SIC - Concepto-16001266

Bogotá D.C., 10

Asunto: Radicación: 16-1266- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 16

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos. A continuación, nos permitimos suministrarle información relevante en relación con los interrogantes de su consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta oficina mediante un concepto no puede solucionar situaciones particulares. Respecto a la obligación1 de los proveedores de redes y servicios de telefonía móvil (PRSTM) de enviar a un tercero los CDR de los servicios de voz y datos móviles, pregunta lo siguiente: Primer Interrogante "¿Se le debe dar el tratamiento de datos personales a cada uno de los referidos campos de los CDR de los servicios de voz y datos que se especifican en la obligación contemplada en el numeral 6.1 del artículo 6 de la Resolución CRC 4813 de 2015?". 1 Respuesta Frente a la inquietud planteada, se abordará inicialmente el concepto de dato personal para evaluar si la información a la que se hace referencia en la consulta encaja dentro del mismo. Posteriormente, se hará mención al concepto de tratamiento de la información en congruencia con el principio de libertad, el cual encuentra una

excepción en el ejercicio de una disposición legal.

1. Concepto de dato personal El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: "Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables". Al respecto, la Corte Constitucional mediante sentencia C-748 de 2011, la cual analizó la constitucionalidad de la posteriormente denominada Ley 1581 de 2012, señaló lo

siguiente frente al concepto de dato personal: (…) [E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales2 [29] - son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona 6.1 A partir del 1° de abril de 2016 los PRSTM deberán entregar al encargado de la operación del proceso de verificación centralizada, la relación de todos los sectores de estaciones base que operen actualmente en el país, indicando para cada sector la latitud y longitud. Dicha información deberá ser actualizada cada vez que haya algún cambio en la misma. Así mismo, los PRSTM a partir del Io de junio de 2016 deberán enviar diariamente al encargado de la operación del proceso de verificación centralizada, como mínimo y sin limitarlo a ello, los siguientes campos de los CDR de voz y datos correspondientes a la actividad en la red del día calendario anterior, para que se ejecute el proceso de verificación centralizada: a. IMSI10 (International Mobile Subscriber Identity)- Código Identificador Único de la tarjeta SIM, compuesto por:  MCC (Mobile Country Code). Código del país.

 MNC (Mobile Network Code). Código de la red móvil.  MSIN (Mobile Subscriber Identification Number). Identificador de la Estación Móvil. b. IMEI. Número identificador del equipo móvil terminal. c. Fecha y hora de inicio del evento d. Tipo de evento: llamada de voz o sesión de datos. e. Cell Identity (CI) y Código de Localización de Área (LAC)11. 2 Ver Sentencia T-729 de 2002, M.P. Eduardo Montealegre Lynett natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. "3 [30] (...) Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles4 [31] Así al analizar en conjunto la ley y la jurisprudencia constitucional aplicable, el dato personal debe entenderse como cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables y, por lo tanto, cumple con las siguientes características: (i) estar referido a aspectos exclusivos y propios de una persona natural; ii) permite identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y

con otros datos: iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita y, iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. En efecto, el hecho de que un dato examinado aisladamente no logre identificar a príori una persona, no implica, necesariamente, que no se pueda llegar a la individualización de la misma a partir del análisis de dicha pieza de información en conjunto con otros datos; por ello, el literal c) del artículo 3 de la Ley 1581 de 2012 señaló que el dato personal corresponde a una información que puede asociarse a "personas naturales determinadas o determinares". Entonces, no es un requisito sine qua non que una pieza de información determine o individualice inequívocamente a su titular para poder concluir que el dato es personal, ya que a través de un ejercicio de comparación de un dato -en principio, impersonalcon otros que se encuentren contenidos en registros o en campos diferentes, puede identificarse plenamente al titular de la información. Es precisamente esta distinción 3 Cfr. Sentencia T-414 de 1992, M.P. Ciro Angarita Barón 4 Ver Sentencias T-729 de 2002, M.P. Eduardo Montealegre Lynett, C-491 de 2007, M.P. Jaime Córdoba Triviño; y C-1011 de 2008, M.P. Jaime Cordoba Triviño, y articulo 3 de la Ley 1266 lo que hace que un dato permita determinar (o individualizar, si se quiere) a una persona. Siguiendo este derrotero es que la ley estableció que una pieza de información que

permita hacer determinable a su titular puede ser considerada como un dato personal y su tratamiento estará sujeto a las disposiciones contenidas en la Ley 1581 de 2012. Descendiendo al cuestionamiento bajo análisis, el dato personal corresponde a toda pieza de información relativa a una persona natural que puede ser determinada o determinable mediante distintos "identificadores", por ejemplo, el IMSI5 y el IMEI6, toda vez que si bien dichos códigos pueden no estar relacionados con una persona determinada, a partir de su asociación con datos adicionales se puede llegar a individualizar al titular. En efecto, el IMSI corresponde a un número contenido en la tarjeta SIM que identifica a un abonado internacionalmente indicando el país y el proveedor del servicio de comunicaciones, lo que lo hace único. Igual sucede con el IMEI, que cuando es activado por un PRSTM en la "base de datos positiva" este deberá consignar el número de identificación del propietario del equipo terminal móvil que corresponde a dicho IMEI7, tal como lo dispone el Decreto 1630 del 19 de mayo de 20118. 5 IMSI: Código de Identificación Internacional del Abonado o Suscriptor Móvil (por sus siglas en inglés). Código único que identifica a cada abonado del servicio de telefonía móvil en el estándar GSM y en redes de nueva generación, y que adicionalmente permite su identificación a través de la red. El código se encuentra grabado electrónicamente en la tarjeta SIM. 6 IMEI: Identificador Internacional del Equipo Móvil (por sus siglas en inglés). Código de quince (15) dígitos pregrabado en los equipos terminales móviles que lo identifica de manera específica. 7 "Artículo 7o. Base de datos positiva. En la base de datos positiva se deberá consignar la información asociada al

IMEI de todos los Equipos Terminales Móviles que ingresen legalmente al territorio nacional o sean fabricados o ensamblados en el país. Para tal efecto, i) los PRSTM deberán incluir en la Base de Datos Positiva los IMEI de los Equipos Terminales Móviles que ofrecen para venta al público, de manera directa o a través de canales de distribución autorizados; ii) los importadores de Equipos Terminales Móviles nuevos deberán registrar en la Base de Datos Positiva los IMEI de todos los equipos que ingresen legalmente al país, de conformidad con la regulación que para este fin establezca la Comisión de Regulación de Comunicaciones; y iii) para el caso de los Equipos Terminales Móviles nuevos fabricados o ensamblados en el país, serán los fabricantes o ensambladores los responsables de registrar los IMEI de dichos equipos en la Base de Datos Positiva, de conformidad con la regulación que para este fin establezca la Comisión de Regulación de Comunicaciones. 8 En consecuencia, a pesar de que aisladamente el código IMEI únicamente permite, en principio, identificar un equipo operante dentro de una red de telecomunicaciones, es claro que cada equipo terminal tiene un único número IMEI, por lo que una vez dicho dato se analiza en conjunto con otros datos tales como el MSISDN o la identificación de un titular, este tiene la potencialidad de individualizar a una persona, máxime si se tiene en cuenta que un equipo terminal usualmente se encuentra vinculado a un usuario específico. Esta interpretación no resulta exclusiva de la autoridad colombiana en materia de protección de datos personales. Por ejemplo, la autoridad de Singapur (Personal Data Protection Commission), al abordar este tema en sus Guías de Protección de Datos

para el Sector de Telecomunicaciones9, considera que si bien el IMEI analizado de manera autónoma no constituye un dato personal, al tenerse acceso a otro tipo de información complementaria a este, puede permitirse la identificación de personas naturales y, por lo tanto, convertirse en un dato personal con las consecuencias que eso conlleva. En este orden de ideas, los demás datos contenidos en el CDR10 y que son exigidos por el artículo sexto de la Resolución 4813 de 2015 (fecha y hora de inicio del evento, tipo de evento, código de localización de área, etcétera) siguen la regla descrita en los párrafos anteriores: si la pieza de información de que se dispone se asocia con otro tipo de datos a los que se tiene acceso y de esta manera es posible individualizar a Una vez un Equipo Terminal Móvil sea adquirido por un usuario, el PRSTM con el cual se active el servicio deberá consignar en la base de datos positiva el número de identificación del Propietario del Equipo Terminal Móvil asociado con el correspondiente IMEI. Los PRSTM cuentan con seis (6) meses, contados a partir de la expedición de la regulación por parte de la Comisión de Regulación de Comunicaciones, para incluir en la base de datos positiva los IMEI de los Equipos Terminales Móviles, así como el número de identificación de cada propietario de dichos equipos, activos en las redes de telecomunicaciones al momento de la expedición de dicha regulación. De la misma manera, se deberá consignar la información relativa a los Equipos Terminales Móviles que hayan ingresado o ingresen legalmente al país. No se podrán incluir terminales que se encuentren consignados en la Base de Datos Negativa (...)".

8 "Por medio del cual se adoptan medidas para restringir la operación de los equipos terminales hurtados que son utilizados para la prestación de servicio de telecomunicaciones móviles". 9 Personal Data Protection Commission Singapore. Advisory Guidelines For The Telecommunication Sector. 16 de mayo de 2014. 10 Resolución CRC 4813 de 2015. Artículo 2. Definiciones y Acrónimos. "(...) CDR (Charging Data Records): Formato de recolección de información acerca de eventos, tales como tiempo de establecimiento de una llamada, duración de la llamada, cantidad de datos transferidos, identificación del abonado llamante, etc (...)". su titular, el manejo de tales datos constituirá un tratamiento de información en los términos de la Ley 1581 de 2012.

2. Tratamiento de la información y principio de libertad El literal g) del artículo 3 define tratamiento en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión." Al respecto la Corte Constitucional en la mencionada sentencia señaló lo siguiente: "[E]l tratamiento es definido como cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Este vocablo, al igual que los dos analizados en precedencia, es de uso en el ámbito europeo y se encuentra tanto en la Directiva 95/46 del Parlamento Europeo como en los Estándares dictados en la reciente conferencia que se dio en Madrid (España), en la que se definió tratamiento como "cualquier operación o conjunto de operaciones, sean a no automatizadas, que se apliquen a datos de carácter personal, en

especial su recogida, conservación, utilización, revelación o supresión" El vocablo tratamiento para los efectos del proyecto en análisis es de suma importancia por cuanto su contenido y desarrollo se refiere precisamente a lo que debe entenderse por el "tratamiento del dato personal". En ese orden, cuando el proyecto se refiere al tratamiento, hace alusión a cualquier operación que se pretenda hacer con el dato personal, con o sin ayuda de la informática, pues a diferencia de algunas legislaciones, la definición que aquí se analiza no se circunscribe únicamente a procedimientos automatizados. Es por ello que los principios, derechos, deberes y sanciones que contempla la normativa en revisión incluyen, entre otros, la recolección, la conservación, la utilización y otras formas de procesamiento de datos con o sin ayuda de la informática. En consecuencia, no es válido argumentar que la ley de protección de datos personales cobija exclusivamente el tratamiento de datos que emplean las nuevas tecnologías de la información, dejando por fuera las bases de datos manuales, lo que resultaría ilógico, puesto que precisamente lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia. En este orden de ideas, esta definición no genera problema alguno de constitucionalidad y por tanto será declarada exequible." Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.

En consecuencia, debido a que según la inquietud planteada, se está efectuando el almacenamiento, análisis y procesamiento de información personal, estamos en presencia de un tratamiento de información personal dentro de los términos de la Ley 1581 de 2012. Ahora bien, es oportuno precisar que en el tratamiento de los datos personales debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento." (Subrayas fuera de texto) De la misma manera, debe tenerse en cuenta que hay situaciones en las que existe un expreso mandato legal o judicial que releve el consentimiento previo del titular, y ello sucede, en la mayoría de los casos, cuando por disposición de la autoridad competente se ha establecido la obligatoriedad de un determinado tratamiento de datos personales. El mandato legal debe entenderse en el sentido formal y material de la ley. Al respecto, la Corte Constitucional mediante Sentencia C-893/99, señaló lo siguiente: "LEY-Sentido formal/LEY-Sentido material La doctrina jurídica suele distinguir entre la ley en sentido formal y la ley en sentido material. Así, en la primera definición prima un criterio orgánico, pues corresponde a una regulación expedida por el legislador, mientras que la lev en sentido material es una norma jurídica que regula de manera general una multiplicidad de casos, haya o no sido dictada por el órgano legislativo. Por

ende, una regulación es ley en sentido formal y material, cuando emana del órgano legislativo y tiene un contenido general; en cambio es sólo ley en sentido formal si ha sido dictada por el poder legislativo, pero su contenido se refiere a un solo caso concreto; y es ley sólo en sentido material, cuando tiene un contenido general, esto es, se refiere a una multiplicidad de casos, pero no ha sido expedida por un órgano legislativo. (...)" (Subrayas fuera de texto) Así las cosas, una ley en sentido material como, por ejemplo, la regulación expedida por la autoridad competente en ejercicio de sus funciones, puede relevar el consentimiento del titular para el tratamiento de sus datos personales. Sin embargo, como se verá a continuación, esta situación no releva a los responsables y encargados de los datos personales ya sean de origen público o privado de las obligaciones previstas en la Ley 1581 de 2012. Segundo interrogante "Conforme a la respuesta de la pregunta anterior, bajo qué condiciones pueden los PRSTM entregar los campos de los CDR de los servicios de voz y datos a un tercero encargado de la operación del procesos de verificación centralizada, en cumplimiento de la obligación consagrada en el numeral 6.1 del artículo 6 de la Resolución CRC 4813 de 2015?". En primera medida, antes de entrar a dilucidar el citado cuestionamiento, esta Superintendencia considera oportuno distinguir los conceptos de Responsable y Encargado del tratamiento, comoquiera que los mismos resultan relevantes para determinar las condiciones en que se entrega la información a un tercero. El literal e) del artículo 3 de la Ley 1581 de 2012, define al Responsable del tratamiento de la siguiente manera:

"Artículo 3o. Definiciones. Para los efectos de la presente ley, se entiende por: (...) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; (…)". Esta norma fue declarada exequible mediante Sentencia C-748 de 2011 en el siguiente entendido: "(...) el concepto 'decidir sobre el tratamiento' empleado por el literal e) parece coincidir con la posibilidad de definir -jurídica y materialmentelos fines y medios del tratamiento"11. Esto significa que es Responsable del tratamiento la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, determine - de hecho o de derecho - los fines del tratamiento y los medios para alcanzarlos. Por otra parte, el literal d) del artículo 3 de la Ley 1581 de 2012 define al Encargado del tratamiento de la siguiente manera: "Artículo 3o. Definiciones. Para los efectos de la presente ley, se entiende por: d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; (...)". Igualmente, esta norma fue declarada exequible mediante Sentencia C-748 de 2011 bajo el siguiente razonamiento: "(...) el criterio de delegación coincide con el término 'por cuenta de' utilizado por el literal e), lo que da entender una relación de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato”.12

Así mismo precisó dicha Corporación: "(...) el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre los cuales una - el responsablele señala a la otra - el encargadocomo quiere el procesamiento de unos determinados datos”.13 11 Ídem. 12 Ídem. 13 Ídem. Esto significa que es Encargado del tratamiento la persona natural o jurídica, pública o privada, que por mandato conferido por el Responsable del tratamiento, efectúe una parte o todas las actividades del procesamiento de los datos; persona que debe ser independiente del Responsable del tratamiento. Bajo estos lineamientos, esta Superintendencia encuentra que los PRSTM (Proveedores de Redes y Servicios de Telecomunicaciones Móviles) en virtud de un contrato de prestación de servicios de comunicaciones14, recolectan diversos tipos de información personal del usuario en diferentes etapas de la ejecución del contrato, así como en el cumplimiento de disposiciones legales y regulatorias, como por ejemplo, en las medidas adoptadas para la prevención de hurto de equipos terminales. Igual ocurre con los datos que suministra el titular al momento de diligenciar la solicitud de servicios, tales como los nombres y apellidos, documento de identificación y dirección de residencia o correo electrónico. Existe, además, otro tipo de información personal que recoge el proveedor de servicios como los datos de tráfico y de localización15. Así las cosas, en la medida que el proveedor recolecta, almacena y administra información personal de los usuarios de los servicios de comunicaciones y decide respecto de los tratamientos específicos de tal información, para efectos de la Ley 1581 de 2012, se constituye en un Responsable del tratamiento y asume las

obligaciones legales que de tal calidad se desprenden. Encargado, por su parte, es aquel que realiza el tratamiento de información personal por cuenta de un Responsable, esto es, procesa la información de acuerdo a las instrucciones impartidas por el Responsable. 14 Resolución CRC 3066 de 2011. "Artículo 9. Para efectos de la comprensión, interpretación y aplicación del presente régimen de protección de los derechos de los usuarios de servicios de comunicaciones, se adoptan las siguientes definiciones: (...) Contrato de prestación de servicios de comunicaciones: Acuerdo de voluntades entre el usuario y el proveedor, el cual deberá constar en copia escrita física o electrónica, para el suministro de uno o varios servicios de comunicaciones, del cual se derivan derechos y obligaciones para las partes". 15 Resolución CRC 3066 de 2011. Articulo 9. "Dato de localización: Cualquier pieza de información que permita identificar la ubicación geográfica del equipo terminal de un usuario de servicios de comunicaciones.

Dato de tráfico: Pieza de información tratada a efectos de la conducción de una comunicación o de la facturación de la misma. Dentro de esta clase de datos se encuentran, entre otros, los datos necesarios para identificar el origen de una comunicación, el destino de la misma, la fecha, la hora, la duración de la comunicación y el tipo de comunicación".

Ahora bien, la relación Responsable - Encargado no surge, necesariamente, de un acuerdo privado de voluntades entre ambas partes. Es posible que sea consecuencia directa de un mandato contenido en una disposición legal o reglamentaria como puede ser el caso bajo análisis, donde es claro que se expidió una regulación dirigida a la prevención del hurto de equipos terminales móviles, en la que se incluyó, y para lo

que interesa en el cuestionamiento realizado, la obligación de que los proveedores del servicio de comunicaciones entregaran al "encargado de la operación del proceso de verificación centralizada, como mínimo y sin limitarlo a ello, los siguientes campos de los CDR de voz y datos correspondientes a la actividad en la red del día calendario anterior, para que se ejecute el proceso de verificación centralizada (...)"16. Adicionalmente, no encuentra esta Superintendencia que sea necesario que el Responsable defina, a su arbitrio, qué tratamientos específicos deben efectuarse respecto de la información personal entregada al Encargado, pues, igualmente, es factible que los usos y alcances de dicho tratamiento estén contenidos en una norma. En consecuencia, para esta Entidad, entre los PRSTM y el "encargado de la operación del proceso de verificación centralizada", existe, por norma sectorial, una relación Responsable - Encargado en virtud de la cual cada parte debe velar por el cumplimiento de los deberes y obligaciones contenidos en la Ley 1581 de 2012. Luego de la anterior afirmación, se considera necesario traer a colación los deberes tanto de los Responsables como de los Encargados del tratamiento de datos personales que se encuentran en la Ley 1581 de 2012. El artículo 17 de la mencionada ley contempla específicamente los deberes de los primeros, en los siguientes términos: "Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho

de hábeas data. 16 Resolución CRC 4813 de 2015. Artículo 6. Desarrollo de la etapa de verificación centralizada de equipos terminales móviles. b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular. c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible. f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a éste se mantenga actualizada. g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento. h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley. i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular. j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley. k) Adoptar un manual interno de políticas y procedimientos para garantizar el

adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.

1. Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo. m) Informar a solicitud del Titular sobre el uso dado a sus datos".

Por su parte, el artículo 18 de la mencionada ley señala los deberes de los encargados del tratamiento, así: "Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo el pleno y efectivo ejercicio del derecho de hábeas data. b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la presente ley. d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo. e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la presente ley. f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares. g) Registrar en la base de datos las leyenda "reclamo en trámite" en la forma

en que se regula en la presente ley. h) Insertar en la base de datos la leyenda "información en discusión judicial" una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal. i) Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio. j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella. k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

1. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

En conclusión, los PRSTM actúan en calidad de Responsables del tratamiento y, por ende, deberán dar cumplimiento a las obligaciones señaladas en el artículo 17 de la Ley 1581 de 2012. De otro lado, el Encargado del tratamiento, es decir, la persona natural o jurídica que realiza el tratamiento de datos personales por instrucción del Responsable (o bien, como consecuencia de una disposición legal) debe dar cumplimiento a los deberes consagrados en el artículo 18 de la mencionada ley. Finalmente, para esta Entid