SIC - Concepto-14119879

Bogotá D.C., 10

Asunto: Radicación: 14-119879- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Oficina con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula la siguiente consulta: “(…) Quisiera saber cuales (sic) son las etapas e instancias que se surten dentro de un proceso por Habeas data, así como la normatividad que regula tal procedimiento. En igual sentido deseo conocer las sanciones que puede acarrear la entidad contra la cual se adelantó denuncia por protección de datos. (…)”

2. Materia objeto de la consulta 2.1 Funciones en materia de protección de datos personales.

La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales: • Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. • Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de

sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. • Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

3. Procedimiento aplicable a las investigaciones administrativas por infracción al régimen general de protección de datos personales.

El artículo 22 de la Ley 1581 de 2012 determina: “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del tratamiento o el Encargado del Tratamiento, adoptara las medidas o impondrá las sanciones correspondientes. En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo.” (1) Teniendo en cuenta que la Ley 1581 de 2012 no establece un procedimiento para el trámite de las quejas, sino que remite al procedimiento administrativo, se debe aplicar el procedimiento administrativo sancionatorio previsto en el Capítulo III del Título III del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. De acuerdo con lo anterior, dichos procedimientos tendrán las siguientes

características: • Averiguación preliminar: En esta etapa, que es facultativa, la autoridad administrativa determina si existe mérito para llevar a cabo un procedimiento sancionatorio. • Formulación de cargos: Una vez realizada la averiguación preliminar la Entidad determina si existe mérito para llevar a cabo la investigación, caso en el cual formulará cargos, lo cual se hará mediante acto administrativo que se debe notificar a los investigados. Contenido del acto administrativo de formulación de cargos: - Los hechos que originan la investigación. - Personas investigadas. - Normas presuntamente infringidas. - Sanciones que se podrán imponer Contra el acto administrativo de formulación de cargos no proceden recursos, sin embargo, dentro de los 15 días siguientes a su notificación los investigados pueden presentar descargos y solicitar y aportar pruebas. • Etapa probatoria: En la cual se practican las pruebas decretadas, una vez terminado se corre traslado por el término de 10 días a los investigados para que presenten sus alegatos. • Decisión: Tiene el siguiente contenido: - Individualización de las personas a sancionar. - Análisis de los hechos y pruebas en los cuales se fundamenta la sanción. - Normas infringidas. - Decisión final, puede ser archivo o sanción.

4. Sanciones por infracción al régimen general de protección de datos personales.

Con ocasión una posible infracción al régimen general de protección de datos personales, previa investigación, esta Superintendencia puede imponer las siguientes sanciones: “Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los

Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” (2) De acuerdo con lo anterior, ante una infracción a las normas de protección de datos personales, previa investigación, esta Superintendencia puede imponer las sanciones de multa, suspensión de las actividades relacionadas con tratamiento de datos personales y cierre temporal de la operación de tratamiento de datos. Es De resaltar que cuando se trate de datos de carácter sensible el cierre es inmediato y definitivo.

Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co.

Nota de referencia: (1) Artículo 22 Ley 1581 de 2012. (2) Artículo 23 Ley 1581 de 2012.

Elaboró: Mariana Naranjo Arango

Revisó y aprobó: William Burgos Durango

Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA