SIC - Concepto-16092138

Bogotá D.C., 10

Asunto: Radicación: 16-092138- -00004-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo la solicitud por usted radicada ante esta Entidad a través de su comunicación de fecha 18 de marzo de 2016, en la cual señala: “(…)” “La autorización para el tratamiento de datos personales tiene vencimiento?” “En el caso de los datos que manejan los Departamentos de Gestión” En relación con su inquietud, nos permitimos realizar las siguientes precisiones, dentro del ámbito de las competencias otorgadas a esta Superintendencia por el Decreto 4886 de 2011.

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante

vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. En este orden de ideas, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES Dentro del ámbito de las competencias otorgadas a esta Entidad por el Decreto 4886 de 2011, corresponde a esta entidad, entre otras funciones, velar por el cumplimiento de las normas sobre protección de datos personales, en consecuencia, nos permitimos informarle que el artículo 2, de la ley 1581 de 2012 contiene el marco general de la protección de datos personales, señalando lo siguiente: “Artículo 2°. Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. “La presente ley aplicará al tratamiento de datos personales efectuado en

territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. “El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los responsables y encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley; b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo; c) A las Bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia; d) A las bases de datos y archivos de información periodística y otros contenidos editoriales; e) A las bases de datos y archivos regulados por la Ley 1266 de 2008; f) A las bases de datos y archivos regulados por la Ley 79 de 1993.” “Parágrafo. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los

mismos aplicarán de manera concurrente a los previstos en la presente ley.” De otra parte el artículo 8 de la Ley 1581 de 2012 señala, entre otros, el siguiente derecho de los titulares de los datos personales: “e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución”. En concordancia con lo anterior, el artículo 2.2.2.25.2.6. del Decreto 1074 de 2015, que incorpora el Decreto 1377 de 2013, señala lo siguiente: “Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento, solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.” “La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos.” “El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.” “Si vencido el término legal respectivo, el responsable y/o el encargado,

según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Respecto a la conservación de los datos personales, el artículo 2.2.2.25.2.8. del mencionado decreto dispone lo siguiente: “Limitaciones temporales al Tratamiento de los datos personales. Los Responsables y Encargados del Tratamiento solo podrán recolectar, almacenar, usar o circular los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento, atendiendo a las disposiciones aplicables a la materia de que se trate y a los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información. Una vez cumplida la o las finalidades del tratamiento y sin perjuicio de normas legales que dispongan lo contrario, el Responsable y el Encargado deberán proceder a la supresión de los datos personales en su posesión. No obstante, lo anterior, los datos personales deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal o contractual. “Los responsables y encargados del tratamiento deberán documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate, así como las instrucciones que al respecto imparta la Superintendencia de Industria y Comercio”. Por lo anterior, los responsables y encargados de las bases de datos solo podrán

hacer tratamiento de dichos datos personales, esto es, el uso, la recopilación, el almacenamiento o la circulación de los mismos de acuerdo a una finalidad específica y por el tiempo necesario y razonable para cumplirla, atendiendo las disposiciones aplicables a la materia de que se trate, y a los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información, una vez cumplida la finalidad los responsables y encargados deberán suprimir el dato personal, salvo que por el cumplimento de una disposición legal o contractual se requiera su conservación. No obstante, lo expuesto, es importante tener en cuenta que, frente a cambios sustanciales en la finalidad del tratamiento de los datos personales, los responsables del tratamiento deben obtener una nueva autorización por parte del titular y deben informarle el cambio sobre la finalidad específica del tratamiento de los mismos. Para dicha autorización se debe utilizar mecanismos que garanticen su posterior consulta, los cuales podrán ser predeterminados a través de medios técnicos o tecnológicos que faciliten al Titular su manifestación automatizada. Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita. En consecuencia, mientras los titulares de la información no expresen su

autorización de manera escrita, oral o a través de conductas inequívocas sobre el cambio de finalidad informado por el responsable, éste no podrá realizar el tratamiento, esto es, el acceso, el uso, la circulación, el almacenamiento o la supresión de los datos personales del titular.

4 CONSIDERACIONES FINALES EN TORNO A LA CONSULTA

PRESENTADA.

Vista la normatividad anterior y hecha la exposición de orden legal, se concluye respecto de su inquietud lo siguiente:

1. Los titulares de los datos personales tienen derecho a solicitar la supresión de sus datos ante el responsable y/o encargado del tratamiento cuando así lo consideren.

2. Pese a lo anterior, los responsables y/o encargados del tratamiento podrán conservarlos por el tiempo necesario y razonable que se necesite para cumplir la finalidad para la cual fueron recogidos y autorizados, atendiendo las disposiciones aplicables a la materia de que se trate, y a los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información y para el cumplimiento de obligaciones legales o contractuales.

3. Una vez considerada la finalidad y el cumplimiento de las obligaciones legales y contractuales, el responsable y/o encargado deberán suprimir los datos personales del titular. Lo anterior, teniendo en cuenta lo sostenido por la Corte Constitucional sobre los ámbitos temporal y material que implica el principio de finalidad.

Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/drupal/Doctrina-1

En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1755 de 2015, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURíDICA (E)

Elaboró: Ma. Cristina Rincón G.

Revisó: Jazmín Roció Soacha

Aprobó: Jazmín Roció Soacha