SIC - Concepto 505416 de 2025

Bogotá D.C., noviembre de 2025

Asunto: Radicación: 24-505416

Folios: 17

Respetado Señor:

De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por m edio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundamento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los términos que a continuación se pasan a exponer:

1 . CUESTI ÓN PREVI A

Reviste de gran importancia precisar en primer lugar que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTI TUCI ONAL ha establecido en la Sentencia C542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de

la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

2 . FACULTADES DE LA SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O EN MATERI A DE PROTECCI ÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

Velar por el cumplim iento de la legislación en materia de protección de datos personales; Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

 Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;

 Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;

 Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

y encargados del tratamiento a las disposiciones previstas en la presente ley;

 Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el presente numeral, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pa utas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o complementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior, a continuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

En consecuencia, se responderá a continuación su consulta considerando las competencias de esta Entidad, dentro del marco del régimen de protección de datos personales, en particular de la Ley 1581 de 2012 y del Capítulo 25 del Decreto 1074 de 2015, sin que pueda referirse a otros aspectos de su consulta que desbordan el ámbito de estas competencias , p ues se reitera , que los conceptos que expide esta Oficina se limitan a dar pautas de acción respecto de las materias a cargo de la Superintendencia de Industr ia y Comercio, más no están encaminados a dirimir cuestiones particulares.

A partir de la exposición de las consideraciones anteriores, y en el marco del asunto de su comunicación, nos permitimos manifestar:Pregunta

“PRIMERO: De acuerdo con los lineamientos y recomendaciones de la Superintendencia de Industria y Comercio, en los casos en que el uso

asunto de su comunicación, nos permitimos manifestar:Pregunta

“PRIMERO: De acuerdo con los lineamientos y recomendaciones de la Superintendencia de Industria y Comercio, en los casos en que el uso de Microsoft Forms no se considere una alternativa adecuada o conforme con los principios de seguridad, acceso restringido y responsabilidad demostrada establecidos en la Ley 1581 de 2012, ¿qué tipo de herramientas o mecanismos tecnológicos resultan recomendables para la recolección de datos personales por parte de las empresas, especialmente cuando se requiere soporte en medios digitales? (sic)”.

Respuesta

Sea lo primero precisar que frente a la inquietud planteada nos centraremos en los aspectos jurídicos que involucra n el tratamiento de datos a través de servicios de computación en la nube y no en elementos, herramientas, mecanismos o conceptos tecnológicos, por cuanto en dicho contexto, a quien le corresponde decidir es a cada organización a la luz de l principio de responsabilidad demostrada, en tanto esta oficina asesora jurídica mediante concepto no puede dirimir situaciones particulares.

Además de ello, ha de tenerse en cuenta que “la regulación sobre Tratamiento de Datos Personales debe aplicarse al margen de los procedimientos, metodologías o mecanismos que se utilicen para recolectar, usar o tratar ese tipo de información. Por ende, debe ser cumplida por quien realice Tratamiento de datos mediante el uso de técnicas, herramientas como, entre otros, en internet de las cosas, las App, la inteligencia artificial, la robótica y la computación en la nube. El uso de esas innovaciones tecnológicas no desaparece la protección de datos ni debe convertirse en un instrumento para disminuir el

internet de las cosas, las App, la inteligencia artificial, la robótica y la computación en la nube. El uso de esas innovaciones tecnológicas no desaparece la protección de datos ni debe convertirse en un instrumento para disminuir el nivel de protección de los derechos de las personas que es exigido por la regulación en comento”1.

En vista de lo anterior, esta Entidad e ncuentra pertinente, traer a colación el siguiente concepto;

3.1. Servicios de Computación en la Nube (CLOUD COMPUTING)

De acuerdo con el Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology - NIST), la computación en la nube es “un modelo que permite el acceso ubicuo, adaptable y por demanda en red a un conjunto compartido de recursos computacionales configurables (por ejemplo: redes, servidores, almacenamiento, aplicaciones y servicios) que se pueden

1 Guía Recomendaciones para el tratamiento de datos personales mediante servicios de computación en la nube – Abril 2021 – Pág. 9aprovisionar y liberar rápidamente con un mínimo de esfuerzo de gestión o interacción del proveedor de servicios” (NIST, 2021).2

Asimismo, la Superintendencia de Industria y Comercio define la computación en la nube en los siguientes términos:

“La computación en la nube es la tecnología que permite gestionar servicios informáticos de manera remota, de tal forma que cualquier servicio o procesamiento de datos, que antes se realizaba localmente, puede ejecutarse a través de la red de Internet, tal como el uso de aplicaciones, almacenamiento, gestión de datos, entre otros, haciendo un uso eficiente y económico de recursos al compartir hardware y software como plataformas, licencias, capacidad de almacenamiento y

puede ejecutarse a través de la red de Internet, tal como el uso de aplicaciones, almacenamiento, gestión de datos, entre otros, haciendo un uso eficiente y económico de recursos al compartir hardware y software como plataformas, licencias, capacidad de almacenamiento y servicios con muchos usuarios, con un alto nivel de disponibilidad, flexibles y por demanda; características que reducen tiempos de acceso y costos, pero se debe incrementar la seguridad en las operaciones, especialmente en la de tipo público, donde la infraestructura y demás recursos son compartidos públicamente en internet.”3

En atención a lo dicho, conviene precisar que la regulación sobre tratamiento de datos personales aplica a cualquier tratamiento de datos, con independencia de las técnicas, procesos o tecnologías actuales o futuras que se utilicen para dicho efecto.

En tal sentido los Estándares de Protección de Datos Personales para los Estados Iberoamericanos aprobados por la RIPD en 2017 , definen Tratamiento como “cualquier operación o conjunto de operaciones efectuadas mediante procedimientos físicos o automatizados realizadas sobre datos personales, relacionadas, de manera enunciativa más no limitativa, con la obtención, acceso, registro, organización, estructuración, adaptación, indexación, modificación, extracción, co nsulta, almacenamiento, conservación, elaboración, transferencia, difusión, posesión, aprovechamiento y en general cualquier uso o disposición de datos personales”.4

Esta terminología resulta relevante en la medida que cualquier actividad que se realice con datos personales, a través de medios manuales o automatizados, con o sin intervención humana, debe observar las reglas establecidas en las normas sobre protección de datos personales.

2 SIC, “Protección de los datos personales en los servicios de Computación en la Nube (Cloud

o sin intervención humana, debe observar las reglas establecidas en las normas sobre protección de datos personales.

2 SIC, “Protección de los datos personales en los servicios de Computación en la Nube (Cloud Computing)”,

Disponibleen: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_Proteccio n_datos.pdf, pag 9. 3 Idem 4 Cfr. Literal i) del artículo 2.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017)De igual forma, ha definido el “ Dato Personal ”, como “cualquier información concerniente a una persona física identificada o identificable, expresada en forma numérica, alfabética, gráfica, fotográfica, alfanumérica, acústica o de cualquier otro tipo“.5

Dicho lo anterior , y atendiendo al tema objeto de consulta, la Red Iberoamericana de Protección de Datos ha puesto de presente una serie de recomendaciones, que pueden servir de orientación al consultante para resolver su inquietud, de la siguiente manera:

Tabla No. 1. Recomendaciones Red Iberoamericana de Protección de Datos Recomendación Aspectos para tener en cuenta Respetar las normas locales sobre Tratamiento de Datos Personales (TDP) -Cumplimiento de las normas nacionales de tratamiento de datos por parte del proveedor de servicios de computación en la nube, donde se preste el servicio, así como por parte de los responsables o encargados que contraten dichos servicios. -Elaboración de un estudio de riesgos legales que pueda implicar la suscripción de los contratos a que haya lugar. -Definición de una estrategia para mitigar riesgos, mantener

responsables o encargados que contraten dichos servicios. -Elaboración de un estudio de riesgos legales que pueda implicar la suscripción de los contratos a que haya lugar. -Definición de una estrategia para mitigar riesgos, mantener confianza por parte de los titulares de los datos, no afectar la buena reputación de la organización , y poder evitar reclamaciones por parte de los interesados y sanciones por parte de las autoridades competentes. Formalizar un acuerdo con el Proveedor de Servicios de Computación en la Nube (PSCEN) que contenga aspectos mínimos sobre tratamiento de datos personales.

-Suscripción de contrato mediante el cual se acuerden términos concretos de la prestación de los servicios entre el prestador de servicios de computación en la nube y quien lo contrata. 6 Respetar las reglas sobre transferencias internacionales de datos

-El contratante de los servicios de computación en la nube debe observar las reglas locales de la transferencia internacional de datos o flujo transfronterizo de datos, en virtud del principio de continuidad de la protección de datos entre otros. Efectuar estudios de impacto a la protección de datos personales

-Efectuar una evaluación de impacto a la protección de datos con el fin de poner en funcionamiento un sistema efectivo de manejo de riesgos y controles internos, que garanticen que los datos se trat en debidamente y conforme a la regulación existente 7

5 Cfr. Literal c) del artículo 2.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017). 6 https://www.sic.gov.co/sites/default/files/files/2021/Guia%20cloud%20computing%202021.pdf

5 Cfr. Literal c) del artículo 2.1 de los Estándares de protección de datos personales para los Estados Iberoamericanos (2017). 6 https://www.sic.gov.co/sites/default/files/files/2021/Guia%20cloud%20computing%202021.pdf “Recomendaciones para el tratamiento de datos personales mediante servicios de computación en la nube” (Pág. No. 15) 7 https://www.sic.gov.co/sites/default/files/files/2021/Guia%20cloud%20computing%202021.pdf “Recomendaciones para el tratamiento de datos personales mediante servicios de computación en la nube” (Pág. No. 16)Incorporar la privacidad, la ética y la seguridad desde el diseño y por defecto -Cumplimiento del principio de Accountability 8, garantizando el correcto tratamiento de datos, adopción de medidas preventivas y de seguridad apropiadas frente a distintos factores como niveles de riesgos, naturaleza del dato, magnitud del daño, cantidad de información, tamaño de la organización, recursos disponibles, etc.… Materializar el principio de responsabilidad proactiva

-Adopción de medidas apropiadas y efectivas para cumplir obligaciones legales, para su aplicación se recomiendan diversos mecanismos9 -Actividad de supervisión continua que exige mostrar cumplimiento real y efectivo en la práctica de funciones. - Entrenamientos periódicos y especializados del equipo humano de la organización para el correcto desarrollo de su actividad. -Identificación y clasificación de riesgos y adopción de medidas para su mitigación como elementos cardinales del principio de responsabilidad demostrada que desarrollaremos más adelante. - Adoptar medidas para garantizar los principios sobre el Tratamiento de Datos Personales (TDP) mediante los servicios de computación en la nube

responsabilidad demostrada que desarrollaremos más adelante. - Adoptar medidas para garantizar los principios sobre el Tratamiento de Datos Personales (TDP) mediante los servicios de computación en la nube (CEN)

-Establecer estrategias eficientes para gar antizar cumplimiento de los principios sobre el tratamiento de datos personales Garantizar los derechos de los titulares de los datos e implementar mecanismos efectivos para su ejercicio

-Cumplimiento estricto de los principios de tratamiento de datos personales Incrementar confianza y la transparencia con los titulares de los datos personales

-Credibilidad que ofrece un tercero por las garantías frente a los servicios que presta Fuente OAJ Obsérvese entonces que, cualquier t ratamiento de esa información debe ser respetuosa de los derechos de las personas y de las regulaciones pertinentes con independencia de las técnicas, tecnologías, o herramientas que se utilicen.

Ahora bien, como se viene de analizar para la recolección de datos personales no solo ha de tenerse en cuenta los principios de seguridad, acceso restringido y responsabilidad demostrada sino todos los principios rectores en materia de tratamiento de datos personales que la Ley 1581 de 2012, consagra en el artículo 4° y del cual se desprende que:

8 Cavoukian (2011) 9 https://www.sic.gov.co/sites/default/files/files/2021/Guia%20cloud%20computing%202021.pdf “Recomendaciones para el tratamiento de datos personales mediante servicios de computación en la nube” (Pág. No. 18)Tabla No. 2. De los principios rectores en materia de tratamiento de datos personales

“Recomendaciones para el tratamiento de datos personales mediante servicios de computación en la nube” (Pág. No. 18)Tabla No. 2. De los principios rectores en materia de tratamiento de datos personales

PRINCIPIOS RECTORES EN MATERIA DE TRATAMIENTO DE DATOS

PERSONALES Principio Normatividad Disposición Aspectos relevantes para su adecuada aplicación Principio de Legalidad Literal a) Artículo 4 Título II , y Título IV de la Ley 1581 de 2012 Debe sujetarse a lo establecido en la Ley y demás disposiciones que la desarrollen. -Autorización Explicita del titular. -Consentimiento del titular. -Derechos de los titulares. -Casos en los que no es necesaria la autorización. -Suministro de información. -Deber de información al titular -Personas a quienes se les puede suministrar información, entre otros. Principio de finalidad -Literal b) Artículo 4 Título II Ley 1581 de 2012. -Decreto 1074 de 2015 (Artículos 2.2.2.25.1.3 Num 1, 2.2.2.25.2.1, 2.2.2.25.2.2, 2.2.2.25.2.3 Num. 2, 2.2.2.25.2.7 Num 4 y 5, 2.2.2.25.2.8, 2.2.2.25.3.1 Num.2, 2.2.2.25.3.3 Num 2, 2.2.2.25.5.2,

Num 4 y 5, 2.2.2.25.2.8, 2.2.2.25.3.1 Num.2, 2.2.2.25.3.3 Num 2, 2.2.2.25.5.2, 2.2.2.25.6.1 Num 4, 2.2.2.26.2.1 Num 4, 2.2.2.26.2.5 y 2.2.2.30.4 Num.3). Debe obedecer a una finalidad legitima de acuerdo con la Constitución y la Ley, debidamente informada al titular. -Recolección de datos personales. -Aviso de Privacidad. -Autorización. -Autorización para el tratamiento de datos sensibles. -Datos recolectados -Limitaciones temporales al tratamiento de datos personales. -Políticas de tratamiento de la información. -De la transferencia y transmisiones internacionales de datos personales. -Responsabilidad demostrada. -Registro Nacional de bases de datos. -Excepciones al deber de informar, entre otros.Nota: Ninguna actividad puede condicionarse al suministro de datos personales sensibles10 Principio de libertad Literal c) Artículo 4 Título II Ley 1581 de 2012 y el Artículo 2.2.2.25.2.1 Sección 2 del Decreto 1074 de 2015. Solo puede ejercerse con el consentimiento previo, expreso e informado del titular. -Autorización previa explicita e informada. -Obligación de

Sección 2 del Decreto 1074 de 2015. Solo puede ejercerse con el consentimiento previo, expreso e informado del titular. -Autorización previa explicita e informada. -Obligación de información que le asiste al responsable del dato al solicitar la autorización del dato sensible.

“Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.” Principio de veracidad Literal d) Artículo 4 Título II Ley 1581 de 2012 y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015. La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada y comprensible -Derecho a la actualización, rectificación y supresión. “Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error” Principio de Transparencia Literal e) Artículo 4 Título II Ley 1581 de 2012 Debe garantizarse el derecho del titular a obtener información acerca de la existencia de datos que le conciernan. -El Responsable del Tratamiento o del encargado del tratamiento debe ser el garante de dicha disposición legal. Principio de acceso y circulación restringida Literal f) Artículo 4 Título II Ley 1581 de 2012 El tratamiento debe sujetarse a los límites que se deriven de la naturaleza del dato personal y de las

acceso y circulación restringida Literal f) Artículo 4 Título II Ley 1581 de 2012 El tratamiento debe sujetarse a los límites que se deriven de la naturaleza del dato personal y de las disposiciones legales y constitucionales. -Solo podrá hacerse por personas autorizadas por el titular y/o por las previstas en la Ley 1581 de 2012. “Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los titulares o terceros autorizados conforme a la presente ley” Principio de Seguridad Literal g) Artículo 4 Título II Ley 1581 de 2012 y artículo 2.2.2.25.3.7, 2.2.2.25.5.2 Num. 2 y 2.2.2.25.6.1 Num. 4, del Decreto 1074 de 2015. La información sujeta a tratamiento por el responsable o encargado del tratamiento deberá manejarse con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros. -Implementación de medidas de seguridad. -Contrato de Transmisión de datos personales. -Deber de demostración.

10 Ver Resolución No. 16582 de 2025 de la Dirección de Investigaciones para la protección de datos personales de la SIC“(…) evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;”

demostración.

10 Ver Resolución No. 16582 de 2025 de la Dirección de Investigaciones para la protección de datos personales de la SIC“(…) evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;” Principio de confidencialidad Literal h) Artículo 4 Título II Ley 1581 de 2012 y artículo 2.2.2.25.5.2 Num 3 del Decreto 107 4 de 2015. Todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligados a garantizar la reserva de la información. -Reserva de la información. -Contrato Transmisión Datos Personales “(…) inclusive después de finalizad a su relación con alguna de las labores que comprende el Tratamiento, pudiendo só lo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma”.

Fuente: OAJ

Dicho esto, y como uno de los ejes principales del desarrollo de la consulta, conviene destacar; el Principio de responsabilidad demostrada en virtud del cual los responsables del tratamiento deben implementar medidas apropiadas y efectivas para cumplir con la Ley 1581 de 2012.

Por ello, el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 indica que el principio de responsabilidad demostrada, hace referencia a la capacidad de los responsables del tratamiento para poder demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas

de responsabilidad demostrada, hace referencia a la capacidad de los responsables del tratamiento para poder demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir las obligaciones establecidas en la Ley 1581 de 2012. El artículo en comento menciona, que la demostración por parte de responsable deberá ser proporcional a: (i) su naturaleza jurídica y si es el caso su tamaño empresarial, es decir si se trata de una mipyme o una gran empresa (ii) la naturaleza de los datos personales objeto del tratamiento (iii) el tipo de tratamiento y (iv) los riesgos potenciales que el tratamiento podría causar sobre los derechos de los titulares.

En razón al principio de responsabilidad demostrada, el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015 introduce la noción de políticas internas efectivas en los siguientes términos:

“Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar:

1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo.2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo her ramientas de implementación, entrenamiento y programas de educación.

e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo.2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo her ramientas de implementación, entrenamiento y programas de educación.

3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.

La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.”

De esta manera, los responsables del tratamiento deberán adoptar medidas efectivas y apropiadas para cumplir con la Ley 1581 de 2012, las cuales deberán contar con: (i) una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable (ii) la adopción de mecanismos internos para poner en práctica las políticas internas efectivas incluyendo herramientas de implementación, entrenamiento y programas de educación (iii) y la adopción de procesos para atención de PQR.

En este sentido, se puede concluir que , cualquier tratamiento de los datos personales debe ser respetuosa de los derechos de las personas y de las regulaciones pertinentes con independencia de las técnicas, tecnologías, o herramientas que se utilicen para tal fin, en acatamiento propio de los principios rectores que rigen dicha materia.

Pregunta

“SEGUNDO: En el evento de que la empresa cuente con un contrato

herramientas que se utilicen para tal fin, en acatamiento propio de los principios rectores que rigen dicha materia.

Pregunta

“SEGUNDO: En el evento de que la empresa cuente con un contrato de licenciamiento vigente de la suite Microsoft Office 365 —que incluye el uso de Microsoft Forms —, ¿dicho acuerdo puede considerarse suficiente para cumplir con las obligaciones del responsable del tratamiento en materia de transmisión o transferencia internacional de datos personales, o es necesario suscribir cláusulas contractuales adicionales que garanticen un nivel adecuado de protección conforme al artículo 26 de la Ley 1581 de 2012 y sus decretos reglamentarios? (sic).”

Respuesta

Aunado a lo anterior, se tiene que, respecto a las partes en el contrato de Cloud Computing, y que se ilustra en la siguiente tabla:Tabla 3. Partes en el tratamiento de datos personales a través de servicios de computación en la nube Actor Descripción Proveedor de Servicios de Computación en la Nube (PSCEN) Actúa como Encargado del Tratamiento de datos personales. Es definido como el prestador de servicios que, siendo una persona física, jurídica o autoridad pública y ajena a la organización del Responsable, trata datos personales en nombre y por cuenta de éste. La relación entre el Responsable y el Encargado debe formalizarse mediante un contrato o instrumento jurídico que incluya lo establecido en los artícu los 34.2 11 y 34.3 de los Estándares de protección de datos personales. Además, si el PSCEN subcontrata servicios que implican tratamiento de datos personales, debe cumplir con requisitos adicionales establecidos en el artículo 35.12 Empresa o Entidad Pública que Contrata

Estándares de protección de datos personales. Además, si el PSCEN subcontrata servicios que implican tratamiento de datos personales, debe cumplir con requisitos adicionales establecidos en el artículo 35.12 Empresa o Entidad Pública que Contrata los Servicios de Computación en la Nube Puede asumir el rol de Responsable o Encargado del Tratamiento. Como Responsable, determina los fines, medios y alcance del tratamiento de datos personales y debe cumplir con las obligaciones jurídicas aplicables. Tanto el Responsable como el Encargado deben implementar medidas para garantizar el cumplimiento de la regulación de protección de datos y estar en capacidad de responder ante el Titular del dato y la Autoridad de Protección de Datos por sus acciones u omisiones. Titular del Dato Personal Es la persona física a quien le conciernen los datos personales tratados. Sus derechos deben ser garantizados al emplear servicios de computación en la nube para el tratamiento de sus datos personales.13 Autoridad de Protección de Datos (APD) También conocida como Autoridad de Control, su función es vigilar que los Responsables y Encargados que emplean servicios de computación en la nube cumplan con las disposiciones legales en materia de protección de datos personales. En los Estándares, el capítulo VII aborda los aspectos relacionados con las funciones de control y supervisión de la APD.

Fuente: Tomado del Concepto Jurídico Rad. 24-538790.

En el contexto de los servicios de computación en la nube, el Proveedor de Servicios de Computación en la Nube (PSCEN) opera bajo la figura de Encargado del Tratamiento de los datos personales, actuando conforme a las instrucciones

En el contexto de los servicios de computación en la nube, el Proveedor de Servicios de Computación en la Nube (PSCEN) opera bajo la figura de Encargado del Tratamiento de los datos personales, actuando conforme a las instrucciones del Responsable y sin ostentar poder decisorio sobre el alcance y contenido del tratamiento. Los Estánd