SIC - Concepto-15201070

Bogotá D.C., 10

Asunto: Radicación: 15-201070- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a la comunicación remitida por la Superintendencia Financiera de Colombia y radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos:

1. Objeto de la consulta Remite copia de una comunicación enviada a una empresa que realiza tratamiento de sus datos personales, en la cual formula varios interrogantes sobre el tipo de información que manejan, las bases de datos en las que se encuentran sus datos personales y la empresa que recepcionó dichos datos y la fecha.

A continuación nos permitimos suministrarle información relevante en relación con el tema de la consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares.

2. Definición de dato personal El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.” Al respecto, la Corte Constitucional mediante sentencia C-748 de 2011 señaló lo

siguiente: \"(…) [E]n efecto, la jurisprudencia constitucional ha precisado que las

características de los datos personales –en oposición a los impersonalesson las siguientes: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.” (…) Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles\". Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación .

3. Consultas y supresión de datos personales por parte del titular Respecto a la presentación de consultas por parte del titular de los datos personales, el artículo 14 de la Ley 1581 de 2012 dispone lo siguiente:

“Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular. La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. Parágrafo. Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal”. Por su parte, el artículo 8 de la Ley 1581 de 2012 señala, entre otros, el siguiente derecho de los titulares de los datos personales: “e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas

contrarias a esta ley y a la Constitución. (…)” En concordancia con lo anterior, el artículo 15 de la mencionada ley dispone lo siguiente: “(…) Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: (…)” En tal sentido, la Ley 1581 de 2012 consagra el derecho que tiene el titular de consultar la información personal que sobre él repose en cualquier base de datos y a solicitar la supresión de los mismos en cualquier momento, a través de la presentación de un reclamo cuando en el tratamiento de los datos exista un Incumplimiento a los principios, derechos y garantías constitucionales y legales por parte de los responsables y/o encargados del tratamiento. Ahora bien, el artículo 16 de la Ley 1581 de 2012 dispone lo siguiente, respecto al requisito de procedibilidad para que el titular de la información o causahabiente presenten la queja ante esta Superintendencia, para la protección de sus derechos: “Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento” En concordancia con lo anterior y teniendo en cuenta que una de las características del dato personal es que su propiedad reside exclusivamente en el

titular del mismo, situación que no se altera por la obtención de los datos por parte de un tercero de manera lícita o ilícita, la ley de protección de datos personales le confiere el derecho al titular de solicitar la supresión de sus datos. Para lo cual, se debe tener en cuenta el artículo 2.2.2.25.2.6. del Decreto 1074 de 2015, que incorpora el Decreto 1377 de 2013, y señala lo siguiente: “Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Por lo anterior, la Ley 1581 de 2012 y el Decreto 1074 de 2015, que incorpora el

Decreto 1377 de 2013, consagran el requisito de procedibilidad por parte del titular del dato personal, es decir, que a través de un reclamo solicite al Responsable y/o encargado del tratamiento la supresión de sus datos, para que esta Superintendencia ejerza su función de ordenar la supresión de los datos personales, cuando el responsable y/o encargado no hubiesen eliminado los datos personales en el término señalado en el artículo 15 de la Ley 1581 de 2012 o exista una vulneración a las normas constitucionales o legales de protección de datos personales. Ante tal incumplimiento esta Entidad aplicará el procedimiento señalado en el artículo 22 de la Ley 1581 de 2012 así: “Trámite. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo”. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos