SIC - Concepto-16140498

Bogotá D.C., 10

Asunto: Radicación: 16-140498- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 1

Respetado(a) Señor (a): [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, que sustituyó el Título II del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer: Reciba cordial saludo.

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud por usted radicada ante esta Entidad a través de su comunicación de fecha 08 de abril de 2016 en el cual se señala: “Con el fin de dar aplicabilidad a la circular externa No 002 de fecha 3 de noviembre del 2015, requiero me informen si esta es aplicable a todas las sociedades privadas teniendo presente que contamos con cuatro compañías, (…).” Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía

constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES El artículo 19 de la ley 1581 de 2012, régimen general de protección de datos personales, designa a la Superintendencia de Industria y Comercio como la autoridad de protección de datos y dispuso que esta entidad “a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” El legislador estableció en cabeza de esta autoridad por medio de la ley 1581 de 2012 las siguientes funciones: “Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a) Velar por el cumplimiento de la legislación en materia de protección de

datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva; d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementará campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos; h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento; i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional; j) Requerir la colaboración de entidades internacionales o extranjeras cuando

se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personajes; k) Las demás que le sean asignadas por ley.” 3.1 Sujetos Obligados a la Inscripción, en el Registro Base de Datos (RNBD) - Decreto 1074 de 2015 – ley 1581 de 2012 El artículo 25 de la Ley 1581 de 2012 crea el Registro Nacional de Bases de Datos, el cual se define como el directorio público de las bases de datos personales sujetas a Tratamiento que operan en el país, administrado por la Superintendencia de Industria y Comercio y de libre consulta para los ciudadanos. Al respecto la Corte Constitucional Colombiana mediante Sentencia C-748 de 2011, declaró la constitucionalidad condicionada del artículo 25 de la Ley 1581 de 2012, para lo cual precisó con respecto al Registro Nacional de Bases de Datos lo siguiente: “(…) debe permitir a cualquier persona determinar quién está haciendo tratamiento de sus datos personales para de esa forma garantizar que la persona pueda tener un control efectivo sobre sus datos personales al poder conocer clara y certeramente en qué bases se manejan sus datos personales. Por ende, el Gobierno Nacional tendrá en su labor de reglamentación que acudir a los estándares internacionales y a la experiencia de otros Estados en la materia para lograr que la finalidad antes descrita de este registro se cumpla” En consecuencia y por mandato expreso de la misma ley, el gobierno nacional expide el decreto 886 de 2014, el cual reglamenta el artículo 25 de la ley de la referencia, posteriormente incorporado al decreto 1074 de 2015 donde actualmente

encontrará lo relativo al RNBD en el capítulo 26 sección 1. Para determinar quiénes son los sujetos obligados a la inscripción de las bases de datos al RNBD debemos remitirnos a lo dispuesto en el artículo 2.2.2.26.1.2 del decreto 1074 de 2015, que en su tenor expresa lo siguiente: Artículo 2.2.2.26.1.2. Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual se realice por personas naturales o jurídicas, de naturaleza pública o privada, en el territorio colombiano o fuera de él, en este último caso, siempre que al Responsable del Tratamiento o al Encargado del Tratamiento le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. Lo anterior sin perjuicio de las excepciones previstas en el artículo 2 de la Ley 1581 de 2012. Por lo tanto, las personas jurídicas o naturales, públicas o privadas, que se encuentren en el marco de la disposición arriba transcrita, estarán obligados a inscribirse al Registro Nacional de Base de Datos, con excepción de aquellos que fueron directamente excluidos por el artículo 2 de la ley 1581 de 2012, disposición que expresa lo siguiente: “Artículo 2°. Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (…) Para su información se transcribirá el artículo 2 de la ley 1581 de 2012, donde

están las bases de datos excluidas de la aplicación del régimen de protección de datos personales y consecuentemente de la inscripción en el RNBD. El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley; b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo; c) A las Bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia; d) A las bases de datos y archivos de información periodística y otros contenidos editoriales; e) A las bases de datos y archivos regulados por la Ley 1266 de 2008; f) A las bases de datos y archivos regulados por la Ley 79 de 1993.” 3.2 información adicional que deberá inscribirse en el RNBD - Circular Externa 02 de 2015, incorporada a la Circular Única de la Superintendencia de Industria y Comercio Una vez establecido que el tratamiento de datos es regido por la ley 1581 de 2012, en el momento que sea instruido por esta entidad, el tratante deberá proceder a realizar el registro al RNBD; por mandato expreso del Artículo 2.2.2.26.2.1 del

decreto 1074 de 2015, la información mínima que debe ser suministrada es la siguiente: “Artículo 2.2.2.26.2.1. Información mínima del Registro Nacional de Bases de Datos. La Información mínima que debe contener el Registro Nacional de

Bases de datos es la siguiente:

1. Datos de identificación, ubicación y contacto del Responsable del Tratamiento de la base de datos.

2. Datos de identificación, ubicación y contacto del o los Encargados del Tratamiento de la base de datos.

3. Canales para que los titulares ejerzan sus derechos.

4. Nombre y finalidad de la base de datos.

5. Forma de Tratamiento de la base de datos (manual y/o automatizada), y

6. Política de Tratamiento de la información”.

Le informamos que esta entidad a través de la Circular Externa 02 de 2015, incorporada a la Circular Única a partir de su título V, capítulo segundo, instruyó a las personas jurídicas de naturaleza privada, inscritas en la cámara de comercio, y a las sociedades de economía mixta, una información adicional que debe ser suministrada, que tendrá que ser la siguiente: (i) Información almacenada en la base de datos (ii) Medidas de seguridad de la información (iii) Procedencia de los datos personales (iv) Transferencia internacional de los datos personales (v) Transmisión internacional de los datos personales (vi) Cesión o transferencia nacional de la base de datos (vii) Reporte de novedades (reclamos presentados por los titulares e incidentes de seguridad). 4.3 Procedimiento de inscripción al registro nacional de datos-RNBD Los responsables del tratamiento de datos personales deberán inscribir sus bases

de datos al RNBD por exigencia del Artículo 2.2.2.26.1.3 del decreto 1074 de 2015, en esa medida la Superintendencia de Industria y Comercio ha creado un “Manual del Usuario del Registro Nacional de Bases de Datos” publicado en el sitio web de la entidad, www.sic.gov.co; o ingresando al siguiente vinculo http://www.sic.gov.co/drupal/sites/default/files/normatividad/Manual_del_Usuario.p df. De acuerdo con lo establecido en el artículo 2.2.2.26.3.1 de la sección tercera del capítulo 26 del decreto único 1074 de 2015, dicha inscripción podrá realizarse en cualquier momento de año siguiente a la habilitación del RNBD, la cual fue realizada el 9 de noviembre del 2015. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/drupal/Doctrina-1 En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1755 de 2015, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Andrés Ortiz Vásquez

Revisó: Jazmín Rocío Soacha

Aprobó: Jazmín Rocío Soacha