lo anterior, dichos procedimientos tendrán las siguientes características: • Averiguación preliminar: En esta etapa la autoridad administrativa determina si existe mérito para llevar a cabo un procedimiento sancionatorio. • Formulación de cargos: Una vez realizada la averiguación preliminar la Entidad determina si existe mérito para llevar a cabo la investigación, caso en el cual formulará cargos, lo cual se hará mediante acto administrativo que se debe notificar personalmente a los investigados. Contenido del acto administrativo de formulación de cargos: - Los hechos que originan la investigación. - Personas investigadas. - Normas presuntamente infringidas. - Sanciones que se podrán imponer Contra el acto administrativo de formulación de cargos no proceden recursos, sin embargo, dentro de los 15 días siguientes a su notificación los investigados pueden presentar descargos y solicitar y aportar pruebas. • Etapa probatoria: En la cual se practican las pruebas decretadas, una vez terminado se corre traslado por el término de 10 días a los investigados para que presenten sus alegatos. • Decisión: Tiene el siguiente contenido: - Individualización de las personas a sancionar. - Análisis de los hechos y pruebas en los cuales se fundamenta la sanción. - Normas infringidas. - Decisión final, puede ser archivo o sanción. 2.2.4 Revocatoria de la autorización y solicitud de supresión. Según se analizó en el numeral anterior, cuando se vaya a realizar tratamiento de

datos personales que no se encuentren en alguna de las causales estudiadas, se requiere contar con la autorización previa del titular, si no se obtiene no se podrá llevar a cabo dicho tratamiento. Adicionalmente, cuando no se haya dado autorización, o incluso si se ha dado, es posible revocar la autorización y solicitar la supresión de los datos personales. En este sentido, el literal e del artículo 8 de la Ley 1581 de 2012 consagra el siguiente derecho a favor de los titulares de datos personales: “Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;” 10 Al respecto, se debe tener en cuenta que dicho artículo fue declarado exequible por la Corte Constitucional bajo el entendido de que sea interpretado de la siguiente forma: “En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que

imponga al Titular el deber de permanecer en la referida base de datos.” 11 Así mismo, el artículo 9 del Decreto 1377 de 2013 dispone: “Revocatoria de la autorización y/o supresión del dato. Los titulares podrán en todo momento solicitar al Responsable o Encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El Responsable o Encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el Responsable y/o el Encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” 12 10 Literal e artículo 8 Ley 1581 de 2012 11 Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub 12 Artículo 9 Decreto 1377 de 2013 De acuerdo con lo cual el titular del dato puede revocar la autorización y pedir la

supresión siempre que lo quiera y no esté legal o contractualmente obligado a permanecer en la base de datos, y también cuando no se haya hecho un uso adecuado del dato. Adicionalmente se debe tener en cuenta que solamente para la segunda de las hipótesis se requiere la declaratoria por parte de la Superintendencia de Industria y Comercio. En efecto, dentro del ámbito de la Ley 1581 de 2012, cuando en un contrato se ha autorizado el Tratamiento de datos personales y se ha obligado a permanecer en dicha base de datos, no resulta aplicable la figura de la revocatoria de la autorización. Sin embargo, en caso de que el Responsable o el Encargado hayan violado la constitución o la ley al llevar a cabo el Tratamiento, se podrá retirar el dato personal, previo pronunciamiento esta Superintendencia. Finalmente, debe recordarse lo dispuesto en el artículo 11 del Decreto 1377 de 2013 acerca del periodo de conservación de los datos personales: “Limitaciones temporales al Tratamiento de los datos personales. Los Responsables y Encargados del Tratamiento sólo podrán recolectar, almacenar, usar o circular los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el Tratamiento, atendiendo a las disposiciones aplicables a la materia de que se trate y a los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información. Una vez cumplida la o las finalidades del Tratamiento y sin perjuicio de normas legales que dispongan lo contrario, el Responsable y el Encargado deberán proceder a la supresión de los datos personales en su posesión. No obstante lo anterior, los datos personales

deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal o contractual. Los Responsables o Encargados del Tratamiento deberán documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate, así como las instrucciones que al respecto imparta la Superintendencia de Industria y Comercio.” 13 2.3 Tercera pregunta. Registro Nacional de Bases de Datos 13 Artículo 11 Decreto 1377 de 2013 El artículo 25 de la Ley 1581 de 2012 señala lo siguiente: “Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento.” 14 Por lo anterior, el Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a tratamiento que operan en el país y los interesados

deberán aportar a esta Superintendencia las políticas de tratamiento de la información, las cuales no podrán ser inferiores a los deberes del Responsable y del Encargado del Tratamiento de los datos personales contenidos en los artículo 17 y 18 de la Ley 1581 de 2012. Se debe tener en cuenta que el citado parágrafo del artículo 25 de la Ley 1581 de 2012 señaló que es deber del Gobierno Nacional reglamentar la información mínima que contendrá dicho Registro, así como los términos y condiciones bajo los cuales se inscribirán los Responsables del Tratamiento de datos, la cual a la fecha no ha sido expedida. De acuerdo con lo cual, a la fecha esta Superintendencia no cuenta con la información solicitada. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. 14 Artículo 22 Ley 1581 de 2012. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos