SIC - Concepto-21246850

[Datos personales eliminados en virtud de la Ley 1581 de 2012]

Asunto: Radicación: 21-246850

Trámite: Actuación: Folios: Cordial saludo, De conformidad con lo previsto en la Ley 1755 de 2015, "[p]or medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo", fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento,

en los siguientes términos:

1. OBJETO DE LA CONSULTA Teniendo en cuenta la comunicación en la cual usted consultó: “1. ¿Con la presentación de las peticiones (PQRSDF) por el titular de la información, independientemente del canal de recepción que tenga la entidad, se puede concluir de forma razonable que el titular otorgó la autorización y por ende no es necesario un documento adicional otorgando la autorización de manera expresa? 2. ¿Se podría entender que no es necesaria la autorización, teniendo en cuenta lo establecido en el artículo 10 literal a “Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales

(…)”?

3. En caso de requerirse expresamente la autorización (bien sea escrita o verbal) ¿es necesario solicitarla cada vez que el titular presente una petición (PQRSDF) o se puede entender autorizado el tratamiento de datos en la primera oportunidad que lo realiza?”

Procedemos a informarle:

2. CUESTIÓN PREVIA Previo a proceder con lo anterior, es de gran importancia precisar que la Oficina

Asesora Jurídica de la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO no cuenta con la facultad de dirimir situaciones de carácter particular. Una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha manifestado que: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”1. Precisado lo anterior, a continuación, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitirán absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: “a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de

las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas 1 C. Const. Sent. C-542, may. 24/2005. M.P. Humberto Antonio Sierra Porto. pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley”. Teniendo en cuenta las facultades antes expuestas procederemos a dar respuesta a su consulta. Para ello abordaremos la excepción contenida en el literal a del

artículo 10 de la Ley 1581 de 2012.

4. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓNINFORMACIÓN REQUERIDA POR ENTIDAD PÚBLICA O ADMINISTRATIVA De acuerdo con el literal a del artículo 10 de la Ley 1581 de 2012, no es necesario solicitar la autorización del titular para efectuar el tratamiento cuando se trate de “información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial”. Sobre este punto, la Corte Constitucional2 ha señalado que en dicha excepción deben cumplirse dos condiciones: 2 Corte Const. Sent. C-748, oct. 6/2011. M.P. Jorge Ignacio Pretelt Chaljub. “(i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y (ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información, habida consideración que ese grupo de condiciones permite la protección adecuada del derecho.

Sobre este primer requisito, el alto tribunal señaló que resulta cumplido “(…) cuando la motivación de la solicitud de información esté basada en una clara y específica competencia funcional de la entidad (…)”3. Frente al segundo, estimó que al acceder a la información, la entidad adquiere los siguientes deberes y obligaciones: “(i) guardar reserva de la información que les sea suministrada por los operadores y utilizarla únicamente para los fines que justificaron la entrega, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud de suministro del dato personal; (ii)

informar a los titulares del dato el uso que le esté dando al mismo; (iii) conservar con las debidas seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento; y (iv) cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la legislación estatutaria”. En este sentido, la Entidad puede prescindir de la autorización cuando el tratamiento que se vaya a dar esté basado en una competencia funcional de la Entidad. La atención y respuesta de peticiones es una función inherente a todas las entidades públicas. Esto en virtud del derecho de petición consagrado en el artículo 23 de la Constitución Política y en la Ley 1437 de 2011. De esta manera, una correcta atención y respuesta exige que la entidad de que se trate deba conocer cierta información de parte del peticionario. Esto con el fin de, por ejemplo, enviarle la respuesta a su dirección (física o electrónica) y que este pueda conocerla. El escenario planteado en la norma supone que la autoridad administrativa necesita obtener un dato personal en el ejercicio de una función que le ha sido atribuida conforme a la ley. Bajo este presupuesto se podría entender que las entidades no necesiten autorización para el tratamiento de la información de sus peticionarios. Ello por cuanto la atención y respuesta de peticiones es una función inherente de las entidades públicas, que además garantiza el ejercicio de un derecho constitucional de las personas. Las entidades públicas no pueden llevar a cabo ninguna actuación que no esté previamente establecida en la ley, so pena de estar vulnerando el principio de legalidad, el cual “como principio rector del ejercicio del

poder se entiende que no existe facultad, función o acto que puedan desarrollar los servidores públicos que no esté prescrito, definido o establecido en forma expresa, clara y precisa en la ley”4. La atención y respuesta de peticiones son aspectos 3 Ibidem. 4 C. Const. Sent. C-710, jul. 5/2001. M.P. Jaime Córdoba Triviño. consagrados en la Constitución y en la Ley como deberes de las autoridades en general. Por tanto, dicha actuación haría parte de la excepción contemplada en el literal a del artículo 10 de la ley 1581 de 2012. Lo anterior no supone que aunque se pueda prescindir de la autorización del titular el tratamiento de sus datos pueda hacerse de cualquier forma. La norma solo permite eximirse de solicitar autorización, pero igualmente debe dar cumplimiento a los demás deberes y respetar los derechos del titular. Como lo indica la Corte Constitucional, debe respetarse la reserva de la información suministrada, usarla para los fines que la justificaron, informarles a los titulares sobre el uso que se les dé a los datos, conservarla en debida forma y cumplirse con las instrucciones que se impartan por parte de la autoridad competente. En ese orden de ideas, la excepción del literal a del artículo 10 de la ley 1581 de 2012 es aplicable frente a la obtención de datos de peticionarios. Sin embargo, dicha expresión solo permite prescindir de la autorización. Por otra parte, esto no impide que existan también casos en los que los datos usados son de naturaleza pública y su tratamiento también puede darse sin autorización del titular

5. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA

PLANTEADA La atención y respuesta de peticiones es una función legal de las entidades públicas y administrativas. En ese sentido, los datos personales que estas necesiten para atender en debida forma dichas solicitudes no requieren autorización del titular, de acuerdo con lo dispuesto en el artículo 10 de la Ley 1581 de 2012. Sin embargo, el tratamiento de dicha información debe hacerse en cumplimiento de las demás normas de protección de datos personales. La norma solo exime de obtener la autorización del titular, pero su tratamiento igualmente esta sujeto al cumplimiento de ciertas reglas y obligaciones, conforme a lo expuesto en este concepto. En esa medida, aunque la entidad pública no necesita la autorización para estos trámites, igualmente debe: (i) Guardar reserva de la información que les sea suministrada por los operadores y utilizarla únicamente para los fines que justificaron la entrega, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud de suministro del dato personal; (ii) Informar a los titulares del dato el uso que le esté dando al mismo; (iii) Conservar con las debidas seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento; (iv) Cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la legislación estatutaria. En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia, ni resulta de obligatorio cumplimiento ni

ejecución. En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente enlace http://www.encuestar.com.co/index.php/2100?lang=esQ Finalmente, le informamos que algunos conceptos de interés general emitidos por la Oficina Asesora Jurídica, así como las resoluciones y circulares proferidas por esta Superintendencia, las puede consultar en nuestra página web http://www.sic.goc.co/drupal/Doctrina-1. Atentamente,

JAZMÍN ROCÍO SOACHA PEDRAZA

Jefe Oficina Asesora Jurídica

Elaboró: German Romero

Revisó: Rocío Soacha

Aprobó: Rocío Soacha