SIC - Concepto 441500 de 2025

Bogotá D.C., octubre de 2025

Asunto: Radicación: 25-441500

Folios: 15

Reciba un cordial saludo:

De conformidad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedim iento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a emitir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . OBJETO DE LA CONSULTA

Mediante el radicado de la referencia nos plantea una serie de interrogantes respecto del alcance, interpretación y aplicación práctica de las disposiciones contenidas en la Circular 002 de 2024 – “Lineam ientos sobre el Tratam iento de Datos personales en Sistem as de I nteligencia Artificial”. Conforme lo anterior, y una vez explicadas las facultades de esta entidad en materia de protección de datos personales, se dará respuesta a cada uno de estos.

2 . CUESTI ÓN PREVI A

Reviste de gran importancia precisar en primer lugar que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTI TUCI ONAL ha establecido en la Sentencia C542 de 2005:

particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTI TUCI ONAL ha establecido en la Sentencia C542 de 2005:

Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no.En ese orden de ideas, esta Entidad no está facultada para pronunciarse sobre aspectos específicos de una consulta o brindar la solución a una controversia que sea vinculante para el solicitante o que afecte a terceros. En consecuencia, mediante las respuestas a las solicitudes que bajo el derecho de petición en su modalidad de consulta se presenten, la Superintendencia únicamente suministra la información y los elementos conceptuales necesarios para que el peticionario halle una solución a su inquietud.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

 Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias

 Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;  Solicitar a los responsable s del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limita n a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o complementar contratos, actos administrativos o leyes , mucho menos a solucionar conflictos de carácter particular. Sin perjuicio de lo anterior, a continuación, daremos respuesta a las inquietudes presentadas.4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

La Oficina Asesora Jurídica tiene competencia para absolver consultas en el marco de las competencias asignadas a la SUPERINTENDENCIA DE

La Oficina Asesora Jurídica tiene competencia para absolver consultas en el marco de las competencias asignadas a la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. En consecuencia, se responderá a continuación su petición en el marco del régimen de protección de datos personales.

Frente a las preguntas:

“1. Precisar en cuál o cuáles de las 160 finalidades de tratamiento de datos definidas previamente por la SIC podría enmarcarse el tratamiento de datos personales para entrenar y operar sistemas de Inteligencia Artificial, de manera que dicho tratamiento cumpla a cabalidad con los requisitos normativos.

2. Precisar en cuál o cuáles de las 160 finalidades de tratamiento de datos definidas previamente por la SIC podría enmarcarse el tratamiento de datos personales mediante sistemas y/o herramientas de IA, en cumplimiento de los presupuestos establecidos en la Ley 1581 de 2012 y sus normas reglamentarias, no en el ámbito del entrenamiento o desarrollo de IA, la pregunta va más enfocada en el uso de sistema de IA para hacer el tratamiento de los datos personales”

Se responde:

Como punto de partida para la respuesta a su s interrogantes acudimos a la definición de inteligencia artificial adoptada en el CONPES 39754, en d icho documento se establece que esta disciplina corresponde a:

“(...) un campo de la informática dedicado a resolver problemas cognitivos comúnmente asociados con la inteligencia humana seres inteligentes, entendidos como aquellos que pueden adaptarse a situaciones cambiantes. Su base es el desarrollo de sistemas informáticos, la disponibilidad de datos y los algoritmos”.

Así entonces y dado que los asuntos que pueden ser abordados a través de la

inteligentes, entendidos como aquellos que pueden adaptarse a situaciones cambiantes. Su base es el desarrollo de sistemas informáticos, la disponibilidad de datos y los algoritmos”.

Así entonces y dado que los asuntos que pueden ser abordados a través de la inteligencia artificial no corresponden a una única disciplina o materia, i.e., datos de salud, datos crediticios, etc., no es posible enmarcar en una única finalidad la totalidad de las posibilidades de tratamiento de datos mediante sistemas de inteligencia artificial.

Respecto de las finalidades para el tratamiento de datos, debe considerarse que más allá de la adopción de una clasificación particular , el objetivo que se persigue con la protección de datos personales es el de garantizar que en todo espacio donde se realice alguna forma de tratamiento del dato los principios y disposiciones de la normatividad estatutaria sean observados.Se tiene entonces que el ámbito de aplicación de la Ley 1581 de 2012, según se establece en el artículo 2, se dirige a la protección de los datos personales registrados en cualquier base de datos, señalando: “Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada”. La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas. Respecto al concepto de bases de datos o archivos la CORTE CONSTITUCIONAL mediante Sentencia C-748 de 2011 señaló́ lo siguiente: “El literal b) define las bases de datos como un “(...) conjunto

de datos o archivos por parte de entidades públicas o privadas. Respecto al concepto de bases de datos o archivos la CORTE CONSTITUCIONAL mediante Sentencia C-748 de 2011 señaló́ lo siguiente: “El literal b) define las bases de datos como un “(...) conjunto organizado de datos personales que sea objeto de tratamiento”. Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuraci ón en la materia, puede adoptar definiciones diferentes dependiendo de la regulación. Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protecci ón del habeas data a todo tipo de hip ótesis. En concordancia, la Sala recuerda, como se indicó en la consideraci ón 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como dep ósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley”. Por lo anterior, la Ley 1581 de 2012 se aplica a los datos personales que se encuentren en ba ses de datos o archivos de entidades p úblicas o privadas, entendidos estos, como el conjunto organizado o depósitos ordenados de datos personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos. El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los

personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos. El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”

De esta manera, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectosexclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. Por su parte, el literal g) del art ículo 3 defi ne tratamiento en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión." Por lo anterior, el tratamiento se refiere a cua lquier operaci ón sobre datos personales como, la utilizaci ón, recolecci ón, almacenamiento, circulaci ón y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades p úblicas o privadas y cuyo

personales como, la utilizaci ón, recolecci ón, almacenamiento, circulaci ón y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades p úblicas o privadas y cuyo procesamiento se realice utilizando medios tecnológicos o manuales.

TRATAMIENTO DE DATOS SENSIBLES

Los datos sensibles tienen un tratamiento especial consagrado en el art ículo 6 de la Ley 1581 de 2012 así:

“Tratamiento de datos sensibles. Se proh íbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorizaci ón explicita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.

b) El Tratamiento sea necesario para salvaguardar el inter és vital del Titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización. c) El Tratamiento sea efectuado en el curso de las actividades legitimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organ ismo sin ánimo de lucro, cuya finalidad sea política, filos ófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por raz ón de su finalidad. En estos eventos, los datos no se podr án suministrar a terceros sin la autorizaci ón del Titular. d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso

datos no se podr án suministrar a terceros sin la autorizaci ón del Titular. d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.e) El Tratamiento tenga una finalidad hist órica, estadística o científica. En este evento deber án adoptarse las medidas conducentes a la supresión de identidad de los Titulares.” Por lo anterior, la Ley 1581 de 2012 señala los eventos en los que se puede realizar tratamiento de los datos sensibles, esto es, la recolecci ón, el almacenamiento, el uso, la circulaci ón o supresión de los mismos, entre ellos, cuando el titular haya dado su autorización explícita para ello. AUTORIZACIÓN Y MODO DE OBTENERLA PARA EL TRATAMIENTO DE DATOS Respecto a la autorización para el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio d e libertad definido en el literal c) del art ículo 4 de la mencionada ley así: “c) Principio de libertad: El Tratamiento s ólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podr án ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”. Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, es decir, debe recolectarse en una etapa anterior a su incorporaci ón en la base de datos del responsable; expresa, es

consentimiento”. Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, es decir, debe recolectarse en una etapa anterior a su incorporaci ón en la base de datos del responsable; expresa, es decir, que no exista duda o equivocaci ón de su aceptaci ón; e informada del titular, es decir, que conozca las finalidades específicas de tratamiento y los efectos de su consentimiento. Lo anterior, con el fin de permitirle que se garantice en todo momento y lugar que pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. Respecto a la autorización el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo siguiente: "Autorización. El Responsable del Tratamiento deber á adoptar procedimientos para solicitar, a m ás tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como t odas las finalidades especificas del Tratamiento para las cuales se obtiene el consentimiento". Para el tratamiento de los datos sensibles el artículo 2.2.2.25.2.3. del precitado Decreto señala lo siguiente:“De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 est á prohibido, a excepci ón de los casos

El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 est á prohibido, a excepci ón de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de datos per sonales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de datos sensibles no est á obligado a autorizar su Tratamiento.

2. Informar al Titular de forma explicita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cu áles de los datos que ser án objeto de Tratamiento son sensibles y la finalidad del Tratamiento, as í como obtener su consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles.” En concordancia con lo anterior, el art ículo 2.2.2.25.2.4., del mencionado decreto dispone: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecer án mecanismos para obtener la autorizaci ón de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el art ículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a trav és de medios t écnicos

legitimado de conformidad con lo establecido en el art ículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a trav és de medios t écnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorizaci ón cumple co n estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”. En consecuencia, los responsables del tratamiento de los datos personales deben obtener la autorizaci ón por parte del titular a m ás tardar al momento de su recolección, informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior. Se entiende que el titular de la informaci ón ha dado su autorizaci ón para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda oequivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Ahora bien, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización: “ARTÍCULO 12. Deber de informar al Titular. El Responsable del

información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización: “ARTÍCULO 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorizaci ón, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual ser án sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificaci ón, direcci ón física o electr ónica y tel éfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

Al solicitar la autorización por parte del titular de los datos personales se le debe informar: (i) el Tratamiento al cual serían sometidos sus datos personales y la finalidad del mismo; (ii) el carácter facultativo de la respuesta, cuando éstas versen sobre datos sensib les, como los relacionados con la salud, o sobre los datos de las niñas, niños y adolescentes; (iii) los derechos que le asisten como titular, entre ellos, el de la supresi ón de sus datos y (iv) la identificación, dirección física o electr ónica y tel éfono del Responsable del Tratamiento para que pueda ejercer sus derechos.

titular, entre ellos, el de la supresi ón de sus datos y (iv) la identificación, dirección física o electr ónica y tel éfono del Responsable del Tratamiento para que pueda ejercer sus derechos. Finalmente y pese a que en el anexo 2 del Manual de Usuario del Registro Nacional de Bases de Datos – RNBD se establece un listado de finalidades : https://www.sic.gov.co/registro-nacional-de-bases-de-datos , esto no significa que las posibilidades se limiten a las allí definidas o que el uso de inteligencia artificial en el tratamiento deba corresponder a una de aquellas susceptibles de ser agregadas1 como una nueva finalidad.

1 Manual de Usuario del Registro Nacional de Bases de Datos – RNBD

“Agregar Finalidad. Es posible agregar más de una finalidad en caso de que la base de datos se utilice para más de un propósito. En caso de que no encuentre la finalidad a la que corresponde la base de datos puede comunicarse con el call center 5920400 la finalidad requerida (ver lista completa de finalidades en el anexo 2 del presente manual).”En conclusión puede afirmarse que e l concepto de finalidad corresponde al propósito para el cual se recogen los datos personales , y la utilización de sistemas informáticos y algoritmos en el tratamiento de datos, se considera, no podría ser considerada en sí misma como una nueva finalidad.

Frente a las preguntas:

“3. Indicar de forma práctica cómo las organizaciones pueden dar cumplimiento efectivo al principio de proporcionalidad en sentido estricto en el marco del tratamiento de datos personales en sistemas de IA, explicando cómo debe realizarse la ponderación entre la utilidad del tratamiento y los riesgos o daños que puede generar para los Titulares de los datos.

estricto en el marco del tratamiento de datos personales en sistemas de IA, explicando cómo debe realizarse la ponderación entre la utilidad del tratamiento y los riesgos o daños que puede generar para los Titulares de los datos.

4. De conformidad con el numeral II de la Circular citada anteriormente, solicito especificar qué grado de certeza frente a los posibles riesgos es exigido por la SIC para que una organización deba abstenerse de tratar datos personales mediante IA, con el fin de prevenir daños graves o irreversibles a los Titulares.”

Se responde:

Dentro del conjunto de las normas jurídicas se pueden distinguir las reglas (normas que ordena n una consecuencia jurídica definitiva ) y los principios (normas que carecen de antecedente y consecuencia jurídica, de cumplimiento progresivo dentro de las posibilidades existentes)

De esta manera, y cuando surge la posibilidad de un conflicto potencial en la aplicación de distintos principios, es habitual que se acuda a métodos como la ponderación. Se busca, en esencia, alcanzar la solución más justa u objetiva posible asignando un peso a las normas en conflicto.

En apoyo de lo expuesto nos permitimos citar un aparte de la publicación “La ponderación de derechos de Robert Alexy en una decisión judicial del máximo tribunal en México” 2 de las autoras Liliana Rodríguez Santibáñez y Priscila Álvarez Bautista en donde se explica:

“¿Qué es la ponderación? El ser humano se caracteriza por la capacidad que tiene para tomar decisiones, las cuales van desde lo más simple: qué ropa usar, qué desayunar, cómo transportarse de un lado a otro, hasta lo más complejo: con quién casarse, qué carrera elegir o en

capacidad que tiene para tomar decisiones, las cuales van desde lo más simple: qué ropa usar, qué desayunar, cómo transportarse de un lado a otro, hasta lo más complejo: con quién casarse, qué carrera elegir o en

2 https://revistas.juridicas.unam.mx/index.php/cuestionesconstitucionales/article/view/18053/18420dónde vivir. Todas las decisiones, sean simples o complejas, pasan un proceso de racionalización(consciente o inconsciente), por medio del cual el individuo puede analizar los pro y contras de la decisión a tomar, como si los colocara en una balanza que le permitiera elegir el que tiene mayor peso en cuanto al beneficio que le puede proporcionar. Lo anterior es denominado “ponderación”, ya que esta palabra proviene de la voz en latín ponderare, que significa “pesar”.

(…) hay ocasiones en las cuales los derechos colisionan, y s e debe determinar cuál es el que debe prevalecer. La ponderación jurídica consiste en realizar tal elección, de tal manera que el grado de insatisfacción que caus a el cumplimiento de una acción para respetar un derecho s ea proporcional al grado de satisfacción que ocasiona el cumplimiento de la otra.”

Así entonces y p ara efectos de la ponderación en el contexto de la utilización de inteligencia artificial en el tratamiento de datos personales se determina un esquema de ponderación por criterios que debe ser adelantado y evidenciado por los destinatarios de la aplicación de la Circular 002, de la siguiente manera:

“I. El Tratamiento de Datos personales en la IA presupone la necesidad de realizar una ponderación atendiendo cuatro criterios, destinados

adelantado y evidenciado por los destinatarios de la aplicación de la Circular 002, de la siguiente manera:

“I. El Tratamiento de Datos personales en la IA presupone la necesidad de realizar una ponderación atendiendo cuatro criterios, destinados a salvaguardar los principios establecidos en las Leyes Estatutarias 1266 de 2008 y 1581 de 2012:

a. Idoneidad: El Tratamiento es capaz de alcanzar el objetivo propuesto;

b. Necesidad: No exista otra medida más moderada en cuanto al impacto de las operaciones de Tratamiento en la protección de Datos personales e igual de eficaz para conseguir tal objetivo;

c. Razonabilidad: El Tratamiento debe estar orientado a cumplir finalidades constitucionales;

d. Proporcionalidad en sentido estricto: Las ventajas obtenidas como consecuencia de la restricción del derecho a la protección de datos no deberán ser superadas por las desventajas de afectar el derecho al Habeas Data.”

En principio, los operadores jurídicos que agoten y sustenten el proceso de análisis y respuesta argumentada frente a cada uno de los precitados criterios habrán cumplido de manera formal con el proceso de ponderación exigido. Lo anterior, claro está, sin perjuicio del análisis sustancial que puede efectuarse por parte de la Superintendencia de Industria y Comercio frente a la idoneidad,efectividad y validez de los análisis y medidas. Lo anterior de conformidad con lo establecido en el artículo 19 A de la Ley 1266 de 2006 y el articulo 2.2.2.25.6.1 del Decreto Único Reglamentario del Sector Comercio, Industria y Turism o, Decreto 1074 de 2015, que dispone:

del Decreto Único Reglamentario del Sector Comercio, Industria y Turism o, Decreto 1074 de 2015, que dispone:

“Los Responsables del Tratamiento de Datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto”. (Subrayado fuera de texto).

Finalmente, se considera necesario resaltar que la misma Circular 002 establece que frente ante la falta de certeza sobre las consecuencias y afectaciones qu e pueda generar el tratamiento de datos “los Administradores de Datos personales deberán abstenerse de realizar dicho Tratamiento o adoptar medidas precautorias o preventivas para proteger los derechos del Titular del dato, su dignidad y otros derechos humanos”:

“II. En caso de presentarse falta de certeza frente a los potenciales desafíos que puede causar el Tratamiento de Datos personales, y con miras a evitar que se cause un daño grave e irreversible, los Administradores de Datos personales deberán abstenerse de realizar dicho Tratamiento o adoptar medidas precautorias o preventivas para proteger los derechos del Titular del dato, su dignidad y otros derechos humanos.”

La instrucción no establece ningún condicionante sobre el grado de certeza o similares, por lo que la definición de dicho término debe, en nuestro concepto, entenderse en el sentido natural y obvio de la palabra:

“Certeza

De cierto.

f. Conocimiento seguro y claro de algo.

Sin.: certidumbre, evidencia, verdad, seguridad, convencimiento, convicción, certitud.

Ant.: duda, incertidumbre.

“Certeza

De cierto.

f. Conocimiento seguro y claro de algo.

Sin.: certidumbre, evidencia, verdad, seguridad, convencimiento, convicción, certitud.

Ant.: duda, incertidumbre.

f. Firme adhesión de la mente a algo conocible, sin temor de errar.

Sin.: certidumbre, evidencia, verdad, seguridad, convencimiento, convicción, certitud.

Ant.: duda, incertidumbre.”3

3 https://dle.rae.es/certeza?m=formFrente a la pregunta:

“5. Orientar de manera detallada cómo las organizaciones pueden cumplir de forma efectiva con la elaboración de evaluaciones de impacto, precisando:

o ¿Qué entiende la SIC por “alto riesgo de afectación a los Titulares de la información”, y cómo debe probarse dicho grado del riesgo, así como cuáles son los criterios objetivos para determinar los grados de riesgo?

o Las situaciones o casos de uso (enu nciativamente) en las cuales resulta realmente necesario y obligatorio llevar a cabo este estudio.”

Se responde: Su solicitud de pronunciamiento recae sobre un elemento normativo definido con carácter general en la Circular Externa 002 de 2024: “alto riesgo de afectación a