SIC - Concepto 3348

Bogotá D.C.,

10

Asunto: Radicación: 15-291452- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 12

Respetado(a) Señor (a):

[Datos personales eliminados en virtud de la Ley 1581 de 2012]

Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Objeto de la consulta Manifiesta en su escrito lo siguiente: "(...) Es necesario que una compañía SAS que solo tiene tres inversiones, no tiene proveedores, clientes ni empleados realice este proceso en la página del SIC para suministrar información sobre base de datos que no tiene??? Cuál sería el proceso a seguir?" A continuación nos permitimos suministrarle información relevante en relación con su consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que esta Ofici na Asesora Jurídica a través de un concepto no puede resolver situaciones particulares.

2. Ámbito de aplicación de la Ley 1581 de 2012

La Ley 1581 de 2012, en su artículo 2, señala el ámbito de aplicación de la siguiente manera:

Í r Industria y Comercio fiSUPERINTENDENCIA Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia

Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Telefóno en Bogotá: 5920400Línea gratuita a nivel nacional: 018000 910165 , Nuestro aporte es fundamental, al usar menos papel contribuimos más con el medio ambiente

TODOSPORUN

NUEVO PAÍS

PAZ EQUIDAD EDUCACION /!iA MINC0MERCI0 \:!I INDUSTRIA Y TURISMO"Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (…) La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas. Respecto al concepto de bases de datos o archivos la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente: "El literal b) define las bases de datos como un "(...) conjunto organizado de datos personales que sea objeto de tratamiento". Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación. Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó en la consideración 2.4. 3.2.,

se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó en la consideración 2.4. 3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley". Ahora bien, respecto a la aplicación de la Ley 1581 de 2012 en cuanto al tratamiento por las entidades públicas y privadas, la Corte Constitucional en la precitada Sentencia señaló: "[P]or último, respecto de la tercera condición -posibilidad de tratamiento de los datos por entidades públicas o privadas, pa ra la Sala surge la duda de si el empleo del término entidades supone una restricción inconstitucional, pues podría limitar el ámbito de aplicación a datos personales susceptibles de ser tratados solamente por personas jurídicas, lo que excluiría los casos de tratamiento por personas naturales. Sin embargo, la Sala observa que el término entidad tienen varias acepciones, una de la cuales incluye a las personas naturales. En efecto, según el Diccionario de la Real Academia de la Lengua, una entidad puede ser una "[c]olectividad considerada como unidad. Especialmente, cualquier corporación, compañía, institución, etc., tomada como persona jurídica", pero Í r Industria y Comercio fiSUPERINTENDENCIA Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia

fiSUPERINTENDENCIA

Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Telefóno en Bogotá: 5920400Línea gratuita a nivel nacional: 018000 910165 , Nuestro aporte es fundamental, al usar menos papel contribuimos más con el medio ambiente

TODOSPORUN

NUEVO PAÍS

PAZ EQUIDAD EDUCACION /!iA MINC0MERCI0 \:!I INDUSTRIA Y TURISMOtambién puede ser un "[e]nte o ser"; esta segunda definición -más ampliacobija a las personas naturales. Así, en atención a los principios de interpretación conforme a la Constitución y de conservación del derecho, la Sala concluye que debe entenderse -sin necesidad de condicionar la exequibilidad del precepto - que la interpretación del inciso que se ajusta a la Carta es aquella según el cual el término entidades comprende tanto las personas naturales como jurídicas. De modo que así entendida la condición, la Sala también concluye que es compatible con la Carta, pues cobija las hipótesis necesarias para que el proyecto cumpla su finalidad de brindar protección a los datos personales. Para terminar, resalta la Sala la importancia de esta disposición, en tanto reconoce que el tratamiento de datos personales también puede ser efectuado por personas privadas; de he cho, en el mundo globalizado, el sector privado lleva a cabo una parte muy considerable del tratamiento de datos, lo que lo dota de un poder informático a gran escala y lo convierte en un potencial vulnerador

por personas privadas; de he cho, en el mundo globalizado, el sector privado lleva a cabo una parte muy considerable del tratamiento de datos, lo que lo dota de un poder informático a gran escala y lo convierte en un potencial vulnerador del derecho al habeas data. De ahí que uno de l os grandes retos de la protección de los datos personales es la creación de mecanismos para hacer responsables a los particulares por el tratamiento inadecuado y abusivo de datos personales." Por lo anterior, la Ley 1581 de 2012 se aplica a los datos perso nales que se encuentren en bases de datos o archivos de entidades públicas o privadas, entendidos estos, como el conjunto organizados o depósitos ordenados de datos personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos.

3. Responsables y encargados del tratamiento de datos personales El artículo 3 de la Ley 1581 de 2012 señala las siguientes definiciones: "d) Encargado del Tratamiento: Persona natural o jurídica, pública o privad a, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento. e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos".

Respecto a las definiciones de responsables y encargados que trata el artículo 3 de la Ley 1581 de 2012, la Corte Constitucional mediante Sentencia C-748 de 2011 aclaró la diferencia entre ellos así: Í r Industria y Comercio fiSUPERINTENDENCIA

la Ley 1581 de 2012, la Corte Constitucional mediante Sentencia C-748 de 2011 aclaró la diferencia entre ellos así: Í r Industria y Comercio fiSUPERINTENDENCIA Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Telefóno en Bogotá: 5920400Línea gratuita a nivel nacional: 018000 910165 , Nuestro aporte es fundamental, al usar menos papel contribuimos más con el medio ambiente

TODOSPORUN

NUEVO PAÍS

PAZ EQUIDAD EDUCACION

/!iA MINC0MERCI0 \:!I INDUSTRIA Y TURISMO(...) Constitucionalidad de los literales d) y e): definiciones de encargado y responsable de tratamiento del dato. En los literales d) y e) del artículo 3, se hace expresa mención al encargado y al responsable del dato, respectivamente. La Sala observa que la diferenciación de estos dos sujetos era determinante, por cuanto de ello depende el ámbito de sus deberes, enumerados en el título VI del proyecto, de modo que dichas definiciones están ligadas al principio de legalidad en materia sancionatoria y son una garantía para el titular del dato respecto de quién es obligado a cumplir diferentes prerrogativas que se desprenden del habeas data. Sin embargo, se debe señalar desde ahora, al igual que se indicó en la sentencia C1011 de 2008, que todos los princi pios de la administración de datos personales identificados en este proyecto -los cuales serán estudiados en otro acápite - son

Sin embargo, se debe señalar desde ahora, al igual que se indicó en la sentencia C1011 de 2008, que todos los princi pios de la administración de datos personales identificados en este proyecto -los cuales serán estudiados en otro acápite - son oponibles a todos los sujetos involucrados en el tratamiento del dato, entiéndase en la recolección, circulación, uso, almacenami ento, supresión, etc., sin importar la denominación que los sujetos adquieran, es decir, llámense fuente, responsable del tratamiento, operador, encargado del tratamiento o usuario, entre otros. Hechas estas aclaraciones, pasa la Sala a examinar la constitucionalidad de las definiciones. El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratam iento. Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos. Estas definiciones parecen inspir arse en el derecho comunitario europeo, especialmente en la Directiva 95/46/CE y en el Dictamen 1/2010 del Grupo Consultivo sobre Protección de Datos, a las que vale la pena remitirnos por razones meramente ilustrativas y con el fin de acercamos al correcto entendimiento de uno y otro concepto, labor que a veces se torna difícil por el avance de las tecnologías de la información y otros retos que impone la globalización. El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los

otros retos que impone la globalización. El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos. También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine

Í r Industria y Comercio fiSUPERINTENDENCIA Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Telefóno en Bogotá: 5920400Línea gratuita a nivel nacional: 018000 910165 , Nuestro aporte es fundamental, al usar menos papel contribuimos más con el medio ambiente

TODOSPORUN

NUEVO PAÍS

PAZ EQUIDAD EDUCACION /!iA MINC0MERCI0 \:!I INDUSTRIA Y TURISMOelementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cue nta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable. Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útile s en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto "decidir sobre

Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útile s en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto "decidir sobre el tratamiento" empleado por el literal e) parece coincidir con la posibilidad de definirjurídica y materialmente - los fines y medios d el tratamiento. Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis. Así, el concepto de responsable puede cobijar tanto a la fuente como al usuario, en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del trat amiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera. De otro lado, el criterio de delegación coincide con el término "por cuenta de" utilizado por el literal e), lo que da a entender una relació n de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato. (…) Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una -el responsable - le señala a la otra -el encargadocomo quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados. (…)

señala a la otra -el encargadocomo quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados. (…) Establecida la diferencia entre responsable y encargado, la Sala observa, en primer lugar, que las definiciones de los literales d) y e) representan ejercicio legítimo de la libertad de configuración del legislador estatutario justificada en la forma cómo se

Í r Industria y Comercio fiSUPERINTENDENCIA Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Telefóno en Bogotá: 5920400Línea gratuita a nivel nacional: 018000 910165 , Nuestro aporte es fundamental, al usar menos papel contribuimos más con el medio ambiente

TODOSPORUN

NUEVO PAÍS

PAZ EQUIDAD EDUCACION /!iA MINC0MERCI0 \:!I INDUSTRIA Y TURISMOdesarrolla el tratamiento del dato, y en segunda lugar, que la clasificación tiene además utilidad desde el punto de vista constitucional, esta es, definir el régimen de responsabilidades y obligaciones de quienes participan en el tratamiento del dato personal. En efecto, de acuerdo con las definiciones acogidas por el proyecto de ley, los responsables del tratamiento tienen mayores compromisos y deberes frente al titular del dato, pues son los llamados a garantizar en primer lugar el derecho fundamental al habeas data, así como las condiciones de seguridad para impedir cualquier

En efecto, de acuerdo con las definiciones acogidas por el proyecto de ley, los responsables del tratamiento tienen mayores compromisos y deberes frente al titular del dato, pues son los llamados a garantizar en primer lugar el derecho fundamental al habeas data, así como las condiciones de seguridad para impedir cualquier tratamiento ilícito del dato. La calidad de responsable igualmente impone un haz de responsabilidades, específicamente en lo que se refiere a la seguridad y a la confidencialidad de los datos sujetos a tratamiento. En la sentencia C -1011 de 2008, se señaló que en la administración de datos personales es posible identificar varias etapas, cuya diferenciaci ón permite adscribir determinados niveles de responsabilidad a los sujetos que participan de él. Así, por ejemplo, sobre la calidad de la información, el encargado del tratamiento tendrá deberes de diligencia y cuidado en la medida en que como lo consagra el proyecto de ley, está obligado a realizar de forma oportuna, la actualización, rectificación o supresión del dato, según el caso, literal c) del artículo 18. En esa línea, lo importante para una verdadera garantía del derecho al habeas data, es que se p ueda establecer de manera clara la responsabilidad de cada sujeto o agente en el evento en que el titular del dato decida ejercer sus derechos. Cuando dicha determinación no exista o resulte difícil llegar a ella, las autoridades correspondientes habrán de presumir la responsabilidad solidaria de todos, aspecto éste sobre el que guarda silencio el proyecto de ley y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta". Por lo anterior, el re sponsable del tratamiento de los datos personales es la persona natural o jurídica que decide sobre las finalidades del tratamiento y los medios

una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta". Por lo anterior, el re sponsable del tratamiento de los datos personales es la persona natural o jurídica que decide sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera o su acceso y el e ncargado es la persona natural o jurídica que realiza el tratamiento de los datos personales por instrucción del responsable.

4. Registro Nacional de Bases de Datos Personales El artículo 25 de la Ley 1581 de 2012 señala lo siguiente:

Í r Industria y Comercio fiSUPERINTENDENCIA Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Telefóno en Bogotá: 5920400Línea gratuita a nivel nacional: 018000 910165 , Nuestro aporte es fundamental, al usar menos papel contribuimos más con el medio ambiente

TODOSPORUN

NUEVO PAÍS

PAZ EQUIDAD EDUCACION /!iA MINC0MERCI0 \:!I INDUSTRIA Y TURISMO"Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la

El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento." Dicho artículo fue reglamentado mediante el artículo 2.2.2.26.1.2., del Decreto 1074 de 2015, que incorpora el Decreto 886 de 2014 y en el que se determina qué bases de datos deben ser inscritas en el Registro Nacional de Bases de datos: "Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual se realice por personas naturales o jurídicas, de naturaleza pública o privada, en el territorio colombiano o fuera de él, en este último caso, siempre que al Responsable del Tratamiento o al Encargado del Tratamiento le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales. Lo anterior sin perjuicio de las excepciones previstas en el artículo 2 de la Ley 1581 de 2012." De acuerdo con lo cual, todas las bases que sean reguladas por la Ley 1581 de 2012

de normas y tratados internacionales. Lo anterior sin perjuicio de las excepciones previstas en el artículo 2 de la Ley 1581 de 2012." De acuerdo con lo cual, todas las bases que sean reguladas por la Ley 1581 de 2012 deben ser inscritas en el Registro Nacional de Bases de Datos, sin importar si el Responsable o Encargado del Tratamiento son entidades de naturaleza pública o privada y personas naturales o jurídicas, deben ser objeto de inscripción en el Registro. Por otra parte, respecto de la información mínima que debe contener el Registro Nacional de Bases de Datos el artículo 2.2.2.26.2.1., del Decreto 1074 de 2015 establece:

Í r Industria y Comercio fiSUPERINTENDENCIA Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Telefóno en Bogotá: 5920400Línea gratuita a nivel nacional: 018000 910165 , Nuestro aporte es fundamental, al usar menos papel contribuimos más con el medio ambiente

TODOSPORUN

NUEVO PAÍS

PAZ EQUIDAD EDUCACION /!iA MINC0MERCI0 \:!I INDUSTRIA Y TURISMO"Información mínima del Registro Nacional de Bases de Datos. La información mínima que debe contener el Registro Nacional de Bases de Datos es la siguiente:

1. Datos de identificación, ubicación y contacto del Responsable del Tratamiento de la base de datos;

2. Datos de identificación, ubicación y contacto de l o de los Encargados del

mínima que debe contener el Registro Nacional de Bases de Datos es la siguiente:

1. Datos de identificación, ubicación y contacto del Responsable del Tratamiento de la base de datos;

2. Datos de identificación, ubicación y contacto de l o de los Encargados del Tratamiento de la base de datos;

3. Canales para que los titulares ejerzan sus derechos;

4. Nombre y finalidad de la base de datos;

5. Forma de Tratamiento de la base de datos (manual y/o automatizada), y

6. Política de Tratamiento de la información.

La Superintendencia de Industria y Comercio, como autoridad de protección de datos personales, podrá establecer dentro del Registro Nacional de Bases de Datos información adicional a la mínima prevista en este artículo, acorde con las facultades que le atribuyó la Ley 1581 de 2012 en el literal h) del artículo 21." En concordancia con lo anterior, esta Superintendencia expidió la Circular Externa 002 del 3 de noviembre de 2015 en la que se imparten instrucciones sobre el Registro Nacional de Bases de Datos para personas jurídicas de naturaleza privada inscritas en las Cámaras de Comercio y sociedades de economía mixta, entre ellas, la información adicional a la señalada en el artículo 2.2.2.26.2.1. del Decreto 1074 de 2015, que debe inscribirse en los siguientes términos: a) Información almacenada en la base de datos. Es la clasificación de los datos personales almacenados en cada base de datos, agrupados por categorías y subcategorías, de acuerdo con la naturaleza de los mismos. b) Medidas de segurid ad de la información. Corresponde a los controles implementados por el Responsable del Tratamiento para garantizar la

personales almacenados en cada base de datos, agrupados por categorías y subcategorías, de acuerdo con la naturaleza de los mismos. b) Medidas de segurid ad de la información. Corresponde a los controles implementados por el Responsable del Tratamiento para garantizar la seguridad de las bases de datos que está registrando, teniendo en cuenta las preguntas dispuestas para el efecto en el RNBD. Tales pregunt as no constituyen de ninguna manera instrucciones acerca de las medidas de seguridad que deben implementar los Responsables del Tratamiento de datos personales.

Í r Industria y Comercio fiSUPERINTENDENCIA Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Telefóno en Bogotá: 5920400Línea gratuita a nivel nacional: 018000 910165 , Nuestro aporte es fundamental, al usar menos papel contribuimos más con el medio ambiente

TODOSPORUN

NUEVO PAÍS

PAZ EQUIDAD EDUCACION /!iA MINC0MERCI0 \:!I INDUSTRIA Y TURISMOc) Procedencia de los datos personales. La procedencia de los datos se refiere a si estos son reco lectados del Titular de la información o suministrados por terceros y si se cuenta con la autorización para el tratamiento o existe una causal de exoneración, de acuerdo con lo establecido en el artículo 10 de la Ley 1581 de 2012. d) Transferencia internacional de datos personales. La información relacionada con la Transferencia internacional de datos personales comprende la

causal de exoneración, de acuerdo con lo establecido en el artículo 10 de la Ley 1581 de 2012. d) Transferencia internacional de datos personales. La información relacionada con la Transferencia internacional de datos personales comprende la identificación del destinatario como Responsable del Tratamiento, el país en el que este se encuentra ubicado y si la operación está cobijada por una declaración de conformidad emitida por la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio o por una causal de excepción en los términos señalados en el artículo 26 de la Ley 1581 de 2012. e) Transmisión internacional de datos personales. La información relacionada con la Transmisión internacional de datos comprende la identificación del destinatario como Encargado del Tratamiento, el país en el que este se encuentra ubicado, si se tiene un contrato de transmisión de d atos en los términos señalados en el artículo 2.2.2.25.5.2 de la Sección 5 del Capítulo 25 del Decreto Único 1074 de 2015 o si la operación está cobijada por una declaración de conformidad emitida por la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio. f) Cesión o transferencia nacional de la base de datos. La información relacionada con la cesión o transferencia nacional de datos incluye la identificación del cesionario, quien se considerará Responsable del Tratamiento de la base de datos cedida a partir del momento en que se perfeccione la cesión. No es obligatorio para el cedente registrar la cesión de la base de datos. Sin embargo, el cesionario, como Responsable del Tratamiento, debe cumplir con el registro de la base de datos que le ha sido cedida.

perfeccione la cesión. No es obligatorio para el cedente registrar la cesión de la base de datos. Sin embargo, el cesionario, como Responsable del Tratamiento, debe cumplir con el registro de la base de datos que le ha sido cedida. g) Reporte de novedades. Una vez finalizada la inscripción de la base de datos en el RNBD, se reportarán como novedades los reclamos presentados por los Titulares y los incidentes de seguridad que afecten la base de datos, de acuerdo con las siguientes reglas: (i) Reclamos presentados por los Titulares. Corresponde a la información de los reclamos presentados por los Titulares ante el Responsable y/o el Encargado del Tratamiento, según sea el caso, dentro de un semestre calendario (enero - junio y julio - diciembre). Esta información se reportará Í r Industria y Comercio fiSUPERINTENDENCIA Cra . 13 #2700 pisos 1, 3, 4, 5, 6, 7 y 10PBX: (571) 5870000-contactenos@sic.gov.coBogotá D.C., Colombia Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Telefóno en Bogotá: 5920400Línea gratuita a nivel nacional: 018000 910165 , Nuestro aporte es fundamental, al usar menos papel contribuimos más con el medio ambiente

TODOSPORUN

NUEVO PAÍS

PAZ EQUIDAD EDUCACION /!iA MINC0MERCI0 \:!I INDUSTRIA Y TURISMOteniendo en cuenta lo manifestado por los Titulares y los tipos de reclamos prestablecidos en el registro. El reporte deberá ser el resultado de consolidar los reclamos presentados por los Titulares ante el Responsable y el (los)

\:!I INDUSTRIA Y TURISMOteniendo en cuenta lo manifestado por los Titulares y los tipos de reclamos prestablecidos en el registro. El reporte deberá ser el resultado de consolidar los reclamos presentados por los Titulares ante el Responsable y el (los) Encargado (s) del Tratamiento. (ii) Incidentes de seguridad. Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos. La información r elacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes reportados por los Responsables del Tratamiento no estará disponible para consulta pública". Así mismo, la precitada Circular Externa señala el procedimien to para realizar el Registro Naci