SIC - Concepto 349334 de 2025

Bogotá D.C., septiembre de 2025

Asunto: Radicación: 25-349334

Trám ite: 113

Actuación: 440

Folios: 9

Reciba un cordial saludo:

De conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . CUESTI ÓN PREVI A

Reviste de gran im portancia precisar, en prim er lugar, que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparán a opiniones, a consejos, a

autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se sum inistrarán las herram ientas de inform ación y elem entos conceptuales necesarios que le perm itan absolver las inquietudes por Usted m anifestadas.2. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del

pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular y/o de tipo económico en relación con una actividad o relación comercial. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior, a continuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA

Pregunta

“(…) Por otro lado, quisiera preguntar si para los videos que realizan influencers a personas y no implican una remuneración, se les debe solicitar la autorización para el tratamiento de datos personales (por el tratamiento de su imagen como dato personal) … (sic)”.Respuesta

En primer lugar, es importante recordar que, esta Oficina no es competente para referirse a las particularidades de casos concretos. En efecto, los conceptos que expide esta Oficina se limitan a dar pautas de acción respecto de las materias a

En primer lugar, es importante recordar que, esta Oficina no es competente para referirse a las particularidades de casos concretos. En efecto, los conceptos que expide esta Oficina se limitan a dar pautas de acción respecto de las materias a cargo de la S uperintendencia de Industria y Comercio, m ás no están encaminados a dirimir cuestiones particulares.

Sin perjuicio de lo anterior, débase indicar primero que el dato personal ha sido definido por el literal c) del artículo 3 de la Ley 1581 de 2012 en los siguientes términos:

“c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

En relación con las características de los datos personales, la Corte Constitucional ha considerado que son las siguientes:

“i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”1.

La mencionada Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección,

“Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo p rocesamiento sea utilizando medios tecnológicos o manuales.

Como lo señala el artículo 4º de la Ley 1581 de 2012, el tratamiento de datos personales está regido por los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y

1 Corte Constitucional, sentencia C-748 de 2011, M.P. Jorge Ignacio Pretel.confidencialidad. Para responder el interrogante planteado por la consultante, tienen especial importancia el principio de libertad:

"c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento."

En los anteriores términos, el tratamiento de los datos personales solo puede realizarse cuando exista autorización previa, expresa e informada del titular, con el fin de garantizar que el titular conozca en dónde están almacenados sus datos personales, para qué propósitos han sido recolectados y qué mecanismos tiene a su disposición para solicitar su actualizació n, rectificación o supresión.

El deber de obtener la autorización fue reglamentado por medio del Decreto

almacenados sus datos personales, para qué propósitos han sido recolectados y qué mecanismos tiene a su disposición para solicitar su actualizació n, rectificación o supresión.

El deber de obtener la autorización fue reglamentado por medio del Decreto 1074 de 2015, que dispuso lo siguiente:

“ARTÍCULO 2.2.2.25.2.2. Autorización . El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)".

Por lo anterior , cualquier forma de tratamiento está sujeta a la obligación del responsable de tratamiento de obtener la autorización del titular a más tardar al momento de la recolección de la información. Para ello, puede utilizar mecanismos para que la autorización se otorgue por escrito, en forma oral o mediante conductas inequívocas, de conformidad con la siguiente disposición:

“2.2.2.25.2.4 MODO DE OBTENER LA AUTORIZACIÓN . Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de con formidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.De acuerdo con lo anterior, cualquier modo de tratamiento de los datos personales deberá realizarse con arreglo a lo dispuesto por la Ley 1581 de 2012 y el Decreto 1074 de 2015, por lo cual el responsable del tratamiento deberá contar con la autorización previa, expresa e informada del titular de los datos personales. Dicha autorización podrá ser otorgada por escrito, en forma oral o mediante conductas inequívocas que permitan concluir de forma razonable que otorgó la autorización, sin que el silencio pueda tomarse como una conducta inequívoca.

Además, de conformidad con la Ley 1581 de 2012, el responsable de tratamiento tiene las siguientes obligaciones:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular (…)”

“Artículo 12. Deber de informar al Titular . E l Responsable del

(…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular (…)”

“Artículo 12. Deber de informar al Titular . E l Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: (…) Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.

En los términos precedentes, de acuerdo con el medio que se utilice para obtener la autorización del titular, el responsable de tratamiento debe conservar copia de la autorización otorgada, así como la prueba de cumplimiento del suministro de la información al titular al momento en que recolectó sus datos. En cada caso, corresponderá al responsable del tratamiento determinar los medos técnicos adecuados para cumplir con los deberes antes mencionados.

De igual forma , tenga en cuenta que a pesar de que en ciertos casos no se requiera para el tratamiento de la información la autorización del titular, el responsable debe garantizar el cumplimiento de los principios y requisitos previstos en la Ley 1581 de 2012 y en el Decreto 1074 de 2015. Así las cosas, el artículo 2 de la Ley 1581 de 2012 consagra:

“Artículo 2°. Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

La presente ley aplicará al tratamiento de datos personales efectuado

contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento oEncargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

El régimen de protección de datos personales que se establece en la presente ley no será de aplicación:

a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En est e caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley;

b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo;

c) A las Bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia;

d) A las bases de datos y archivos de información periodística y otros contenidos editoriales;

e) A las bases de datos y archivos regulados por la Ley 1266 de 2008;

f) A las bases de datos y archivos regulados por la Ley 79 de 1993.

Parágrafo. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente

f) A las bases de datos y archivos regulados por la Ley 79 de 1993.

Parágrafo. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.”

Aunado a lo anterior, es necesario destacar, lo atinente a la:

Autorización del uso de la imagen

A partir de la expedición de la Ley 1581 de 2012, y del Decreto Reglamentario 1377 de 2013 incorporado en el Decreto 1074 de 2015 del sector Comercio, Industria y Turismo, dichas normas crearon derechos y requisitos especiales para el tratamiento de la imagen, entendida como dato personal que deben ser adoptados por las licencias de uso de imagen pues su inobservancia puede generar la orden de eliminación del dato personal por parte de la autoridad competente.En relación con este tema, el artículo 8º de la Ley 1581 de 2012 establece derechos a favor de los titulares de datos personales:

“Artículo 8°. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos:

“(…) a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos

Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado; “d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen;

Dichos derechos le permiten al titular mantener algún tipo de control sobre sus datos personales incluso después de haber autorizado su uso. Así, el responsable se encuentra obligado a darle herramientas a los titulares de los datos recolectados para que éstos hagan efectivos sus derechos.

Pregunta

“…si es así, por la revocatoria de dicha autorización se puede solicitar el pago de una cláusula penal, pues el bajar el video dónde participa la persona implica la pérdida de un trabajo de edición y montaje, así como la perdida de la monetización del video (sic)”.

Respuesta

Se precisa nuevamente que, esta Oficina no es competente para referirse a las particularidades de casos concretos, pues los conceptos que expide se limitan a dar pautas de acción respecto de las materias a cargo de la Superintendencia de Industria y Comercio, m ás no están encaminados a dirimir cuestiones particulares, máxime cuando las mismas corresponden a situaciones propias del desarrollo de una actividad económica.

No obstante, lo anterior, debe señalarse lo siguiente:

Solicitud de revocatoria

El literal e) del artículo 8 de la Ley 1581 de 2012 consagra el siguiente derecho a favor de los titulares de datos personales:

No obstante, lo anterior, debe señalarse lo siguiente:

Solicitud de revocatoria

El literal e) del artículo 8 de la Ley 1581 de 2012 consagra el siguiente derecho a favor de los titulares de datos personales:

e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinadoque en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (…)”

Al respecto, se debe tener en cuenta que dicho artículo fue declarado exequible por la Corte Constitucional en Sentencia C -748 de 2011, bajo el entendido de que sea interpretado de la siguiente forma:

“En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en a ras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos.”

Así mismo, el artículo 2.2.2.25.2.6. del Decreto 1074 de 2015, dispone:

no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos.”

Así mismo, el artículo 2.2.2.25.2.6. del Decreto 1074 de 2015, dispone:

“Revocatoria de la autorización y/o supresión del dato. Los titulares podrán en todo momento solicitar al Responsable o Encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la prese ntación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El Responsable o Encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el Responsable y/o el Encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.”

De acuerdo con lo cual, el Titular del dato personal puede revocar la autorización, sin embargo, la misma no resultará procedente cuando esté legal o contractualmente obligado a permanecer en la base de datos , ni se exige para su procedencia mayores requisitos a los ya expuestos.

sin embargo, la misma no resultará procedente cuando esté legal o contractualmente obligado a permanecer en la base de datos , ni se exige para su procedencia mayores requisitos a los ya expuestos.

4. CONSIDERACIONES FINALES EN TORNO A LA CONSULTA

PRESENTADA

En línea con lo anterior, y teniendo en cuenta que a este punto se ha logrado la exposición de las consideraciones de orden constitucional y legal, en el marcode los interrogantes planteados en la solicitud formulada, nos permitimos concluir que e l tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, y que no se encuentra dentro de nuestras competencias y/o atribuciones legales determinar aspectos de índole contractual y/o económico al interior de una actividad o relación comercial. Sin embargo, en materia de protección de datos personales, el incumplimiento de lo dispuesto en la Ley 1581 de 2012 y sus decretos reglamentarios, acarreará la imposición de las sanciones previstas en los artículos 22 y 23 de la Ley 1581 de 2012.

De otra parte y frente al tema de la revocatoria de la autorización, en materia de protección de datos personales de conformidad con los previsto en el literal e) del artículo 8 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, el Titu lar del dato personal puede revocar la autorización, cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales; y (ii) cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la base de datos,

revocar la autorización, cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales; y (ii) cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la base de datos, sin que para el efecto se exija para su procedencia mayores requisitos a los ya expuestos.

En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.

En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente enlace: https://forms.office.com/r/hUgLnS0bBN

Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, los puede consultar en nuestra página web https://buscadorconceptos.sic.gov.co/#/search

Atentamente,

ALEJANDRO BUSTOS MENDOZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Getsy Gil

Revisó: Alejandro Bustos

Aprobó: Alejandro Bustos