SIC - Concepto-22300986

Bogotá D.C. 12 septiembre de 2022 Señor (a):

Asunto: Radicación: 22-300986

Trámite: 113

Evento: 0

Actuación: 440

Folios: 11

Reciba cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. OBJETO DE LA CONSULTA Atendiendo a su solicitud radicada ante esta Entidad en la cual señala: “Buenas tardes, solicitamos de su colaboración con la respuesta precisa y directa a la siguiente pregunta: Las Sucursales de Sociedad Extranjera constituidas y domiciliadas en Colombia que tienen ingresos totales superiores a 100.000 UVT están obligadas a reportar sus bases de datos?.” Nos permitimos realizar las siguientes precisiones:

2. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C-542 de 2005:

“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: “a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento

de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley”. 3.1. REGISTRO NACIONAL DE BASES DE DATOS El artículo 25 de la Ley 1581 de 2012 señala lo siguiente: “Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la

información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento.” Por su parte, el artículo 2.2.2.26.1.3 del Decreto 1074 de 2015 señala lo siguiente: “Artículo 2.2.2.26.1.3. Deber de inscribir las bases de datos. El Responsable del Tratamiento debe inscribir en el Registro Nacional de Bases de Datos, de manera independiente, cada una de las bases de datos que contengan datos personales sujetos a Tratamiento”. En consecuencia, la obligación de realizar el registro de cada base de datos de manera independiente, corresponde al responsable del tratamiento, es decir, a la persona natural o jurídica pública o privada que decide sobre las finalidades del tratamiento (la recolección, el almacenamiento, el uso, la circulación o la supresión de los datos personales) y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación, usarlo de alguna manera o permitir su acceso. Ahora bien, respecto de la información mínima que debe contener el Registro Nacional de Bases de Datos el artículo 2.2.2.26.2.1., del Decreto 1074 de 2015 establece: “Información mínima del Registro Nacional de Bases de Datos. La información mínima

que debe contener el Registro Nacional de Bases de Datos es la siguiente:

1. Datos de identificación, ubicación y contacto del Responsable del Tratamiento de la base de datos;

2. Datos de identificación, ubicación y contacto del o de los Encargados del Tratamiento de la base de datos;

3. Canales para que los titulares ejerzan sus derechos;

4. Nombre y finalidad de la base de datos;

5. Forma de Tratamiento de la base de datos (manual y/o automatizada), y

6. Política de Tratamiento de la información.

La Superintendencia de Industria y Comercio, como autoridad de protección de datos personales, podrá establecer dentro del Registro Nacional de Bases de Datos información adicional a la mínima prevista en este artículo, acorde con las facultades que le atribuyó la Ley 1581 de 2012 en el literal h) del artículo 21.” En concordancia con lo anterior, en el Capítulo Segundo del Título V de la Circular Única de esta Superintendencia, se imparten instrucciones sobre el Registro Nacional de Bases de Datos, entre ellas, la información adicional a la señalada en el artículo 2.2.2.26.2.1. del Decreto 1074 de 2015, que debe inscribirse en los siguientes términos: “Los Responsables del tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT) y personas jurídicas de naturaleza pública deben inscribir en el Registro Nacional de Bases de Datos -RNBDla siguiente información, además de la establecida mediante el Capítulo 26 del Decreto Único 1074 de 2015: a) Información almacenada en la base de datos. Es la clasificación de los datos

personales almacenados en cada base de datos, agrupados por categorías y subcategorías, de acuerdo con la naturaleza de los mismos. b) Medidas de seguridad de la información. Corresponde a los controles implementados por el Responsable del Tratamiento para garantizar la seguridad de las bases de datos que está registrando, teniendo en cuenta las preguntas dispuestas para el efecto en el RNBD. Tales preguntas no constituyen de ninguna manera instrucciones acerca de las medidas de seguridad que deben implementar los Responsables del Tratamiento de datos personales. c) Procedencia de los datos personales. La procedencia de los datos se refiere a si estos son recolectados del Titular de la información o suministrados por terceros y si se cuenta con la autorización para el tratamiento o existe una causal de exoneración, de acuerdo con lo establecido en el artículo 10 de la Ley 1581 de 2012. d) Transferencia internacional de datos personales. La información relacionada con la Transferencia internacional de datos personales comprende la identificación del destinatario como Responsable del Tratamiento, el país en el que este se encuentra ubicado y si la operación está cobijada por una declaración de conformidad emitida por la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio o por una causal de excepción en los términos señalados en el artículo 26 de la Ley 1581 de 2012. e) Transmisión internacional de datos personales. La información relacionada con la Transmisión internacional de datos comprende la identificación del destinatario como Encargado del Tratamiento, el país en el que este se encuentra ubicado, si se tiene un contrato de transmisión de datos en los términos señalados en el artículo 2.2.2.25.5.2 de la Sección 5 del Capítulo 25 del Decreto Único 1074 de 2015 o si la

operación está cobijada por una declaración de conformidad emitida por la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio. f) Reporte de novedades. Se reportarán como novedades los reclamos presentados por los Titulares ante los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD y/o sus Encargados y los incidentes de seguridad que afecten las bases de datos administradas por cualquier Responsable del Tratamiento, así: (i) Reclamos presentados por los Titulares. Corresponde a la información de los reclamos presentados por los Titulares ante el Responsable y/o el Encargado del tratamiento, según sea el caso, dentro de un semestre calendario (enero – junio y julio – diciembre). Esta información se reportará teniendo en cuenta lo manifestado por los Titulares y los tipos de reclamos prestablecidos en el RNBD. El reporte deberá ser el resultado de consolidar los reclamos presentados por los Titulares ante los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD y sus respectivos Encargados del Tratamiento. (ii) Incidentes de seguridad. Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD por parte de los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos. Los Responsables del Tratamiento que no se encuentren

obligados a registrar sus bases de datos en el RNBD y los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el micrositio de la Delegatura para la Protección de Datos Personales o mediante cualquiera de los canales habilitados por la entidad para recibir comunicaciones dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos. La información relacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes de seguridad reportados en el RNBD no estará disponible para consulta pública”. Es oportuno aclarar que los Responsables del Tratamiento no cargan sus bases de datos con información personal del titular en el Registro Nacional de Bases de Datos –RNBD-solamente inscriben la información establecida en el Capítulo 26 del Decreto Único 1074 de 2015 y en la Circular Única de la Superintendencia de Industria y Comercio. El procedimiento para realizar el Registro Nacional de Bases de Datos, el cual deberá hacerse de acuerdo a las instrucciones contenidas en el “Manual del Usuario del Registro Nacional de Bases de Datos - RNBD” publicado en el sitio Web de la Superintendencia de Industria y Comercio, www.sic.gov.co. La inscripción se realizará en línea en el portal Web de esta entidad www.sic.gov.co ingresa por el micrositio de “Protección de datos personales” ubicado en la barra horizontal superior,

luego “Registro Bases de Datos”, allí encontrará la inscripción, consulta de RNBD, un video tutorial, el Manual de Ayuda y Preguntas frecuentes RNBD. Ahora bien, el artículo 2.2.2.26.1.2., del Decreto 1074 de 2015, que incorpora el Decreto 90 de 2018 determina quienes son los obligados para inscribir sus bases de datos en el Registro Nacional de Bases de datos así: “Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características: a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT). b) Personas jurídicas de naturaleza pública”. Los responsables obligados a registrar las bases de datos personales son: (i) Las sociedades que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT), la medición de los activos totales será el que registren a 31 de diciembre del año inmediatamente anterior. (ii) Las entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT), la medición de los activos totales será el que registren a 31 de diciembre del año inmediatamente anterior. (iii) Las personas jurídicas de naturaleza pública. El valor de Unidad Tributaria es la medida de valor que permite ajustar los valores contenidos en las disposiciones relativas a los impuestos y obligaciones administrados por la Dirección de

Impuestos y Aduanas Nacionales, el reajuste del valor se efectuará anualmente en la variación del índice de precios al consumidor para ingresos medios en el periodo comprendido entre el 1º de octubre del año anterior al gravable y la misma fecha del año inmediatamente anterior a este, certificado por el Departamento Administrativo Nacional de Estadística -DANE1-. 3.3. REGISTRO NACIONAL DE BASES DE DATOS DE EMPRESAS EXTRANJERAS El manual de usuario del Registro Nacional de Bases de Datos, establece el procedimiento para el registro de las empresas extranjeras sin representación en Colombia en los siguientes términos: Para el ingreso al RNBD se requiere de un usuario, contraseña e ingreso del código Captcha, el cual puede ser modificado por el usuario con la opción Haga clic para cambiar. Al digitar el Captcha se debe tener especial atención a los siguientes símbolos: : Número cero “0” : Letra “O” : Número seis “6” : Letra “G” 1 Artículo 868 del Estatuto Tributario En caso de que el navegador a utilizar sea Chrome, es necesario realizar la habilitación de las cookies. Para ello se deben seguir las instrucciones de Google Chrome. Al dar click en el enlace Regístrese se abre una ventana emergente que muestra las dos opciones de registro, donde pregunta si quien va a realizar el Registro tiene representación en Colombia y RUT expedido por la DIAN o al contrario, no tiene representación en Colombia ni RUT como se presenta a continuación: 2 Una vez realizadas las acciones de la sección “Regístrese”, las empresas extranjeras que realicen tratamiento de datos personales en Colombia a las cuales les aplica la Ley 1581 de 2012 y estén obligadas a inscribir las bases de datos en el RNBD y no cuenten con

representación en el país (las Empresas extranjeras con representación en Colombia, deberán proceder conforme al numeral, para inscribirse deberán ejecutar los siguientes pasos: 2 Numeral 3.1. del Manual de Usuario del Registro Nacional de Bases de Datos

1. En la pantalla de ingreso al RNBD se deberá dar click al enlace “Regístrese” donde se desplegará una ventana emergente en la cual deberá seleccionar la opción “No tengo representación en Colombia ni RUT”.

2. Una vez se haya seleccionado la opción, se debe diligenciar completamente el

formulario con la información solicitada:

3. Cuando se dé click en el botón “Guardar”, el sistema enviará al correo del Responsable del tratamiento el correspondiente usuario y contraseña temporal para que pueda iniciar sesión, haga el cambio de clave y seleccione una pregunta de seguridad3.

Cualquier duda o si requiere mayor información puede escribir al correo electrónico contactenos@sic.gov.co o con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

4. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA PRESENTADA En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco de los interrogantes planteados en la solicitud formulada, nos permitimos manifestar: Los responsables obligados a registrar las bases de datos personales son: (i) las sociedades que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT), (ii) entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT) y (iii) las personas jurídicas de naturaleza pública. Es necesario resaltar

que no están obligados a registrar bases de datos ni los establecimientos de comercio, ni las sucursales de las compañías. El procedimiento para realizar el Registro Nacional de Bases de Datos, el cual deberá hacerse de acuerdo a las instrucciones contenidas en el “Manual del Usuario del Registro Nacional de Bases de Datos - RNBD” publicado en el sitio Web de la Superintendencia de Industria y Comercio, www.sic.gov.co. La inscripción se realizará en línea en el portal Web de esta entidad www.sic.gov.co ingresa por el micrositio de “Protección de datos personales” ubicado en la barra horizontal superior, luego “Registro Bases de Datos”, allí encontrará la inscripción, consulta de RNBD, un video tutorial, el Manual de Ayuda y Preguntas frecuentes RNBD. Los responsables del tratamiento que no se encuentren obligados al registro de bases de datos en el registro Nacional de Bases de Datos de conformidad con el Decreto 90 de 2018, deberán continuar con las demás obligaciones señaladas en la Ley 1581 de 2012 y sus decretos reglamentarios como por ejemplo: (i) la creación de políticas de tratamiento de datos personales y aviso de privacidad, (ii) la solicitud de autorización del titular cuando sea necesaria, (iii) la implementación de un Programa Integral de Gestión de datos Personales, (iv) la creación del manual o procedimientos para la recepción de consultas y reclamos, (v) la implementación de medidas con el fin de garantizar la seguridad de las bases de datos, entre otros. 3 Numeral 3.1.5 Empresas Extranjeras sin representación en Colombia. En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es,

bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución. En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, los puede consultar en nuestra página web http://www.sic.gov.co/drupal/Doctrina-1 Atentamente,

ÁLVARO YÁÑEZ RUEDA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: Álvaro Yáñez

Aprobó: Álvaro Yáñez