SIC - Concepto-22437544

Bogotá D.C., 19 de diciembre de 2022

Señores: Asunto: Radicación: 22-437544

Trámite: 113

Evento: 0

Actuación: 440

Folios: 10

Reciban cordial saludo. De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. CUESTIÓN PREVIA Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que

dejan al administrado en libertad para seguirlos o no”. 1 Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

2. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta Superintendencia: “a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva. d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos. e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.

f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos. h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional. 2 j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales. k) Las demás que le sean asignadas por ley”. A continuación procedemos a contestar los interrogantes de su consulta, en los siguientes términos: Primer interrogante “A. Los programas integrales de gestión de datos personales de mis clientes (laboratorios) son independientes al de nuestra empresa: ¿Basta con qué nuestra empresa le informe al laboratorio (cliente) lo que se hará con los datos de sus pacientes que quedan almacenados en nuestros equipos, y, de esta forma, que quede bajo su responsabilidad adaptar o no sus formatos de autorización?” Respuesta: En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos

o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento." Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La autorización del titular fue reglamentada a través del artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 que señala lo siguiente: "Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento". 3 En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del precitado decreto dispone: "Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012 los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”. Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior. Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización: “ARTÍCULO 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. En consecuencia el responsable del tratamiento, al solicitar la autorización por parte del titular de los datos personales se le debe informar: (i) el tratamiento al cual serán sometidos sus

datos personales, es decir, si se hará recolección, uso, almacenamiento, circulación, supresión o cualquier operación de los datos, (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativo de la respuesta, cuando el tratamiento se pretenda 4 realizar sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iv) los derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que pueda ejercer sus derechos. Así mismo, reiteramos que si se pretende un tratamiento de datos personales, diferente a la finalidad específica y exclusiva autorizada por el titular, deberá solicitar autorización del titular e informar de manera clara, suficiente y previa la nueva finalidad del tratamiento. Segundo interrogante “B. Si lo anterior no es posible. ¿Cómo puedo incidir o lograr que mis clientes (laboratorios) adapten sus formatos de autorización que leen sus pacientes, para que éstos incluyan en sus formatos una finalidad específica que le permita a mi empresa recolectar, analizar, utilizar y anonimizar dichos datos (los resultados de los pacientes)? ¿Basta con estipular dentro del contrato que ya regula nuestra relación comercial, la responsabilidad y obligación de que sean los laboratorios los que adapten sus formatos?” Respuesta: Sea lo primero indicar que esta Oficina Asesora Jurídica a través de un concepto, no puede resolver situaciones particulares como la planteada en su interrogante. Insistimos que corresponde al responsable del tratamiento, es decir, a la persona natural o jurídica que decide sobre las finalidades del tratamiento (la recolección, el uso, el

almacenamiento, la circulación o la supresión de los datos personales) y los medios esenciales empleados para el efecto, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos etc., solicitar la autorización del titular con los requisitos legales enunciados en la respuesta del primer interrogante. Por su parte, el encargado es la persona natural o jurídica que realiza el tratamiento de los datos personales por instrucción o delegación del responsable, y es sujeto de las obligaciones contempladas en la Ley 1581 de 2012, sus decretos reglamentarios y las instrucciones impartidas por esta Entidad. Es importante mencionar que los encargados del tratamiento, obran por cuenta del responsable quien responde frente a los titulares de los datos personales y las autoridades por los errores o negligencia de los encargados. Por lo anterior, los encargados no pueden usar los datos personales para fines diferentes a los autorizados por el titular al responsable del tratamiento. 5 Tercer interrogante “C. Para nosotros y el equipo jurídico que nos acompaña es claro que se presenta una transferencia de datos personales entre los clientes (laboratorios) y nosotros. (Responsables/Responsables) ¿Los pacientes de nuestros clientes (laboratorios) deben autorizar dicha transferencia? ¿Aplica el artículo 26? Se trata de una transferencia nacional.” Respuesta: Para resolver su interrogante, es necesario aclarar los conceptos de transferencia y trasmisión de datos personales en los siguientes términos: El artículo 2.2.2.25.1.3., del Decreto 1074 de 2015 define transferencia de datos personales

de la siguiente manera: “4. Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país”. De acuerdo con lo anterior, la transferencia internacional de datos es aquella comunicación de datos personales que ocurre entre un Responsable del Tratamiento ubicado en Colombia y otro Responsable del tratamiento que se encuentra fuera o dentro del país. Así mismo, es necesario advertir que la aplicación del artículo 26 de la ley 1581 de 2012 procede para las transferencias internacional de datos personales. Por su parte, el artículo 2.2.2.25.1.3., del Decreto 1074 de 2015 define la transmisión de datos personales, de la siguiente manera: “5. Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable”. De acuerdo con lo anterior, la transmisión de datos es aquella que involucra la comunicación de datos personales fuera o dentro del territorio nacional entre un Responsable del Tratamiento y un Encargado, para que este último realice el tratamiento de esos datos por cuenta del primero. Ahora bien, el artículo 11 de la Ley 1581 de 2012 dispone lo siguiente, respecto al suministro de información por parte de los responsables y encargados del tratamiento: 6 “Suministro de la información. La información solicitada podrá ser suministrada por cualquier medio, incluyendo los electrónicos, según lo requiera el Titular. La

información deberá ser de fácil lectura, sin barreras técnicas que impidan su acceso y deberá corresponder en un todo a aquella que repose en la base de datos”. Por su parte, el artículo 13 de la Ley 1581 de 2012 dispone lo siguiente: “Personas a quienes se les puede suministrar la información. La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas: a) A los Titulares, sus causahabientes o sus representantes legales. b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial. c) A los terceros autorizados por el Titular o por la ley.” (Subrayas fuera de texto) En consecuencia, los datos personales solo pueden suministrarse a: (i) el titular, sus causahabientes o representante legal, con el fin de garantizar el derecho fundamental de conocer donde se encuentra la información; (ii) a las entidades públicas o administrativas en ejercicio de sus funciones o por orden judicial, y (iii) a un tercero previa autorización del titular o por la ley. En este último caso, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, es decir, debe recolectarse en una etapa anterior a su incorporación en la base de datos del responsable; expresa, es decir, que no exista duda o equivocación de su aceptación; e informada del titular, es decir, que conozca las finalidades específicas de tratamiento y los efectos de su consentimiento. Lo anterior, con el fin de permitirle que se garantice en todo momento y lugar que pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

En consecuencia, y para responder a su interrogante, el envío de información o los datos personales por parte del responsable y/o encargado a un receptor, que a su vez es responsable del tratamiento y que se encuentra dentro del país, deberá contar con la autorización previa, expresa e informada del titular para ello, salvo que exista disposición legal que releve el consentimiento. 7 Cuarto interrogante “D. ¿Una cláusula de transferencia en el contrato que regula la relación entre mi cliente y mi empresa es más que suficiente, o, se debe realizar un contrato accesorio, una carta de instrucciones...?

Respuesta: Reiteramos que esta Oficina Asesora Jurídica no puede resolver situaciones particulares como las planteadas en su interrogante y que el encargado solo puede realizar el tratamiento de datos que el responsable le delegue. Así mismo, y en el evento en que cambie la finalidad inicialmente autorizada por el titular, se deberá solicitar autorización previa, expresa e informada de las nuevas finalidades de tratamiento por parte del responsable.

Quinto interrogante “Si anonimizo datos personales de forma irreversible, a través de tecnología de punta, que no permita la identificación de los titulares de la información en equipos médicos que procesan pruebas diagnósticas y médicas ¿Debo dar cumplimiento a todo lo estipulado en la Ley 1581 de 2012, pese a que esos datos, debido a la anonimización irreversible, han dejado de ser datos personales?” Respuesta: En la normativa Colombiana no existe una definición especifica o procedimiento para la anonimización de datos personales y a modo de interpretación nos remitiremos al Dictamen 05/2014 del Grupo de Trabajo sobre Protección de Datos del artículo 291, del 10 de abril de 2014, en la que se señala las principales técnicas de anonimización, entre ellas, la función

hash así:  Cifrado con clave secreta: El poseedor de la clave podrá descifrar el conjunto de datos de carácter personal identificando nuevamente al interesado fácilmente.  Función hash: Se trata de la técnica más fuerte, ya que en primera instancia no es reversible. En este caso se parte de una función que devuelve un resultado de tamaño fijo a partir de un valor de entrada de cualquier tamaño. Sin embargo, cabe la posibilidad, de que en caso de conocer el conjunto de valores de entrada de la función hash, sea posible obtener un valor real, es decir el dato personal de uno o más registros. 1 El Grupo de Trabajo del artículo 29 (GT Art. 29) es el grupo de trabajo europeo independiente que se ha ocupado de cuestiones relacionadas con la protección de la privacidad y los datos personales. 8  Función con clave almacenada: Se trata de un tipo de función hash que hace uso de una clave secreta a modo de valor de entrada suplementario. La ejecución de la función se podría reproducir con el atributo y la clave secreta.  Cifrado determinista o función hash con clave de borrado de clave: Esta técnica equivaldría a generar un número aleatorio a modo de seudónimo para cada atributo de la base de datos y, posteriormente, al borrado de la tabla de correspondencia.  Descomposición en tokens: Técnica que reemplaza los números de identificación de tarjetas por valores que son de poca utilidad para aquellos que quieran acceder de forma fraudulenta a los datos personales. Se basa en la aplicación de mecanismos de cifrado unidireccionales, o en la asignación, mediante una función de índice, de un número de secuencia o un número generado aleatoriamente que no derive matemáticamente de

los datos originales. Ahora bien, el Dictamen 4/2007 del Grupo de trabajo del artículo 29 sobre los datos anónimos dispone lo siguiente: “Datos anónimos A los efectos de la Directiva, los «datos anónimos» pueden definirse como cualquier información relativa a una persona física que no permita su identificación por el responsable del tratamiento de los datos o por cualquier otra persona, teniendo en cuenta el conjunto de medios que puedan razonablemente ser utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona. «Datos anonimizados» serán, por lo tanto, los datos anónimos que con anterioridad se referían a una persona identificable, cuya identificación ya no es posible. El considerando 26 también hace referencia a este concepto cuando dice que «los principios de protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado». Una vez más, la decisión sobre si los datos permiten la identificación de una persona y sobre si la información puede considerarse como anónima o no depende de las circunstancias concretas de cada caso, por lo que debe realizarse un análisis caso por caso, en el que habrá que prestar especial atención a hasta qué punto cabe considerar razonablemente posible que se utilicen los medios para identificar a dicha persona, tal como se describe en el considerando 26. Esto es particularmente importante en el caso de la información estadística, puesto que a pesar de que ésta pueda facilitarse en forma de datos agregados, la muestra original puede no ser suficientemente amplia y otros datos pueden permitir la identificación de personas físicas”. En conclusión, la información “anonimizada” o “anónima” puede ser jurídicamente

considerada como dato personal siempre y cuando la misma permita establecer razonablemente la identidad de una persona natural, es decir, si dicha información se puede 9 vincular o asociar a una o varias personas naturales determinadas o determinables, entonces será un dato personal. Por su parte, si un “dato anónimo” no permite razonablemente establecer a qué persona natural se refiere, vincula o asocia, entonces dicha información no es un dato personal. Los datos personales que hayan sido objeto de procesos de anonimización, cifrado, presentados con un seudónimo o que por cualquier medio, tecnología o proceso se desvinculan o desasocian de una persona natural, pero que puedan utilizarse para volver a identificar a esa persona, siguen siendo datos personales. Los datos personales que hayan sido anonimizados, desvinculados o desasociados por cualquier medio, tecnología o proceso respecto de una persona identificada o identificable, dejarán de ser datos personales siempre y cuando el proceso de anonimización, desvinculación o desasociación sea irreversible. En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución. En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina

Jurídica, los puede consultar en nuestra página web http://www.sic.gov.co/Doctrina-1 Atentamente,

ÁLVARO YÁÑEZ RUEDA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: Álvaro Yáñez

Aprobó: Álvaro Yáñez

10