SIC - Concepto-16031909

Bogotá D.C., 10

Asunto: Radicación: 16-31909- -00003-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 6

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Objeto de la consulta "Por medio de la presente les solicito amablemente resolver de fondo la consulta que se eleva ante su despacho con el fin de aclarar la obligatoriedad de inscribir las bases de datos de nuestra Compañía bajo los lineamientos de la Circular Externa 02 del 03 de Noviembre de 2015.

De acuerdo a la cita circular se imparte el instructivo a los responsables del tratamiento de datos personales para efectos de realizar la inscripción de las bases de datos en el Registro Nacional de Bases de Datos (RNBD), a personas jurídicas de naturaleza privadas inscritas en las Cámaras de Comercio. Sin embargo la Ley 1581 de 2012 en el artículo segundo señala una serie de excepciones al régimen de protección de datos personales e indica "el régimen de protección de datos personales que se establece en la presente ley no será de aplicación: numeral e) A las bases de datos y archivos regulados por la Ley 1266 de 2008". A su turno la ley 1266 de 2008 por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de

datos con propósitos comerciales. De acuerdo a lo anterior, la compañía MPS Mayoristas de Colombia S.A. es de naturaleza comercial y su actividad principal gira en torno a negocios de tecnología en ejercicio de nuestro objeto social, dentro de la cual manejamos un software centralizado y unificado con bases de datos que contienen información de clientes, proveedores, empleados, servicios, productos, transacciones financieras, crediticias, comerciales y de bienes, entre otras. La consulta se refiere específicamente a saber: qué tipo de bases de datos deben registrarse en el Registro Nacional de Bases de Datos (RNBD), teniendo en cuenta las diferentes bases de datos que posee la compañía."

2. Facultades de la Superintendencia de Industria y Comercio en materia de

Datos Personales. Conforme lo señala el artículo 17 del Decreto 4886 de 2011, la Dirección de Investigación de Protección de Datos Personales, tiene entre otras, las siguientes funciones: "Son funciones de la Dirección de Investigación de Protección de Datos

Personales:

1. Ejercer la vigilancia de los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la ley.

En los casos en que la fuente, usuario u operador de información sea una entidad vigilada por la Superintendencia Financiera de Colombia, esta ejercerá la vigilancia e impondrá las sanciones correspondientes, de conformidad con lo establecido en el artículo 17 de la Ley 1266 de 2008.

2. Ejercer la supervisión de las instrucciones impartidas por la Superintendencia de Industria y Comercio en materia de protección de datos personales.

3. Velar porque los operadores y fuentes cuenten con un sistema de seguridad y con las demás condiciones técnicas suficientes para garantizar la seguridad y actualización de los registros, evitando su adulteración, pérdida, consulta o uso no autorizado conforme lo previsto en la Lev 1266 de 2008.

4. Tramitar y decidir las investigaciones adelantadas contra los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza.

5. Ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así se determine dentro de la investigación.

6. Ordenar la realización de auditorías externas de sistemas para verificar la adecuada aplicación de la Iey1266 de 2008.

7. Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento.

8. Resolver los recursos de reposición y las solicitudes de revocatoria directa que sean interpuestos contra los actos que expida.

9. Las demás funciones que le sean asignadas de acuerdo a la naturaleza de la dependencia."

3. Ámbito de aplicación de la Ley 1581 de 2012

La Ley 1581 de 2012, en su artículo 2, señala el ámbito de aplicación de la siguiente manera: "Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (...)" La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o

archivos por parte de entidades públicas o privadas. Respecto al concepto de bases de datos o archivos la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: "El literal b) define las bases de datos como un "(...) conjunto organizado de datos personales que sea objeto de tratamiento". Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación. Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley". Ahora bien, respecto a la aplicación de la Ley 1581 de 2012 en cuanto al tratamiento por las entidades públicas y privadas, la Corte Constitucional en la precitada Sentencia señaló: "[P]or último, respecto de la tercera condición -posibilidad de tratamiento de los datos por entidades públicas o privadas, para la Sala surge la duda de si el empleo del término entidades supone una restricción inconstitucional, pues podría limitar el ámbito de aplicación a datos personales susceptibles de ser tratados solamente por personas jurídicas, lo que excluiría los casos de

tratamiento por personas naturales. Sin embargo, la Sala observa que el término entidad tienen varias acepciones, una de la cuales incluye a las personas naturales. En efecto, según el Diccionario de la Real Academia de la Lengua, una entidad puede ser una "[cjolectividad considerada como unidad. Especialmente, cualquier corporación, compañía, institución, etc., tomada como persona jurídica", pero también puede ser un "[e]nte o ser"] esta segunda definición -más ampliacobija a las personas naturales. Así, en atención a los principios de interpretación conforme a la Constitución y de conservación del derecho, la Sala concluye que debe entenderse -sin necesidad de condicionar la exequibilidad del preceptoque la interpretación del inciso que se ajusta a la Carta es aquella según el cual el término entidades comprende tanto las personas naturales como jurídicas. De modo que así entendida la condición, la Sala también concluye que es compatible con la Carta, pues cobija las hipótesis necesarias para que el proyecto cumpla su finalidad de brindar protección a los datos personales. Para terminar, resalta la Sala la importancia de esta disposición, en tanto reconoce que el tratamiento de datos personales también puede ser efectuado por personas privadas; de hecho, en el mundo globalizado, el sector privado lleva a cabo una parte muy considerable del tratamiento de datos, lo que ló dota de un poder informático a gran escala y lo convierte en un potencial vulnerador del derecho al habeas data. De ahí que uno de los grandes retos de la protección de los datos personales es la creación de mecanismos para hacer responsables a los particulares por el tratamiento inadecuado y abusivo de

datos personales." Por lo anterior, la Ley 1581 de 2012 se aplica a los datos personales que se encuentren en bases de datos o archivos de entidades públicas o privadas, entendidos estos, como el conjunto organizados o depósitos ordenados de datos personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos.

4. Registro Nacional de Bases de Datos Personales El artículo 25 de la Ley 1581 de 2012 señala lo siguiente: "Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país.

El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento." Dicho artículo fue reglamentado mediante el artículo 2.2.2.26.1.2., del Decreto 1074 de 2015, que incorpora el Decreto 886 de 2014 y en el que se determina qué bases de datos deben ser inscritas en el Registro Nacional de Bases de datos:

"Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual se realice por personas naturales o jurídicas, de naturaleza pública o privada, en el territorio colombiano o fuera de él, en este último caso, siempre que al Responsable del Tratamiento o al Encargado del Tratamiento le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. Lo anterior sin perjuicio de las excepciones previstas en el artículo 2 de la Ley 1581 de 2012." De acuerdo con lo cual, todas las bases que sean reguladas por la Ley 1581 de 2012 deben ser inscritas en el Registro Nacional de Bases de Datos, sin importar si el Responsable o Encargado del Tratamiento son entidades de naturaleza pública o privada y personas naturales o jurídicas, deben ser objeto de inscripción en el Registro. En los anteriores términos damos respuesta a su consulta. Para mayor información sobre el desarrollo de las normas objeto de aplicación por parte de esta Entidad, puede acudir directamente a nuestra página de Internet www.sic.gov.co. Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA (E)

Elaboró: Martha Vives

Revisó: Rocío Soacha

Aprobó: Rocío Soacha