SIC - Concepto-15132505

Bogotá D.C., 10

Asunto: Radicación: 15-132505--2-0

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su comunicación radicada en esta Entidad con el número de la referencia, en los siguientes términos:

1. Objeto de la consulta Manifiesta en su escrito lo siguiente: "(...) ¿qué procedimiento se debe seguir para atender una queja o reclamo que presente un consumidor, que se niegue a dar la autorización de uso de datos personales?” A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

2. Derecho a presentar reclamos por los consumidores El artículo 3 de la Ley 1480 de 2011 señala, entre otros, derecho de reclamación

en los siguientes términos: “(…) 1.5. Derecho a la reclamación: Reclamar directamente ante el productor, proveedor o prestador y obtener reparación integral, oportuna y adecuada de todos los daños sufridos, así como tener acceso a las autoridades judiciales o administrativas para el mismo propósito, en los términos de la presente ley. Las reclamaciones podrán efectuarse personalmente o mediante representante o apoderado." Por su parte, el numeral 5 del artículo 58 de la precitada ley señala lo siguiente:

"A la demanda deberá acompañarse la reclamación directa hecha por el demandante al productor y/o proveedor, reclamación que podrá ser presentada por escrito, telefónica o verbalmente, con observancia de las siguientes reglas: a. Cuando la pretensión principal sea que se cumpla con la garantía, se repare el bien o servicio, se cambie por uno nuevo de similares características, se devuelva el dinero pagado o en los casos de prestación de servicios que suponen la entrega de un bien, cuando el bien sufra deterioro o pérdida, la reposición del mismo por uno de similares características o su equivalente en dinero, se deberá identificar el producto, la fecha de adquisición o prestación del servicio y las pruebas del defecto. Cuando la reclamación sea por protección contractual o por información o publicidad engañosa, deberá anexarse la prueba documental e indicarse las razones de inconformidad. b. La reclamación se entenderá presentada por escrito cuando se utilicen medios electrónicos. Quien disponga de la vía telefónica para recibir reclamaciones, deberá garantizar que queden grabadas. En caso de que la reclamación sea verbal, el productor o proveedor deberá expedir constancia escrita del recibo de la misma, con la fecha de presentación y el objeto de reclamo. El consumidor también podrá remitir la reclamación mediante correo con constancia de envío a la dirección del establecimiento de comercio donde adquirió el producto y/o a la dirección del productor del bien o servicio. c. El productor o el proveedor deberá dar respuesta dentro de los quince (15) días hábiles siguientes a la recepción de la reclamación. La respuesta deberá Contener todas las pruebas en que se basa. Cuando el proveedor y/o

productor no hubiera expedido la constancia, o se haya negado a recibir la reclamación, el consumidor así lo declarará bajo juramento, con copia del envío por correo. (…)" En concordancia con lo anterior, el artículo 2.2.2.32.2.1., del Decreto 1074 de 2015 dispone los siguientes requisitos para la solicitud de efectividad de la garantía legal: "Solicitud de la efectividad de la garantía legal. Para solicitar la efectividad de la garantía legal, el consumidor estará obligado a informar el daño que tiene el producto, ponerlo a disposición del expendedor en el mismo sitio en el que le fue entregado al adquirirlo o en los puntos de atención dispuestos para el efecto, a elección del consumidor, y a indicar la fecha de la compra o de la celebración del contrato correspondiente. En caso de que desee hacer efectiva la garantía legal directamente ante el productor, el consumidor deberá entregar el producto en las instalaciones de aquel. El producto reparado o el de reposición deberán ser entregados al consumidor en el mismo sitio en donde solicitó la garantía legal, salvo que el consumidor solicite otro sitio y el productor o expendedor así lo acepte. Si se requiere transporte para el bien, los costos deberán ser asumidos por el productor o expendedor, según el caso. Parágrafo. El consumidor que ejerza la acción jurisdiccional de protección al consumidor deberá haber surtido previamente la reclamación directa prevista en el numeral 5 del artículo 58 de la Ley 1480 de 2011." Por lo anterior, los consumidores pueden presentar sus reclamos ante el proveedor y/o productor de manera escrita a través de medios electrónicos o

mediante correo con constancia de envío a la dirección del establecimiento de comercio donde adquirió el producto y/o a la dirección del productor del bien o servicio. Así mismo, los consumidores pueden presentar sus reclamos vía telefónica, para lo cual, el productor o proveedor deberá garantizar que queden grabadas y cuando se realice de manera verbal deberán expedir constancia escrita del recibo de la misma con fecha de presentación y el objeto de reclamo.

3. Tratamiento de datos personales El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: "Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables." Al respecto, la Corte Constitucional mediante sentencia C-748 de 2011 señaló lo

siguiente: "(…) [E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonalesson las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación." (...) Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles".

Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ¡lícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. Por su parte, el literal g) del artículo 3 define tratamiento en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión." Al respecto la Corte Constitucional en la mencionada sentencia señaló lo siguiente: "El tratamiento es definido como cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Este vocablo, al igual que los dos analizados en precedencia, es de uso en el ámbito europeo y se encuentra tanto en la Directiva 95/46 del Parlamento Europeo como en los Estándares dictados en la reciente conferencia que se dio en Madrid (España), en la que se definió tratamiento como "cualquier operación o conjunto de operaciones, sean a no automatizadas, que se apliquen a datos de carácter personal, en especial su recogida, conservación, utilización,

revelación o supresión" El vocablo tratamiento para los efectos del proyecto en análisis es de suma importancia por cuanto su contenido y desarrollo se refiere precisamente a lo que debe entenderse por el "tratamiento del dato personat\ En ese orden, cuando el proyecto se refiere al tratamiento, hace alusión a cualquier operación que se pretenda hacer con el dato personal, con o sin ayuda de la informática, pues a diferencia de algunas legislaciones, la definición que aquí se analiza no se circunscribe únicamente a procedimientos automatizados. Es por ello que los principios, derechos, deberes y sanciones que contempla la normativa en revisión incluyen, entre otros, la recolección, la conservación, la utilización y otras formas de procesamiento de datos con o sin ayuda de la informática. En consecuencia, no es válido argumentar que la ley de protección de datos personales cobija exclusivamente el tratamiento de datos que emplean las nuevas tecnologías de la información, dejando por fuera las bases de datos manuales, lo que resultaría ilógico, puesto que precisamente lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia. En este orden de ideas, esta definición no genera problema alguno de constitucionalidad y por tanto será declarada exequible." Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios

tecnológicos o manuales. En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento." Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: "[Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática".

(...) En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. Sobre el particular, en la Sentencia C-1011 de 2008 se sostuvo que tales características concretan la libertad del individuo frente al poder informático (…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (...) En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (...)" Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. Respecto a la autorización el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo siguiente: "Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades

específicas del Tratamiento para las cuales se obtiene el consentimiento." En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del precitado decreto dispone: "Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca." Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior. Se entiende que el titular de la información ha dado su autorización para el Tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la

autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita.

4. Conclusiones 4.1 Los consumidores tienen derecho a presentar sus reclamaciones como requisito de procedibilidad para la presentación de la demanda de manera escrita, telefónica o verbal ante los proveedores y productores de bienes y servicios, para lo cual deberán aportar algunos datos personales que le permitan al proveedor o productor cumplir con su obligación de responderlas dentro de los quince (15) días hábiles siguientes a la recepción de la reclamación. 4.2 Los datos personales contenidos en las reclamaciones de los consumidores para la efectividad de garantía deben ser tratados por los proveedores y/o productores para los fines exclusivos de dicho procedimiento, teniendo en cuenta que la finalidad de la reclamación del consumidor es que se le responda por el estado del producto y la conformidad del mismo con las condiciones de idoneidad, calidad y seguridad legalmente exigibles o las ofrecidas.

Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos