SIC - Concepto-16108933

Bogotá D.C., 10

Asunto: Radicación: 16-108933- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, por la cual se sustituye el Título II del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud por usted radicada ante esta Entidad a través de su comunicación de fecha 28 de abril de 2016, en la cual se señala: “(…) me informen dónde puedo encontrar en la página web de la SIC, las declaraciones de conformidad que ustedes deben expedir según el artículo 26 de la Ley 1581 de 2012, o que por favor me informen qué países han sido declarados de conformidad con la normatividad de datos personales en Colombia.” Nos permitimos realizar las siguientes precisiones:

2. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de

protección de datos personales:

• “Velar por el cumplimiento de la legislación en materia de protección de datos personales • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. • Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. • Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” En ese orden de ideas, se procederá en primer lugar al desarrollo constitucional, legal, doctrinal y jurisprudencial que corresponda realizar en torno al objeto de la petición como eje central. 2.1. ÁMBITO DE APLICACIÓN DE LA LEY 1581 DE 2012 La Ley 1581 de 2012, En su artículo 2, señala el ámbito de aplicación de la siguiente manera: "Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de

naturaleza pública o privada. La presente ley aplicará al Tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. (…)" La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas efectuado en el territorio colombiano o cuando al responsable del Tratamiento ubicado en el extranjero se le aplique la legislación colombiana en virtud de los tratados internacionales. 2.2 TRANSFERENCIA Y TRANSMISIÓN DE DATOS PERSONALES El artículo 2.2.2.25.1.3., del Decreto 1074 de 2015 distingue entre transferencia y transmisión al definirlos de la siguiente manera: “4. Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

5. Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable”.

De acuerdo con lo anterior, la transferencia internacional de datos es aquella comunicación de datos personales que ocurre entre un Responsable del Tratamiento ubicado en Colombia y otro Responsable del tratamiento que se encuentra fuera del país. De otra parte, la transmisión internacional de datos es

aquella que involucra la comunicación de datos personales fuera del territorio nacional entre un Responsable del Tratamiento y un Encargado, para que este último realice el tratamiento de esos datos por cuenta del primero. Ahora bien, el artículo 26 de la Ley 1581 de 2012, dispone lo siguiente: “ARTÍCULO 26. Prohibición. Se prohíbe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos. Se entiende que un país ofrece un nivel adecuado de protección de datos cuando cumpla con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los que la presente ley exige a sus destinatarios. Esta prohibición no regirá cuando se trate de: a) Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca para la transferencia. b) Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública. c) Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable, d) Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte, con fundamento en el principio de reciprocidad . e) Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la autorización del Titular. f) Transferencias legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso

judicial. Parágrafo 1. En los casos no contemplados como excepción en el presente artículo, corresponderá a la Superintendencia de Industria y Comercio, proferir la declaración de conformidad relativa a la transferencia internacional de datos personales. Para el efecto, el Superintendente queda facultado para requerir información y adelantar las diligencias tendientes a establecer el cumplimiento de los presupuestos que requiere la viabilidad de la operación. Parágrafo 2. Las disposiciones contenidas en el presente artículo serán aplicables para todos los datos personales, incluyendo aquellos contemplados en la Ley 1266 de 2008”. Es pertinente señalar que la Superintendencia de Industria y Comercio no ha fijado aún los estándares para establecer que un país ofrece un nivel adecuado de protección de datos. Por esta razón, para realizar transferencias internacionales de datos personales se debe solicitar la respectiva declaración de conformidad a esta entidad y aportar la información y documentos pertinentes para que la Superintendencia cuente con los elementos de juicio necesarios a fin de emitir un pronunciamiento relacionado con la transferencia que se pretende realizar. Sin embargo, hasta la fecha la Superintendencia de Industria y Comercio no ha proferido ninguna declaración de conformidad y en consecuencia no hay países declarados

3. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA

PRESENTADA.

En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar:

La Ley 1581 de 2012, en su artículo 26 prohíbe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos. No obstante, esta Superintendencia no ha fijado aún los estándares para establecer que un país ofrece un nivel adecuado de protección de datos. Por esta razón, para realizar transferencias internacionales de datos personales se debe solicitar la respectiva declaración de conformidad a esta entidad y aportar la información y documentos pertinentes para que la Superintendencia cuente con los elementos de juicio necesarios a fin de emitir un pronunciamiento relacionado con la transferencia que se pretende realizar. Sin embargo, hasta la fecha la Superintendencia de Industria y Comercio no ha proferido ninguna declaración de conformidad y en consecuencia no hay países que cuenten con esta declaración. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/drupal/Doctrina-1 En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1755 de 2015, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Clara Inés Vega

Revisó: Rocío Soacha

Aprobó: Rocío Soacha