SIC - Concepto 15151 de 2025

Bogotá D.C., febrero de 2025

Asunto: Radicación: 25-15151

Trám ite: 113

Actuación: 440

Folios: 9

Reciba un cordial saludo:

De conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . OBJETO DE LA CONSULTA

Mediante el radicado de la referencia se nos consulta:

“Quiero saber si hay alguna sentencia donde se le perm ita a las em presas de transporte de carga terrestre de instalar cám aras de vigilancia en las cabinas”.

2 . CUESTI ÓN PREVI A

Reviste de gran im portancia precisar en prim er lugar que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido, im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, la CORTE CONSTI TUCI ONAL ha establecido en la Sentencia C542 de 2005:

Los conceptos em itidos por las entidades en respuesta a un derecho de

vulneración del debido proceso com o garantía constitucional.

Al respecto, la CORTE CONSTI TUCI ONAL ha establecido en la Sentencia C542 de 2005:

Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no.En ese orden de ideas, esta Entidad no está facultada para pronunciarse sobre aspectos específicos de una consulta o brindar la solución a una controversia que sea vinculante para el solicitante o que afecte a terceros. En consecuencia, mediante las respuestas a las solicitudes que bajo el derecho de petición en su modalidad de consulta se presenten, la Superintendencia únicamente suministra la información y los elementos conceptuales necesarios para que el peticionario halle una solución a su inquietud.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre

datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior , a continuación, daremos respuesta a las inquietudes presentadas.4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

El artículo 15 de la Constitución establece que en el Tratamiento de datos

de su consulta. Sin perjuicio de lo anterior , a continuación, daremos respuesta a las inquietudes presentadas.4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

El artículo 15 de la Constitución establece que en el Tratamiento de datos personales se respetará la libertad y demás garantías consagradas en la Constitución. Esto significa que, tanto las personas naturales como jurídicas, que traten datos personales –recolecten, almacenen, usen, circulen, supriman –, están sujetas a las obligaciones establecidas en la Constitución y en la ley.

Al respecto, débase indicar primero que el dato personal ha sido definido por el literal c) del artículo 3 de la Ley 1581 de 2012 en los siguientes términos:

“c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

En relación con las características de los datos personales, la Corte Constitucional ha considerado que son las siguientes:

“i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”1.

En consecuencia, las imágenes de personas naturales determinadas o determinables recolectadas a través de sistemas de videovigilancia (SV) o de cámaras de seguridad se consideran datos personales. En consecuencia, el

divulgación”1.

En consecuencia, las imágenes de personas naturales determinadas o determinables recolectadas a través de sistemas de videovigilancia (SV) o de cámaras de seguridad se consideran datos personales. En consecuencia, el tratamiento de esos datos está sometido al régimen de protección de datos personales.

La mencionada Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo procesamiento sea utilizando medios tecnológicos o manuales. El tratamiento de datos personales comprende,

1 Corte Constitucional, sentencia C-748 de 2011, M.P. Jorge Ignacio Pretel.entonces, la recolección de las imágenes de personas naturales determinadas o determinables a través de sistemas de videovigilancia.

Al respecto, esta Superintendencia ha señalado:

“En el caso de las imágenes de personas determinadas o determinables, operaciones como la captación, grabación, transmisión, almacenamiento, conservación, o reproducción en tiempo real o posterior, entre otras, son consideradas como Tratamiento de datos personales, y en consecuencia, se encuentran sujetas al Régimen General de Protección de Datos Personales” 2.

Por su parte, de conformidad con el literal e) del artículo 3º de la ley 1581 de

personales, y en consecuencia, se encuentran sujetas al Régimen General de Protección de Datos Personales” 2.

Por su parte, de conformidad con el literal e) del artículo 3º de la ley 1581 de 2012, se considera responsable del tratamiento:

“e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;”

En los términos anteriores, toda persona, ya sea natural o jurídica, que de manera individual o en conjunto con otros, gestiona el tratamiento de datos personales, como imágenes de personas naturales en fotos o en videos, es considerado responsable del tratamiento.

Todo responsable de tratamiento debe cumplir con el régimen de protección de datos contenido en la Ley 1581 de 2012 3 y en el Decreto 1074 de 2015. En particular, la Ley 1581 de 2012 establece los principios para el tratamiento de datos personales, como lo son los de finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad (art. 4º). Esta ley establece también los derechos de los titulares de los datos (art. 8º), la necesidad de una autorización para el tratamiento de datos personales (art. 9º), los casos en los que se puede prescindir de ella (art. 10º), el deber de información al titular del dato (art. 12º), las personas a las que se puede suministrar la información (13º), el derecho a consulta y reclamación por parte de los titulares de los datos (14º y 15º), entre otros muchos aspectos.

En particular, en el tratamiento de los datos personales como la recolección,

suministrar la información (13º), el derecho a consulta y reclamación por parte de los titulares de los datos (14º y 15º), entre otros muchos aspectos.

En particular, en el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:

2 Superintendencia de Industria y Comercio, “Protección de datos personales en sistemas de videovigilancia”, 2016, p. 5. Disponible para su descarga en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vigilancia_sept16_2016.p df 3 Se aclara que, de conformidad con el numeral a) del artículo 2º de la ley 1581 de 2012, ella no se aplica a las bases de datos mantenidas exclusivamente en el ámbito personal o doméstico. Por consiguiente, no rige las grabaciones que se realicen dentro de l ámbito exclusivamente personal o doméstico.“c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”;

En los anteriores términos, el tratamiento de los datos personales solo puede realizarse cuando exista autorización previa, expresa e informada del titular, con el fin de garantizar que el titular conozca en dónde están almacenados sus datos personales, para qué propósitos han sido recolectados y qué mecanismos tiene a su disposición para solicitar su actualización, rectificación o supresión.

titular, con el fin de garantizar que el titular conozca en dónde están almacenados sus datos personales, para qué propósitos han sido recolectados y qué mecanismos tiene a su disposición para solicitar su actualización, rectificación o supresión.

Como correlato de dicho principio, la Ley 1581 dde 2012 establece, dentro de los deberes de los responsables del tratamiento, el siguiente:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”;

En consecuencia, el responsable de tratamiento debe solicitar la autorización del titular para el tratamiento de sus datos personales. Dicho deber de obtener la autorización fue reglamentado por medio del Decreto 1074 de 2015, que dispuso lo siguiente:

“ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)".

Por lo anterior , cualquier forma de tratamiento está sujeta a la obligación del responsable de tratamiento de obtener la autorización del titular a más tardar al momento de la recolección de la información. Para ello, puede utilizar mecanismos para que la autorización se otorgue por escrito, en forma oral o

responsable de tratamiento de obtener la autorización del titular a más tardar al momento de la recolección de la información. Para ello, puede utilizar mecanismos para que la autorización se otorgue por escrito, en forma oral o mediante conductas inequívocas, de conformidad con la siguiente disposición:

“2.2.2.25.2.4 MODO DE OBTENER LA AUTORIZACIÓN . Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto , que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

De acuerdo con lo anterior, cualquier modo de tratamiento de los datos personales, deberá realizarse con arreglo a lo dispuesto por la Ley 1581 de 2012 y el Decreto 1074 de 2015, por lo cual el responsable del tratamiento deberá contar con la autorización previa, expresa e informada del titular de los datos personales.

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización:

datos personales.

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización:

“ARTÍCULO 12. Deber de informar al Titular . El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.

b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.

c) Los derechos que le asisten como Titular.

d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

En consecuencia, el responsable del tratamiento al solicitar la autorización al titular de los datos personales le debe informar: (i) el tratamiento al cual serán sometidos sus datos personales en cuanto a su recolección, almacenamiento, uso, circulación, supresión o cualquier otra operación sobre los datos personales; (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativo de la respuesta, cuando el tratamiento se pretenda realizar sobredatos sensibles o sobre los datos de las niñas, niños y adolescentes; (iv) los derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que el titular pueda ejercer sus derechos.

derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que el titular pueda ejercer sus derechos.

Tratándose de sistemas de videovigilancia o cámaras de seguridad, se debe informar a los titulares de datos personales que pueden ser grabados y obtener su autorización para su Tratamiento. En los casos en que se realice grabación de audio también se debe informar sobre dicha situación a los titulares4. Asimismo, los titulares tienen derecho a tener acceso a las imágenes tratadas mediante sistemas de vigilancia. Igualmente, tienen derecho a solicitar la supresión5 de sus imágenes en la medida en que no exista un deber legal o contractual que impida tal supresión, por ejemplo, cuando los datos personales recolectados pueden ser la prueba de la presunta comisión de un delito6.

Asimismo, atendiendo al principio de finalidad, “[el] Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular ”7. Sobre la aplicación de este principio en materia de sistemas de videovigilancia, esta Superintendencia ha señalado lo siguiente:

“Los datos recaudados, en este caso, las imágenes, sólo podrán ser utilizadas para la(s) fi nalida (es) previamente establecida(s). En caso de que las fi nalidades cambien o deban ser complementadas o suprimidas, se deberá solicitar la autorización de los T itulares para continuar tratando sus datos personales. De no ser esto posible, no se podrá continuar haciendo dicho Tratamiento”8.

Igualmente, es importante anotar que, en desarrollo de la Ley 1581 de 2012, la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO ha indicado que los

podrá continuar haciendo dicho Tratamiento”8.

Igualmente, es importante anotar que, en desarrollo de la Ley 1581 de 2012, la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO ha indicado que los responsables y encargados del tratamiento de datos personales recolectados a través de sistemas de videovigilancia deben tener en cuenta los siguientes deberes:

4 Superintendencia de Industria y Comercio, “Protección de datos personales en sistemas de videovigilancia”, 2016, p. 7. Disponible para su descarga en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vigilancia_sept16_2016.p df 5 Ley 1581 de 2012, art. 8º, literal e). 6 Superintendencia de Industria y Comercio, “Protección de datos personales en sistemas de videovigilancia”, 2016, p. 11. Disponible para su descarga en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vigilancia_sept16_2016.p df 7 Ley 1581 de 2012, artículo 4º, literal b). 8 Superintendencia de Industria y Comercio, “Protección de datos personales en sistemas de videovigilancia”, 2016, p. 7. Disponible para su descarga en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vigilancia_sept16_2016.p df“• Solicitar y conservar prueba de la autorización de los Titulares para el Tratamiento de sus datos personales.

• Implementar SV sólo cuando sea necesario para el cumplimiento de la finalidad propuesta, respetando la dignidad y demás derechos fundamentales de las personas.

el Tratamiento de sus datos personales.

• Implementar SV sólo cuando sea necesario para el cumplimiento de la finalidad propuesta, respetando la dignidad y demás derechos fundamentales de las personas.

• Limitar la recolección de imágenes a la estrictamente necesaria para cumplir el fin especifico previamente concebido.

• Informar a los Titulares acerca de la recolección y demás formas de Tratamiento de las imágenes, así como la finalidad del mismo.

• Conservar las imágenes sólo por el tiempo estrictamente necesario para cumplir con la finalidad del SV.

• Inscribir la base de datos que almacena las imágenes en el Registro Nacional de Bases de Datos. No será necesaria la inscripción cuando el Tratamiento consista sólo en la reproducción o emisión de imágenes en tiempo real, sin perjuicio del cumplimiento de las demás disposiciones

del Régimen General de Protección de Datos Personales.

• Suscribir cláusulas de con fidencialidad con el personal que accederá a los SV.

• No instalar SV en lugares donde la recolección de imágenes y, en general, el Tratamiento de estos datos pueda afectar la imagen o la vida privada e íntima de las personas” 9.

En conclusión, las imágenes de personas naturales se consideran datos personales. Para su tratamiento, el responsable del tratamiento deberá obtener la autorización previa, expresa e informada de los titulares o, si se recolectan a través de sistemas de videovigilancia o cámaras de seguridad, deberá informar a los titulares de los datos y obtener su autorización para su Tratamiento. Los responsables o encargados de tratamiento no deben instalar sistemas de videovigilancia en lugares en los que la recolección de imágenes y, en general,

a los titulares de los datos y obtener su autorización para su Tratamiento. Los responsables o encargados de tratamiento no deben instalar sistemas de videovigilancia en lugares en los que la recolección de imágenes y, en general, el tratamiento de estos datos pueda afectar la imagen o la vida privada e íntima de las personas.

Por último, por enmarcarse en el tema general de la consulta, señalamos que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO ha emitido la siguiente guía:

9 Superintendencia de Industria y Comercio, “Protección de datos personales en sistemas de videovigilancia”, 2016, p. 8. Disponible para su descarga en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vigilancia_sept16_2016.p df- “Protección de datos personales en sistemas de videovigilancia” , la cual puede ser descargada en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vi gilancia_sept16_2016.pdf

En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.

En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ

estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ

Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, los puede consultar en nuestra página web https://buscadorconceptos.sic.gov.co/#/search

Atentamente,

DIEGO ROMERO RIVERA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Jorge Herrera

Revisó: Daniela Mesa

Aprobó: Daniel Martínez