SIC - Concepto-21309247

Bogotá D.C. 10 Señor (Datos personales eliminados en virtud de la Ley 1581 de 2012) Asunto: Radicación: 21309247- -00001-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 15

Cordial saludo: En virtud del artículo 28 de la Ley 1437 de 2011, sustituido por la Ley 1755 de 2015, la Superintendencia de Industria y Comercio procede a emitir un pronunciamiento en relación con la consulta realizada en los términos que se exponen a continuación.

I. CUESTIÓN PREVIA 1.1. Del alcance de la respuesta a un derecho de petición en la modalidad de consulta.

Antes de absolver la consulta realizada es importante advertir que a la Oficina Asesora Jurídica de esta Superintendencia no le asiste la facultad de dirimir situaciones de carácter particular. Al respecto, la Corte Constitucional en Sentencia C-542 de 2005, señaló que: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no” Como puede observarse, los conceptos que se expiden a instancia del interesado no son obligatorios, no crean situaciones jurídicas y, por tanto, no comprometen la responsabilidad de la entidad pública que los expide1.

1 Al respecto ver entre otras la Sentencia T-091 de 2007 y Sentencia C-951 de 2014. En ese orden de ideas y teniendo como referencia la consulta formulada, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver sus inquietudes.

II. OBJETO DE LA CONSULTA En esta oportunidad se trata de resolver una consulta presentada ante esta Entidad con Rad. No. 21-309247- -00000-000 del 04 de agosto de 2021, en la cual se señala: “Estimados,?la?presente?busca?solicitar?aclaración,?dado?que?la?compañía?pa ra?la?que?trabajo?fue?adquirida?por?inversionistas?extranjeros?quienes?en?a delante?figuran?como?representantes?legales.?Nuestros?formatos?de?Autoriza ción?para?el?tratamiento?de?Datos?Personales?figuran?a?la?fecha?con?el?ant erior?representante?legal?quien?en?adelante?se??denominará?Apoderado?Ge neral.?Mi?pregunta?es,?¿en?los?formatos?de?autorización?se?puede?dejar?la? figura?de?apoderado?general?o?necesariamente?tiene?que?ir?la?del?represen tante?legal? A (Sic)” Así las cosas, precisado el alcance de la respuesta a un derecho de petición en la modalidad de consulta y delimitado el objeto de la presente consulta se pasará a absolverla. 2.1 Facultades de la Superintendencia de Industria y Comercio en materia de

Protección de Datos Personales Es La Ley 1581 de 2012, en su artículo 21 la que señala las funciones, otorgadas a esta Superintendencia en la materia: “a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las

órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley”. 2.2 Ámbito de aplicación de la Ley 1581 de 2012 El ámbito de aplicación de la Ley 1581 de 2012 “Por la cual se dictan disposiciones generales para la protección de datos personales”, está definido en los siguientes términos: “ÁMBITO DE APLICACIÓN. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al tratamiento de datos personales efectuando en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable a la legislación colombiana en virtud de normas y tratados internacionales.” (Negrillas fuera de texto) Por lo tanto, esta Ley es aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento. La misma Ley trae una definición de Base de Datos, así: “Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento.” En consecuencia, cualquier conjunto organizado de datos personales, sin importar si es análogo o digital, es considerado como una base de datos. Ahora, los datos

personales tienen una regulación especial, que exige unos requisitos mínimos para su tratamiento. La Ley 1581 de 2012, en el literal c) del artículo 3 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.” Por otro lado, el literal g) del artículo 3 de la misma ley define el tratamiento de datos personales en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión." Al respecto, la Corte Constitucional, en sentencia C-748 de 2011, señaló lo siguiente: "El tratamiento es definido como cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Este vocablo, al igual que los dos analizados en precedencia, es de uso en el ámbito europeo y se encuentra tanto en la Directiva 95/46 del Parlamento Europeo como en los Estándares dictados en la reciente conferencia que se dio en Madrid (España), en la que se definió tratamiento como “cualquier operación o conjunto de operaciones, sean o no automatizadas, que se apliquen a datos de carácter personal, en especial su recogida, conservación, utilización, revelación o supresión” Además, la Corte agregó que el tratamiento se entiende como tal, sin importar el medio por el cual se realice: “cualquier operación que se pretenda hacer con el dato personal, con o sin ayuda de la informática, pues a diferencia de algunas legislaciones, la

definición que aquí se analiza no se circunscribe únicamente a procedimientos automatizados.” Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo procesamiento sea utilizando medios tecnológicos o manuales. Ahora, en cuanto al responsable del Tratamiento, la misma Ley define así: “Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos” En consecuencia, la persona natural o jurídica que cumpla con estas condiciones, será considerada como Responsable del tratamiento. Una vez establecido quién es el responsable del tratamiento, este deberá cumplir con la normatividad vigente en materia de Habeas Data. 2.3 Sobre el tratamiento de datos personales La Ley 1581 de 2012 define tratamiento en los siguientes términos: Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.2 Al respecto la Corte Constitucional en la mencionada sentencia señaló lo siguiente: "El tratamiento es definido como cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Este vocablo, al igual que los dos analizados en precedencia, es de uso en el ámbito europeo y se encuentra tanto en la Directiva 95/46 del Parlamento Europeo como en los Estándares dictados en la reciente conferencia que se dio en Madrid

(España), en la que se definió tratamiento como “cualquier operación o conjunto de operaciones, sean a no automatizadas, que se apliquen a datos de carácter personal, en especial su recogida, conservación, utilización, revelación o supresión” 2 El vocablo tratamiento para los efectos del proyecto en análisis es de suma importancia por cuanto su contenido y desarrollo se refiere precisamente a lo que debe entenderse por el “tratamiento del dato personal”. En ese orden, cuando el proyecto se refiere al tratamiento, hace alusión a cualquier operación que se pretenda hacer con el dato personal, con o sin ayuda de la informática, pues a diferencia de algunas legislaciones, la definición que aquí se analiza no se circunscribe únicamente a procedimientos automatizados. Es por ello que los principios, derechos, deberes y sanciones que contempla la normativa en revisión incluyen, entre otros, la recolección, la conservación, la utilización y otras formas de procesamiento de datos con o sin ayuda de la informática. En consecuencia, no es válido argumentar que la ley de protección de datos personales cobija exclusivamente el tratamiento de datos que emplean las nuevas tecnologías de la información, dejando por fuera las bases de datos manuales, lo que resultaría ilógico, puesto que precisamente lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia. En este orden de ideas, esta definición no genera problema alguno de constitucionalidad y por tanto será declarada exequible." Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se

encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.3 2.3.1 Política de tratamiento de datos personales El artículo 17 de la Ley 1581 de 2012 señala, entre otras, el siguiente deber para los responsables del tratamiento: “Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos. (…)” 3 Superintendencia de Industria y Comercio. Concepto Radicado 18-189770 En concordancia con lo anterior, respecto el deber que tienen los responsables de fijar las políticas de tratamiento de datos personales y, para ello, el artículo 2.2.2.25.3.1., del Decreto 1074 de 2015, que incorpora el Decreto 1377 de 2013, señala lo siguiente: “Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información. “1. Nombre o razón social, domicilio, dirección, correo electrónico y

teléfono del Responsable.

2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad.

3. Derechos que le asisten como Titular.

4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización.

5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.

6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos”.

Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.” De igual forma, la norma habla del aviso de privacidad en los siguientes términos: “Aviso de privacidad. En los casos en los que no sea posible poner a disposición del Titular las políticas de tratamiento de la información, los responsables deberán informar por medio de un aviso de privacidad al titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales. Contenido mínimo del aviso de privacidad. El aviso de privacidad, como mínimo, deberá contener la siguiente información

1. Nombre o razón social y datos de contacto del responsable del tratamiento.

2. El Tratamiento al cual serán sometidos los datos y la finalidad del

mismo.

3. Los derechos que le asisten al titular.

4. Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información.

No obstante lo anterior, cuando se recolecten datos personales sensibles, el aviso de privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos. En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los titulares la política de tratamiento de la información, de conformidad con lo establecido en este capítulo.” En consecuencia, los responsables tienen la obligación de desarrollar las políticas para el tratamiento de los datos personales, las cuales deben constar en medio físicas o electrónicas y ser puestas en conocimiento de los titulares. Dichas políticas deberán contener la información mínima consagrada en el artículo 2.2.2.25.3.1., del Decreto 1074 de 2015 y la información relacionada, entre otras, con la finalidad y clase de tratamiento al que serán sometidos los datos personales4. 2.3.2 Autorización para el tratamiento de datos personales Respecto a la autorización el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo siguiente: 4 Superintendencia de Industria y Comercio. Concepto Radicado 18-189770 "Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la

recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento." En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del precitado decreto dispone: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.” Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior. Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no

admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita. 2.4 Deber de informar al titular Respecto al deber de informar al titular, el artículo 12 de la Ley 1581 de 2012 es claro en indicar que: El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.(negrilla fuera de texto)

III. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA.

En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden legal y jurisprudencial y en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar: Respecto a la obligación de tener un manual de política de tratamiento de datos: Constituye un deber legal para los responsables de tratamiento de datos adoptar

un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley 1581 de 2012 y en especial, para la atención de consultas y reclamos. Dichas políticas deberán constar por escrito, también pueden estar en medio electrónico y ser puestas en conocimiento de los titulares. No obstante, en los casos en los que no sea posible poner a disposición del titular las políticas de tratamiento de la información, los responsables deberán informar por medio de un aviso de privacidad al titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales. No obstante, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los titulares la política de tratamiento de la información, de conformidad con lo establecido en el Decreto 1074 de 2015. Por lo tanto, constituye un deber legal para el responsable de tratamiento tener la respectiva política so pena de incurrir en las sanciones contempladas en el artículo 23 y demás concordantes de la Ley 1581 de 2012. Para dar respuesta a su consulta, es necesario indicar que al solicitar la autorización por parte del titular de los datos personales se le debe informar: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; (ii) el carácter facultativo de la respuesta, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iii) los derechos que le asisten como Titular, entre ellos, el de la supresión de sus datos y (iv) la

identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento para que pueda ejercer sus derechos. Finalmente le informamos que en el siguiente link puede encontrar la “GUÍA DE

FORMATOS MODELO PARA EL TRATAMIENTO DE DATOS PERSONALES -LEY

1581 DE 2012”: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla _formatos_datos_Personales_nov22.pdf En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link: http://www.encuestar.com.co/index.php/2100?lang=esQ% En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución. Atentamente, JAZMIN ROCIO SOACHA PEDRAZA JEFE OFICINA ASESORA JURÍDICA Elaboró: xxx Revisó: xxx Aprobó: xxx