SIC - Concepto 259832 de 2025

Bogotá D.C., julio de 2025

Asunto: Radicación: 25-259832

Trám ite: 113

Actuación: 440

Folios: 11

Respetado Señor:

De conform idad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . OBJETO DE LA CONSULTA

Atendiendo a la solicitud radicada ante esta Entidad en la que m enciona lo siguiente:

“Cordial saludo, Superintendencia de I ndustria y Com ercio: Mi nom bre es (… ) soy consejero de adm inistración en la copropiedad en la que resido actualm ente y tenem os un proyecto de m odernización del control de acceso vehícular (sic) y peatonal m ediante tecnología que usa datos biom étricos, en su publicación en la red social X (https: / / x.com / sicsuper/ status/ 1928183346133119133) del día 29 de m ayo de 2025 3: 15 p.m , ustedes exponen que es m uy riesgoso por ser datos extrem adam ente sensibles y que su filtración podría tener

m ayo de 2025 3: 15 p.m , ustedes exponen que es m uy riesgoso por ser datos extrem adam ente sensibles y que su filtración podría tener consecuencias I RREVERSI BLES para la identidad y seguridad, para lo cuál (sic) yo les com ento que deseo tener m ás inform ación acerca de esto desde su punto de vista y m e invitan a radicarles esta PQRSF. Teniendo presente el contexto m e gustaría una argum entación de su parte en dónde nos expliquen el m arco norm ativo, los alcances, los pro y en contra de esta im plem entación para exponerlo ante el consejo y asam blea para evaluar otros m étodos de identificación para el ingreso con una identificación a una copropiedad.”

Previo a resolver su consulta es necesario realizar las siguientes precisiones:2. CUESTIÓN PREVIA

Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C542 de 2005:

“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS

PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

4.1. DEFINICIÓN Y TRATAMIENTO DE DATOS PERSONALES

tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

4.1. DEFINICIÓN Y TRATAMIENTO DE DATOS PERSONALES

Al respecto, sea lo primero indicar que, el dato personal ha sido definido por el literal c) del artículo 3 de la Ley 1581 de 2012 en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”

En relación con las características de los datos personales, la Corte Constitucional ha considerado que son las siguientes:

“i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de

conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales –principiosen lo relativo a su captación, administración y divulgación.

Por su parte, el literal g) del citado artículo define el tratamiento en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión". De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.

4.2. TRATAMIENTO DE DATOS SENSIBLES

Los datos biométricos son datos que se refieren a las características físicas o fisiológicas o de conducta de una persona que permite su identificación única,

1 Corte Constitucional, Sentencia C-748 de 2011, M.P. Jorge Ignacio Pretel.como imagen facial o datos dactiloscópicos. Al respecto, la doctrina ha señalado que, “La información biométrica incluye datos sobre las características físicas (rostro, huella dactilar, palma de la mano, retina, ADN) y ‘comportamentales’ (forma de firmar, tono de voz) de las personas. ”2. El mismo autor hace referencia a los mecanismos biométricos de identificación, explicando que con los mecanismos biométricos de identificación se captura,

‘comportamentales’ (forma de firmar, tono de voz) de las personas. ”2. El mismo autor hace referencia a los mecanismos biométricos de identificación, explicando que con los mecanismos biométricos de identificación se captura, procesa y almacena rasgos físicos de las personas, como sus huellas dactilares, ADN, forma o silueta de la mano, patrones del ojo (iris o retina) o aspectos faciales.

Así las cosas, los datos biométricos, por su propia naturaleza, son datos personales, pues constituyen “ información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables ”3. Además, dentro de la clasificación de los datos personales –públicos, semiprivados, privados y sensibles–, son calificados como datos sensibles.

Según el artículo 5º de la Ley 1581 de 2012:

“(…) se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.”

Por lo anterior, son datos personales considerados sensibles, entre otros, la imagen facial y las huellas dactilares. Si se recolecta, usa o trata este tipo de información, debe cumplirse lo indicado en la ley. El tratamiento de datos sensibles debe estar rodeado de especial cuidado y diligencia en su

imagen facial y las huellas dactilares. Si se recolecta, usa o trata este tipo de información, debe cumplirse lo indicado en la ley. El tratamiento de datos sensibles debe estar rodeado de especial cuidado y diligencia en su recolección, uso, seguridad o cualquier otra actividad que se realice con los mismos.

En cuanto a su régimen jurídico, la ley 1581 de 2012 en su artículo 6º prohíbe de manera general su tratamiento, salvo en los casos expresamente autorizados por la ley:

“Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización;

2 Remolina, N. “Tratamiento de datos personales: aproximación internacional y comentarios a la ley 1581 de 2012”, Bogotá, Legis, 2013 3 Ley 1581 de 2012, art. 3, literal c)b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular;

refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares. ” (Negrillas fuera de texto original)

Con respecto a estos datos, la Corte Constitucional ha señalado que “en tanto los datos sensibles pertenecen a la esfera de la intimidad de las personas, “(…) todo acto de divulgación mediante los procesos genéricos de administración de datos personales, distintos a las posibilidades de divulgación excepcional descritas en el fundamento jurídico 2.5 del presente análisis, se encuentra proscrita. Ello en la medida que permitir que información de esta naturaleza pueda ser objeto de procesos ordinarios de acopio, recolección y circulación vulneraría el contenido esencial del derecho a la intimidad.”4

Como se observa, los datos personales sensibles, y dentro de ellos los biométricos, son aquellos que, dentro del conjunto más amplio de datos personales, tienen el régimen más estricto de protección. Esto es comprensible, pues estos datos pueden ser utilizados para actos de discriminación, poner en riesgo la intimidad o seguridad personal del Titular o, incluso, poner en riesgo su salud emocional o sicológica.

Por lo anterior, la ley ha prescrito que la regla general es que el tratamiento –

discriminación, poner en riesgo la intimidad o seguridad personal del Titular o, incluso, poner en riesgo su salud emocional o sicológica.

Por lo anterior, la ley ha prescrito que la regla general es que el tratamiento – recolección, almacenamiento, uso, circulación o supresión – está prohibido, salvo en los casos precisos en los que la ley lo autoriza. Dentro de esas excepciones, la ley establece que el Titular del dato puede otorgar su autorización expresa para el tratamiento de sus datos personales sensibles. Este requisito no es sino una expresión del principio de libertad que rige el tratamiento de los datos personales en nuestra legislación, de conformidad con el cual “ [el] Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato

4 Corte Constitucional, Sentencia C-748 de 2011legal o judicial que releve el consentimiento ”5. Sobre este principio, la Corte Constitucional ha considerado que,

“(…) de conformidad con el principio de libertad, es posible que las personas naturales den su consentimiento, por supuesto, expreso e informado, para que sus datos personales sean sometidos a tratamiento. En estos casos deberán cumplirse con todos los principios que rigen el tratamiento de datos personales, en especial cobrará importancia el principio de finalidad, según el cual el dato sensible solamente podrá ser tratado para las finalidades expresamente autorizadas por el titular y que en todo caso deben ser importantes desde el punto de vista constitucional”6

En consonancia con el régimen reforzado de protección de los datos sensibles,

sensible solamente podrá ser tratado para las finalidades expresamente autorizadas por el titular y que en todo caso deben ser importantes desde el punto de vista constitucional”6

En consonancia con el régimen reforzado de protección de los datos sensibles, el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015 dispone:

“(…) En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

2. Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles.”

En cuanto a la forma como se debe obtener la autorización del titular debe tenerse en cuenta el artículo 2.2.2.25.2.4. del Decreto 1074 de 2015, el cual dispone:

“Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos

mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma

5 Ley 1581 de 2012, art. 4, literal c) 6 Corte Constitucional, Sentencia C-274 de 2013razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.”

Subráyese que el artículo 6º de la Ley 1581 de 2012 dispone que en materia de datos sensibles el titular debe otorgar su autorización para el tratamiento de manera explícita, por lo que, tratándose de estos datos, por su propia naturaleza, no podría considerarse que el titular otorgó su autorización por la sola realización de conductas inequívocas. Adicionalmente, el responsable del tratamiento debe utilizar mecanismos que permitan la consulta posterior de la autorización7.

En conclusión, en virtud del principio de libertad, el tratamiento de datos sensibles sólo puede realizarse con la autorización previa, explícita e informada de su titular. Sobre este último aspecto, la ley impone al responsable del tratamiento obligaciones de información cuando solicita la autorización al titular del dato sensible. En particular, debe advertirle que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento.

responsable del tratamiento obligaciones de información cuando solicita la autorización al titular del dato sensible. En particular, debe advertirle que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento.

Igualmente, en virtud del principio de finalidad, el tratamiento debe obedecer a una finalidad legítima y debe informarse al titular cuáles de los datos que serán objeto de tratamiento son sensibles, así como la finalidad del tratamiento. El responsable del tratamiento solamente puede tratar el dato para la finalidad autorizada por el titular. Por último, la ley dispone, como desarrollo del principio de libertad, que ninguna actividad podrá condicionarse al suministro de datos personales sensibles.

En línea con lo anterior , téngase en cuenta que, en el marco de la legislación vigente en materia de protección de datos personales, se destacan los principios de proporcionalidad y necesidad, los cuales son fundamentales para garantizar que el tratamiento de datos se realice de manera adecuada y respetuosa de los derechos de los titulares.

El principio de proporcionalidad establece que cualquier tratamiento de datos personales debe ser pertinente, adecuado y no excesivo en relación con las finalidades para las cuales se han recolectado. Esto significa que las entidades responsables del tratamiento deben asegurarse de que solo se recopilen y utilicen los datos estrictamente necesarios para cumplir con el propósito específico para el cual fueron solicitados. Cualquier solicitud de información adicional que no sea esencial para dicho propósito constituye una vulneración de este principio.

Por otro lado, el principio de necesidad implica que los datos personales solo deben ser tratados cuando sea estrictamente necesario para alcanzar una finalidad legítima. En la práctica, esto significa que las entidades deben

de este principio.

Por otro lado, el principio de necesidad implica que los datos personales solo deben ser tratados cuando sea estrictamente necesario para alcanzar una finalidad legítima. En la práctica, esto significa que las entidades deben

7 Ley 1581 de 2012, art. 9evaluar cuidadosamente las finalidades para las cuales se solicitan datos personales y limitar la recolección y uso de dichos datos a lo estrictamente necesario. La recolección de datos sensibles, como los datos biométricos de una persona, debe estar respaldada por una autorización explícita del titular y solo puede realizarse en circunstancias excepcionales y debidamente justificadas.

Por su parte, e sta Superintendencia ha publicado en materia de datos personales la “ GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES EN LA PROPIEDAD HORIZONTAL ” la cual tiene como propósito presentar algunas sugerencias a quienes recolectan o tratan datos personales en los edificios o conjuntos de uso residencial, comercial o mixto sometidos al régimen de propiedad horizontal, con miras a orientarlos para que cumplan correctamente la regulación sobre el tratamiento de los mismos y, de esta manera, respeten los derechos de las personas -titulares de datos-.

En relación con el tratamiento de datos sensibles, la citada guía determina que, el tratamiento de dichos datos debe estar rodeado de especial cuidado y diligencia tanto en su recolección como uso, seguridad o cualquier otra actividad que se pretenda realizar con los mismos. En efecto, la Corte Constitucional exige responsabilidad reforzada por parte de los Responsables y Encargados, al indicar que,

“como se trata de casos exceptuados y que, por tanto, pueden

actividad que se pretenda realizar con los mismos. En efecto, la Corte Constitucional exige responsabilidad reforzada por parte de los Responsables y Encargados, al indicar que,

“como se trata de casos exceptuados y que, por tanto, pueden generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos, los agentes que realizan en estos casos el tratamiento tienen una responsabilidad reforzada que se traduce en una exigencia mayor en términos de cumplimiento de los principios del artículo 4 y los deberes del título VI”8

Por lo anterior, los datos sensibles deben ser objeto de mayores medidas de seguridad, confidencialidad, acceso, circulación y uso restringido. La referida guía la puede consultar a través del siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia_prop_horizo ntal_NOV12_OK%20(1).pdf

4.3. RESPONSABILIDAD DEMOSTRADA FRENTE AL TRATAMIENTO DE

DATOS PERSONALES

En concordancia con lo anterior, resulta fundamental la aplicación del principio de accountability o responsabilidad demostrada, el cual exige la capacidad de evidenciar la implementación de medidas técnicas, humanas y administrativas, para garantizar el cumplimiento de la protección efectiva de los datos

8 Corte Constitucional, sentencia C-748 de 2011, numeral 2.8.4personales. El mencionado principio está contenido en el artículo 2.2.2.25.6.1. del Decreto 1074 de 2015, el cual establece lo siguiente:

“Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado

del Decreto 1074 de 2015, el cual establece lo siguiente:

“Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente:

1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente.

2. La naturaleza de los datos personales objeto del tratamiento.

3. El tipo de Tratamiento.

4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuáles esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”

De acuerdo con lo anterior, los Responsables del tratamiento de datos deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012.

ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012.

La implementación de las medidas se debe realizar teniendo en cuenta diversos factores que son propios de cada organización, entre los que se encuentra su tamaño, su naturaleza jurídica, la naturaleza de los datos tratados, el tipo de tratamiento al que se somete la información, los riesgos que implique al titular la recolección y posterior circulación o uso de esos datos, entre otros.

Para dar cumplimiento a este principio, el artículo 27 del Decreto 1377 de 2013, incorporado en el Decreto 1074 de 2015 , dispuso que las políticas internas efectivas que se implementen por parte de los Responsables del Tratamiento, deben garantizar:• Que en la organización Responsable del Tratamiento exista una estructura administrativa proporcional a la estructura del responsable para implementarlas. • Que se adopten mecanismos internos para poner en práctica las políticas que incluyan herramientas de implementación, entrenamiento y programas de educación. • Que se haga la adopción de procesos para la atención de reclamos y consultas de los titulares.

En suma, quienes realicen tratamiento de datos personales deberán establecer medidas útiles, apropiadas y efectivas para cumplir sus obligaciones legales. Adicionalmente, tendrán que evidenciar y demostrar el correcto cumplimiento de sus deberes.

4.4. PLACAS DE VEHÍCULOS

En relación a la consulta, es importante determinar la naturaleza jurídica de las placas vehiculares. Al respecto, el artículo 2 de la Ley 769 de 2002 “Por la

de sus deberes.

4.4. PLACAS DE VEHÍCULOS

En relación a la consulta, es importante determinar la naturaleza jurídica de las placas vehiculares. Al respecto, el artículo 2 de la Ley 769 de 2002 “Por la cual se expide el Código Nacional de Tránsito Terrestre y se dictan otras disposiciones”, señala las siguientes definiciones:

“Placa: Documento público con validez en todo el territorio nacional, el cual identifica externa y privativamente un vehículo. (…) Vehículo: Todo aparato montado sobre ruedas que permite el transporte de personas, animales o cosas de un punto a otro por vía terrestre pública o privada abierta al público”.

En consecuencia, la placa de los vehículos es considerada como un documento público que permite identificar externa y privativamente un vehículo y no una persona natural, por lo cual, por sí sola no ostenta el carácter de dato personal protegido por la Ley 1581 de 2012 y sus decretos reglamentarios.

5. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA

PRESENTADA

La ausencia de una autorización previa, expresa e informada para el tratamiento de datos personales, como la imagen de un residente en un conjunto residencial, puede dar lugar a la imposición de una infracción directa a los principios y deberes establecidos en la Ley 1581 de 2012, particularmente al principio de libertad (art. 4) y al deber del responsable de solicitar y conservar la autorización del titular (art. 17). En el caso analizado por la SIC en la Resolución No. 77643 de 2022 9, se evidenció que el conjunto residencial hizo uso de imágenes captadas por cámaras de seguridad en una

solicitar y conservar la autorización del titular (art. 17). En el caso analizado por la SIC en la Resolución No. 77643 de 2022 9, se evidenció que el conjunto residencial hizo uso de imágenes captadas por cámaras de seguridad en una asamblea de copropietarios, sin contar con una autorización válida de la

9 Ver en: RE77643-2022(1).pdftitular, lo cual derivó en la imposición de sanciones por el tratamiento no autorizado de datos personales.

Esta omisión no solo compromete la legalidad del tratamiento de los datos, sino que además expone a la propiedad horizontal a sanciones administrativas como multas, órdenes correctivas o restricciones en sus operaciones de tratamiento, de conformidad con el artículo 23 de la Ley 1581. Además, puede generar responsabilidad por la vulneración del derecho fundamental al habeas data y afectar la confianza de los titulares respecto al manejo de su información personal. En consecuencia, se reitera la necesidad de implementar procedimientos claros y verificables para la obtención de autorizaciones, especialmente en contextos de videovigilancia y manejo de bases de datos en copropiedades.

En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.

En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a

En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link https://forms.office.com/r/hUgLnS0bBN

Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica los puede consultar en nuestra página web https://buscadorconceptos.sic.gov.co/#/search

Atentamente,

ALEJANDRO BUSTOS MENDOZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariluz Castaño

Revisó: Daniela Mesa

Aprobó: Alejandro Bustos