SIC - Concepto-20434293

Bogotá D.C., 11 de diciembre de 2020 {Datos Personales eliminados en virtud de la Ley 1580 de 2012}

Asunto: Radicación: 20-434293

Trámite: 113

Actuación: 440

Folios: 10

Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, que sustituyó el Título II del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud por usted radicada ante esta Entidad a través su comunicación del 6 de junio de 2020 en la cual señala: “En ejercicio del Derecho de Petición, respetuosamente requiero se indiquen los fundamentos, jurídicos y/o fácticos, por los cuales, en la versión pública de la Resolución N 68369 de 2020, se presentan al público los datos de las investigadas, sus representantes y apoderados, pero se ocultan los datos de la quejosa”.

Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizada la anterior precisión, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para la Superintendencia de Industria y Comercio: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales. b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos. c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus

derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley.

4. EL CONCEPTO DE DATO PERSONAL EN LA LEY 1581 DE 2012

En los términos del literal c) del artículo 3 de la Ley 1581 de 2012, el dato personal se define como cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. La Corte Constitucional mediante sentencia C-748

de 2011 señaló que la jurisprudencia constitucional ha precisado que las características de los datos personales (en oposición a los impersonales) son las siguientes: i) Estar referidos a aspectos exclusivos y propios de una persona natural, ii) Permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) Su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) Su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. Por su parte, el literal g) del artículo 3 define el tratamiento como cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Al respecto la Corte Constitucional en la mencionada sentencia señaló lo siguiente: "Los principios, derechos, deberes y sanciones que contempla la normativa en revisión incluyen, entre otros, la recolección, la conservación, la utilización y otras formas de procesamiento de datos con o sin ayuda de la informática. En consecuencia, no es válido argumentar que la ley de protección de datos personales cobija exclusivamente el tratamiento de datos que emplean las nuevas tecnologías de la información, dejando por fuera las bases de datos manuales, lo que resultaría ilógico, puesto que precisamente lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia.

En este orden de ideas, esta definición no genera problema alguno de constitucionalidad y por tanto será declarada exequible." El literal b) define las bases de datos como el conjunto organizado de datos personales que sea objeto de tratamiento, frente a lo cual la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: “Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación. Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley”. Por lo anterior, la información recolectada por medios documentales encuadran dentro del concepto de dato personal y en consecuencia, les resulta aplicable el régimen de protección de datos personales prevista en la Ley 1581 de 2012 y su tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión.

5. DATOS PERSONALES Y TIPOS DE INFORMACIÓN RELATIVA A PERSONAS JURÍDICAS De acuerdo con el artículo primero de la Ley 1581 de 2011, esta Ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y

rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución. Un aparte relevante del artículo 15 de la Constitución se transcribe a continuación: “Artículo 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. Por otra parte, las personas jurídicas también son titulares de derechos en relación con la información. Las personas jurídicas son titulares del derecho al habeas data, a la intimidad y al buen nombre, puesto que la información circulante sobre ellas les puede ser perjudicial cuando se usa con intenciones fraudulentas o se falta a la verdad. De hecho, el artículo 15 de la Constitución no está limitado solo a las personas naturales. Así lo ha entendido la Corte Constitucional por ejemplo en la Sentencia T-462 de 1997 en los siguientes apartes: “En relación con la condición de titulares de derechos fundamentales que ostentan las personas jurídicas, esta Corporación, en reiterada jurisprudencia, que ha afirmado que por ser capaces de una voluntad racional y autónoma, estos entes colectivos son verdaderas personas en sentido jurídico, esto es titulares de derechos y obligaciones y, en especial, titulares también de derechos

fundamentales. (…) Si las personas jurídicas son titulares del derecho fundamental al buen nombre, en consecuencia lo son también del derecho al habeas data, toda vez que este último derecho, reconocido por el artículo 15 de la Carta Política, existe justamente como garantía de aquel y del derecho a la intimidad personal y familiar. En efecto, la sola lectura del texto constitucional mencionado, pone de relieve que el habeas data, se vincula directamente con los derechos a la intimidad y buen nombre. De esta manera, el habeas data viene a ser como una garantía de estos dos derechos, siendo por lo tanto accesorio de ellos”. En la Sentencia T-238 de 2018 la Corte lo explica de la siguiente manera: De conformidad con lo anterior, se evidencia que las personas jurídicas también son titulares del derecho fundamental al hábeas data, a la intimidad y al buen nombre, toda vez que: (i) la norma Superior hace referencia a todas las personas, sin diferenciar entre personas jurídicas y naturales y (ii) en el último párrafo de la norma previamente citada, se hace una referencia expresa a libros de contabilidad, lo cual es aplicable a las personas jurídicas”. En la misma Sentencia la Corte Constitucional desarrolla una tipología dirigida a clasificar la información de personas jurídicas o naturales en función de identificar la posibilidad legal de acceder pública la misma sin transgredir los derechos a la intimidad y al hábeas data. Esta tipología distingue los siguientes tipos de información: (i) pública o de dominio público, (ii) semiprivada, (iii) privada, y (iv) reservada o secreta. En la Sentencia se definen de la siguiente manera: “32.2. La información privada es aquella que por versar sobre información

personal y por encontrarse en un ámbito privado, sólo puede ser obtenida y ofrecida por orden de autoridad judicial en el cumplimiento de sus funciones. Es el caso de los libros de los comerciantes, los documentos privados, las historias clínicas y la información extraída a partir de la inspección del domicilio. 32.3. La información reservada versa sobre información personal y guarda estrecha relación con los derechos fundamentales del titular a la dignidad, a la intimidad y a la libertad, motivo por el cual se encuentra reservada a su órbita exclusiva y “(…) no puede siquiera ser obtenida ni ofrecida por autoridad judicial en el cumplimiento de sus funciones. Cabría mencionar aquí la información genética, y los llamados "datos sensibles" o relacionados con la ideología, la inclinación sexual, los hábitos de la persona, etc.” 32.4. La información pública es aquella que, según los mandatos de la ley o de la Constitución, puede ser obtenida y ofrecida sin reserva alguna y sin importar si se trata de información general, privada o personal. Se trata por ejemplo de los documentos públicos, las providencias judiciales debidamente ejecutoriadas, los datos sobre el estado civil de las personas o sobre la conformación de la familia. Este tipo de información se puede solicitar por cualquier persona de manera directa y no existe el deber de satisfacer algún requisito para obtenerla. 32.5. La información semiprivada. Esta Corporación se ha pronunciado sobre los datos que pueden constituir información semiprivada. En efecto, desde la sentencia T-729 de 2002 reiterada por la sentencia C-337 de 2007[82], la Corte señaló que ésta se refiere “a los datos que versan sobre información personal o impersonal que no está comprendida en la regla general anterior, porque para su

acceso y conocimiento presenta un grado mínimo de limitación, de tal forma que sólo puede ser obtenida y ofrecida por orden de autoridad administrativa o judicial en el cumplimiento de sus funciones o en el marco de los principios de la administración de datos personales”. En lo que tiene que ver de manera concreta con la solicitud de ciudadano, en la resolución que señala se permite la lectura de los datos de la sociedad sancionada, tales como el nombre de la persona jurídica, su número de identificación tributaria, el nombre de su representante legal, el nombre del apoderado y su número de identificación, el correo electrónico la dirección para fines de notificación. Esta información es de carácter público y puede ser obtenida y ofrecida sin reserva por tratarse de información contenida en documentos públicos. Los actos, contratos y resoluciones de la administración pública deben publicarse en desarrollo del principio de publicidad como se explica a continuación.

6. LA PUBLICIDAD DE LOS ACTOS ADMINISTRATIVOS Lo dicho hasta ahora sobre la información pública de las personas jurídicas debe además entenderse en el marco del artículo 74 de la Constitución sobre el acceso a documentos de carácter público y el principio de publicidad de la administración pública, según el artículo tercero del Código del Procedimiento Administrativo y de lo Contencioso Administrativo. Se transcribe el artículo constitucional: “Artículo 74. Todas las personas tienen derecho a acceder a los documentos públicos salvo los casos que establezca la ley”.

El artículo tercero del Código del Procedimiento Administrativo y de lo Contencioso Administrativo sobre el principio de publicidad dice lo siguiente: “En virtud del principio de publicidad, las autoridades darán a conocer al público y a los interesados, en forma sistemática y permanente, sin que medie petición

alguna, sus actos, contratos y resoluciones, mediante las comunicaciones, notificaciones y publicaciones que ordene la ley, incluyendo el empleo de tecnologías que permitan difundir de manera masiva tal información de conformidad con lo dispuesto en este Código. Cuando el interesado deba asumir el costo de la publicación, esta no podrá exceder en ningún caso el valor de la misma”. En la Sentencia T-020 de 2014 de la Corte Constitucional se explican los límites a la publicidad de los actos de la administración de la siguiente manera: “En lo que respecta al acceso de datos personales por internet u otro medio de divulgación o comunicación masiva, salvo la información pública, no podrá estar disponible o de ser consulta generalizada, pues su conocimiento se limita a los titulares o terceros autorizados conforme a la ley. Como se observa la única excepción se encuentra en los datos públicos, entre otras razones, porque a través de ellos se garantiza el derecho de todas las personas a la información, conforme se establece en el artículo 20 del Texto Superior, así como la posibilidad de acceder a los documentos públicos, que contengan información distinta a aquella que sea reservada o semiprivada, en los términos del artículo 74 de la Constitución. (…) Aun cuando se entiende que las sentencias son públicas, y así deben seguir siéndolo, la información personal contenida en ellas está sometida a los principios de la administración de datos, por lo que eventualmente pueden incluir datos sensibles o semiprivados, en cuya circulación y acceso deben cumplirse los principios de finalidad, necesidad y circulación restringida que rigen el derecho al habeas data. Esta última circunstancia habilita la supresión relativa de

información, con miras a proteger la intimidad, el derecho al trabajo o la reinserción de las personas en la sociedad, a través de medidas que garanticen la imposibilidad de proceder a su identificación, en concreto en las versiones que se publiquen en la Web de una providencia”.

7. LOS DATOS DE LAS PERSONAS NATURALES Y SUS DERECHOS Por lo dicho hasta ahora, solo personas naturales pueden ejercer los derechos a que se hace referencia en el artículo octavo de la Ley 1581 de 2012. Las personas jurídicas, por su parte, tienen derecho de habeas data y por lo tanto pueden solicitar la rectificación o eliminación en caso de que sea falsa.

Como se explicó en el punto 4 de este concepto, el dato personal por la Ley 1581 de 2012 como cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. La Corte Constitucional mediante sentencia C-748 de 2011 señaló que los datos personales se refieren a aspectos exclusivos y propios de una persona natural, y permiten identificar a la persona gracias a la visión de conjunto que se logre con el mismo y con otros datos. En los actos administrativos que se difunden de manera masiva por la administración en función del principio de publicidad, los datos personales son objeto de protección por los mandatos constitucionales y legales que protegen la intimidad y el buen nombre. El artículo octavo de la Ley 1581 de 2012 contiene los derechos de los titulares de datos personales, que son los siguientes: a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. b) Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo

cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la Ley 1581 de 2012; c) Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales; d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen; e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; f) Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento. En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012, según el cual el tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular y los datos personales no pueden ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: “En materia de manejo de información personal, el consentimiento exigido es

además, calificado, por cuanto debe ser previo, expreso e informado. Sobre el particular, en la Sentencia C-1011 de 2008 se sostuvo que tales características concretan la libertad del individuo frente al poder informático. (…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (…) En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización”. Conforme al artículo 12 de la Ley 1581 de 2012, al solicitar la autorización por parte del titular de los datos personales se le debe informar: (i) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; (ii) el carácter facultativo de la respuesta, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iii) los derechos que le asisten como titular, entre ellos, el de la supresión de sus datos y (iv) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que pueda ejercer sus derechos. La autorización del titular fue reglamentada a través del artículo 2.2.2.25.2.2. del Decreto 1074 de 2015 que señala el responsable del tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del titular

para el tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del tratamiento para las cuales se obtiene el consentimiento.

8. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA En línea con lo anterior y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden legal, jurisprudencial y doctrinal, en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar que: - Solo personas naturales pueden ejercer los derechos a que se hace referencia en el artículo octavo de la Ley 1581 de 2012. Las personas jurídicas, por su parte, tienen derecho de habeas data y por lo tanto pueden solicitar la rectificación o eliminación de la información en caso de que sea falsa o imprecisa. - La información pública es aquella que puede ser obtenida y ofrecida sin reserva alguna.

Este tipo de información reposa en documentos de público acceso y, en desarrollo del principio de publicidad como se establece en el Código del Procedimiento Administrativo y de lo Contencioso Administrativo, debe darse a conocer al público y a los interesados en forma sistemática y permanente, lo cual comprende los actos administrativos de las entidades públicas. La publicidad debe darse mediante las comunicaciones, notificaciones y publicaciones y el empleo de tecnologías que permitan difundir de manera masiva tal información como lo ordena el mencionado Código. -Las personas naturales cuyos datos se utilicen en actos administrativos que se difundan de manera pública en desarrollo del principio de publicidad pueden ejercer los derechos consagrados en la Ley 1581 de 2012. De acuerdo con esta Ley, los responsables del

tratamiento de los datos personales deben obtener la autorización por parte del titular al momento de su recolección informándole la finalidad específica del tratamiento, esto es, la recolección, el almacenamiento, la circulación, uso y/o supresión de los mismos a través de mecanismos que garanticen su consulta posterior. Finalmente, le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1 En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ Atentamente,

ROCÍO SOACHA PEDRAZA

Jefe Oficina Asesora Jurídica

Elaboró: Augusto Hernández Vidal

Revisó: Rocío Soacha Pedraza

Aprobó: Rocío Soacha Pedraza