SIC - Concepto-13269070

Bogotá D.C 10

Asunto: Radicación: 13-269070--1-0 113

Trámite: 113

Evento: Actuación: 440

Folios: 8

Estimado(a) Señor: [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

1. Facultades de la Superintendencia de Industria y Comercio en materia de datos personales La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de

sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación resolveremos sus interrogantes en los siguientes términos: Primer cuestionamiento "1. Favor informar si un fallo arbitral de la Cámara de Comercio constituye un dato de naturaleza pública." Respuesta: El artículo 3 de la Ley 1581 de 2012 define el dato personal así: "c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o

varias personas naturales determinadas o determinables". Al respecto la Corte Constitucional mediante Sentencia C-748 de 2011 señala lo siguiente: "[E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonalesson las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación." (...) Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles." Es necesario aclarar que la Ley 1581 de 2012 no señala una clasificación de datos personales, sin embargo ante ese vacío la Corte Constitucional en la sentencia antes mencionada, señaló lo siguiente: "Se pregunta la Sala si la omisión de estas clasificaciones en el literal c) constituye un vicio de constitucionalidad. Para la Sala la respuesta es negativa, ya que estas definiciones no son un ingrediente indispensable para la aplicación de las garantías de la ley y, en todo caso, la ausencia de definiciones puede ser llenada acudiendo a la jurisprudencia constitucional y a otros preceptos legales. En primer lugar, la clasificación de los datos personales en públicos,

semiprivados y privados o sensibles, es solamente una posible forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato. El legislador, por tanto, tiene libertad para elegir o no elegir una categorización. Ahora bien, es cierto que el propio legislador estatutario adoptó algunas de estas clasificaciones, como la de datos sensibles, cuyo tratamiento se prohibe con algunas excepciones en el artículo 6 del proyecto. Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las "f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular." En este orden de ideas, dado que la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso

puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto." En concordancia con lo anterior, el artículo 3 del Decreto 1377 de 2013 "Por el cual se reglamenta parcialmente la Ley 1581 de 2012", señala la siguiente definición de dato público: "Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.” Respecto al lado arbitral, la Ley 1563 de 2012 en su artículo 1 lo define en los siguientes términos: "El laudo arbitral es la sentencia que profiere el tribunal de arbitraje. El laudo puede ser en derecho, en equidad o técnico." Al respecto, la Corte Constitucional en Sentencia C-247 de 1997 señaló lo siguiente: "[L]a decisión arbitral concretada en un laudo arbitral, bien sea en derecho o en equidad, es eminentemente jurisdiccional y equivale a una providencia judicial, en cuanto resuelve el litigio suscitado entre las partes, pronunciándose sobre los hechos, resolviendo sobre las pretensiones, valorando las pruebas y declarando el derecho a la luz de los mandatos

constitucionales y legales o atendiendo a los principios de equidad." No cabe, entonces, duda alguna de que el arbitramento constituye una institución importante para la obtención de una eficaz administración de justicia." En consecuencia, los datos públicos son aquellos que por mandato legal o constitucional es calificado como tal y los que no tengan la naturaleza de semiprivado, privado o sensible. A los datos públicos se puede acceder sin autorización del titular, salvo que se encuentren sometidos a reserva legal y pueden estar contenidos en registros públicos, documentos públicos, gacetas, boletines oficiales, sentencias judiciales, entre otros. Segundo cuestionamiento "2. Favor informar: ¿Si un Titular o persona natural, susceptible de un fallo arbitral, pero no habiendo autorizado inclusión en bases de datos alguna, puede estar inmersa en ella y a través de un medio masivo digital de información al público como el internet?, máxime cuando la Ley 1266 de 2008 contempla incluyentemente a los principios de seguridad, intimidad, privacidad y los derechos de hábeas data, por consiguiente, ¿una persona natural puede ver sus derechos vulnerados?" Respuesta: Sea lo primero señalar que la ley aplicable para el tratamiento de los datos personales de acuerdo a su planteamiento es la Ley 1581 de 2012, puesto que, la Ley 1266 de 2008 tiene como objeto la protección de la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países. Ahora bien, el artículo 10 de la Ley 1581 de 2012 señala lo siguiente: "10. Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de:

b) Datos de naturaleza pública." Por lo anterior, y retirando la respuesta del numeral primero para el tratamiento de los datos personales, esto es, la recolección, almacenamiento, uso, circulación o supresión de los datos de naturaleza pública no es necesaria la autorización del titular. Tercer cuestionamiento "3. El art. 26 del título VIII de la ley citada, prohibe la transferencia de datos a terceros países. Al publicar tratamiento de titulares vencidos en fallos arbitrales y publicitarios en medios digitales como el internet (medio masivo a nivel de información), ¿no se estaría transgrediendo la norma?" Respuesta: Reiteramos la aplicación de la Ley 1581 de 2012 y no la Ley 1266 de 2008 teniendo en cuenta el contexto de su consulta. El literal f) del artículo 4 de la Ley 1581 de 2012 señala lo siguiente, respecto al principio de acceso y circulación restringida: “f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente Ley. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley.” Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 explicó lo siguiente: "(...) En efecto: (i) prohibe que los datos no públicos sean publicados en

Internet y (ii) sólo podrían ser publicados si se ofrecen todas las garantías. De lo anterior se infiere que si el sistema permite el acceso con la simple digitación de la cédula, no es un sistema que cumpla con los requerimientos del inciso segundo del literal f) del artículo 4. Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella. De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. De otra parte, cabe señalar que aún cuando se trate de información pública, su divulgación y circulación está sometida a los límites específicos determinados por el objeto y finalidad de la base de datos." En consecuencia, los datos públicos si pueden estar disponibles en internet; sin embargo, su divulgación y circulación deberán estar sometida a los límites de la finalidad de la base de datos. Ahora bien, respecto a la transferencia internacional de datos personales, el artículo 26 de la Ley 1581 de 2012 señala lo siguiente: “Prohibición. Se prohibe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos. Se entiende que un país ofrece un nivel adecuado de protección de datos cuando cumpla con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los que la presente ley exige a sus destinatarios. Esta prohibición no regirá cuando se trate de: a) Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca para la transferencia.

b) Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública. c) Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable. d) Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte, con fundamento en el principio de reciprocidad. e) Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la autorización del Titular. f) Transferencias legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. Parágrafo 1. En los casos no contemplados como excepción en el presente artículo, corresponderá a la Superintendencia de Industria y Comercio, proferir la declaración de conformidad relativa a la transferencia internacional de datos personales. Para el efecto, el Superintendente queda facultado para requerir información y adelantar las diligencias tendientes a establecer el cumplimiento de los presupuestos que requiere la viabilidad de la operación. Parágrafo 2. Las disposiciones contenidas en el presente artículo serán aplicables para todos los datos personales, incluyendo aquellos contemplados en la Ley 1266 de 2008.” Por lo anterior, como regla general la ley establece que se prohibe la transferencia de datos personales a terceros países que no porporcionen niveles adecuados de protección de datos y señala como excepción los eventos en los que procede dicha transferencia. Respecto a los niveles adecuados de protección de datos personales la Corte

Constitucional mediante sentencia C-748 de 2012 señaló lo siguiente: "(...) [se entenderá que un país cuenta con los elementos o estándares de garantía necesarios para garantizar un nivel adecuado de protección de datos personales, si su legislación cuenta; con unos principios, que abarquen las obligaciones y derechos de las partes (titular del dato, autoridades públicas, empresas, agencias u otros organismos que efectúen tratamientos de datos personales), y de los datos (calidad del dato, seguridad técnica) y; con un procedimiento de protección de datos que involucre mecanismos y autoridades que efectivicen la protección de la información. De lo anterior se deriva que el país al que se transfiera los datos, no podrá proporcionar un nivel de protección inferior al contemplado en este cuerpo normativo que es objeto de estudio. (…)” Por lo anterior, son dos los factores que se deberán tener en cuenta para considerar que un país cuenta con un adecuado nivel de protección de datos, a saber: (i) que existan normas constitutivas de derechos en cabeza del titular de datos y obligaciones respecto de quienes hagan tratamiento o ejercen control sobre dicho tratamiento y (ii) que se cuente con los mecanismos necesarios que garanticen la aplicación de las normas, lo cual implica el establecimiento de un conjunto de sanciones a los infractores y un órgano de control. Cuarto cuestionamiento "4. [La sentencias (sic) judiciales son públicas pero no están consideradas como fuentes accesibles al público. Según la actual redacción del art. 3ro Lay Orgánica 15/1999 y del 7 de su Reglamento de Desarrollo, Por lo tanto, no puede obtenerse (ni publicarse) ningún dato de carácter personal

recogido en ellas]. ¿De acuerdo a lo anterior, podemos considerar que si un fallo arbitral es publicitado por internet se estaría transgrediendo el enunciado anterior?” Respuesta: Nos remitimos a las respuestas anteriores, respecto a la definición de los datos personales de naturaleza pública de acuerdo a las leyes colombianas y vigentes en nuestro país y la publicación de los mismos en internet. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.qov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos