SIC - Concepto-21253559

[Datos personales eliminados en virtud de la Ley 1581 de 2012]

Asunto: Radicación: 21-253559

Trámite: Actuación: Folios: Cordial saludo, De conformidad con lo previsto en la Ley 1755 de 2015, "[p]or medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo", fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los siguientes términos:

1. CUESTIÓN PREVIA Previo a proceder con lo anterior, es de gran importancia precisar que la Oficina Asesora Jurídica de la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO no cuenta con la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha manifestado que: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo.

Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”1. Precisado lo anterior, a continuación, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitirán absolver las inquietudes por

usted manifestadas, como sigue:

2. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: 1 C. Const. Sent. C-542, may. 24/2005. M.P. Humberto Antonio Sierra Porto. “a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley”. Teniendo en cuenta las funciones de esta Entidad, procederemos a responder los interrogantes planteados en su consulta del 14 de abril de 2021: Primer interrogante: “En el entendido de que las sociedades obligadas a registrar sus bases de datos ante el Registro Nacional de Bases de Datos son aquellas que tengan una valoración de activos totales superior a 100.000 UVT, quisiera poner a consideración las siguientes cuestiones: En el caso de una sociedad aún no constituida, ¿el momento en el que la sociedad queda obligada a registrar sus bases de datos será cuando se efectúe su constitución con un valor de activos totales reflejados en el balance inicial superior a 100.000 UVT? o ¿debe tomarse en cuenta la valoración de activos totales al cierre del año fiscal en el que se constituya, siendo este el momento en que la sociedad asume la obligación?” Respuesta: Dentro de las funciones legales de esta Superintendencia también se encuentra la de administrar el Registro Nacional de Bases de Datos. Sobre este registro la ley señala: “El Registro Nacional de Bases de Datos es el directorio público de las bases

de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. PARÁGRAFO. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”2. Esta disposición fue reglamentada por el Decreto 1074 de 2015. Esta norma determina, entre otros aspectos, quienes son los obligados a inscribir sus bases de datos y cuál es la información mínima que debe contener. La norma en cuestión dispone que están obligados a inscribir sus bases de datos los responsables del tratamiento que correspondan a: “sociedades y entidades sin ánimo de lucro que tengan activos totales 2 L. 1581/2012, art. 25. superiores a 100.000 Unidades de Valor Tributario (UVT) o personas jurídicas de naturaleza pública”3. Este registro debe contener por lo menos la siguiente información: “1. Datos de identificación, ubicación y contacto del Responsable del Tratamiento de la base de datos.

2. Datos de identificación, ubicación y contacto del o de los Encargados del

Tratamiento de la base de datos.

3. Canales para que los titulares ejerzan sus derechos.

4. Nombre y finalidad de la base de datos.

5. Forma de Tratamiento de la base de datos (manual y/o automatizada), y

6. Política de Tratamiento de la información.

La Superintendencia de Industria y Comercio, como autoridad de protección de datos personales, podrá establecer dentro del Registro Nacional de Bases de Datos información adicional a la mínima prevista en este artículo, acorde con las facultades que le atribuyó la Ley 1581 de 2012 en el literal h) del artículo 21”. La inscripción debe hacerse conforme a los plazos señalados en el artículo 2.2.2.26.3.1 del referido Decreto, el cual dispone: “La inscripción de las bases de datos en el Registro Nacional de Bases de Datos se llevará a cabo en los siguientes plazos: a) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unidades de Valor Tributario (UVT), deberán realizar la referida inscripción a más tardar el treinta (30) de septiembre de 2018, de acuerdo con las instrucciones impartidas por la Superintendencia de Industria y Comercio; b) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario (UVT), deberán realizarla referida inscripción a más tardar el treinta (30) de noviembre de 2018, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio;

c) Los Responsables del Tratamiento, personas jurídicas de naturaleza pública, deberán realizar la referida inscripción a más tardar el treinta y uno (31) de enero de 2019, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio. 3 Art. 2.2.2.26.1.2. modificado por el artículo 1 del Decreto 90 de 2018. Las bases de datos que se creen con posterioridad al vencimiento de los plazos referidos en los literales a), b) y c) del presente artículo, deberán inscribirse dentro de los dos (2) meses siguientes, contados a partir de su creación”. Para las sociedades y entidades sin ánimo de lucro que no se encuentren dentro de los supuestos antes descritos, la medición de los activos totales será la que registren a 31 de diciembre del año inmediatamente anterior. Es decir que su obligación de registro se determina con base en dicha medida y no en los activos que se vayan causando durante el año fiscal o en el momento de su constitución. El valor de Unidad Tributaria es la medida de valor que permite ajustar los valores contenidos en las disposiciones relativas a los impuestos y obligaciones administrados por la Dirección de Impuestos y Aduanas Nacionales, el reajuste del valor se efectuará anualmente en la variación del índice de precios al consumidor para ingresos medios en el periodo comprendido entre el 1º de octubre del año anterior al gravable y la misma fecha del año inmediatamente anterior a este, certificado por el Departamento Administrativo Nacional de Estadística -DANE4En síntesis, la inscripción de bases de datos en el Registro Nacional de Bases de Datos

es obligación de las entidades de naturaleza pública y de ciertas sociedades y entidades sin ánimo de lucro. Para el caso de las segundas, su obligación está determinada por el monto de sus activos totales. Cuando estos sean superiores a 100.000 Unidades de Valor Tributario (UVT) surgirá la obligación de hacer el registro. Para el momento de creación de la norma se establecieron unos plazos de inscripción para las empresas ya existentes que cumplían los requisitos. Para los demás casos, el monto de los activos totales se determinará con base en el año inmediatamente anterior o los que registren al cierre del año fiscal de su constitución, si no existiere información del año inmediatamente anterior, y con base en este se establecerá si existe o no la obligación de inscripción de la base de datos. Los obligados a esta inscripción deben hacerlo a través de la plataforma de la Entidad a través del siguiente enlace https://www.sic.gov.co/registro-nacional-de-bases-de-datos donde también podrá encontrar información complementaria que puede serle de utilidad.

Segundo interrogante: “De manera más específica: ¿el periodo de dos meses para inscribir las bases de datos tratadas por la sociedad, dispuesto por el decreto 090 de 2018, comienza desde la constitución de la sociedad o desde el cierre del año fiscal correspondiente al de su constitución?” 4 E.T. art. 868.

Respuesta: El plazo de los dos meses para la inscripción señalado en el artículo 2.2.2.26.3.1 del Decreto 1074 de 20155 comienza a contarse desde la creación de la base de datos. Sin embargo, hay que tener presente que esta obligación solo surge, respecto de sociedades

y entidades sin ánimo de lucro, cuando tengan activos superiores a 100.000 UVT. Como ya se indicó en la respuesta anterior, para determinar si la sociedad se encuentra obligada a la inscripción debe mirarse el patrimonio del año inmediatamente anterior o el que tenga al cierre del año en que se constituyó la sociedad, pues en estos casos no se dispone de información anterior. Entonces, para el responsable de la base de datos debe tener en cuenta dos elementos: los dos meses de plazo y el patrimonio de la sociedad o entidad. En los eventos en que, por ejemplo, al cierre del año fiscal la sociedad advierta que su patrimonio supera los 100.000 UVT y la base de datos fue creada hace más de dos meses, deberá proceder a la inscripción de manera inmediata. Recuérdese que el plazo se cuenta es desde la creación de la base de datos y no desde la constitución de la sociedad o desde que se verifique que tiene el patrimonio necesario para tener que llevar a cabo este registro. En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia, ni resulta de obligatorio cumplimiento ni ejecución. En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente enlace http://www.encuestar.com.co/index.php/2100?lang=esQ Finalmente, le informamos que algunos conceptos de interés general emitidos por la

Oficina Asesora Jurídica, así como las resoluciones y circulares proferidas por esta Superintendencia, las puede consultar en nuestra página web http://www.sic.goc.co/drupal/Doctrina-1. Atentamente,

JAZMÍN ROCÍO SOACHA PEDRAZA

Jefe Oficina Asesora Jurídica

Elaboró: German Romero

Revisó: Rocío Soacha Aprobó: Rocío Soacha 5 modificado por el artículo 2 del Decreto 90 de 2018.