SIC - Concepto-17075009

Bogotá D.C., 10 Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012]

Asunto: Radicación: 17-75009

Trámite: 113

Evento: 0

Actuación: 440

Folios: 11

Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, por la cual se sustituye el Título II del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud por usted radicada ante esta Entidad a través de su comunicación de fecha 28 de marzo de 2016, en la cual señala si una sociedad extranjera sin domicilio en Colombia que a través de un sitio web fuera del país comercializa y vende servicios en Colombia a través de aplicaciones que pueden ser descargadas en dispositivos móviles y celulares que para la activación de los servicios registra varios datos personales de clientes como nombres, apellidos, edad, documento de identificación y número de tarjeta de crédito, entre otros, y pregunta: “(a) Las sociedades extranjeras tienen la obligación de cumplir con lo previsto en el artículo 50 y siguientes de la Ley 1480 de 2011?” “b) Las sociedades extranjeras tienen la obligación de cumplir con las obligaciones establecidas en la Ley Estatutaria 1581 de 2012, y entre ellas,

con el registro de las bases de datos ante la Superintendencia de Industria y Comercio?” Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. Territorialidad de la Ley 1480 de 2011

El principio de la territorialidad de las normas se consagra en inciso segundo del artículo 4 de la Constitución Política: “Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.” En el mismo sentido, el artículo 18 del Código Civil dispone: "La Ley es obligatoria tanto a los nacionales como a los extranjeros residentes en

Colombia." En relación con el principio de territorialidad de la ley la Corte Constitucional1 consideró: “El principio de la territorialidad de la ley es consustancial con la soberanía que ejercen los Estados dentro de su territorio; de este modo cada Estado puede expedir normas y hacerlas aplicar dentro de los confines de su territorio” En este sentido, el artículo 50 de la Ley 1480 de 2011, sobre comercio electrónico indica de manera expresa que dichas normas resultan aplicables exclusivamente para proveedores y expendedores ubicados en el territorio colombiano: “Sin perjuicio de las demás obligaciones establecidas en la presente ley, los proveedores y expendedores ubicados en el territorio nacional que ofrezcan productos utilizando medios electrónicos (…)” (1) Corte Constitucional, Sentencia T-1157 de 2000, Magistrado Ponente; Antonio Barrera Carbonell. De acuerdo con lo anterior, si los productores, distribuidores o expendedores de bienes y servicios se encuentran en territorio de otro Estado, no estarán sometidos a las normas contenidas en la Ley 1480, Estatuto de Protección al Consumidor, salvo estipulación expresa en el contrato celebrado. Al respecto, los autores Nelson Remolina Angarita y Maria Lorena Flórez Rojas, en la obra Derecho del Consumo. Problemáticas Actuales, dirigida por José Manuel Gual acosta y Juan Carlos Villalba Cuellar, editorial Ibañez, 2013, han manifestado en el capítulo titulado Consumidor y Comercio Electrónico, páginas 369 y 370: “ (…) la ley 1480 se centra en el escenario local, como era de esperarse, creando una serie de deberes en cabeza de los proveedores y expendedores ubicados en el territorio nacional que ofrezcan productos utilizando medios electrónicos.

Se deja de lado una gran cantidad de actividades comerciales de naturaleza global y transfronteriza del comercio electrónico sobre el cual es poco lo que pueden hacer los Estados para proteger los derechos de los consumidores nacionales cuando son víctimas de prácticas desleales, engañosas o fraudulentas por parte de personas que realizan negocios a través de páginas web pero cuyos establecimientos están en otros países. Frente a dichas situaciones las autoridades locales quedan sin mayores instrumentos efectivos para solucionar conflictos extraterritoriales que suceden en la red y sobre cuyos responsables no son competentes para juzgar. En este sentido la doctrina ha planteado que las singulares características de internet, la convierten en campo abonado para la ejecución de conductas que, de otro modo, no encontrarían tantas facilidades para escapar a todo control. Una propuesta para abordar este escenario es acudir a la cooperación internacional de autoridades de protección de los derechos del consumidor. Un camino en este último sentido consiste en iniciativas tendientes a canalizar quejas respecto de empresarios extranjeros que eventualmente han realizado conductas que desconocen los derechos del consumidor. La Red Internacional de Protección al Consumidor y Aplicación de la Ley (ICPEN) (46), por ejemplo, desde hace años creó el portal www.econsumer.gov para que cualquier persona reporte quejas sobre transacciones en línea o relacionadas con compañías extranjeras.”. (46) ICPEN es una red de organizaciones gubernamentales involucrada en la aplicación de las leyes de las prácticas del comercio justo y otras actividades de protección al consumidor. Mayor información en: https://icpen.org/.

En consecuencia, la Ley 1480 de 2011 –Estatuto de Protección al Consumidorse aplica a los nacionales y extranjeros con domicilio en Colombia, conforme a lo dispuesto en el artículo 4 constitucional. Así las cosas, únicamente se les podrá aplicar el Estatuto a los extranjeros no domiciliados, por expresa disposición contractual. En tal virtud, solamente a las sociedades extranjeras domiciliadas en Colombia se les aplica las disposiciones de la Ley 1480 de 2011, entre ellas, los artículos 49 y 50, en materia de comercio electrónico. 3.1 Información en Comercio Electrónico Así mismo, la Ley 1480 de 2011 contiene una protección especial para los consumidores que adquieren bienes y servicios a través de comercio electrónico. El artículo 49 de la Ley 1480 de 2011 establece qué se debe entender por comercio electrónico para efectos del derecho del consumo: “ARTÍCULO 49. Sin perjuicio de lo establecido en el artículo 1o, inciso b) de la Ley 527 de 1999, se entenderá por comercio electrónico la realización de actos, negocios u operaciones mercantiles concertados a través del intercambio de mensajes de datos telemáticamente cursados entre proveedores y los consumidores para la comercialización de productos y servicios.” Así mismo, se imponen a quienes comercializan productos o servicios a través de comercio electrónico unas obligaciones adicionales: “ARTÍCULO 50. Sin perjuicio de las demás obligaciones establecidas en la presente ley, los proveedores y expendedores ubicados en el territorio nacional que ofrezcan productos utilizando medios electrónicos, deberán: a) Informar en todo momento de forma cierta, fidedigna, suficiente, clara, accesible

y actualizada su identidad especificando su nombre o razón social, Número de Identificación Tributaria (NIT), dirección de notificación judicial, teléfono, correo electrónico y demás datos de contacto. b) Suministrar en todo momento información cierta, fidedigna, suficiente, clara y actualizada respecto de los productos que ofrezcan. En especial, deberán indicar sus características y propiedades tales como el tamaño, el peso, la medida, el material del que está fabricado, su naturaleza, el origen, el modo de fabricación, los componentes, los usos, la forma de empleo, las propiedades, la calidad, la idoneidad, la cantidad, o cualquier otro factor pertinente, independientemente que se acompañen de imágenes, de tal forma que el consumidor pueda hacerse una representación lo más aproximada a la realidad del producto. También se deberá indicar el plazo de validez de la oferta y la disponibilidad del producto. En los contratos de tracto sucesivo, se deberá informar su duración mínima. Cuando la publicidad del bien incluya imágenes o gráficos del mismo, se deberá indicar en qué escala está elaborada dicha representación. c) Informar, en el medio de comercio electrónico utilizado, los medios de que disponen para realizar los pagos, el tiempo de entrega del bien o la prestación del servicio, el derecho de retracto que le asiste al consumidor y el procedimiento para ejercerlo, y cualquier otra información relevante para que el consumidor pueda adoptar una decisión de compra libremente y sin ser inducido en error. Igualmente deberá informar el precio total del producto incluyendo todos los impuestos, costos y gastos que deba pagar el consumidor para adquirirlo. En caso de ser procedente, se debe informar adecuadamente y por separado los gastos de

envío. d) Publicar en el mismo medio y en todo momento, las condiciones generales de sus contratos, que sean fácilmente accesibles y disponibles para su consulta, impresión y descarga, antes y después de realizada la transacción, así no se haya expresado la intención de contratar. Previamente a la finalización o terminación de cualquier transacción de comercio electrónico, el proveedor o expendedor deberá presentar al consumidor un resumen del pedido de todos los bienes que pretende adquirir con su descripción completa, el precio individual de cada uno de ellos, el precio total de los bienes o servicios y, de ser aplicable, los costos y gastos adicionales que deba pagar por envío o por cualquier otro concepto y la sumatoria total que deba cancelar. Este resumen tiene como fin que el consumidor pueda verificar que la operación refleje su intención de adquisición de los productos o servicios ofrecidos y las demás condiciones, y de ser su deseo, hacer las correcciones que considere necesarias o la cancelación de la transacción. Este resumen deberá estar disponible para su impresión y/o descarga. La aceptación de la transacción por parte del consumidor deberá ser expresa, inequívoca y verificable por la autoridad competente. El consumidor debe tener el derecho de cancelar la transacción hasta antes de concluirla. Concluida la transacción, el proveedor y expendedor deberá remitir, a más tardar el día calendario siguiente de efectuado el pedido, un acuse de recibo del mismo, con información precisa del tiempo de entrega, precio exacto, incluyendo los impuestos, gastos de envío y la forma en que se realizó el pago. Queda prohibida cualquier disposición contractual en la que se presuma la voluntad del consumidor o que su silencio se considere como consentimiento, cuando de esta

se deriven erogaciones u obligaciones a su cargo. e) Mantener en mecanismos de soporte duradero la prueba de la relación comercial, en especial de la identidad plena del consumidor, su voluntad expresa de contratar, de la forma en que se realizó el pago y la entrega real y efectiva de los bienes o servicios adquiridos, de tal forma que garantice la integridad y autenticidad de la información y que sea verificable por la autoridad competente, por el mismo tiempo que se deben guardar los documentos de comercio. f) Adoptar mecanismos de seguridad apropiados y confiables que garanticen la protección de la información personal del consumidor y de la transacción misma. El proveedor será responsable por las fallas en la seguridad de las transacciones realizadas por los medios por él dispuestos, sean propios o ajenos. Cuando el proveedor o expendedor dé a conocer su membrecía o afiliación en algún esquema relevante de autorregulación, asociación empresarial, organización para resolución de disputas u otro organismo de certificación, deberá proporcionar a los consumidores un método sencillo para verificar dicha información, así como detalles apropiados para contactar con dichos organismos, y en su caso, tener acceso a los códigos y prácticas relevantes aplicados por el organismo de certificación. g) Disponer en el mismo medio en que realiza comercio electrónico, de mecanismos para que el consumidor pueda radicar sus peticiones, quejas o reclamos, de tal forma que le quede constancia de la fecha y hora de la radicación, incluyendo un mecanismo para su posterior seguimiento. h) Salvo pacto en contrario, el proveedor deberá haber entregado el pedido a más tardar en el plazo de treinta (30) días calendario a partir del día siguiente a aquel en

que el consumidor le haya comunicado su pedido. En caso de no encontrarse disponible el producto objeto del pedido, el consumidor deberá ser informado de esta falta de disponibilidad de forma inmediata. En caso de que la entrega del pedido supere los treinta (30) días calendario o que no haya disponible el producto adquirido, el consumidor podrá resolver o terminar, según el caso, el contrato unilateralmente y obtener la devolución de todas las sumas pagadas sin que haya lugar a retención o descuento alguno. La devolución deberá hacerse efectiva en un plazo máximo de treinta (30) días calendario. PARÁGRAFO. El proveedor deberá establecer en el medio de comercio electrónico utilizado, un enlace visible, fácilmente identificable, que le permita al consumidor ingresar a la página de la autoridad de protección al consumidor de Colombia.”

4. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  “Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.

 Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” En ese orden de ideas, se procederá en primer lugar al desarrollo legal, doctrinal y jurisprudencial que corresponda realizar en torno al objeto de la petición como eje central. 4.1. Ámbito de aplicación de la Ley 1581 de 2012 La Ley 1581 de 2012, en su artículo 2, señala el ámbito de aplicación de la siguiente manera: "Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al Tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación Colombiana en virtud de normas y tratados internacionales. (…)" La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas efectuado en el territorio colombiano

o cuando al responsable del Tratamiento ubicado en el extranjero se le aplique la legislación colombiana en virtud de los tratados internacionales. 4.2 Datos Personales El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.” Al respecto, la Corte Constitucional mediante sentencia C-748 de 2011 señaló lo siguiente: "(…) [E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales –en oposición a los impersonalesson las siguientes: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.” (…) Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles". Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias

a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. 4.3 Tratamiento de datos personales El literal g) del artículo 3 de la Ley 1581 de 2012, define tratamiento en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión." Al respecto la Corte Constitucional en la mencionada sentencia C-748 de 2011, señaló lo siguiente: "[E]l tratamiento es definido como cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Este vocablo, al igual que los dos analizados en precedencia, es de uso en el ámbito europeo y se encuentra tanto en la Directiva 95/46 del Parlamento Europeo como en los Estándares dictados en la reciente conferencia que se dio en Madrid (España), en la que se definió tratamiento como “cualquier operación o conjunto de operaciones, sean a no automatizadas, que se apliquen a datos de carácter personal, en especial su recogida, conservación, utilización, revelación o supresión” El vocablo tratamiento para los efectos del proyecto en análisis es de suma importancia por cuanto su contenido y desarrollo se refiere precisamente a lo que debe entenderse por el “tratamiento del dato personal”. En ese orden, cuando el

proyecto se refiere al tratamiento, hace alusión a cualquier operación que se pretenda hacer con el dato personal, con o sin ayuda de la informática, pues a diferencia de algunas legislaciones, la definición que aquí se analiza no se circunscribe únicamente a procedimientos automatizados. Es por ello que los principios, derechos, deberes y sanciones que contempla la normativa en revisión incluyen, entre otros, la recolección, la conservación, la utilización y otras formas de procesamiento de datos con o sin ayuda de la informática. En consecuencia, no es válido argumentar que la ley de protección de datos personales cobija exclusivamente el tratamiento de datos que emplean las nuevas tecnologías de la información, dejando por fuera las bases de datos manuales, lo que resultaría ilógico, puesto que precisamente lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia. En este orden de ideas, esta definición no genera problema alguno de constitucionalidad y por tanto será declarada exequible." Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales. 4.4 Registro Nacional de Bases de datos personales El artículo 25 de la Ley 1581 de 2012, señala lo siguiente: “Definición. El Registro Nacional de Bases de Datos es el directorio público de las

bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento.” Dicho artículo fue reglamentado mediante el artículo 2.2.2.26.1.2., del Decreto 1074 de 2015, que incorpora el Decreto 886 de 2014 y en el que se determina qué bases de datos deben ser inscritas en el Registro Nacional de Bases de datos: “Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual se realice por personas naturales o jurídicas, de naturaleza pública o privada, en el territorio colombiano o fuera de él, en este último caso, siempre que al Responsable del Tratamiento o al Encargado del Tratamiento le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. Lo anterior sin perjuicio de las excepciones previstas en el

artículo 2 de la Ley 1581 de 2012.” De acuerdo con lo cual, todas las bases que sean reguladas por la Ley 1581 de 2012 deben ser inscritas en el Registro Nacional de Bases de Datos, sin importar si el Responsable o Encargado del Tratamiento son entidades de naturaleza pública o privada y personas naturales o jurídicas, deben ser objeto de inscripción en el Registro. Por otra parte, respecto de la información mínima que debe contener el Registro Nacional de Bases de Datos el artículo 2.2.2.26.2.1., del Decreto 1074 de 2015 establece: “Información mínima del Registro Nacional de Bases de Datos. La información mínima que debe contener el Registro Nacional de Bases de Datos es la siguiente:

1. Datos de identificación, ubicación y contacto del Responsable del Tratamiento de la base de datos;

2. Datos de identificación, ubicación y contacto del o de los Encargados del Tratamiento de la base de datos;

3. Canales para que los titulares ejerzan sus derechos;

4. Nombre y finalidad de la base de datos;

5. Forma de Tratamiento de la base de datos (manual y/o automatizada), y

6. Política de Tratamiento de la información.

La Superintendencia de Industria y Comercio, como autoridad de protección de datos personales, podrá establecer dentro del Registro Nacional de Bases de Datos información adicional a la mínima prevista en este artículo, acorde con las facultades que le atribuyó la Ley 1581 de 2012 en el literal h) del artículo 21.” En concordancia con lo anterior, esta Superintendencia expidió la Circular Externa 001 del 11 de enero de 2017, con el objeto de “Modificar los numerales 2.2, 2.3, 2.6 y 2.7 del

Capítulo Segundo del Título V de la Circular Única de la Superintendencia de Industria y Comercio, relacionados con el procedimiento de inscripción en el Registro Nacional de Bases de Datos — RNBD y la información contenida en este, teniendo en cuenta la modificación del plazo para inscribir las bases de datos, efectuada mediante el Decreto 1759 de 2016, incorporado al Decreto Único 1074 de 2015Decreto Único Reglamentario del Sector Comercio, Industria y Turismo.”, que en el último párrafo del numeral 2.6, señala: “En el 2017 se habilitará la inscripción en el RNBD de las bases de datos de los responsables del tratamiento con domicilio fuera de Colombia, previa publicación de las instrucciones que para el efecto impartirá esta Superintendencia.”

5. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA.

En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar: Frente a su primera inquietud, la Ley 1480 de 2011 –Estatuto de Protección al Consumidorse aplica a los nacionales y extranjeros con domicilio en Colombia, conforme a lo dispuesto en el artículo 4 constitucional. En consecuencia, tal como se indicó en el numeral 3 de este escrito, por disposición del artículo 50 de la Ley 1480 de 2011Estatuto del Consumidor, los productores, distribuidores o expendedores de bienes y servicios que se encuentren ubicados en territorio de otro Estado, y comercialicen sus productos a través de comercio electrónico,

no están sometidos a las normas del Estatuto, salvo estipulación expresa en el contrato celebrado. Respecto de su segundo interrogante, la Ley 1581 de 2012 se aplica aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas efectuado en el territorio colombiano o cuando al responsable del Tratamiento ubicado en el extranjero se le aplique la legislación colombiana en virtud de los tratados internacionales. En tal virtud, a las sociedades extranjeras que tengan bases de datos sujetas a tratamiento se les aplica la Ley 1581 de 2012, como se indicó en el punto 4.1 de este escrito. Así mismo, sus bases de datos deberán registrarse en el Registro Nacional de Bases de Datos –RNBDa cargo de esta Superintendencia, en los términos señalados en las instrucciones que para el efecto imparta esta Superintendencia a través de circular que se expedirá este año. Por lo anterior lo invitamos estar pendiente de las instrucciones que sobre el particular expida esta Entidad para el registro de las bases de datos de sociedades extranjeras, a través de nuestra página web www.sic.gov.co. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/drupal/Doctrina-1 En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1755

de 2015, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Clara Inés Vega

Revisó: Jazmín Rocío Soacha

Aprobó: Jazmín Rocío Soacha