SIC - Concepto-15140452

Bogotá D.C., 10

Asunto: Radicación: 15-140452- -00005-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 5

Respetado(a) Señor (a): [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con los interrogantes de su consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

Primer y segundo interrogante: “1. Cómo funcionará la nueva plataforma de bases de datos?

2. Como empresaria, que trámite y que requisitos debo cumplir para poder registrar mis bases de datos en dicha plataforma?” Respuesta: Esta Oficina Asesora Jurídica solicitó la información de sus interrogantes a la Dirección de investigación de Protección de datos personales, quien mediante memorando del 28 de julio de 2015 manifestó lo siguiente: “Sobre el particular y para las dos primeras preguntas se advierte que el objeto principal del Registro Nacional de Bases de Datos -RBND es contar con un directorio público de las bases de datos personales sujetas a tratamiento que operan en el país, acorde con lo establecido en la Ley 1581 de 2012, Régimen General de Protección de Datos Personales de Colombia, por lo tanto no se debe enviar como tal información propia contenida en las

bases de datos. La plataforma permitirá la autenticación del responsable de la base de datos a registrar, por lo que deberá tener en cuenta las consideraciones previas, establecidas en el Manual de Usuario del Registro, donde se explica claramente todo lo necesario para el registro de sus bases de datos. Adicional a lo anterior tendrá la posibilidad de revisar los videotutoriales de ayuda para cada paso del registro que le guiarán el proceso. Para el inicio del registro, es importante entre otros aspectos, que el Responsable del tratamiento de datos personales conozca el correo electrónico que tiene inscrito en el Registro Mercantil, el número de matrícula mercantil de la sociedad y la ciudad de la cámara de comercio, ya que dicho correo será el usuario con que ingresará al RNBD y al que se enviará la clave de acceso y las notificaciones del resultado del registro de cada base de datos.” Tercer interrogante “3. Qué efectos tienen para el titular de los datos y del empresario hacer uso de esta plataforma?” Respuesta: El artículo 25 de la Ley 1581 de 2012 señala lo siguiente: “Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos

en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento.” En concordancia con lo anterior, el artículo 2.2.2.26.1.4., del decreto 1074 de 2015 señala lo siguiente: “Consulta del Registro Nacional de Bases de Datos. Los ciudadanos podrán consultar en el Registro Nacional de Bases de Datos, la información mínima prevista en el artículo 2.2.2.26.2.1 del presente Decreto con el fin de facilitar el ejercicio de sus derechos a conocer, actualizar, rectificar, suprimir el dato y/o revocar la autorización.” En consecuencia, el Registro de bases de datos es el directorio público de las bases de datos sujetas a tratamiento, esto es, la recolección, el almacenamiento, el uso, la circulación o supresión de los mismos, que permitirá a los titulares consultar la información mínima del responsable y encargado del tratamiento para facilitar el ejercicio de sus derechos de conocer, actualizar, rectificar, suprimir el dato y/o revocar la autorización. Cuarto interrogante “4. Que consecuencias para el titular de los datos y el empresario contraerían la no inscripción de las bases de datos que el empresario maneja en la mencionada plataforma?” Respuesta: La no inscripción de las bases de datos por parte de los responsables del tratamiento acarreará la imposición de las sanciones señaladas en el artículo 23 de la Ley 1581 de 2012 por parte de esta Superintendencia así:

“Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. Por lo anterior, ante el incumplimiento de las normas sobre protección de datos personales por parte de los responsables o encargados del tratamiento, la Superintendencia de Industria y Comercio podrá aplicar las siguientes sanciones: (i) multas de carácter personal o institucional hasta por el equivalente de dos mil

(2.000) salarios mínimos mensuales legales vigentes; (ii) suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses; (iii) Cierre temporal de las operaciones relacionadas con el Tratamiento de datos personales; (iv) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles. Quinto interrogante “5. Las empresas de abogados (servicios jurídicos) deben realizar la inscripción en esta plataforma y por lo tanto, están sujetas a cumplir esta disposición?” Respuesta: El artículo 2.2.2.26.1.2., del Decreto 1074 de 2015 determina qué bases de datos deben ser inscritas en el Registro Nacional de Bases de datos: “Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual se realice por personas naturales o jurídicas, de naturaleza pública o privada, en el territorio colombiano o fuera de él, en este último caso, siempre que al Responsable del Tratamiento o al Encargado del Tratamiento le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. Lo anterior sin perjuicio de las excepciones previstas en el artículo 2 de la Ley 1581 de 2012.” De acuerdo con lo cual, todas las bases que sean reguladas por la Ley 1581 de 2012 deben ser inscritas en el Registro Nacional de Bases de Datos, sin importar si el Responsable o Encargado del Tratamiento son entidades de naturaleza pública o privada y personas naturales o jurídicas, deben ser objeto de inscripción en el Registro.

Sexto interrogante “6. Para qué fecha se encontrará en funcionamiento dicha plataforma con la debida promulgación de la normativa que reglamente todo su funcionamiento y/procedimientos?” Respuesta: la Dirección de investigación de Protección de datos personales, quien mediante memorando del 28 de julio de 2015 manifestó lo siguiente: “En cuanto a la fecha de inicio de producción, el RNBD se encuentra en los ajustes y pruebas finales, por lo que se espera que en el mes de octubre se inicie el registro de las bases de datos con información personal. Sin embargo se informará oportunamente el procedimiento a seguir para el cumplimiento del trámite correspondiente” Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: carolina García

Revisó: William Burgos

Aprobó: William Burgos