SIC - Concepto 41

1

Bogotá D.C., 11 de octubre de 2022

Señores:

Asunto: Radicación: 22-345827

Trámite: 113

Evento: 0

Actuación: 440

Folios: 17

Reciban cordial saludo.

De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:

1. CUESTIÓN PREVIA

Reviste de gran impo rtancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C-542 de 2005:

“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de

consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.2

Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:

2. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN

MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala las siguientes funciones para esta

Superintendencia:

“a) Velar por el cumplimiento de la legislación en materia de protección de datos personales;

b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.

d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de d atos personales e implementara campañas pedagógicas para capacitar e

fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.

d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de d atos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.

e) Impartir instrucciones sobre las medidas y procedimientos necesarios para l a adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.

f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos.

h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento.

1. Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional.3

j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personales.

k) Las demás que le sean asignadas por ley”.

A continuación procedemos a contestar los interrogantes de su consulta, en los siguientes términos:

Primer interrogante

“1. Adquirimos bases de datos gratuita de la Cámara de Comercio de Bogotá, la cual relaciona datos de personas naturales y jurídicas, que en su mome nto el titular

términos:

Primer interrogante

“1. Adquirimos bases de datos gratuita de la Cámara de Comercio de Bogotá, la cual relaciona datos de personas naturales y jurídicas, que en su mome nto el titular autorizó a la CCB. Como World Trade New Vision ¿las personas naturales y jurídicas se pueden contactar por correo electrónico y/o telefóno (sic) con fines comerciales dada la autorización que se tuvo por parte de la CCB previamente? o ¿requerimos tener una autorización adicional a nombre de World Trade New Vision?.”

Respuesta:

El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”

Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona nat ural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.

Ahora bien, es necesario aclarar que la Ley 1581 de 2012 no señala una clasificación de datos personales, sin embargo, ante ese vacío la Corte Constitucional en la Sentencia C -748 de 2011, señaló lo siguiente:

Ahora bien, es necesario aclarar que la Ley 1581 de 2012 no señala una clasificación de datos personales, sin embargo, ante ese vacío la Corte Constitucional en la Sentencia C -748 de 2011, señaló lo siguiente:

"Se pregunta la Sala si la omisión de estas clasificaciones en el literal c) constituye un vicio de constitucionalid ad. Para la Sala la respuesta es negativa, ya que estas definiciones no son un ingrediente indispensable para la aplicación de las garantías4

de la ley y, en todo caso, la ausencia de definiciones puede ser llenada acudiendo a la jurisprudencia constitucional y a otros preceptos legales.

En primer lugar, la clasificación de los datos personales en públicos, semiprivados y privados o sensibles, es solamente una posible forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato. El legislador, por tanto, tiene libertad para elegir o no elegir una categorización.

Ahora bien, es cierto que el propio legislador estatutario adoptó algunas de estas clasificaciones, como la de datos sensibles, cuyo tratamiento se prohíbe con algunas excepciones en el artículo 6 del proyecto. Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las definiciones de otros preceptos legales, como la Ley 1266, cuyo artículo 3 dispone:

“f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en

“f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; (…)"

En concordancia con lo anterior, el artículo 2.2.2.25.1.3. , del Decreto 1074 de 2015, que incorpora el Decreto 1377 de 2013, señala la siguiente definición de dato público:

"Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva”.

Por lo anterior, los datos públicos son aquellos que por mandato legal o constitucional son calificados como tal y los que no tengan la naturaleza de semiprivado, privado o sensible. A los datos públicos se puede acceder sin autorización del titular, salvo que se encuentren sometidos a reserva legal y pueden estar contenidos en registros públicos , documento s públicos, gacetas, boletines oficiales, sentencias judiciales, entre otros.

Ahora bien, el artículo 11 de la Ley 1581 de 2012 dispone lo siguiente, respecto al suministro de información por parte de los responsables y encargados del tratamiento:

Ahora bien, el artículo 11 de la Ley 1581 de 2012 dispone lo siguiente, respecto al suministro de información por parte de los responsables y encargados del tratamiento:

“Suministro de la información. La información solicitada podrá ser suministrada por cualquier medio, incluyendo los electrónicos, según lo requiera el Titular. La5

información deberá ser de fácil lectura, sin barreras técnicas que impidan su acceso y deberá corresponder en un todo a aquella que repose en la base de datos”.

Por su parte, el artículo 13 de la Ley 1581 de 2012 dispone lo siguiente

“Personas a quienes se les puede suministrar la información. La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas:

a) A los Titulares, sus causahabientes o sus representantes legales. b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial. c) A los terceros autorizados por el Titular o por la ley.”

Los responsables y encargados del tratamiento de datos personales solo pueden ser suministrarlos a : (i) el titular, sus causahabientes o representante legal, con el fin de garantizar el derecho fundamental de conocer donde se encuentra la información ; (ii) a las entidades públicas o administrativas en ejercicio de sus funciones, y (iii ) a un tercero previa autorización del titular o por la ley.

Los datos públicos son aquellos que por mandato legal o constitucional son calificados como tal y los que no tengan la naturaleza de semiprivado, privado o sensible, a dichos datos podrá accederse sin autorización del titular. La ausencia de autorización permitida para los datos de naturaleza pública como los contenidos en el registro mercantil administrado por las Cámaras

accederse sin autorización del titular. La ausencia de autorización permitida para los datos de naturaleza pública como los contenidos en el registro mercantil administrado por las Cámaras de Comercio, no es una autorización abierta para el uso y acceso indiscriminado de los mismos, pues debe cumplir con todas las limitacion es y principios de legalidad, finalidad, veracidad o calidad, transparencia, acceso y circulación restringida , seguridad y confidencialidad, consagrados en el artículo 4 de la Ley 1581 de 2012.

En consecuencia, si se pretende un tratamiento de datos perso nales, esto es, la recolección, el uso, la circulación o el almacenamiento de los mismos, diferente a la finalidad específica y exclusiva perseguida con la base de datos , como por ejemplo, los datos suministrados para la finalidad específica del registro mercantil, el responsable del tratamiento deberá solicitar autorización del titular e informar de manera clara, suficiente y previa la nueva finalidad del tratamiento.

Segundo interrogante

“2. Adquirimos una plataforma de estadísticas de comercio exterior, donde se puede visualizar del importador datos como razón social o nombre de persona natural, dirección, ciudad y teléfono, que tiene como fuente DIAN, DANE, cámaras de6

comercio, entre otro s ¿Se puede contactar telefónicamente con las personas naturales para tener la autorización y datos como el correo electrónic o con fines comerciales?”

Respuesta:

Sea lo primero indicar que esta Oficina Asesora Jurídica no puede resolver situaciones particulares como las planteadas en su interrogante.

Así mismo, reiteramos que si se pretende un tratamiento de datos personales, esto es, la recolección, el uso, la circulación o el almacenamiento de los mismos, diferente a la finalidad

particulares como las planteadas en su interrogante.

Así mismo, reiteramos que si se pretende un tratamiento de datos personales, esto es, la recolección, el uso, la circulación o el almacenamiento de los mismos, diferente a la finalidad específica y excl usiva perseguida con la base de datos , como por ejemplo, los datos suministrados para finalidades estatales , el responsable del tratamiento deberá solicitar autorización del titular e informar de manera clara, suficiente y previa la nueva finalidad del tratamiento.

Ahora bien, en el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:

"c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento."

Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

La autorización del titular fue reglamentada a través del artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 que señala lo siguiente:

"Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización

de 2015 que señala lo siguiente:

"Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento".

En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del precitado decreto dispone:

"Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012 los Responsables del Tratamiento de datos7

personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorizac ión. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándo le la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior.

Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándo le la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior.

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización:

“ARTÍCULO 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en e l presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

En consecuencia el responsable del tratamiento, al solicitar la autorización por parte del titular de los datos personales se le debe informar: (i) el tratamiento al cual ser án sometidos sus datos personales, es decir, si se hará recolección, uso, almacenamiento, circulación, supresión o cualquier operación de los datos, (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativ o de la r espuesta, cuando el tratamiento se pretenda

o cualquier operación de los datos, (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativ o de la r espuesta, cuando el tratamiento se pretenda realizar sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iv) los derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que pueda ejercer sus derechos.8

Tercer interrogante

“3. En el literal D, artículo 10 de la ley 1581 de 2012 establece que no aplicará el régimen de protección de datos personales a información que sea estadística, si como resultado de la adquisición e (sic) la plataforma de estadísticas del punto 2, generamos informes donde se puedan visualizar datos como nombre del importador y un comportamiento estadístico de comercio exterior. ¿No se debería tramitar ninguna autorización, dado que el fin es estadístico?”

Respuesta:

Reiteramos que esta Oficina Asesora Jurídica no puede resolver situaciones particulares como las planteadas en su interrogante.

Ahora bien, el artículo 10 de la Ley 1581 de 2012 señala, entre otros, que no se necesita autorización del titular de los datos personales, en los casos en que el tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos. Sin embargo, la CORTE CONSTITUCIONAL mediante Sentencia C -748 de 2011 realiza la siguiente precisión:

“La Sala encuentra que esta excepción cumple con las exigencias del principio de proporcionalidad, ya que (i) cumple una finalidad imperiosa, esta es, el cumplimiento de propósitos de reconstrucción histórica, estadística y científica, finalidades en las existe además un interés de toda la colectividad,

de proporcionalidad, ya que (i) cumple una finalidad imperiosa, esta es, el cumplimiento de propósitos de reconstrucción histórica, estadística y científica, finalidades en las existe además un interés de toda la colectividad, toda vez que contribuyen al mejor diseño de políticas públicas y funcionamiento del Estado, a la satisfacción de derechos fundamentales como la salud y la vida, e incluso el derecho colectivo a la verdad. Además, (ii) la disposición elige un medio adecuado , toda vez que exige en todo caso la supresión de la identidad del titular. (iii) De esta forma, la disposición establece un balance adecuado entre el derecho al habeas data y los derechos que se satisfacen con las actividades históricas, estadísticas y científicas.

En todo caso, la Sala reitera que en estos eventos se deben respetar las garantías del habeas data –especialmente el principio de finalidad - y el principio de proporcionalidad.”

En consecuencia, los responsables pueden realizar el tratamiento de los datos personales para fines estadísticos sin autorización del titular, siempre y cuando se supriman los datos de la identidad del titular y cumplan con el principio de finalidad, es decir que, dicho tratamiento solo se realice para los fines estadís ticos9

exclusivamente, y el principio de proporcionalidad, en relación con la pertinencia y necesidad de los datos para el cumplimiento de la finalidad estadística.

Así mismo, es importante recalcar que es necesario dar cumplimiento a los demás principios de administración de datos personales, como la legalidad, veracidad y calidad, transparencia, acceso y circulación restringida, confidencialidad y seguridad.

Cuarto interrogante

“4. ¿La autorización de datos suministrada por el titular durante una encuesta que

acceso y circulación restringida, confidencialidad y seguridad.

Cuarto interrogante

“4. ¿La autorización de datos suministrada por el titular durante una encuesta que tiene datos como nombre, razón social, teléfono, correo electrónico y las preguntas correspondientes tiene alguna vigencia?”

Respuesta:

Reiteramos que cualquier tratamiento de datos personales, es decir, la recolección, el uso, la circulación, el almacenamiento, la supresión o cualquier operación realizada con los mismos, deberá ser autorizada de manera previa, expresa e informada sobre la finalidad especifica que se pretende realizar.

Quinto interrogante

“5. ¿Qué empresas están obligadas a tener una política organizacional de protección de datos?”

Respuesta:

El artículo 17 de la Ley 1581 de 2012 señala, entre otras, el siguiente deber para los responsables del tratamiento:

“Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.

(…)”10

En concordancia con lo anterior, respecto el deber que tienen los responsables de fijar las políticas de tratamiento de datos personales y, para ello, el artículo 2.2.2.25.3.1., del Decreto 1074 de 2015, señala lo siguiente:

“Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar

1074 de 2015, señala lo siguiente:

“Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información.

“1. No mbre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable.

2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad.

3. Derechos que le asisten como Titular.

4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización.

5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.

6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos”.

Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.”

En consecuencia, los responsables tienen la obligación de desarrollar las políticas para el

oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.”

En consecuencia, los responsables tienen la obligación de desarrollar las políticas para el tratamiento de los datos personales, las cuales deben constar en medio físico o electrónico y ser puestas en conocimiento de los titulares. Dichas políticas deberán contener la información mínima consagrada en el artículo 2.2.2.25.3.1., del Decreto 1074 de 2015 y la información relacionada, entre otras, con la finalidad y clase de tratamiento al que s erán sometidos los datos personales.11

Por lo anterior, el tratamiento de los datos personales de un titular sólo puede hacerse para los casos autorizados de manera previa y expresa por éste cumpliendo con una finalidad legítima y destinada a realizar los fines exclusivos para los cuales fue entregada por el titular al responsable del tratamiento.

En consecuencia, cada responsable, entendido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros decida sobre la base de datos y/o el Tratamiento de los datos, debe fijar sus políticas de tratamiento de datos personales de acuerdo a la finalidad específica que se requiera con el tratamiento de datos personales del titular.

Ahora bien, el artículo 2.2.2.25.1.3. del Decreto 1074 de 2015, que incorpora el Decreto 1377 de 2013, define los avisos de privacidad en los siguientes términos:

“Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que

“Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales”.

Por su parte, el artículo 2.2.2.25.3.2 del precitado decreto dispone lo siguiente:

“Aviso de privacidad. En los casos en los que no sea posible poner a disposición del Titular las políticas de Tratamiento de la Información, los Responsables deberán informar por medio de un Aviso de Privacidad al Titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales”.

En concordancia con lo anterior, el artículo 2.2.2.25.3.3. del mencionado decreto señala:

“Contenido mínimo del Aviso de Privacidad. El Aviso de Privacidad, como mínimo, deberá contener la siguiente información:

1. Nombre o razón social y datos de contacto del Responsable del Tratamiento.

2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo.

3. Los derechos que le asisten al Titular.

4. Los mecanismos dispuestos por el Responsable para que el Titular conozca la po lítica de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos,

la po lítica de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información.12

No obstante lo anterior, cuando se recolecten datos personales sensibles, el Aviso de Privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos.

En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los Titulares la política de Tratamiento de la información, de conformidad con lo establecido en este Decreto”.

Ahora bien, los respo nsables deben acreditar la puesta a disposición del aviso de privacidad en los términos del artículo 2.2.2.25.3.4. del citado decreto así:

“Deber de acreditar puesta a disposición del aviso de privacidad y las políticas de Tratamiento de la información. Los Responsables deberán conservar el modelo del Aviso de Privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los Titulares la existencia de políticas del Tratamiento de la información y la forma de a