SIC - Concepto-21144101

Bogotá D.C 10 Respetado(a) señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012]

Asunto: Radicación: 21-144101

Trámite: 113

Actuación: 440

Folios: 8

Reciba un cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, que sustituyó el Título II del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud por usted radicada ante esta entidad el día 06 de abril de 2021 por la cual solicita: “¿Es posible que una autorización para el tratamiento de datos de un titular, remita al numeral de la política de Tratamiento de Datos en donde se encuentran las finalidades para las cuales se utilizaran los datos del titular, de tal forma que dichas finalidades sean claras y expresas, en cumplimiento de la Ley 1581 de 2012,

Art. 12?”

2. CUESTIÓN PREVIA En primer lugar, es necesario resaltar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica, no le asiste la facultad de figurar como interprete autorizado de la Ley. Tampoco se entiende que la respuesta a una petición de consulta elevada, constituya un acto administrativo de obligatorio cumplimiento o ejecución.

Al respecto, el artículo 28 de la Ley 1497 de 2011, modificado por el artículo 1 de

la Ley 1755 de 2015 indica lo siguiente: “Artículo 28: Salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuestas a peticiones realizadas en ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución.” En esos mismos términos se pronunció la Honorable Corte Constitucional mediante la Sentencia C-542 de 20051, al afirmar que los conceptos no representan decisiones administrativos, por lo cual no generan efectos jurídicos en los administrados otorgando derechos u obligaciones. Así mismo, el Alto Tribunal precisa que: “Los conceptos emitidos por las entidades públicas en respuesta a un derecho de petición de consultas de acuerdo con lo dispuesto por el artículo 25 del Código Contencioso Administrativo, insistimos, son orientaciones, puntos de vista, consejos y cumplen tanto una función didáctica como una función de comunicación fluida y transparente” Ahora bien, una vez realizada la anterior precisión, se procederá a suministrar los elementos conceptuales y jurídicos pertinentes para resolver la cuestión planteada, como se indica a continuación:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE DATOS PERSONALES.

En el ordenamiento jurídico colombiano, las funciones de la Superintendencia de Industria y Comercio en materia de protección de datos personales, se encuentran 1 Corte Constitucional. Sentencia C-542 de 2005. M.P Humberto Antonio Sierra Porto. principalmente contenido en el artículo 21 de la Ley 1581 de 2012, donde se señala lo siguiente: a) Velar por el cumplimiento de la legislación en materia de protección de datos

personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva; d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementará campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos; h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento; i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional; j) Requerir la colaboración de entidades internacionales o extranjeras cuando se

afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personajes; k) Las demás que le sean asignadas por ley. Complementando las anteriores facultades, el Decreto 4886 de 2011 en el numeral 60 del artículo 1, indica que es función de la Superintendencia de Industria y Comercio, vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, cuando se refiere a la actividad de administración de datos personales según lo dispuesto por la Ley 1266 de 2008. La norma aclara que dicha función se ejercerá sin perjuicio de las competencias asignadas a la Superintendencia Financiera.

4. DERECHOS DE LOS TITULARES EN LA LEY 1581 DE 2012

Los derechos de los titulares se encuentran enunciados en el artículo 8 de la Ley 1581 de 2012. En primer lugar, el literal a) del citado artículo 8, indica que el titular tiene derecho a conocer, actualizar y rectificar sus datos personales, frente a los responsables o encargados del tratamiento. En virtud de éste derecho se podrá ejercer ante la existencia de datos parciales, inexactos, incompletos, fraccionados, que induzcan a error o aquellos cuyo tratamiento esté prohibido o no haya sido autorizado. Por su parte, el literal c) del artículo 8 establece que el Titular tiene derecho a ser informado por el responsable o el encargado den tratamiento, previa solicitud, respecto al uso que se ha dado a sus datos personales.

5. PRINCIPIOS DEL TRATAMIENTO DE DATOS PERSONALES.

Los principios que deben observarse en el desarrollo, interpretación y aplicación del tratamiento de datos personales, se encuentran consagrados en el artículo 4 de la Ley 1581 de 2012. De esa manera, el literal c) de dicho artículo consagra el principio de libertad, según el cual el tratamiento sólo puede ejercerse con el consentimiento previo, expreso e informado del Titular. Los datos personales no podrán ser obtenido o divulgados sin previa autorización del Titular, o en ausencia de un mandato legal o judicial que revele el consentimiento otorgado. En el literal b) del artículo 4, se consagra el principio de finalidad, por medio del cual el Tratamiento de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular al momento de solicitar la autorización. Al respecto, la Honorable Corte Constitucional2 ha indicado que el principio de finalidad, busca garantizar que el acopio, procesamiento y divulgación de datos personales, obedezcan a una finalidad constitucionalmente legítima que esté definida de manera clara y previa. Por éste motivo, la Corte Constitucional en la Sentencia T-176A del 20143, recordó que se prohíbe la recopilación de información personal sin que se establezca el objetivo, o se recopile la información para un propósito diferente al inicialmente previsto. 2 Corte Constitucional. Sentencia C-328 de 2019. Magistrado Ponente: Cristina Pardo Schelesinger. 3 Corte Constitucional. Sentencia T-176ª de 2014. Magistrado Ponente: Jorge Ignacio Pretelt Chaljub.

6. AUTORIZACIÓN TRATAMIENTO DE DATOS PERSONALES.

En primer lugar, el literal a) del artículo 3 de la Ley 1581 de 2012 define la autorización como el consentimiento previo, expreso e informado del Titular, para poder llevar a cabo el tratamiento de los datos personales. Atendiendo dicha definición, el artículo 9 de la Ley 1581 de 2012 regula la autorización debida al titular en los siguientes términos: “Artículo 9°. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. “ En el artículo 10 de la Ley 1581 de 2012 se indica que no será necesaria la autorización del titular en los siguientes casos: “a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” El artículo 11 de la Ley 1581 de 2012 establece que la información solicitada en la autorización, podrá ser suministrada por cualquier medio, incluyendo medios electrónicos, según lo requiera el Titular. A su vez, la información deberá ser de fácil lectura, sin barreras técnicas que impida su acceso y deberá corresponder con la información que reposa en las bases de datos.

En el artículo 12 de la Ley 1581 de 2012 se establece que al momento de solicitar al titular la autorización, se deberá informar lo siguiente: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta“ Adicionalmente, el artículo 13 del Decreto 1377 de 2013 indica que los responsables del tratamiento deberán desarrollar las respectivas políticas para el tratamiento de los datos personales y velar por su cabal cumplimiento por parte de los encargados del tratamiento. Dichas políticas deberán constar en medio físicas o electrónicas, con un lenguaje claro y sencillo, para ser puestas en conocimiento de los titulares. Dichas políticas deben incluir lo siguiente: “1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable.

2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad.

3. Derechos que le asisten como Titular.

4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la

autorización.

5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.

6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.

Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 5° del presente decreto, deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.” Por lo anterior, se puede establecer que la autorización para el tratamiento de datos corresponde al consentimiento que otorga el Titular, para que sus datos personales sean sometidos a un tratamiento. En virtud del artículo 12 de la Ley 1581 de 2021, se debe informar al titular al momento de solicitar la autorización, el tratamiento al cual serán sometidos los datos personales junto con la finalidad del mismo, dando cumplimiento al principio de finalidad del tratamiento. En ese sentido, la autorización del titular puede remitir a la política de tratamiento de datos personales donde se establezca la finalidad del tratamiento de los mismos, siempre y cuando se le informe al usuario al momento de solicitar su consentimiento, de la finalidad a la que será sometido el tratamiento de sus datos personales.

7. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA Siguiendo el marco jurídico expuesto, mediante el cual se han presentado consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, nos permitimos dar respuesta a la consulta realizada de la siguiente manera:

1. Dentro de los derechos consagrados en la Ley 1581 de 2012 a favor del titular de la información, se encuentra el derecho a conocer, actualizar y

rectificar los datos que son recopilados por los responsables o encargados del tratamiento. Es también un derecho del titular, ser informado por el responsable o encargado del tratamiento, el uso que se ha dado a los datos personales recopilados.

2. Junto a los derechos establecidos a favor del titular, el tratamiento de los datos personales debe estar sujeto a los principios consagrados en el artículo 4 de la Ley 1581 de 2012. Dentro de éstos, se encuentra el principio de libertad, en virtud del cual el tratamiento de datos personales, sólo puede ejercerse con el consentimiento previo, expreso e informado del titular, prohibiéndose su divulgación u obtención sin previa autorización del titular o sin la existencia de un mandato legal o judicial.

3. El artículo 4 de la Ley 1581 de 2012 consagra también el principio de finalidad, por medio del cual el Tratamiento de datos personales debe obedecer a una finalidad legítima en los términos de la Constitución y la Ley. La finalidad debe ser informada al Titular al momento de solicitar la autorización para el tratamiento de datos personales.

4. El tratamiento de datos personales requiere la autorización previa e informada del titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. Por su parte, para que la autorización sea informada, al momento de solicitar la autorización se debe informar sobre el tratamiento al cuál serán sometidos los datos del titular, junto con la finalidad del mismo.

5. Los responsables del tratamiento de datos deberán elaborar las políticas respectivas para el tratamiento de datos personales, así como velar por el cabal cumplimiento del mismo por parte de los encargados del tratamiento.

Dentro de dichas políticas, deberán incluir el tratamiento al cual serán sometidos los datos del titular y la finalidad del mismo, cuando ésta no se haya informado mediante el aviso de privacidad. En ese sentido, se puede realizar la remisión en la autorización a las políticas de tratamiento de datos personales, pero dicha remisión no suplirá el deber de informar al titular previo a la solicitud de la autorización, sobre la finalidad del tratamiento de los mismos. En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1437 de 2011, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1 En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=es Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE DE LA OFICINA JURÍDICA

Elaboró: María Paula Garzón Martínez

Revisó: Jazmín Rocío Soacha Pedraza

Aprobó: Jazmín Rocío Soacha Pedraza