SIC - Concepto 408916 de 2025

Bogotá D.C., septiem bre de 2025

Asunto: Radicación: 25-408916

Trámite: 113

Actuación: 440

Folios: 13

Respetados Señores:

De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por m edio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundamento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a emitir un pronunciam iento, en los términos que a continuación se pasan a exponer:

1 . OBJETO DE LA CONSULTA

Atendiendo a la solicitud radicada ante esta Entidad en la que menciona lo siguiente:

“Me perm ito solicitar su orientación respecto al tratam iento de datos personales sensibles, en especial aquellos relacionados con la historia clínica de trabajadores, con base en la finalidad establecida en nuestro aviso de privacidad al iniciar el vínculo laboral; “Conocer y realizar el adecuado m anejo de su historia clínica, teniendo pleno conocim iento que los datos que se encuentran en ella son de carácter sensible, con el objetivo de perm itirle al em pleador realizar trám ites de incapacidades y/ o recom endaciones m édicas expedidas por los m édicos tratantes (ARL, EPS).” Bajo esta finalidad, ¿es suficiente

el objetivo de perm itirle al em pleador realizar trám ites de incapacidades y/ o recom endaciones m édicas expedidas por los m édicos tratantes (ARL, EPS).” Bajo esta finalidad, ¿es suficiente contar con la autorización general de tratam iento de datos firm ada por el trabajador, o es necesario solicitar una autorización adicional expresa cada vez que se presente un caso m édico puntual que requiera de la revisión de la historia clínica y docum entos que la soportan? En caso de que la respuesta anterior sea positiva, podem os m anejar un form ulario virtual que se tenga esta autorización. Agradezco de antem ano su orientación y quedo atenta a cualquier recom endación que perm ita garantizar el cum plim iento protección de datos personales sensibles.”

Previo a resolver su consulta es necesario realizar las siguientes precisiones:2. CUESTIÓN PREVIA

Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, i mplicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C542 de 2005:

“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan

administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS

PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

 Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para cap acitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;  Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

4.1. TRATAMIENTO DE DATOS PERSONALES SENSIBLES

tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

4.1. TRATAMIENTO DE DATOS PERSONALES SENSIBLES

La Ley 1581 de 2012 incluyó unos datos de especial protección en el artículo 5º, denominados datos sensibles, los cuales define en los siguientes términos:

“(…) se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóf icas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud , a l a vida sexual y los datos biométricos. ” (Subrayas fuera de texto original)

Al respecto, la Corte Constitucional mediante sentencia C -748 de 2011 ha señalado que,

“En efecto, como explicó la Corte en la sentencia C -1011 de 2008, la información sensible es aquella “(…) relacionada, entre otros aspectos, con la orientación sexual, los hábitos del individuo y el credo religioso y político. En estos eventos, la naturaleza de esos datos pertenece al núcleo esencial del derecho a la intimidad, entendido como aquella ‘esfera o espacio de vida privada no susceptible de la interferencia arbitraria de las demás personas, que al ser considerado un elemento esencial del ser, se concreta en el derecho a poder actuar libremente en la mencionada esfera o núcleo,

susceptible de la interferencia arbitraria de las demás personas, que al ser considerado un elemento esencial del ser, se concreta en el derecho a poder actuar libremente en la mencionada esfera o núcleo, en ejercicio de la libertad personal y familiar, sin más limitaciones que los derechos de los demás y el ordenamiento jurídico.”

Respecto al derecho a la intimidad, la citada Corte en sentencia C-640 de 2010 manifestó lo siguiente:

“[D]esde 1992, la Corte Constitucional reconoció el derecho a la intimidad como un derecho fundamental que permite a las personas manejar su propia existencia como a bien lo tengan con el mínimo de injerencias exteriores. Se dijo en ese entonces que se trataba de un derecho “gene ral, absoluto, extrapatrimonial, inalienable e imprescriptible y que se pueda hacer valer "erga omnes", vale decir, tanto frente al Estado como a los particulares. En consecuencia, toda persona, por el hecho de serlo, es titular a priori de este derecho y el único legitimado para permitir la divulgación de datos concernientes a su vida privada.”

De conformidad con la definición, los datos sensibles son aquellos que afectan la intimidad de las personas, de manera que, el uso indebido de los mismos puede generar su discriminación, pues está relacionada entre otros aspectos,con la salud, la orientación sexual, los hábitos del individuo y el credo religioso y político.

Conforme lo indicado , dentro de la definición de datos sensibles, la ley establece que los datos relativos a la salud hacen parte de esta clasificación, por lo cual debemos ahondar en su definición para determinar su tratamiento por parte de los responsables.

Conforme lo indicado , dentro de la definición de datos sensibles, la ley establece que los datos relativos a la salud hacen parte de esta clasificación, por lo cual debemos ahondar en su definición para determinar su tratamiento por parte de los responsables.

En esta línea, para el autor Gómez Sánchez dato de salud es: “cualquier dato personal relativo a la realidad física y psicológica de un individuo y cualquier dato que se genere como consecuencia de dicha situación o de la participación del sujeto en actividad o proceso, cualquier dato obtenido en el ámbito biomédico, ya responda estrictamen te a un tratamiento médico o a cualquier otra prestación que tenga que ver con su bienestar físico o psíquico, aunque la misma no responda a la necesidad de tratar una enfermedad en sentido estricto”1

En concordancia con lo anterior, tratándose de casos referentes a la salud donde se da manejo de los datos personales de los pacientes mediante historias clínicas por parte de las prestadoras de salud sean del sector público o privado, la normatividad vigente al respecto estipula lo siguiente:

Las historias clínicas se encuentran definidas de la siguiente manera en el literal a) del artículo 1º de la Resolución 1995 de 1999:

“La Historia Clínica es un documento privado, obligatorio y sometido a reserva, en el cual se registran cronológicamente las condicion es de salud del paciente, los actos médicos y los demás procedimientos ejecutados por el equipo de salud que interviene en su atención. Dicho documento únicamente puede ser conocido por terceros previa autorización del paciente o en los casos previstos por la ley .” (Subrayas fuera de texto original)

ejecutados por el equipo de salud que interviene en su atención. Dicho documento únicamente puede ser conocido por terceros previa autorización del paciente o en los casos previstos por la ley .” (Subrayas fuera de texto original)

Así mismo, el artículo 3 º de la norma en comento determina unas características para dicho documento:

“Las características básicas son:

Integralidad: La historia clínica de un usuario debe reunir la información de los aspectos científicos, técnicos y administrativos relativos a la atención en salud en las fases de fomento, promoción de la salud, prevención específica, diagnóstico, tratamie nto y rehabilitación de la enfermedad, abordándolo como un todo en sus

1 Gómez Sánchez Y., «Datos de salud como datos especialmente protegidos. Comentario al artículo 7 de la Ley de Protección de Datos», Comentario a la Ley Orgánica de Protección de Datos de carácter personal, director Antonio Troncoso Reigada, Civitas -Thomson Reuters, Navarra, 2010, p. 649aspectos biológico, psicológico y social, e interrelacionado con sus dimensiones personal, familiar y comunitaria.

Secuencialidad: Los registros de la prestación de los servicios en sa lud deben consignarse en la secuencia cronológica en que ocurrió la atención. Desde el punto de vista archivístico la historia clínica es un expediente que de manera cronológica debe acumular documentos relativos a la prestación de servicios de salud brindados al usuario.

Racionalidad científica: Para los efectos de la presente resolución, es la aplicación de criterios científicos en el diligenciamiento y registro de las acciones en salud brindadas a un usuario, de modo que evidencie

Racionalidad científica: Para los efectos de la presente resolución, es la aplicación de criterios científicos en el diligenciamiento y registro de las acciones en salud brindadas a un usuario, de modo que evidencie en forma lógica, clara y completa, el procedimiento que se realizó en la investigación de las condiciones de salud del paciente, diagnóstico y plan de manejo.

Disponibilidad: Es la posibilidad de utilizar la historia clínica en el momento en que se necesita, con las limitaciones que impone la Ley.

Oportunidad: Es el diligenciamiento de los registros de atención de la historia clínica, simultánea o inmediatamente después de que ocurre la prestación del servicio.”

En este sentido, resulta obligatorio para los prestadores del servicio de salud elaborar de manera simultánea o inmediatamente posterior a la prestación del servicio de atención en salud la elaboración de la historia clínica de los pacientes.

Dentro del contenido de la historia clínica se encuentra el diagnóstico, e l tratamiento y la rehabilitación de las enfermedades del paciente. Adicionalmente debe contener información sobre los aspectos biológicos, psicológicos y sociales del paciente, su familia y su comunidad. Dicho documento es privado, obligatorio y sometido a reserva únicamente puede ser conocido por terceros previa autorización del paciente o en los casos previstos por la ley.

Es importante tener en cuenta que , en virtud del carácter especial que tienen los datos personales sensibles, con la Ley 1581 de 2012 se prohibió su tratamiento, salvo que estos se encuentren en alguna de las causales del artículo 6º.

“Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

tratamiento, salvo que estos se encuentren en alguna de las causales del artículo 6º.

“Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.

c) El Tratamiento sea efectuado en el cu rso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular.

d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.”

Al respecto, la Corte Constitucional mediante la sentencia C -748 de 2011 señaló lo siguiente:

“[C]omo se indicó en apartes previos, la prohibición de tratamiento de datos sensibles es una garantía del habeas data y del derecho a la

Al respecto, la Corte Constitucional mediante la sentencia C -748 de 2011 señaló lo siguiente:

“[C]omo se indicó en apartes previos, la prohibición de tratamiento de datos sensibles es una garantía del habeas data y del derecho a la intimidad, y además se encuentra estrechamente relacionada con la protección de la dignidad humana. Sin embargo, en ciertas ocasiones el tratamiento de tales datos es indispensable para la adecuada prestación de servicios –como la atención médica y la educación - o para la reali zación de derechos ligados precisamente a la esfera íntima de las personas –como la libertad de asociación y el ejercicio de las libertades religiosas y de opinión. Las excepciones del artículo 6 responden precisamente a la necesidad del tratamiento de dat os sensible en dichos escenarios. (…)”

Por lo anterior, la Ley 1581 de 2012 señala los eventos en los que se puede realizar el tratamiento de los datos sensibles, esto es, la recolección, el almacenamiento, el uso, la circulación o supresión de los mismos, entre ellos, cuando el titular haya dado su autorización explícita para ello.

Respecto a la autorización para el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4º de la mencionada ley, así:

"c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datospersonales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento."

consentimiento, previo, expreso e informado del Titular. Los datospersonales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento."

Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, es decir, debe recolectarse en una etapa anterior a su incorporación en la base de datos del responsable; expresa, es decir, que no exista duda o equivocación de su aceptación; e informada del titular, es decir, que conozca las finalidades específicas de tratamiento y los efectos de su consentimiento. Lo a nterior, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

Respecto a la autorización el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo siguiente:

"Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento."

En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del precitado decreto dispone:

“Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán

dispone:

“Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecid o en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con e stos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.”

Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior.Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización p ara el tratamiento de tales datos deberá hacerse de manera explícita, es decir, verbal o escrita.

la autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización p ara el tratamiento de tales datos deberá hacerse de manera explícita, es decir, verbal o escrita.

Ahora bien, debe tenerse en cuenta que hay situaciones en las que existe un expreso mandato legal o judicial que releve el consentimiento previo del titular cuando ha establecido la obligatoriedad de un determinado tratamiento de datos personales. En dicha s situaciones, corresponde al Responsable del Tratamiento estudiar la normativa aplicable a efectos de determinar si se ha relevado del requisito de autorización previa, o, por el contrario, sí es necesario contar con el consentimiento del titular previo a su tratamiento.

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización:

“Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facult ativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el

d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.”

En consecuencia, el responsable del tratamiento, al solicitar la autorización por parte del titular de los datos personales le debe informar: (i) el tratamiento al cual serán sometidos sus datos personales, es decir, si se hará recolección, uso, almacenamiento, circulación, supresió n o cualquier operación de los datos, (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativo de la respuesta, cuando el tratamiento se pretenda realizar sobre datos sensibles o sobre los datos de las niñas, niño s y adolescentes; (iv) los derechos que le asisten como titular, entre ellos, el de la supresión de sus datos y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que pueda ejercer sus derechos.Ahora bien, en cuanto al tratamiento de datos sensibles, de manera particular, respecto de aquellos datos relativos a la salud, existe una salvedad a su tratamiento, según la cual, estos podrán ser tratados con la autorización expresa del titular o por man dato legal. Para su adecuado tratamiento, deben tenerse en cuenta las consideraciones especiales que se hacen en el Decreto 1074 de 2015. En este último, se dispuso a través del artículo 2.2.2.25.2.3 el modo para obtener la autorización del tratamiento de datos personales sensibles de la siguiente manera:

“De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el

modo para obtener la autorización del tratamiento de datos personales sensibles de la siguiente manera:

“De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley.

En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

2. Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamien to, así como obtener su consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles.” (Subrayas fuera de texto original)

Por lo tanto, todo tratamiento de datos sensibles está supeditado a que exista una autorización para ello. La autorización deberá ser otorgada por el titular, salvo que exista un precepto legal que relegue el consentimiento del titular. Además, al momento de solicitar la autorización se le debe informar al titular, entre otras cosas, que no está obligado a autorizar el tratamiento de esta información.

Ahora bien, teniendo en cuenta que los datos sensibles son sujeto de una mayor protección, es preciso referirnos a lo dispuesto en el artículo 13 de la

entre otras cosas, que no está obligado a autorizar el tratamiento de esta información.

Ahora bien, teniendo en cuenta que los datos sensibles son sujeto de una mayor protección, es preciso referirnos a lo dispuesto en el artículo 13 de la Ley 1581 de 2012, sobre a quienes se les puede entregar la información:

“Personas a quienes se les puede suministrar la información. La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas:

a) A los Titulares, sus causahabientes o sus representantes legales;b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial;

c) A los terceros autorizados por el Titular o por la ley .” (Subrayas fuera de texto original)

Por lo anterior, los datos personales solo pueden suministrarse a: (i) el titular, sus causahabientes o representante legal, con el fin de garantizar el derecho fundamental de conocer donde se encuentra la información; (ii) a las entidades públicas o administrativas en ejercicio de sus funciones, y (iii) a un tercero por autorización expresa del titular o de la ley.

Así las cosas, solamente los terceros que se encuentren autorizados de manera expresa por el titular, podrán conocer los datos sensibles de este, salvo que exista una autorización legal que faculte al responsable de la información para suministrar a terceros la información del titular. Además, tratándose de datos personales sensibles, el nivel de reserva debe ser del más alto nivel. Por esta razón, el tratamiento de esta información se encuentra prohibida y únicamente se permite su tratamiento en casos excepcionales. Así mismo, el suministro de este tipo de datos debe regirse por la mayor reserva

alto nivel. Por esta razón, el tratamiento de esta información se encuentra prohibida y únicamente se permite su tratamiento en casos excepcionales. Así mismo, el suministro de este tipo de datos debe regirse por la mayor reserva posible, siendo v iable solamente entregar esta información a las personas autorizadas por el titular o a aquellas que por ley se encuentren autorizadas para acceder a dicha información. En cualquiera de estos casos, es importante tener en cuenta los principios de acceso y circulación restringida, así como el principio de confidencialidad, consagrados en el artículo 4 º de la Ley 1581 de 2012.

“f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la infor mación pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;

(…)

h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finaliza da su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ellocorresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.”

las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ellocorresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.”

De manera que la información relativa a la salud de un paciente, como lo es su historia clínica, es un dato sensible que tendrá el mayor nivel de restricción a su acceso. Cualquiera que participe en el tratamiento de los datos, así como aquellos a quienes se les suministre esta información, deberán guardar reserva de esta. De manera que, por la naturaleza de la información y su relación con la intimidad de las personas, los datos sensibles podrán ser tratados únicamente cuando exista autorización ex presa del titular, salvo que exista un precepto legal que relegue el consentimiento del titular; en otras palabras, el suministro de datos sensibles a entidades privadas deberá ser autorizado expresamente por el titular, a menos que, exista un precepto leg al que reemplace su consentimiento. Adicional a ello, es de anotar que dicha autorización es de carácter voluntario, es decir, el titular estará en la libertad de darla o no.

Por otro lado, frente al principio de necesidad, la Corte Constitucional en sentencia C-748 de 2011, establece:

“En relación con el principio de necesidad, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos. Sobr