SIC - Concepto-15271821

Bogotá D.C., 10

Asunto: Radicación: 15-271821- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a sus comunicaciones radicadas en esta Entidad con los números 15-271821 y 15-273385, en los siguientes términos: A continuación nos permitimos suministrarle información relevante en relación con los interrogantes de su consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares. Primer interrogante “1.¿La empresa se encuentre (sic) obligada a dar cumplimiento a la Ley 1581 de 2012, por cuanto maneja los datos de personas jurídicas?

Respuesta: Reiteramos que esta Oficina Asesora Jurídica no puede resolver situaciones particulares Ahora bien, la Ley 1581 de 2012, en su artículo 2, señala el ámbito de aplicación de La siguiente manera: “Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (…)” La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos

o archivos por parte de entidades públicas o privadas. Ahora bien, el literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.” Al respecto, la Corte Constitucional mediante sentencia C-748 de 2011 señaló lo siguiente: "(…) [E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales –en oposición a los impersonalesson las siguientes: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación." (…) Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles. (…) Por otra parte, llama la atención de la Sala que la definición del literal c) se restrinja a los datos de las personas naturales. Por tanto, la definición pareciera reñir, en principio, con algunos pronunciamientos de esta Corporación en los que se ha admitido que las personas jurídicas también pueden ser titulares del derecho al habeas data, como la sentencia T-462 de 1997 y C-1011 de 2008.

Sin embargo, en sentir de la Sala, no se trata de una restricción que desconozca la doctrina constitucional sobre la protección del habeas data en cabeza de las personas jurídicas, ni el principio de igualdad. Ciertamente, la garantía del habeas Data a las personas jurídicas no es una protección autónoma a dichos entes, sino una protección que surge en virtud de las personas naturales que las conforman. Por tanto, a juicio de la Sala, es legítima la referencia a las personas naturales, lo que no obsta para que, eventualmente, la protección se extienda a las personas jurídicas cuando se afecten los derechos de las personas que la conforman”. En consecuencia, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. Ahora bien, la ley de protección de datos personales, en principio solo aplica para las personas naturales y no jurídicas, por lo que, a estas últimas no les es aplicable la Ley 1581 de 2012 por pertenecer a personas jurídicas. Sin embargo, eventualmente, la protección se extiende a las personas jurídicas cuando se afecten los derechos de las personas naturales que la conforman, caso en el cual deberá

dar cumplimiento a las disposiciones contenidas en la ley de protección de datos personales y sus decretos reglamentarios. Segundo interrogante “2.Si es así, ¿es procedente realizar el reporte que trata la Circula Única #02 del 09 de noviembre de 2015 expedida por la SIC?. “ Respuesta: Nos remitimos a la respuesta anterior, en relación a que la protección de datos personales se extiende a las personas jurídicas cuando se afecten los derechos de las personas naturales que la conforman, caso en el cual deberá dar cumplimiento a las disposiciones contenidas en la Ley 1581 de 2012, sus decretos reglamentarios y las instrucciones expedidas por esta Superintendencia. Tercer interrogante “3. Si no es vinculante la Ley 1581 de 2012 al objeto social de la empresa, ¿debe cumplirse algún parámetro de protección de datos personales, además del acuerdo de confidencialidad entre las dos sociedades?”.

Respuesta: Reiteramos que el ámbito de aplicación de la Ley 1581 de 2012 es para los datos personales de personas naturales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas.

El tratamiento de datos de personas jurídicas no se encuentra dentro del ámbito de competencia de esta Superintendencia, por lo que, esta Oficina Asesora Jurídica no puede emitir concepto al respecto. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos