SIC - Concepto-20472043

SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO

Bogotá D.C. RAD: 20-472043 FECHA: 2021-01-26

DEP: 10 OFICINA JURÍDICA EVE: 0 SIN EVENTO

TRA: 113 DP-CONSULTAS FOLIOS: 19

ACT: 440 RESPUESTA

10 Señor (a):

Asunto: Radicación: 20-472043

Trámite: 113

Evento: 0

Actuación: 440

Folios: 19

Estimado (a) Señor (a): Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden

reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. 1 Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

2. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del

ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. 2 i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley. A continuación resolveremos los interrogantes de su consulta con fecha del 10 de diciembre de 2020, en los siguientes términos: Primer interrogante “1. Para utilizar cámaras de video y tomar fotografías en zonas comunes del conjunto cerrado, se requiere autorización de cada uno de los residentes y visitantes que ingresen al conjunto?” Respuesta: El artículo 3 de la Ley 1581 de 2011 define el dato personal así: “c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables".

Al respecto la Corte Constitucional mediante Sentencia C-748 de 2011 señala lo siguiente: "[E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales –en oposición a los impersonales - son las siguientes: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.” (…) Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles”. 3 Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. En consecuencia, las fotografías y las imágenes obtenidas a través de cámaras de

video de las personas naturales se consideran datos personales. En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento." (Subrayas fuera de texto) Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: "[P]rincipio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el

derecho a determinar lo que podría denominarse su “imagen informática”. 4 (...) En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. Sobre el particular, en la Sentencia C-1011 de 2008 se sostuvo que tales características concretan la libertad del individuo frente al poder informático (…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (…) En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (…)" Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La autorización del titular fue reglamentada a través del artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 que señala lo siguiente: "Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento

de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento." Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior. Ahora bien, para la recolección de la autorización para el tratamiento de datos personales a través de cámaras se pueden utilizar señales o avisos distintivos en las zonas de videovigilancia, principalmente en las zonas de ingreso, los lugares que están siendo vigilados y monitoreados y al interior de estos. Incluso, se pueden emplear 5 anuncios de audio, en los casos en que sea posible (por ejemplo en bancos, centros comerciales, grandes superficies, etc), lo cual debe ser informado a los Titulares. Las señales o avisos implementados deben, como mínimo cumplir con el contenido de un aviso de privacidad, a saber: - Incluir información sobre quién es el Responsable del tratamiento y sus datos de contacto (identificación, dirección física o electrónica y teléfono). - Indicar el tratamiento que se dará a los datos y la finalidad del mismo. - El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes -Incluir los derechos de los titulares. -Indicar dónde está publicada la Política de tratamiento de la información. Adicionalmente, el aviso debe ser visible y legible teniendo en cuenta el lugar en el que opere el sistema de vigilancia, por ejemplo, las señales en zonas de tránsito de

vehículos, como los parqueaderos, deben ser apropiadas para informar a los conductores sobre el uso de las cámaras de dicha zona. Las señales no deben afectar la seguridad de peatones o conductores. El uso de la señal o aviso no exime del cumplimiento de las demás obligaciones contempladas por el Régimen General de Protección de Datos Personales para los responsables y encargados del tratamiento. Segundo interrogante “2. Esa autorización como debe constar y como se prueba que se otorgó la autorización?” Respuesta: El artículo 2.2.2.25.2.4., del precitado decreto dispone: "Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012 los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. 6 Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca. Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea verbal o (iii) mediante

conductas inequívocas. El silencio no puede asimilarse a una conducta inequívoca. Es necesario tener en cuenta que la normativa sobre protección de datos, no establece unos requisitos específicos para la configuración de una conducta inequívoca; sin embargo, debe entenderse como aquellas que no admitan duda o equivocación que permita concluir de forma razonable que el titular otorgó la autorización, por ello, para determinar si una conducta se considera como inequívoca para el otorgamiento de la autorización por parte del titular, deberá analizarse cada situación concreta. Tercer interrogante “3. Las fotos y videos tomadas sin autorización sirven para imponer multas por parte de la administración del conjunto cerrado?” Respuesta: Esta Superintendencia no tiene competencia para determinar la procedencia o no de multas por parte de los conjuntos residenciales por determinadas conductas, ello, deberá establecerse en los manuales de convivencia respectivos o en las disposiciones al interior de los mismos. Ahora bien, ante el incumplimiento de las disposiciones consagradas en la Ley 1581 de 2012 y sus decretos reglamentarios, esta Superintendencia adoptará las medidas o impondrá sanciones, de acuerdo al procedimiento dispuesto en el Capítulo III de la Ley 1437 de 2011 y en la Ley 1581 de 2012 en relación con la graduación de las sanciones, en los siguientes términos: “Artículo 22. Trámite. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.

En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo”. 7 (Subrayas fuera de texto) Por su parte el artículo 23 de la precitada ley dispone lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la

investigación respectiva”. En consecuencia, esta Superintendencia es la autoridad de protección de datos personales, y se encarga de velar por el cumplimiento de las disposiciones de la Ley 1581 de 2012 y sus decretos reglamentarios, para lo cual tiene la potestad de imponer las sanciones como: (i) Multas de carácter personal o institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes, se refiere a la imposición de una suma de dinero por el incumplimiento de la Ley 1581 de 2012, sus decretos reglamentarios o las instrucciones impartidas por esta Superintendencia 8 En el evento en que el responsable o encargado del tratamiento incumplan la orden inicialmente impartida por esta Superintendencia, podrá imponerse multas sucesivas por el mencionado desacato, es decir, sumas de dinero adicionales. (ii) La suspensión o interrupción de las actividades relacionadas con el Tratamiento, esto es, respecto a la recolección, el uso, la circulación, el almacenamiento y/ o supresión de los datos personales hasta por un término de seis (6) meses. En el acto de suspensión esta Superintendencia indicará los correctivos que el responsable o encargado del tratamiento debe adoptar para garantizar los derechos de los titulares. (iii) En el evento en que el responsable y/o encargado del tratamiento no realicen dentro del término señalado la implementación de los correctivos ordenados en el acto de suspensión de las actividades del tratamiento de datos personales, se procederá a ordenar el cierre temporal de las operaciones relacionadas con el Tratamiento de datos

personales; (iv) Cierre inmediato y definitivo de la operación ante el incumplimiento de las normas sobre protección de datos personales por parte de los responsables o encargados del tratamiento, cuando se trate del Tratamiento de datos sensibles1, es decir, aquellos datos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación. Cuarto, quinto, sexto y séptimo interrogante “4. Se puede grabar y tomar fotos de los balcones de los apartamentos del conjunto cerrado?”

5. Para tomar fotos de los balcones de los apartamentos se requiere autorización de los habitantes del apartamentos y como debe ser la autorización?

6. Como se prueba que se dio la autorización para grabar videos y tomar fotos de balcones de apartamentos?

7. Las fotos y videos tomadas a balcones de los apartamentos sin autorización sirven para imponer multas por parte de la administración del conjunto cerrado?” Respuesta: 1 El artículo 5 de la Ley 1581 de 2012 define los datos sensibles así: “Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos”.

9 Insistimos que la Ley 1581 de 2012, sus decretos reglamentarios y las instrucciones

emitidas por esta entidad, solo aplican para el tratamiento de los datos personales de las personas naturales y no de objetos. Así mismo, reiteramos que esta Superintendencia no tiene competencia para determinar la procedencia o no de multas por parte de los conjuntos residenciales. Octavo interrogante “8. Para tomar fotos y videos de menores de edad en zonas comunes y privadas se requiere autorización de los padres? ¿Cómo se deben dar esas autorizaciones?” Respuesta: El artículo 7 de la Ley 1581 de 2012 señala lo siguiente: "Derechos de los niños, niñas y adolescentes. En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública. Es tarea del Estado y las entidades educativas de todo tipo proveer información y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños, niñas y adolescentes respecto del Tratamiento indebido de sus datos personales, y proveer de conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su información personal y la de los demás. El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta Ley". El tratamiento de los datos personales de los niños, niñas y adolescentes son prohibidos, salvo que sean de naturaleza pública. Al respecto, la Honorable Corte Constitucional mediante sentencia C-748 de 2011 señaló lo siguiente: "[E]sta Sala observa que la interpretación del inciso segundo, no

debe entenderse en el sentido de que existe una prohibición casi absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello, daría lugar a la negación de otros derechos superiores de esta población como el de la seguridad social en salud, interpretación ésta que no se encuentra conforme con la Constitución. De lo que se trata entonces, es de reconocer y asegurar la plena vigencia de todos los derechos fundamentales de esta población, incluido el habeas data. 10 En este mismo sentido, debe interpretarse la expresión “naturaleza pública”. Es decir, el tratamiento de los datos personales de los menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes. Sumado a la efectividad del interés superior de esta población, también es importante que se les asegure su derecho a ser escuchados en todos los asuntos que los afecten; y el tratamiento de sus datos, sin duda alguna, es un asunto que les concierne directamente. (…) En definitiva, el inciso segundo del artículo objeto de estudio es exequible, si se interpreta que los datos de los niños, las niñas y adolescentes pueden ser objeto de tratamiento siempre y cuando no se ponga en riesgo la prevalencia de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior, cuya aplicación específica devendrá del análisis de cada caso en particular". En concordancia con lo anterior, el artículo 2.2.2.25.2.9., del Decreto 1074 de 2015

señala los requisitos especiales para el tratamiento de los datos personales de los niños, niñas y adolescentes en los siguientes términos: "Articulo 12. Requisitos especiales para el Tratamiento de datos personales de niños niñas y adolescentes. El Tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos:

1. Que responda y respete el interés superior de los niños, niñas y adolescentes.

2. Que se asegure el respeto de sus derechos fundamentales.

Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. 11 Todo Responsable y Encargado involucrado en el Tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y presente capítulo. La familia y la sociedad deben velar porque los Responsables y Encargados del Tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y presente capítulo ". En consecuencia, el tratamiento de los datos personales de los niños, niñas y adolescentes podrá hacerse cuando se trate de datos de naturaleza pública y cuando

cumpla los requisitos de respetar el interés superior de los niños, niñas y adolescentes y que se asegure el respeto de sus derechos fundamentales. Lo anterior, sin perjuicio de lo señalado por la Corte Constitucional en el entendido que no existe una prohibición absoluta en el tratamiento de los datos de los niños, niñas y adolescentes, pues ello, daría lugar a la negación de otros derechos superiores de esta población, interpretación ésta que no se encuentra conforme con la Constitución. Para el tratamiento de datos personales, es necesario tener en cuenta el principio de libertad, definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento." Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: "[P]rincipio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto

fundamental de la protección del habeas data, sino que se encuentra en 12 íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática”. (...) En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. Sobre el particular, en la Sentencia C-1011 de 2008 se sostuvo que tales características concretan la libertad del individuo frente al poder informático (…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (…) En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (…)" Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. Respecto a la autorización el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo

siguiente: "Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento." En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del precitado decreto dispone: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre 13 legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.” Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su