SIC - Concepto-20406484

Bogotá D.C. Señor(a) {Datos Personales eliminados en virtud de la Ley 1580 de 2012} Asunto: Radicación: 20-406484 - -1

Trámite: 113

Actuación: 440

Folios: 15

Reciba un cordial saludo. De conformidad con lo previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, modificado por el artículo 1° de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud por usted radicada ante esta Entidad a través de su comunicación de fecha 29 de octubre de 2020, en la cual se señala: “Buen día un día me llamo…para ofrecerme un plan y luego de una larga llamada no quise y informe no estar interesado en sus servicios y ahora mínimo una vez por día a cualquier hora del día me llaman para ofrecerme un plan por medio de una operadora computarizada y esto hace que así ponga los números en lista negra o me llaman de otros números o me dejan mensajes en el buzón de voz y la verdad es incómodo ya que por motivos personales me cambie de operador y no tienen por qué hacer eso”.

Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA

Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica, no le asiste la facultad de dirimir situaciones de carácter particular, debido a que una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por Usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación,

actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. En este orden de ideas, se procederá a poner en su conocimiento los fundamentos legales,

doctrinales y jurisprudenciales que corresponda realizar en torno a su cuestionamiento.

4. AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos.

En consecuencia, el principio de libertad está definido en el literal c) del artículo 4 de la Ley 1581 de 2012 en los siguientes términos: "(…) El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento." Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con

otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática”. (...) En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. Sobre el particular, en la Sentencia C-1011 de 2008 se sostuvo que tales características concretan la libertad del individuo frente al poder informático (…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (…) En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (…)" Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. Respecto a la autorización el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo

siguiente: "Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento." En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del precitado decreto dispone: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.” Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior. Se entiende que el titular de la información ha dado su autorización para el tratamiento de los

datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita.

5. PRINCIPIO DE FINALIDAD Es imperativo tener presente que no se puede recolectar cualquier dato personal, sino solo aquellos que sean imprescindibles para cumplir la finalidad para la cual son recogidos. En este sentido, la regulación ordena que “la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos”.1

El literal b) del artículo 4º de la Ley 1581 de 2012, señala que el tratamiento de datos personales debe obedecer a una finalidad legítima, de acuerdo con la Constitución y la Ley, la cual debe ser informada al titular. Al respecto la Corte Constitucional mediante sentencia C – 748 del 06 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt, establece: “(...) debe hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y

por tanto, no podrá recopilarse datos sin la clara especificación acerca de la 1 D. 1377/2013, art. 4º finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas. En razón de lo anterior, el literal b) debe ser entendido en dos aspectos. Primero, bajo el principio de necesidad se entiende que los datos deberán ser conservados en una forma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de los datos personales no debe exceder del necesario para alcanzar la necesidad con que se han registrado.

(...) Segundo, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos. En consecuencia, debe hacerse todo lo razonablemente posible para limitar el procesamiento de datos personales al mínimo necesario. Es decir, los datos deberán ser: (i) adecuados, (ii) pertinentes y (iii) acordes con las finalidades para las cuales fueron previstos.” (Negrilla fuera del texto original). Así mismo, frente a los datos personales sujetos a recolección, El Decreto 1074 de 20152, establecen lo siguiente: “(…) 2 D.1074/2015, Secc. 6 A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso. No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales.” (…) “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. Los datos personales que se encuentren en fuentes de acceso público, con

independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere el Capítulo III de este Decreto, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” (Resaltado fuera del texto original) En este sentido, el Responsable y/o Encargado del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.3 En consecuencia, si los administradores recolectan los datos personales de los Titulares con una finalidad diferente a la publicidad o comercialización, deberá requerir nuevamente la autorización expresa del titular, previo a informarle de manera clara, suficiente y anticipada acerca del propósito de la información requerida; por lo anterior, las personas naturales y 3 D. 1377/2013, art. 5° jurídica, públicas o privadas, deben implementar mecanismos de autorización de tratamiento de datos, de acuerdo con las finalidades para las cuales fueron previstos

6. DERECHO DE LOS TITULARES A SOLICITAR LA SUPRESIÓN DE SUS DATOS.

El artículo 15 de la norma Superior señala: “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. (…)” Subrayado fuera del texto original. La jurisprudencia de la Corte Constitucional ha mencionado al respecto: “Si bien el habeas data confiere un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada en una central de información, este control no sólo se predica de la autorización previa para el tratamiento del dato, sino que el individuo también es libre de decidir cuáles informaciones desea que continúen y cuáles deben ser excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato. Así pues, el derecho al habeas data otorga la facultad al titular de datos personales de exigir de las administradoras de esos datos el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de

datos personales.”4 (Resaltado fuera del texto original) En este sentido, los Responsables y/o Encargados del Tratamiento de datos personales deben garantizar los principios, garantías y derechos constitucionales y legales, dentro de los cuales está el derecho de Hábeas Data, mediante el cual, el titular está facultado para exigir el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de sus datos. Así mismo, esta Entidad, ha señalado que no puede convertirse en práctica empresarial que el titular del dato tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos. Los derechos 4 C. Const. Sent. C-748, oct. 06/2011, M.P Jorge Ignacio Pretelt. de los titulares son para respetarlos en el tratamiento de datos personales y no para dilatar su cumplimiento o negar su efectividad en la práctica5. Por su parte, el artículo 8° de la Ley 1581 de 2012, “Por la cual se dictan disposiciones generales para la protección de datos personales”, prevé la supresión de la información como un derecho del titular, en los siguientes términos: “ARTÍCULO 8o. DERECHOS DE LOS TITULARES. El Titular de los datos personales tendrá los siguientes derechos: (…) e) <Literal CONDICIONALMENTE exequible> Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el

Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (…)” La Corte Constitucional ha mencionado al respecto: “El literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales, caso en el cual, en aras de garantizar el debido proceso, la Superintendencia de Industria y Comercio deberá determinar que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos.6” En línea con lo expuesto, el artículo 9° del Decreto 1377 de 2013, establece respecto a la revocatoria de la autorización y/o supresión de los datos personales lo siguiente: “Artículo 9. Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al Responsable o Encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. 5 Res. 83882/2018, SIC. 6 C. Const. Sent. C-748, oct. 06/2011, M.P Jorge Ignacio Pretelt. La solicitud de supresión de la información y la revocatoria de la autorización no

procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El Responsable y el Encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el Responsable y/o el Encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” Por lo anterior, el titular esta facultado para revocar la autorización y solicitar la supresión de sus datos ante los Responsables y/o Encargados del Tratamiento, cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales; y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato; lo anterior siempre y cuando no tenga un deber legal o contractual de permanecer en la base de datos. Dicha reclamación deberá cumplir con los requisitos legales establecidos en la Ley de protección de datos.

7. DERECHO A LA TRANQUILIDAD Respecto al derecho a la tranquilidad, la Superintendencia de Industria y Comercio ha recomendado a los Responsables y Encargados del Tratamiento de datos, dejar de contactar a las personas que no quieren recibir más publicidad y suprimir los datos de contacto cuando lo soliciten. El uso de los datos no es ilimitado, incondicional, vitalicio o perpetuo. Las personas no están obligadas a recibir publicidad y se debe respetar su decisión en ese sentido cuando

ellos se lo comunican. A pesar de tener autorización de las personas para recolectar y usar su información se debe tener presente que los titulares tienen derecho a revocar su consentimiento y a solicitar la supresión de sus datos personales en cualquier momento.7 Así mismo, esta Entidad le ha sugerido a los administradores de datos, usar la información de contacto para actividades de publicidad u ofrecimiento de productos y servicios en días y horarios que no afecten la paz ni intimidad familiar, el horario usual de descanso, ni desconozcan su “derecho a la tranquilidad”; toda vez que los usuarios, pueden sentirse asediados cuando son contactados a través de llamadas telefónicas, mensajes de texto, 7 SIC, “Guía sobre el tratamiento de datos personales para fines de comercio electrónico”, Disponible en: https://www.sic.gov.co/sites/default/files/files/pdf/Guia%20SIC%20Tratamiento%20Datos%20Personales%20ComercioElectronico(1).pdf Consultado el: 06 de noviembre de 2020. correos electrónicos y otros medios durante todos los días de la semana y a cualquier hora para fines de prospección comercial.8 Al respecto, la Corte Constitucional se ha referido al derecho a la tranquilidad en los siguientes términos: “Ahora bien, uno de los derechos que deben ser garantizados por el Estado, y que ha ido cobrando importancia dentro de la doctrina constitucional, es el derecho a la tranquilidad, inherente a la persona humana, que le permite al individuo desarrollar una vida digna y sosegada. El derecho a la tranquilidad, lo ha dicho esta Sala, asume el carácter de fundamental por su estrecha relación con la dignidad humana que, necesariamente,

conlleva a la paz individual la cual es necesaria para vivir adecuadamente. Sobre el derecho a la tranquilidad, la Corte se ha referido en estos términos: “Es evidente que el ser humano tiende a la tranquilidad en su vida. Se trata de una tendencia inherente al ser personal, y por ello constituye un bien jurídicamente protegido como fundamental, ya que la dignidad humana conlleva la natural inviolabilidad del sosiego necesario para vivir adecuadamente, y es así cómo la tranquilidad es uno de los derechos inherentes a la persona humana a que se refiere el artículo 94 superior” (Cfr. Corte Constitucional. Sala Novena de revisión. Sentencia T-028 del 31 de enero de 1994. M.P.: doctor Vladimiro Naranjo Mesa). Como derecho inherente a la persona, el derecho a la tranquilidad debe ser protegido por el Estado de tal forma que permita un ambiente propicio para la convivencia humana, de manera que los individuos puedan realizar sus actividades en un ambiente sano y exento de cualquier molestia que tienda a vulnerar la paz y el sosiego.”9 En consecuencia, es necesario que los Responsables y Encargados del Tratamiento de datos personales: i) solo contacten a personas respecto de las cuales posean prueba de la autorización previa, expresa e informada, que exige la Ley 1581 de 2012 para poder recolectar, usar o tratar sus datos personales - privados, semiprivados o sensibles - para fines publicitarios o de marketing; ii) respeten y garanticen el derecho de supresión de los datos personales de contacto cuando son utilizados para fines de marketing o prospección comercial; y iii) suspendan el uso de los datos para fines publicitarios y comerciales, cuando así lo requiera o

solicite el titular de dichos datos personales.10

8. REVOCATORIA DE LA AUTORIZACIÓN Y/O SUPRESIÓN DE DATOS. 8 SIC, “Guía sobre el tratamiento de datos personales para fines de marketing y publicidad”, Disponible en:

https://www.sic.gov.co/sites/default/files/files/pdf/Guia%20marketing%2C%20publicidad%20y%20tratamiento%20de%20datos%202019.pdf Consultado el: 06de noviembre de 2020. 9 C. Const. Sent. T-459, sept. 02/1998. M.P. Vladimiro Naranjo Mesa. 10 Res. 37203/2019, SIC. El artículo 9° del Decreto 1377 de 2015, incorporado en el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, describe el procedimiento a seguir para la revocatoria de la autorización y/o supresión de datos personales, así: “Los Titulares podrán en todo momento solicitar al Responsable o Encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El Responsable y el Encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el Responsable y/o el Encargado, según fuera el

caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” En este sentido, los titulares gozan de la prerrogativa de presentar en cualquier tiempo reclamaciones para la revocatoria de la autorización y/o supresión de sus datos personales ante los Responsables o Encargados del Tratamiento, ya sea de forma verbal o escrita a través de las oficinas físicas o virtuales que dispongan los administradores para recibir, atender y responder los reclamos. El titular, tiene la facultad de consultar el estado del trámite a través de cualquiera de los mecanismos de atención al ciudadano. Todos los trámites deben ser sencillos, gratuitos y sin necesidad de presentación personal ni agente oficioso. Por su parte, el artículo 15 de la Ley 1581 de 2012, menciona: “ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas:

1. El reclamo se formulará mediante solicitud dirig