SIC - Concepto-14118247

Bogotá D.C 10

Asunto: Radicación: 14-118247--1-0

Trámite: 113

Actuación: 440

Folios: 19

Estimados Señores: Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta La entidad peticionaria formula una serie de preguntas en relación con el régimen general de protección de datos personales.

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales: • Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. • • Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. • Impartir instrucciones sobre las medidas y procedimientos necesarios para la

adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. • Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Al respecto, en primer lugar, nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares. Sin embargo, a continuación damos respuesta de manera general a sus preguntas. 2.1 Primera pregunta. "¿Se encuentra una entidad de naturaleza pública, independientemente de la rama del poder público que haga parte, obligada a pedir autorización, o a fijar advertencia a los visitantes y trabajadores que ingresen a sus instalaciones físicas, que están siendo filmados por cámaras de seguridad?" 2.1.1 La videovigilancia. El concepto de videovigilancia se encuentra definido de la siguiente manera: "1. f. Esp. Vigilancia a través de un sistema de cámaras, fijas o móviles." 1 En relación con la videovigilancia la Autoridad Española de Protección de Datos ha considerado: "La captación y/o el tratamiento de imágenes con fines de vigilancia es una práctica muy extendida en nuestra sociedad. La videovigilancia generalmente persigue garantizar la seguridad de los bienes y personas. (...) La utilización de medios técnicos para la vigilancia repercute sobre los derechos de las personas lo que obliga a fijar garantías. (...)" 2 En este sentido, la finalidad de la videovigilancia por regla general es la de

garantizar la seguridad de bienes o personas en determinados lugares. Dado que a la videovigilancia le resulta aplicable la Ley 1581 de 2012, se deben observar los principios contenidos en dicha norma, en especial los siguientes: 2.1.2 El principio de libertad y la autorización para el Tratamiento de datos personales. La autorización del titular para el Tratamiento de datos personales está prevista en el artículo 9 de la Ley 1581 de 2012: "Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior." 3 Por su parte, el principio de libertad está consagrado en los siguientes términos en el literal c del artículo 14 de la Ley 1581 de 2012: 1 Guía de Videovigilancia, Agencia Española de Protección de Datos, página 4, http://www.aqpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/pdfs/quia vide oviqilancia.pdf. 2 Guía de Videovigilancia, Agencia Española de Protección de Datos, página 6, http://www.aqpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/pdfs/quia vide ovigilancia.pdf. 3 Artículo 9 Decreto 1377 de 2013. "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;" 4 Dicho principio, que es pilar fundamental de las normas de protección de datos

personales, implica que la actividad de Tratamiento de datos personales solamente se pueda llevar a cabo con la autorización previa del titular de los mismos. En relación con los requisitos que debe cumplir dicha autorización la Corte Constitucional consideró: "De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales. Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez." 5 Finalmente, y dado que la ley no exige que la autorización dada por los titulares de los datos personales para su tratamiento adopte una forma determinada, en principio, y entretanto no se regule en contrario, podrá adoptar cualquier forma siempre que se garantice el cumplimiento de los requisitos analizados con antelación. En este sentido, el artículo 7 del Decreto 1377 de 2013 al reglamentar la Ley 1581 de 2013 prevé las distintas formas a través de las cuales se puede obtener la autorización de los titulares de los datos personales para su tratamiento: "Modo de obtener la autorización. Para efectos de dar cumplimiento a lo

dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del 4 Literal c artículo 4 Ley 1581 de 2012. 5 Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los Titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a la conducta inequívoca." 6 De acuerdo con lo anterior, la autorización para el tratamiento de los datos personales puede ser obtenida a través de los siguientes modos: • Por escrito • De forma oral • Mediante conductas inequívocas del titular, cuando no se trate de datos personales de carácter sensible. 2.2 Segunda pregunta. "¿Debe una entidad pública solicitar autorización a los visitantes y trabajadores que ingresen a las instalaciones físicas, para que suministren sus datos biométricos tales como imagen fotográfica y huella digital (conforme a lo dispuesto en los artículos 5y6de la Ley 1581 de 2012?" 2.2.1 Los datos biométricos.

El artículo 5 de la Ley 1581 de 2012 define los datos sensibles en los siguientes términos: "Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos 6 Artículo 7 Decreto 1377 de 2013. humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos." 7 De acuerdo con lo cual, serán datos biométricos aquellos que encajen en dicho concepto, como por ejemplo, las huellas dactilares. Así mismo, el artículo 6 de dicha norma regula el Tratamiento de los datos sensibles: "Tratamiento de datos sensibles. Se prohibe el Tratamiento de datos sensibles, excepto cuando: a. El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b. El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización; c. El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o

cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d. El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e. El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad délos Titulares."8 De acuerdo con lo anterior, la regla general es la prohibición del Tratamiento de datos personales que estén catalogados como sensibles, sin embargo, sí está permitido en ciertos casos previstos en los literales a al e del citado artículo. 7 Artículo 6 Ley 1581 de 2012. 8 Corte Constitucional, Sentencia C-875 del 22 de noviembre de 2011, Magistrado ponente: Jorge Ignacio Pretelt Chaljub. Al respecto se debe tener en consideración lo manifestado por la Corte Constitucional al evaluar la norma en comento: "Como se indicó en apartes previos, la prohibición de tratamiento de datos sensibles es una garantía del habeas data y del derecho a la intimidad, y además se encuentra estrechamente relacionada con la protección de la dignidad humana. Sin embargo, en ciertas ocasiones el tratamiento de tales datos es indispensable para la adecuada prestación de servicios -como la atención médica y la educacióno para la realización de derechos ligados precisamente a la esfera íntima de las personas -como la libertad de

asociación y el ejercicio de las libertades religiosas y de opinión. Las excepciones del artículo 6 responden precisamente a la necesidad del tratamiento de datos sensible en dichos escenarios. Ahora bien, como se trata de casos exceptuados y que, por tanto, pueden generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos, los agentes que realizan en estos casos el tratamiento tienen una responsabilidad reforzada que se traduce en una exigencia mayor en términos de cumplimiento de los principios del artículo 4 y los deberes del título VI. Esa mayor carga de diligencia se deberá también traducir en materia sancionatoria administrativa y penal. (...)" 9 Finalmente, la autorización para el Tratamiento de los datos personales sensibles fue reglamentada en el artículo 6 del Decreto 1377 de 2013: "De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de los datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

2. Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son

9 Artículo 6 Decreto 1377 de 2013. 3. sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso. Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles." 10 2.3 Tercera pregunta. "Considerando que dentro de la actividad contractual (...) se adelantan audiencias que tienen diversos fines (desde el proceso de selección, así como audiencias para determinar la responsabilidad de un contratista y/o aseguradora por un presunto incumplimiento), y cuya naturaleza es pública. ¿Debe contar la entidad con la autorización de los asistentes para la recolección de datos biométricos en audio y video?, lo anterior en concordancia con la excepción prevista en el parágrafo del artículo sexto de la ley 1266 de 2008." 2.3.1 Autorización previa y las excepciones a dicho requisito. El principio de libertad se encuentra consagrado en los siguientes términos en el literal c del artículo 4 de la Ley 1581 de 2012: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;" 11 De acuerdo con la citada norma, la autorización del titular de los datos personales para su Tratamiento se requerirá siempre que no se encuentre dentro de una de las excepciones consagradas en el artículo 10 de la Ley 1581 de 2012 o cuando no exista una norma o decisión judicial que exima de la obtención de la

autorización. En relación con la autorización el artículo 9 de la Ley 1581 de 2012 establece: "Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, 10 Literal c artículo 3 Ley 1581 de 2012. 11 Literal c artículo 4 Ley 1581 de 2012. la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. "12 En adición a los casos en que la ley o una decisión judicial permiten el Tratamiento de información sin que se obtenga la autorización previa de su titular, el artículo 10 de la Ley 1581 de 2012 establece otros casos en los cuales está permitido: "Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: a. Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b. Datos de naturaleza pública; c. Casos de urgencia médica o sanitaria; d. Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e. Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley." 13 En relación con la primera de las situaciones planteadas, esto es, la necesidad o no de obtener autorización cuando el Tratamiento de datos personales es efectuado por una autoridad pública o administrativa en ejercicio de funciones legales o por orden judicial, se debe tener en consideración lo manifestado por la Corte Constitucional en relación con dicha excepción:

"En primer término, se señala que se prescindirá de la autorización cuando la información sea "requerida por una autoridad pública o administrativa en ejercicio de sus funciones legales o por orden judicial". Sin embargo, considera la Sala que deben hacerse las mismas observaciones que las contenidas en la Sentencia C-1011 de 2008, al hacer el estudio del Proyecto de Ley Estatutaria de los datos financieros. En relación, con las autoridades públicas o administrativas, señaló la Corporación que tal facultad "no puede convertirse en un escenario 12 Artículo 9 Ley 1581 de 2012. 13 Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. proclive al abuso del poder informático, esta vez en cabeza de los funcionarios del Estado. Así, el hecho que el legislador estatutario haya determinado que el dato personal puede ser requerido por toda entidad pública, bajo el condicionamiento que la petición se sustente en la conexidad directa con alguna de sus funciones, de acompasarse con la garantía irrestricta del derecho al hábeas data del titular de la información. En efecto, amén de la infinidad de posibilidades en que bajo este expediente puede accederse al dato personal, la aplicación del precepto bajo análisis debe subordinarse a que la entidad administrativa receptora cumpla con las obligaciones de protección y garantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida. Para la Corte, esto se logra a través de dos condiciones: (i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las

funciones de la entidad del poder Ejecutivo: v (ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información, habida consideración que ese grupo de condiciones permite la protección adecuada del derecho. En relación con el primero señaló la Corporación que "la modalidad de divulgación del dato personal prevista en el precepto analizado devendrá legítima, cuando la motivación de la solicitud de información esté basada en una clara y específica competencia funcional de la entidad." Respecto a la segunda condición, la Corte estimó que una vez la entidad administrativa accede al dato personal adopta la posición jurídica de usuario dentro del proceso de administración de datos personales, lo que de forma lógica le impone el deber de garantizar los derechos fundamentales del titular de la información, previstos en la Constitución Política y en consecuencia deberán: "(i) guardar reserva de la información que les sea suministrada por los operadores y utilizarla únicamente para los fines que justificaron la entrega, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud de suministro del dato personal; (ii) informar a los titulares del dato el uso que le esté dando al mismo; (iii) conservar con las debidas seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento; y (iv) cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la legislación estatutaria." 14 14 Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub.

De acuerdo con lo anterior, para que se pueda aplicar la excepción prevista en el literal a del artículo 10 de la Ley 1581 de 2012 se deben cumplir los siguientes requisitos: • La solicitud de información que realiza la autoridad administrativa debe estar relacionada con las funciones de dicha entidad. • La autoridad administrativa debe dar cumplimiento a las normas que componen el régimen de protección de datos personales. En este sentido, cuando se presenten los requisitos estudiados y exclusivamente en dichas situaciones, se podría considerar exceptuado dicho Tratamiento del requisito de autorización previa. Sin embargo, es importante recordar que corresponde al Responsable del Tratamiento evaluar cada una de las situaciones y determinar si se encuentra o no en alguna de las excepciones a la autorización previa. 2.4 Cuarta pregunta. "Debe (...) implementar un aviso de privacidad para recolección de datos de oferentes y contratistas (personas naturales, personas jurídicas, consorcios y uniones temporales, en el evento en que aplique a los datos relacionados en la siguiente tabla) que pretendan entablar una relación contractual para que tal información sea recolectada y custodiada? (...)" 2.4.1 El concepto de dato personal. En primer lugar, es importante estudiar el concepto de dato personal, pues de él dependerá la aplicabilidad del régimen de protección de datos personales. El dato personal está definido en los siguientes términos en el literal c del artículo 3 de la Ley 1581 de 2012: "Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" 15 15 Literal c artículo 3 Ley 1581 de 2012. En relación con las características de los datos personales la Corte Constitucional

ha considerado: "En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonalesson las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación." 16 En este sentido, se debe recordar que el concepto de dato personal sólo resulta aplicable a información vinculada a una o vahas personas naturales, no jurídicas, tal y como lo ratifica la Corte Constitucional: "Por otra parte, llama la atención de la Sala que la definición del literal c) se restrinja a los datos de las personas naturales. Por tanto, la definición pareciera reñir, en principio, con algunos pronunciamientos de esta Corporación en los que se ha admitido que las personas jurídicas también pueden ser titulares del derecho al habeas data, como la sentencia T-462 de 1997 y C-1011 de 2008. Sin embargo, en sentir de la Sala, no se trata de una restricción que desconozca la doctrina constitucional sobre la protección del habeas data en cabeza de las personas jurídicas, ni el principio de igualdad. Ciertamente, la garantía del habeas data a las personas jurídicas no es una protección autónoma a dichos entes, sino una protección que surge en virtud de las

personas naturales que las conforman. Por tanto, a juicio de la Sala, es legítima la referencia a las personas naturales, lo que no obsta para que, eventualmente, la protección se extienda a las personas jurídicas cuando se afecten los derechos de las personas que la conforman." 17 De acuerdo a lo anterior, la Ley 1581 de 2012 resultará aplicable a las bases de datos previstas en dicha norma, siempre y cuando se trate de bases de datos que contienen datos de carácter personal, los cuales, según se indicó, corresponden a datos de personas naturales y no de personas jurídicas. 16 Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub. 17 ibídem En este sentido, cuando se trate de situaciones relacionadas con el tratamiento de información de figuras asociativas que no correspondan a datos de personas naturales, no le resultará aplicable la Ley 1581 de 2012, salvo que "la protección se extienda a las personas jurídicas cuando se afecten los derechos de las personas que las conforman", tal como lo estableció la Corte Constitucional en la Sentencia C-748 de 2011. 2.4.2 El Aviso de Privacidad y las Políticas de tratamiento de datos personales. El Decreto 1377 de 2013 al reglamentar la Ley 1581 de 2012 estableció dos mecanismos a través de los cuales se debe poner en conocimiento de los titulares de los datos personales cierta información, estos son el Aviso de privacidad y las Políticas de tratamiento de la información. El Aviso de privacidad se encuentra definido en los siguientes términos en el numeral 1 del artículo 3 del Decreto 1377 de 2013:

"Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales." 18 Está previsto que por regla general el Responsable ponga a disposición del titular de los datos personales las Políticas de tratamiento de la información, sin embargo, cuando ello no sea posible se hará uso del Aviso de privacidad, según lo establece el artículo 14 del Decreto 1377 de 2013: "Aviso de privacidad. En los casos en que no sea posible poner a disposición del Titular las políticas de Tratamiento de la Información, los Responsables deberán informar por medio de un Aviso de Privacidad al Titular sobre la existencia de tales políticas y la forma de acceder a las 18 Artículo 3 Decreto 1377 de 2013. mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales." 19 El contenido mínimo del Aviso de privacidad está regulado en el artículo 15 del Decreto 1377 de 2013, el cual determina: "Contenido mínimo del Aviso de Privacidad. El Aviso de Privacidad, como mínimo, deberá contener la siguiente información:

1. Nombre o razón social y datos de contacto del Responsable del

Tratamiento.

2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo.

3. Los derechos que le asisten al Titular.

4. Los mecanismos dispuestos por el Responsable para que el Titular

conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política ¡de Tratamiento de información. No obstante lo anterior, cuando se recolecten datos personales sensibles, el Aviso de Privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos. En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los titulares la política de Tratamiento de la información, de conformidad con Ib establecido en este Decreto." 20 Por otra parte, las Políticas de tratamiento de la información, que según se indicó deben ser la regla general, se encuentran reguladas en los siguientes términos en el artículo 13 del Decreto 1377 de 2013: "Políticas de Tratamiento de la información. Los Responsables del Tratamiento deberán desarrollar sus políticas para el Tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. 19 Artículo 14 Decreto 1377 de 2013. 20 Artículo 15 Decreto 1377 de 2013. Las políticas de Tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información:

1. Nombre o razón social, domicilio, dirección, correo electrónico y

teléfono del Responsable.

2. Tratamiento al cual serán sometidos los datos y finalidad del mismo

cuando ésta no se haya informado mediante el Aviso de Privacidad.

3. Derechos que le asisten como Titular.

4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.

5. Fecha de entrada en vigencia de la política de Tratamiento de la información y periodo de vigencia de la base de datos.

Cualquier cambio sustancial en las políticas de Tratamiento, en los términos descritos en el artículo 5 del presente decreto, deberá ser comunicado oportunamente a los Titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas." 21 Específicamente en relación con su pregunta, debe tenerse en consideración que de acuerdo con lo dispuesto en el inciso final del artículo 10 de la Ley 1581 de 2012, incluso si un Tratamiento se encuentra exento del requisito de obtención de autorización previa, es necesario dar cumplimiento a las demás disposiciones contenidas en dicha norma. 2.5 Quinta pregunta. "¿Cuáles de los datos relacionados en el punto anterior, debe la entidad remitir, por motivos de consultas o derechos de petición, a particulares que no son titulares de los mismos?" 21 Artículo 13 Decreto 1377 de 2013. 2.5.1 Posibilidad de entregar información a terceros y principio de acceso restringido. En su artículo 13 la Ley 1581 de 2012 establece a quiénes se les pueden suministrar los datos personales que reposan en una base de datos: "Personas a quienes se les puede suministrar la información. La información

que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas: a) A los Titulares, sus causahabientes o sus representantes legales; b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial; c) A los terceros autorizados por el Titular o por la ley." 22 Por su parte el literal f del artículo 4 de la Ley 151