SIC - Concepto-18100385

Bogotá D.C., 10 Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Asunto: Radicación: 18-100385 -00004-0000

Trámite: 113

Evento: 0

Actuación: 440

De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, "por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo", fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud por usted radicada ante esta Entidad a través de su comunicación de fecha 15 de marzo en el cual se señala: “Dentro de la Ley 1581 de 2012, en el artículo 10 se describe que uno de los casos en los que no es necesaria la autorización es cuando se trate de: “Información requerida por una entidad pública en ejercicio de sus funciones legales”. ¿Una empresa del Estado que presta servicios de salud, puede acogerse a este criterio, considerando que la solicitud de información es exclusiva para el ejercicio de sus funciones legales, que es garantizar el derecho a la salud de los colombianos?” Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad

de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: "Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no". Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantarlas investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas

aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerirla colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley.

4. TRATAMIENTO DE DATOS POR ENTIDADES PÚBLICAS Respecto a la aplicación de la Ley 1581 de 2012 en cuanto al tratamiento por las entidades públicas y privadas, la Corte Constitucional en la Sentencia C-748 de 2011 señaló:

"[P]or último, respecto de la tercera condición -posibilidad de tratamiento de los datos por entidades públicas o privadas, para la Sala surge la duda de si el empleo del término entidades supone una restricción inconstitucional, pues podría limitar el ámbito de aplicación a datos personales susceptibles de ser tratados solamente por personas jurídicas, lo que excluiría los casos de tratamiento por personas naturales. Sin embargo, la Sala observa que el término entidad tienen varias acepciones, una de la cuales incluye a las personas naturales. En efecto, según el Diccionario de la Real Academia de la Lengua, una entidad puede ser una "[cjolectividad considerada como unidad. Especialmente, cualquier corporación, compañía, institución, etc., tomada como persona jurídica", pero también puede ser un "[ejnte o ser"; esta segunda definición -más ampliacobija a las personas naturales. Así, en atención a los principios de interpretación conforme a la Constitución y de conservación del derecho, la Sala concluye que debe entenderse -sin necesidad de condicionar la exequibilidad del preceptoque la interpretación del inciso que se ajusta a la Carta es aquella según el cual el término entidades comprende tanto las personas naturales como jurídicas. De modo que así entendida la condición, la Sala también concluye que es compatible con la Carta, pues cobija las hipótesis necesarias para que el proyecto cumpla su finalidad de brindar protección a los datos personales. Para terminar, resalta la Sala la importancia de esta disposición, en tanto reconoce que el tratamiento de datos personales también puede ser efectuado por personas privadas; de hecho, en el mundo globalizado, el sector privado lleva a cabo una parte muy considerable

del tratamiento de datos, lo que lo dota de un poder informático a gran escala y lo convierte en un potencial vulnerador del derecho al habeas data. De ahí que uno de los grandes retos de la protección de los datos personales es la creación de mecanismos para hacer responsables a los particulares por el tratamiento inadecuado y abusivo de datos personales." En consecuencia, es responsable del tratamiento de los datos personales la persona natural o jurídica pública o privada cuando decide sobre la base de datos en la que se encuentran o su tratamiento, esto es, la recolección, almacenamiento, uso, circulación o supresión de los mismos. Ahora bien, el artículo 10 de la Ley 1581 de 2012 señala los casos en que no es necesaria la autorización, entre ellos, lo siguiente: "aj Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial." Respecto a esta excepción la Corte Constitucional mediante Sentencia C-748 de 2011, señaló lo siguiente: "[E]n relación, con las autoridades públicas o administrativas, señaló la Corporación que tal facultad "no puede convertirse en un escenario proclive al abuso del poder informático, esta vez en cabeza de los funcionarios del Estado. Así, el hecho que el legislador estatutario haya determinado que el dato personal puede ser requerido por toda entidad pública, bajo el condicionamiento que la petición se sustente en la conexidad directa con alguna de sus funciones, de acompasarse con la garantía irrestricta del derecho al hábeas data del titular de la información. En efecto, amén de la infinidad de posibilidades en que bajo este expediente puede accederse al dato personal, la aplicación del precepto bajo análisis

debe subordinarse a que la entidad administrativa receptora cumpla con las obligaciones de protección y garantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida. Para la Corte, esto se logra a través de dos condiciones: (i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y (ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información, habida consideración que ese grupo de condiciones permite la protección adecuada del derecho. En relación con el primero señaló la Corporación que 7a modalidad de divulgación del dato personal prevista en el precepto analizado devendrá legítima, cuando la motivación de la solicitud de información esté basada en una clara y específica competencia funcional de la entidad." Respecto a la segunda condición, la Corte estimó que una vez la entidad administrativa accede al dato personal adopta la posición jurídica de usuario dentro del proceso de administración de datos personales, lo que de forma lógica le impone el deber de garantizar los derechos fundamentales del titular de la información, previstos en la Constitución Política y en consecuencia deberán: "(i) guardar reserva de la información que les sea suministrada por los operadores y utilizarla únicamente para los fines que justificaron la entrega, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud de suministro del dato personal; (ii) informar a los titulares del dato el uso gue le esté dando al mismo; (iii) conservar con las debidas

seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento; y (iv) cumplir con las instrucciones gue imparta la autoridad de control, en relación con el cumplimiento de la legislación estatutaria." En relación con la orden judicial, dijo la Corporación que "si bien no existe una autorización expresa del titular que circunscriba la circulación del dato, la posibilidad de acceso resulta justificada en la legitimidad que tienen en el Estado Constitucional de Derecho las actuaciones judiciales, ámbitos de ejercicio de la función pública sometidos a reglas y controles, sustentados en la eficacia del derecho al debido proceso y rodeado de las garantías anejas a éste, en especial, los derechos de contradicción y defensa. Así, reconociéndose la importancia de esta actividad en el régimen democrático, entendida como pilar fundamental para la consecución de los fines estatales de asegurar la convivencia pacífica y la vigencia de un orden justo y advirtiéndose, del mismo modo, que el acto de divulgación en este caso responde a una finalidad constitucionalmente legítima, el precepto examinado es exequible." Por lo anterior, las autoridades administrativas podrán realizar el tratamiento de los datos personales sin autorización del titular, siempre y cuando la solicitud de información esté basada en una clara y específica competencia funcional de la entidad y garanticen la protección de los derechos de hábeas data del titular. Las entidades públicas o los particulares que ejerzan funciones administrativas deberán cumplir especialmente con los siguientes principios, consagrados en el artículo 4 de la Ley 1581 de 2012: "b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo

con la Constitución y la Ley, la cual debe ser informada al Titular." Es decir, las entidades públicas y administrativas deben utilizar los datos personales únicamente para los fines que justificaron la entrega o adquisición de los mismos, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud de suministro del dato personal, e informar al titular el uso de los mismos. "Principio de seguridad: La información sujeta a Tratamiento por el Responsable del tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento". Las entidades administrativas deben implementar las medidas técnicas, humanas y administrativas necesarias para garantizar la seguridad de los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. En consecuencia, es procedente el tratamiento de datos personales, esto es, la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos por parte de entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial, siempre y cuando la solicitud de información esté basada en una clara y específica competencia funcional de la entidad y garanticen la protección de los derechos de hábeas data del titular.

5. FUNCIÓN PÚBLICA Y PRESTACIÓN DE SERVICIOS PÚBLICOS La Carta de 1991, al regular los servicios públicos como un apartado especial de la Constitución Económica, introdujo un cambio sustancial: el nuevo ordenamiento constitucional dejó atrás la noción de servicio público que lo asimilaba a una proyección de la ‘función pública’

y optó por un ‘nuevo servicio público’ basado en el modelo competitivo: a la vez libre e intervenido por el Estado en su condición de director general de la economía1. De ahí que los servicios públicos dejaron de ser concebidos como función pública, a la manera de la escuela realista de Burdeos, para ser tratados como un capítulo singular de la Constitución Económica dentro de un modelo “neocapitalista, propio de una economía social de mercado, que pretende conciliar las bondades de la competencia con la necesaria intervención estatal, en orden a proteger al usuario final”2. La Corte Constitucional, ha analizado las diferencias entre función pública y el servicio público, y en sentencia C-037 de 2003 así lo desarrolló: “Si bien en un sentido amplio podría considerarse como función pública todo lo que atañe al Estado, cabe precisar que la Constitución distingue claramente los conceptos de función pública y de servicio público y les asigna contenidos y ámbitos normativos diferentes que impiden asimilar dichas nociones, lo que implica específicamente que no se pueda confundir el ejercicio de función públicas, con la prestación de servicios públicos, supuestos a los que alude de manera separada el artículo 150 numeral 23 de la Constitución que asigna al Legislador competencia para expedir las leyes llamadas a regir una y otra materia. El servicio público se manifiesta esencialmente en prestaciones a los particulares. La función pública se manifiesta, a través de otros mecanismos que requieren de las potestades públicas y que significan, en general, ejercicio de la autoridad inherente del Estado.”3 Ahora bien, la Constitución calificó expresamente, en su artículo 48 la atención en salud y el

saneamiento ambiental como una actividad que presta un servicio público, tal como lo pone de presente la parte actora, de suerte que nos encontramos ante la imposibilidad de asimilar la prestación de un servicio público por un particular (las Empresas Promotoras de Salud) con el ejercicio de funciones públicas. La sentencia de constitucionalidad antes reseñada, así lo afirmó: “Las empresas prestadoras de salud igualmente están encargadas de un servicio público regido por los principios de eficiencia, universalidad y solidaridad, cuya prestación está reglamentada, 1 Cfr. “Del carácter singular del derecho de la competencia en los servicios públicos domiciliarios”, en Contexto, Revista de Derecho y Economía, No. 13, abril de 2002, Universidad Externado de Colombia, p. 22 y ss y CORTE CONSTITUCIONAL, Sentencia C 037 de 2003. 2 "Legislador y juez: ¿Garantías o amenazas al modelo de prestación de los servicios públicos domiciliarios?" en Revista Contexto, Revista de Derecho y Economía, Universidad Externado de Colombia, agosto de 2004, Edición especial No. 18. 3 CORTE CONSTITUCIONAL, Sentencia C037 de 28 de enero de 2003, MP. Dr. Álvaro Tafur Galvis vigilada y controlada por el Estado (art. 49 C.P.), pero sin que ello signifique el sometimiento de las entidades privadas promotoras y prestadoras de salud a la ley disciplinaria, en tanto en si misma su actividad no implica el ejercicio de una función pública.” (negrillas fuera de texto) En efecto, la prestación de los servicios públicos no reviste el carácter de función pública. Y no

la reviste, porque la Constitución misma dispone que una y otra materia son objeto de regulación legal separada. Así, el numeral 23 del artículo 150 distingue con claridad las leyes que “regirán el ejercicio de las funciones públicas” de aquellas que se ocupan de la “prestación de los servicios públicos”. De otro lado, no debe olvidarse que los servicios públicos son regulados en el marco del Régimen Económico (Título XII) y no dentro del apartado de la Constitución dedicado a la Organización del Estado (Título V a X), como sí sucede con la función pública cuyo entorno constitucional se encuentra consignado en el capítulo 2 del Título V (arts. 122 a 131 C.N.). En ese orden de ideas, la jurisprudencia del H. Consejo de Estado tiene determinado que el servicio público dejó de ser sinónimo de función pública, en tanto “la Constitución de 1991 significó un gran cambio en cuanto se refiere a la concepción de los servicios públicos, pues reconoce que el Estado y los particulares pueden concurrir, en condiciones de libre competencia, a su prestación, sin que ello signifique que renuncie a su condición de director general de la economía y garante del cumplimiento de la función social de la propiedad”.4

7. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA REALIZADA En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar: El régimen general de protección de datos personales es aplicable a todas las personas

naturales o jurídicas que realicen el tratamiento de datos personales, es decir, que recolecten, almacenen, usen o circulen datos de personas naturales. La ley no establece ninguna excepción que excluya su aplicación por el tamaño de la empresa, el tipo de sociedad, la pertenencia a un régimen especial, el número de empleados que tenga o la cantidad o tipo de datos personales que administre. En consecuencia, el tratamiento de datos personales por parte de las entidades públicas o por particulares en ejercicio de funciones públicas, requiere que la motivación de la solicitud de información personal esté basada en una clara y específica competencia funcional de la entidad o de la institución, por lo cual adquiere la posición jurídica de usuario dentro del proceso de administración de datos personales, lo que le impone el deber de 4 CONSEJO DE ESTADO SALA DE LO CONTENCIOSO ADMINISTRATIVO SECCIÓN TERCERA, Auto de 17 de febrero de 2005, Expediente número: 27673, Radicación número: 500012331000200300277 01, Actor: Rodrigo Villamil Virgüez, Demandado: Nación - Ministerio de Comunicaciones y Otros, C. P. Alier E. Hernández Enríquez. garantizar los derechos fundamentales del titular de la información, previstos en la Constitución Política para lo cual, la Corte Constitucional mediante Sentencia C-748 de 2011 establece que deberán: (i) guardar reserva de la información que les sea suministrada por los operadores y utilizarla únicamente para los fines que justificaron la entrega, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud de suministro del dato personal; (ii) informar a los titulares del dato el uso que le esté dando al mismo; (iii) conservar con las

debidas seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento; y (iv) cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la legislación estatutaria. Así mismo, los datos personales solicitados y/o adquiridos por una autoridad administrativa o por personas de derecho privado que ejerzan funciones públicas, en cumplimiento de un deber legal, deberán guardar correspondencia con la finalidad bajo la cual fueron recolectados. Así mismo, se deberá analizar en el caso concreto si esa finalidad hace parte de las competencias específicas de la entidad. Cabe resaltar así mismo que, por regla general, el tratamiento de los datos personales, debe realizarse con la autorización previa, expresa e informada del titular de los mismos. La Ley enuncia los eventos en que no es necesaria la autorización, entre ellos, la información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales, los datos de naturaleza pública y los datos relacionados con el Registro Civil de las Personas. Por lo anterior, las entidades públicas podrán realizar el tratamiento de los datos personales sin autorización del titular, siempre y cuando cumplan con las obligaciones de protección y garantía que se derivan del derecho fundamental de habeas data, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida. Por último y en relación al tema de su consulta, es dable manifestar que la excepción establecida en el literal a) del artículo 10 de la Ley 1581 de 2012 es predicable de aquellos eventos en los cuales la normatividad le otorga prerrogativas a una autoridad administrativa para el desarrollo de sus competencias funcionales y que requiera dicha información en

cumplimiento de una función pública establecida en el ordenamiento jurídico, recordando en todo caso que la prestación de servicios públicos por entidades estatales no reviste la connotación ni el carácter de función pública, caso en el cual, el prestador de servicios públicos deberá obtener autorización previa para obtener la información que requiere. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.qov.co/Doctrina En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución. Atentamente,

JAZMÍN ROCÍO SOACHA PEDRAZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Gabriel Turbay

Revisó: Rocío Soacha

Aprobó: Rocío Soacha