SIC - Concepto 434261 de 2025

Bogotá D.C., octubre de 2025

Asunto: Radicación: 25-434261

Trám ite: 113

Actuación: 411

Folios: 14

Reciba un cordial saludo:

Con fundam ento en el artículo 28 del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo, m odificado en lo pertinente por el artículo 1° de la Ley 1755 de 2015 y la Ley 2080 de 2021, se establece el m arco jurídico aplicable para la presente consulta. En virtud de lo anterior, la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O procede a em itir el correspondiente pronunciam iento sobre la solicitud presentada ante esta Entidad, conform e a los térm inos que se detallan a continuación:

1 . OBJETO DE LA CONSULTA

Mediante el radicado de la referencia se nos consulta:

“1. ¿Cuál es el m arco norm ativo y los lineam ientos que deben seguirse para la adm inistración de los datos personales dentro de una organización, especialm ente en lo relativo a su alm acenam iento, acceso y uso por parte de las diferentes áreas o dependencias internas? 2. ¿Qué condiciones deben cum plirse para que los datos personales puedan ser com partidos entre diferentes áreas internas de la m ism a organización? 3. ¿Los datos personales de naturaleza sem iprivada pueden ser com partidos o conocidos por órganos de dirección, com o juntas directivas, com ités ejecutivos u otros cuerpos colegiados? 4. En caso afirm ativo, ¿cuáles serían los lím ites o condiciones

de naturaleza sem iprivada pueden ser com partidos o conocidos por órganos de dirección, com o juntas directivas, com ités ejecutivos u otros cuerpos colegiados? 4. En caso afirm ativo, ¿cuáles serían los lím ites o condiciones bajo los cuales dicha revelación sería legítim a? 5. ¿Qué tipo de m edidas de seguridad adm inistrativas, técnicas y jurídicas deben im plem entarse al interior de la entidad para garantizar la confidencialidad de los datos com partidos entre áreas?

2 . CUESTI ÓN PREVI A

Reviste de gran im portancia precisar en prim er lugar que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido, im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.Al respecto, el CONSEJO DE ESTADO se ha pronunciado en los siguientes términos:

“El concepto dado por la autoridad en respuesta a una consulta, generalmente, no constituye un acto administrativo, por cuanto se trata simplemente de consejos, orientaciones u opiniones que brinda la autoridad pública a los asociados, pero que, de ninguna manera, producen efectos particulares ni generales, pues no crean derechos ni deberes ni imponen obligaciones. Los interesados, en ese caso, tienen la opción de acogerlos o no.”1

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN

MATERIA DE DATOS PERSONALES

De acuerdo con las atribuciones conferidas por mandato legal a esta Superintendencia,

no.”1

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN

MATERIA DE DATOS PERSONALES

De acuerdo con las atribuciones conferidas por mandato legal a esta Superintendencia, en particular por la Ley 1581 de 2012, en materia de datos personales le corresponde a esta Entidad las siguientes funciones:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementará campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. • Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes

• Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. • Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento; • Las demás que le sean asignadas por ley.

1 Consejo de Estado, Sección Cuarta, sentencia emitida el 19 de mayo de 2016. Expediente No. 1100103-27-000-2011-00024-00, C.P Hugo Fernando Bastidas Bárcenas.Así mismo, el artículo 19 de la citada disposición legal, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

4. CONSIDERACIONES EN TORNO A LA CONSULTA

Es importante precisar que la Oficina Asesora Jurídica no puede mediante un concepto resolver una situación de carácter particular, tampoco le es dable a esta Oficina prestar asesoría, pues de hacerlo, desbordaría la naturaleza del derecho de petición de consulta y desconocería los principios de autonomía y de distribución funcional de competencias2.

Sin perjuicio de lo anterior, se informará en respuesta a su petición, el marco normativo que puede permitirle hallar una respuesta a las inquietudes planteadas frente al manejo de datos personales dentro de una organización.

4.1 ROL DEL RESPONSABLE Y DEL ENCARGADO DEL TRATAMIENTO

De conformidad con el artículo 5° de la Ley 1581 de 2012, se entiende por:

“Responsable del Tratamiento: Persona natural o jurídica, pública o

4.1 ROL DEL RESPONSABLE Y DEL ENCARGADO DEL TRATAMIENTO

De conformidad con el artículo 5° de la Ley 1581 de 2012, se entiende por:

“Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”

“Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento”

“Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.”

En este sentido, el tratamiento de datos personales no depende de una autorización o permiso por parte de la autoridad de supervisión, sino del rol que desempeñe la persona natural o jurídica al tratar los datos. El Responsable del Tratamiento es quien decide sobre la base de datos y/o el Tratamiento de los datos; mientras que el Encargado del Tratamiento, es quien realiza el Tratamiento de datos personales por cuenta del Responsable.

Dicho tratamiento debe realizarse en estricto cumplimiento de lo dispuesto en la Ley 1581 de 2012, el Decreto 1074 de 2015, Decreto 1377 de 2013, el Título V de la

2 Ley 1755 de 2015. ARTÍCULO 28. Alcance de los conceptos. Salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuestas a peticiones realizadas en ejercicio del derecho

2 Ley 1755 de 2015. ARTÍCULO 28. Alcance de los conceptos. Salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuestas a peticiones realizadas en ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución.Circular Única de la Superintendencia de Industria y Comercio y demás normatividad aplicable.

4.2 ÁMBITO DE APLICACIÓN DE LA LEY 1581 DE 2012

La Ley 1581 de 2012, en su artículo 2, señala el ámbito de aplicación de la siguiente manera: “Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada”. La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas. Respecto al concepto de bases de datos o archivos la CORTE CONSTITUCIONAL mediante Sentencia C-748 de 2011 señaló́ lo siguiente: “El literal b) define las bases de datos como un “(...) conjunto organizado de datos personales que sea objeto de tratamiento”. Pese a que esta definición es bastante amplia y parece coincidir mas con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación. Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección,

materia, puede adoptar definiciones diferentes dependiendo de la regulación. Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indic ó en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como deposito ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley”. Por lo anterior, la Ley 1581 de 2012 se aplica a los datos personales que se encuentren en bases de datos o archivos de entidades públicas o privadas, entendidos estos, como el conjunto organizado o dep ósitos ordenados de datos personales sujetos a trata miento, es decir, a la recolecci ón, el almacenamiento, el uso, la circulación o la supresión de los mismos. El literal c) del articulo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”De esta manera, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que

propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. Por su parte, el literal g) del articulo 3 define tratamiento en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión." Por lo anterior, el tratamiento se refiere a cualquier operación sobre datos personales como, la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.

4.3 TRATAMIENTO DE DATOS SENSIBLES

Por otra parte, los datos sensibles tienen un tratamiento especial consagrado en el artículo 6 de la Ley 1581 de 2012 así́:

“Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.

b) El Tratamiento sea necesario para salvaguardar el inter és vital del Titular

salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.

b) El Tratamiento sea necesario para salvaguardar el inter és vital del Titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización. c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organ smo sin ánimo de lucro, cuya finalidad sea pol ítica, filos ófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por raz ón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular. d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.e) El Tratamiento tenga una finalidad hist órica, estadística o cient ífica. En este evento deber án adoptarse las medidas conducentes a la supresi ón de identidad de los Titulares.” Por lo anterior, la Ley 1581 de 2012 señala los eventos en los que se puede realizar tratamiento de los datos sensibles, esto es, la recolección, el almacenamiento, el uso, la circulación o supresión de los mismos, entre ellos, cuando el titular haya dado su autorización explicita para ello.

4.4 AUTORIZACIÓN Y MODO DE OBTENERLA PARA EL TRATAMIENTO DE

DATOS

la circulación o supresión de los mismos, entre ellos, cuando el titular haya dado su autorización explicita para ello. 4.4 AUTORIZACIÓN Y MODO DE OBTENERLA PARA EL TRATAMIENTO DE DATOS Respecto a la autorizaci ón para el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulaci ón o supresi ón de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del art ículo 4 de la mencionada ley así: “c) Principio de libertad: El Tratamiento s ólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorizaci ón, o en ausencia de mandato legal o judicial que releve el consentimiento”. Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, es decir, debe recolectarse en una etapa anterior a su incorporación en la base de datos del responsable; expresa, es decir, que no exista duda o equivocación de su aceptación; e informada del titular, es decir, que conozca las finalidades espec íficas de tratamiento y los efectos de su consentimiento. Lo anterior, con el fin de permitirle que se garantice en todo momento y lugar que pueda conocer en d ónde est á su informaci ón personal, pa ra qu é propósitos ha sido recolectada y qu é mecanismos tiene a su disposici ón para su actualizaci ón y rectificación.

conocer en d ónde est á su informaci ón personal, pa ra qu é propósitos ha sido recolectada y qu é mecanismos tiene a su disposici ón para su actualizaci ón y rectificación. Respecto a la autorización el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo siguiente: "Autorización. El Responsable del Tratamiento deber á adoptar procedimientos para solicitar, a más tardar en el momento de la recolecci ón de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolecta dos así como todas las finalidades espec íficas del Tratamiento para las cuales se obtiene el consentimiento". Para el tratamiento de los datos sensibles el art ículo 2.2.2.25.2.3. del precitado Decreto señala lo siguiente:“De la autorizaci ón para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el art ículo 5 de la Ley 1581 de 2012 est á prohibido, a excepci ón de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de datos sensibles no est á obligado a autorizar su Tratamiento.

2. Informar al Titular de forma expl ícita y previa, adem ás de los requisitos

1. Informar al Titular que por tratarse de datos sensibles no est á obligado a autorizar su Tratamiento.

2. Informar al Titular de forma expl ícita y previa, adem ás de los requisitos generales de la autorizaci ón para la recolecci ón de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.

Ninguna actividad podr á condicionarse a que el Titular suministre datos personales sensibles.” En concordancia con lo anterior, el art ículo 2.2.2.25.2.4., del mencionado decreto dispone: “Modo de obtener la autorizaci ón. Para efectos de dar cumplimiento a lo dispuesto en el art ículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecer án mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el art ículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podr án ser predeterminados a trav és de medios t écnicos que faciliten al Titular su manifestación automatizada. Se entender á que la autorizaci ón cumple con estos requisitos cuando se manifieste ( í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorg ó la autorización. En ning ún caso el silencio podr á asimilarse a una conducta inequívoca”.

inequívocas del titular que permitan concluir de forma razonable que otorg ó la autorización. En ning ún caso el silencio podr á asimilarse a una conducta inequívoca”. En consecuencia, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad espec ífica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior. Se entiende que el titular de la informaci ón ha dado su autorizaci ón para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequ ívocas, es decir, aquellas que no admiten duda oequivocación, del titular que permitan concluir de forma razonable que otorg ó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Ahora bien, el art ículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización: “ARTÍCULO 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorizaci ón, deber á informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.

del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificaci ón, direcci ón f ísica o electr ónica y tel éfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deber á conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. Al solicitar la autorizaci ón por parte del titular de los datos personales se le debe informar: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; (ii) el car ácter facultativo de la respuesta, cuando éstas versen sobre datos sensibles, como los relacionados con la salud, o sobre los datos de las ni ñas, niños y adolescentes; (iii) los derechos que le asisten como titular, entre ellos, el de la supresi ón de sus datos y (iv) la identificaci ón, direcci ón f ísica o electrónica y teléfono del Responsable del Tratamiento para que pueda ejercer sus derechos.

4.5 OBLIGACIONES DEL RESPONSABLE Y EL ENCARGADO (PRNCIPIO DE

RESPONSABILIDAD DEMOSTRADA)

El artículo 17 de la Ley 1581 de 2012 establece los deberes de los Responsables del Tratamiento de datos personales en Colombia. Estos incluyen: (i) asegurar que los titulares puedan acceder, actualizar y corregir su información en cualquier momento;

El artículo 17 de la Ley 1581 de 2012 establece los deberes de los Responsables del Tratamiento de datos personales en Colombia. Estos incluyen: (i) asegurar que los titulares puedan acceder, actualizar y corregir su información en cualquier momento; (ii) obtener y conservar la autorización del Titular; (iii) informar sobre la finalidad del tratamiento de los datos y los derechos del Titular ; (iv) adoptar medidas de seguridad para proteger la información contra accesos no autorizados; (v) asegurar la veracidad, actualización de los datos y rectificación de la información incorrecta; (vi) exigir al Encargado del Tratamiento el cumplimiento de normas de seguridad ; (vii) tramitar consultas y reclamos; (viii) establecer un manual interno de políticas;(ix) informar al Titular sobre el uso de sus datos ; (x) notificar a la autoridad competente sobre violaciones a la seguridad; y (xi) cumplir con los requerimientos de la Superintendencia de Industria y Comercio.

Por otra parte, el artículo 18 ídem, señala como obligaciones de los Encargados del Tratamiento, las siguientes: (i) garantizar el ejercicio del hábeas data ; (ii) implementar medidas que eviten adulteraciones, pérdidas o accesos no autorizados; (iii) actualizar, rectificar o suprimir datos conforme a los términos de la ley ; (iv) actualizar la información reportada por los responsables; (v) atender las consultas y reclamos; (vi) definir las políticas y procedimientos para garantizar el cumplimiento de la normativa y la correcta atención de las consultas y reclamos; (vii) registrar los reclamos en trám ite; (viii) incluir la leyenda "información en discusión judicial" cuando exista un proceso judicial en curso sobre un dato personal; (ix) no divulgar

reclamos en trám ite; (viii) incluir la leyenda "información en discusión judicial" cuando exista un proceso judicial en curso sobre un dato personal; (ix) no divulgar información que el titular haya objetado y cuyo bloqueo haya sido ordenado por esta Superintendencia; (x) garantizar que solo personas autorizadas puedan consultar la información; (xi) reportar violaciones de seguridad; y (xii) acatar las regulaciones y requerimientos de la autoridad competente.

De esta manera, le corresponde al Responsable del Tratamiento incorporar un Manual Interno de Políticas y Procedimientos, el cual detalle los lineamientos y reglas empleadas para garantizar el correcto tratamiento de datos personales, en especial el procedimiento que adoptará la organización para atender l as quejas, consultas y reclamos presentados por los titulares de la información3 .

En concordancia con lo anterior, los Responsables tienen la obligación de desarrollar las políticas para el tratamiento de los datos personales, las cuales deben constar en medio físico o electrónico y ser puestas en conocimiento de los titulares. Dichas políticas deberán contener la información mínima c onsagrada en el artículo 2.2.2.25.3.1., del Decreto 1074 de 2015 y la información relacionada, entre otras, con la finalidad y clase de tratamiento al que serán sometidos los datos personales.

Ahora bien, el Manual de Políticas y Procedimientos no se debe confundir con las Políticas de Tratamiento de la Información, estando ambas figuras diferenciadas por los siguientes criterios:

Criterio Manual de Políticas y Procedimientos Políticas de Tratamiento de la Información

Contenido El Manual de Políticas y

Procedimientos debe contener:

a) Los lineamientos y reglas

Criterio Manual de Políticas y Procedimientos Políticas de Tratamiento de la Información

Contenido El Manual de Políticas y

Procedimientos debe contener:

a) Los lineamientos y reglas empleadas para garantizar el correcto Las Políticas de Tratamiento de la

Información deben contener:

a) Tratamiento al que serán sometidos los datos del titular.

3 Superintendencia de Industria y Comercio. (2017). Cartilla Formato Modelo para el Cumplimiento de Obligaciones Establecidas en la Ley 1581 de 2012 y sus Decretos Reglamentarios. Página 10.tratamiento de datos personales. b) El trámite para interponer peticiones, recursos, quejas y reclamos.

b) Los datos de contacto del responsable y del encargado del tratamiento. c) Los derechos del titular d) Persona o área responsable de atender las peticiones, quejas o reclamos presentados para conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. e) Los canales y mecanismos dispuestos para que los titulares ejerzan sus derechos y presenten peticiones, quejas y reclamos. f) Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos g) Deben constar en medio físico o electrónico y tener un lenguaje claro.

Obligación de registrarlo ante la SIC

Actualmente no es necesario registrar el Manual de Políticas y Procedimientos pero esta Autoridad en el curso de una

físico o electrónico y tener un lenguaje claro.

Obligación de registrarlo ante la SIC

Actualmente no es necesario registrar el Manual de Políticas y Procedimientos pero esta Autoridad en el curso de una investigación administrativa puede solicitarlo. Las Políticas de Tratamiento de la Información no deben ser radicadas ante la SIC, pero si deberán ser puestas en conocimiento de los titulares, en tanto su función principal es informar al titular sobre los derechos que tiene y el tratamiento al que son s ometidos sus datos. Así mismo, cualquier modificación a las políticas deberán ser comunicadas a los titulares. Normas que lo sustenta

Literal k) del artículo 17 de la Ley 1581 de 2012 Artículos artículo 2.2.2.25.3.1 y 2.2.2.25.3.1 del Decreto 1074 de 2015.

Conforme lo expuesto, las Políticas de Tratamiento de la Información deberán ser puestas en conocimiento de los titulares, con la finalidad de garantizar que estos puedan ejercer su derecho al habeas data. Para dar a conocer las Políticas de la Información, el artículo 2.2.2.25.3.2 del Decreto 1074 de 2015 indica que se podrá emplear un aviso de privacidad, donde se informe al titular sobre la existencia de tales políticas y la forma de acceder a ellas. Dicho aviso deberá ponerse a disposicióndel titular de manera oportuna y a más tardar al momento de la recolección de los datos personales.

El artículo 2.2.2.25.3.3 del Decreto 1074 de 2015 indica que el aviso de privacidad

datos personales.

El artículo 2.2.2.25.3.3 del Decreto 1074 de 2015 indica que el aviso de privacidad deberá contener como mínimo: (i) nombre o razón social y los datos de contacto del responsable del tratamiento; (ii) el tratamiento al cuál serán sometidos los datos y la finalidad de los mismos; (iii) los derechos del titular ; (iv) los mecanismos dispuestos por el responsable para que el titular conozca la política de tratamiento y los cambios que se realicen. La implementación del aviso de privacidad no exime al Responsable del Tratamiento de adoptar las Políticas de Tratamiento de la información y de ponerlas en conocimiento del titular.

Finalmente, es importante señalar que el principio de responsabilidad demostrada4, o “accountability”, fue adoptado por la OCDE dentro de las “Guías sobre la Protección de la Privacidad y los Flujos Transfronterizos de Información”, y es entendido como aquél según el cual una entidad que recoge y hace tratamiento de datos personales, debe ser responsable del cumplimiento efectivo de las medidas que implementen los principios de privacidad y protección de datos.

En ese sentido, de conformidad con el principio de responsabilidad demostrada, los Responsables del Tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han adoptado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y sus Decretos reglamentarios.

La implementación de esas medidas, se debe realizar teniendo en cuenta diversos factores que son propios de cada organización, entre los que se encuentra su tamaño, su naturaleza jurídica, la naturaleza de los datos tratados, el tipo de tratamiento al

La implementación de esas medidas, se debe realizar teniendo en cuenta diversos factores que son propios de cada organización, entre los que se encuentra su tamaño, su naturaleza jurídica, la naturaleza de los datos tratados, el tipo de tratamiento al que se somete la información, los riesgos que implique al titular la recolección y posterior circulación o uso de esos datos, entre otros.

De acuerdo con lo exp