SIC - Concepto-15132189

Bogotá D.C., 10

Asunto: Radicación: 15-132189- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con los interrogantes de su consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares. Primer interrogante “1. 1. Cuándo una empresa tiene múltiples proveedores con los cuales comparte datos personales, por ejemplo el caso de Aerolíneas y miles de agencias de viajes distribuídas (sic) por todo el mundo, debe firmar contratos de transferencia o de transmisión de datos personales con cada empresa y registrar cada uno de los contratos en el RNBD?” Respuesta: El artículo 2.2.2.25.1.3., del Decreto 1074 de 2015 distingue entre transferencia y transmisión al definirlos de la siguiente manera: “4. Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del

país.

5. Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable”.

De acuerdo con lo anterior, la transferencia internacional de datos es aquella comunicación de datos personales que ocurre entre un Responsable del Tratamiento ubicado en Colombia y otro Responsable del tratamiento que se encuentra fuera del país. De otra parte, la transmisión internacional de datos es aquella que involucra la comunicación de datos personales fuera del territorio nacional entre un Responsable del Tratamiento y un Encargado, para que este último realice el tratamiento de esos datos por cuenta del primero. Ahora bien, cuando se realice transmisión internacional de datos, es preciso tener en cuenta lo dispuesto en el artículo 2 del artículo 2.2.2.25.5.1., del Decreto 1074 de 2015, el cual prevé lo siguiente: “2. Las transmisiones internacionales de datos personales que se efectúen entre un Responsable y un Encargado para permitir que el encargado realice el tratamiento por cuenta del responsable, no requerirán ser informadas al Titular ni contar con su consentimiento cuando exista un contrato en los términos del artículo 2.2.2.25.5.2. Así las cosas, en los casos que se pretenda realizar una transmisión de datos personales el Responsable del Tratamiento deberá cumplir las reglas establecidas para las transferencias internacionales de datos personales, a menos que suscriba con el Encargado un contrato que se sujete a lo dispuesto en el artículo 2.2.2.25.5.2., del Decreto 1074 de 2015, que al respecto prevé lo siguiente:

“Artículo 25. Contrato de transmisión de datos personales. El contrato que suscriba el Responsable con los Encargados para el Tratamiento de datos personales bajo su control y responsabilidad señalará los alcances del Tratamiento, las actividades que el Encargado realizará por cuenta del Responsable para el Tratamiento de los datos personales y las obligaciones del Encargado para con el Titular y el Responsable. Mediante dicho contrato el Encargado se comprometerá a dar aplicación a las obligaciones del Responsable bajo la política de Tratamiento de la información fijada por éste y a realizar el Tratamiento de datos de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables. Además de las obligaciones que impongan las normas aplicables dentro del citado contrato, deberán incluirse las siguientes obligaciones en cabeza del respectivo Encargado:

1. Dar Tratamiento, a nombre del Responsable, a los datos personales conforme a los principios que los tutelan.

2. Salvaguardar la seguridad de las bases de datos en los que se contengan datos personales.

3. Guardar confidencialidad respecto del Tratamiento de los datos personales”.

Las transmisiones pueden hacerse cuando el Responsable y Encargado suscriban un contrato para el Tratamiento de datos personales bajo su control y responsabilidad y señalen lo siguiente: (i) los alcances del Tratamiento; (ii) las actividades que el Encargado realizará por cuenta del Responsable para el Tratamiento de los datos personales y (iii) las obligaciones del Encargado para con el Titular y el Responsable. El encargado deberá cumplir con las obligaciones del Responsable bajo la política de tratamiento de la información y realizar el tratamiento de los datos personales

de acuerdo a la finalidad que autorizó el titular de los mismos garantizando la confidencialidad de los datos y la seguridad de las bases de datos que los contenga. La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia: e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. (…) h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. Por lo anterior, esta Superintendencia elaboró el proyecto de Circular Externa Para la implementación del Registro Nacional de Bases de Datos y el Manual del Usuario, los cuales fueron publicados en nuestra página web www.sic.gov.co a través del icono "Normativa", escoge "proyectos de circular" allí encontrará los documentos referidos en versión PDF. Publicación que tuvo por objeto recibir los comentarios del público en general y que venció el pasado 26 de febrero de 2015 estando en trámite la expedición del documento definitivo para su posterior publicación en el Diario Oficial para su correspondiente cumplimiento, por lo cual, le sugerimos estar pendiente de las instrucciones que expida sobre la materia esta Superintendencia. Segundo interrogante “2. Si una empresa Encargada de datos personales, sub contrata los datos de otra empresa para sacar adelante un trabajo encargado por un Responsable de los datos, la Encargada y la sub encargada deben un contrato de transmisión de datos o similar? O el contrato firmado entre Responsable y Encargado se extiende al Sub encargado de los los (sic) datos?

Existe el Colombia un tipo de contrato de Encargado a subencargado tal como existe en la Agencia Española de Protección de Datos AEPD?” Respuesta: Reiteramos que esta Oficina Asesora Jurídica no puede resolver situaciones particulares. Así mismo, nos referimos a la respuesta anterior en relación con los contratos de transmisión que deben celebrar los responsables con los encargados que se encuentran fuera del territorio colombiano. Finalmente, le informamos que en Colombia no existe un tipo de contrato de encargado a suben cargado. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos