SIC - Concepto-21162219

Bogotá D.C 10 Respetado(a) señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012]

Asunto: Radicación: 21-162219

Trámite: 113

Actuación: 440

Folios: 9

Reciba un cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, que sustituyó el Título II del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a la solicitud radicada ante esta entidad el día 19 de abril de 2021 por la cual solicita: “.Tengo una agencia de seguros, y dentro de nuestro proceso comercial para promocionar nuestros productos obtenemos correos electrónicos de diferentes formas de personas o empresas, a través de familiares o clientes quienes nos los refieren, o a través de redes sociales como Facebook, Linkedin o Instagram de quienes obtenemos solo el correo; quería consultar si podemos enviar correos de promoción de productos a la luz de la Ley de Protección de Datos o si se estaría violando alguna norma”

2. CUESTIÓN PREVIA En primer lugar, es necesario resaltar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica, no le asiste la facultad de figurar como interprete autorizado de la Ley. Tampoco se entiende que la respuesta a una petición de consulta elevada, constituya un acto administrativo

de obligatorio cumplimiento o ejecución. Al respecto, el artículo 28 de la Ley 1497 de 2011, modificado por el artículo 1 de la Ley 1755 de 2015 indica lo siguiente: “Artículo 28: Salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuestas a peticiones realizadas en ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución.” En esos mismos términos se pronunció la Honorable Corte Constitucional mediante la Sentencia C-542 de 20051, al afirmar que los conceptos no representan decisiones administrativos, por lo cual no generan efectos jurídicos en los administrados otorgando derechos u obligaciones. Así mismo, el Alto Tribunal precisa que: “Los conceptos emitidos por las entidades públicas en respuesta a un derecho de petición de consultas de acuerdo con lo dispuesto por el artículo 25 del Código Contencioso Administrativo, insistimos, son orientaciones, puntos de vista, consejos y cumplen tanto una función didáctica como una función de comunicación fluida y transparente” Ahora bien, una vez realizada la anterior precisión, se procederá a suministrar los elementos conceptuales y jurídicos pertinentes para resolver la cuestión planteada, como se indica a continuación:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE DATOS PERSONALES.

El artículo 17 de la Ley 1266 de 2008 indica que es función de la Superintendencia de Industria y Comercio ejercer la vigilancia de los operadores, fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, cuya vigilancia no haya sido asignada a la

1 Corte Constitucional. Sentencia C-542 de 2005. M.P Humberto Antonio Sierra Porto. Superintendencia Financiera de Colombia. En virtud de estas facultades, la Superintendencia de Industria y Comercio podrá ejercer las siguientes facultades: “1. Impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administración de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países fijar los criterios que faciliten su cumplimiento y señalar procedimientos para su cabal aplicación.

2. Velar por el cumplimiento de las disposiciones de la presente ley, de las normas que la reglamenten y de las instrucciones impartidas por la respectiva Superintendencia.

3. Velar porque los operadores y fuentes cuenten con un sistema de seguridad y con las demás condiciones técnicas suficientes para garantizar la seguridad y actualización de los registros, evitando su adulteración, pérdida, consulta o uso no autorizado conforme lo previsto en la presente ley.

4. Ordenar a cargo del operador, la fuente o usuario la realización de auditorías externas de sistemas para verificar el cumplimiento de las disposiciones de la presente ley.

5. Ordenar de oficio o a petición de parte la corrección, actualización o retiro de datos personales cuando ello sea procedente, conforme con lo establecido en la presente ley. Cuando sea a petición de parte, se deberá acreditar ante la Superintendencia que se surtió el trámite de un reclamo por los mismos hechos ante el operador o la fuente, y que el mismo no fue atendido o fue atendido desfavorablemente.

6. Iniciar de oficio o a petición de parte investigaciones administrativas contra los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, con el fin de establecer si existe responsabilidad administrativa derivada del incumplimiento de las disposiciones de la presente ley o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo, y si es del caso imponer sanciones u ordenar las medidas que resulten pertinentes.”

4. DERECHOS DE LOS TITULARES DE LA INFORMACIÓN EN MATERIA

DE DATOS PERSONALES.

En el artículo 8 de la Ley 1581 de 2012, se encuentran consagrados los derechos de los titulares de datos personales en el tratamiento de los mismos, los cuales son enunciados de la siguiente manera: “a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado; b) Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la presente ley; c) Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales; d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás

normas que la modifiquen, adicionen o complementen; e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; f) Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.” En atención a las anteriores disposiciones, son derechos de los titulares de los datos personales, conocer, actualizar y rectificar sus datos personales frente a los responsables y encargados del tratamiento, al igual que solicitar la supresión de datos que han sido objeto de tratamiento o que no haya sido autorizado. El titular de los datos también tiene derecho a solicitar prueba de su autorización para el tratamiento de datos personales, ser informado por el responsable o encargado del tratamiento que se le ha dado a sus datos y solicitar la supresión del dato cuando en el tratamiento de sus datos personales no se hayan respetado los principios, derechos y garantías constitucionales y legales.

5. PRINCIPIOS EN EL TRATAMIENTO DE DATOS PERSONALES.

El artículo 4 de la Ley 1581 de 2012 contiene los principios que se deben aplicar en el desarrollo, interpretación y aplicación de la precitada Ley 1581 de 2012 y en general, en el tratamiento de datos personales. El literal a) del artículo 4 de la Ley 1581 de 2012 establece el principio de legalidad en materia de tratamiento de datos, por el cual el tratamiento es una actividad

reglada que se debe sujetar a lo establecido en el artículo 4 de la Ley 1581 de

2012. El literal b) indica que el tratamiento de datos personales debe obedecer a una finalidad legítima según la Constitución y la Ley, la cual debe ser informada al titular. En el literal C) se indica el principio de libertad, por el cual el tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del titular.

Por ese motivo, los datos personales no podrán ser objetivos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que supla el consentimiento, En el literal e) se establece el principio de transparencia, por medio del cual se indica que el tratamiento de datos personales debe garantizar el derecho del titular a obtener del responsables o del encargado en cualquier momento y sin restricciones, información acerca de la existencia de sus datos. En el literal f) por su parte, se menciona el principio de acceso y circulación restringida en los siguientes términos: “f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;” Atendiendo a los principios enunciados, para el tratamiento de datos personales

(recolección, almacenamiento, uso, circulación o supresión), el responsable o encargado del tratamiento, debe obtener la autorización del titular de los datos personales de manera previa, expresa e informada del titular. Sin dicha autorización, los datos personales del titular no podrán ser obtenidos ni sometidos a ninguna forma de tratamiento. En consecuencia, la obtención de datos personales sin el consentimiento del titular y su uso para fines de mercadotecnia sin dicha autorización, constituye una vulneración del principio de libertad.

6. AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES.

La autorización para el tratamiento de datos personales se encuentra definida en el artículo 3 de la Ley 1581 de 2012, como el consentimiento previo, expreso e informado del titular de los datos personales, para llevar a cabo el tratamiento de los mismos. Siguiendo dicha definición, el artículo 9 de la Ley 1581 de 2012 indica que el tratamiento de datos personales, requiere la autorización previa e informada del titular, la cual deberá ser obtenida por cualquier medio que pueda ser consultado posteriormente, sin perjuicio de las excepciones previstas en la Ley 1581 de 2012. Por su parte, en el artículo 10 de la Ley 1581 de 2012 se indica que la autorización del titular no será necesaria en los siguientes casos: “a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización

previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” En el artículo 12 de la Ley 1581 de 2012 establece que el responsable del tratamiento al momento de solicitar al titular la autorización, deberá informar de manera clara y expresa lo siguiente: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” La autorización corresponde al consentimiento previo, expreso e informado del titular de los datos personales, para llevar a cabo el tratamiento de los mismos. Dicha autorización es necesaria para que se pueda llevar a cabo el tratamiento de datos personales. En ese sentido, para la remisión de publicidad a los correos electrónicos de los titulares, los responsables o encargados del tratamiento deberán obtener la autorización de los titulares para la obtención de los correos y la posterior remisión de publicidad2.

7. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA Siguiendo el marco jurídico expuesto, mediante el cual se han presentado consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, nos permitimos dar respuesta a la consulta realizada de la siguiente manera:

1. En virtud del principio de legalidad, el tratamiento de datos personales

debe estar sujeto a lo establecido en el artículo 4 de la Ley 1581 de

2012. A su vez, en virtud del principio de finalidad el tratamiento de datos personales debe obedecer a una finalidad legítima en los términos de la ley y la Constitución, la cual debe ser informada al titular de la información. El principio de libertad exige que el tratamiento de datos personales sólo se puede ejercer con el consentimiento previo, expreso e informado del titular. 2 Superintendencia de Industria y Comercio. Guía para el tratamiento de datos personales para fines de marketing y publicidad.

2. Teniendo en cuenta los principios enunciados previamente, el tratamiento de datos personales con fines de marketing obedece a una finalidad legítima en los términos de la ley y la Constitución. No obstante, en virtud del principio de libertad, la obtención de datos personales con fines de marketing y publicidad y su posterior tratamiento para enviar publicidad, requiere de la autorización previa, expresa e informada del titular de datos personales. En esos mismos términos, el principio de acceso y circulación restringida indica que el tratamiento de datos personales solamente podrá hacerse por personas autorizadas por el titular. Los datos personales, salvo información pública, no podrán estar disponibles en internet ni en otros medios de divulgación o comunicación masiva, a menos que el acceso sea restringido para los titulares o personas autorizadas.

3. La autorización para el tratamiento de datos personales corresponde al consentimiento previo, expreso e informado del titular de los datos personales, para que los mismos sean objeto de tratamiento. Al momento de solicitar la autorización del titular, el responsable del tratamiento deberá informar la finalidad y el tratamiento que se dará a

los datos personales, los derechos del titular, el carácter facultativo de las respuestas que sean realizadas y la identificación del responsable del tratamiento.

4. Con base en las consideraciones previas, para la obtención de datos personales con fines de marketing y su posterior tratamiento, se requiere la autorización previa e informada del titular. Por esa razón, para remitir publicidad a los titulares de la información, los responsables del tratamiento deberán obtener la autorización de los titulares de la información de manera previa e informada.

En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la ley 1437 de 2011, esto es, bajo el entendido que las mismas no comprometen la responsabilidad de esta Superintendencia ni son de obligatorio cumplimiento ni ejecución. Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, así como las resoluciones y circulares proferidas por ésta Superintendencia, las puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1 En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=es Atentamente,

JAZMIN ROCIO SOACHA PEDRAZA

JEFE DE LA OFICINA JURÍDICA

Elaboró: María Paula Garzón Martínez

Revisó: Jazmín Rocío Soacha Pedraza

Aprobó: Jazmín Rocío Soacha Pedraza