SIC - Concepto 536267 de 2025

Bogotá D.C., diciem bre de 2025

Asunto: Radicación: 25-536267

Folios: 19

Respetada señora:

De conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . CUESTI ÓN PREVI A

Reviste de gran im portancia precisar, en prim er lugar, que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan

adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se sum inistrarán las herram ientas de inform ación y elem entos conceptuales necesarios que le perm itan absolver las inquietudes por Usted m anifestadas.

2 . FACULTADES DE LA SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O EN MATERI A DE PROTECCI ÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;

del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el presente numeral, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o complementar contratos, actos administrativos o leyes, mucho menos a so lucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior, a conti nuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA

En dicho contexto y mediante el radicado de la referencia la consultante solicita información relacionada con la política de seguridad de la información y con base en ello, plantea los siguientes interrogantes:

“Para que entidades es obligatorio tener la política de seguridad de la información, si depende de los activos, ingresos, que norma la ampara y que sanciones existen para quien no las tengan o no las adopten.”

Todo lo cual, se desarrollará en la forma y términos ya descritos como a continuación se sigue:Pregunta

“(…) Para que entidades es obligatorio tener la política de seguridad de la información…(sic).”

Respuesta

Al respecto, se brindará una orientación en consideración de las competencias

continuación se sigue:Pregunta

“(…) Para que entidades es obligatorio tener la política de seguridad de la información…(sic).”

Respuesta

Al respecto, se brindará una orientación en consideración de las competencias de esta Entidad, en el marco del régimen de protección de datos personales, en particular de la Ley 1581 de 2012, el Capítulo 25 del Decreto 1074 de 2015 y demás normas complementarias.

Dicho esto, y pese a que de la lectura de la literalidad de la Ley 1581 de 2012, no se mencion a de manera explícita la frase “política de seguridad de la información” dicha normatividad si obliga a todos los responsables y encargados del tratamiento de datos personales a implementar las medidas necesarias para garantizar la seguridad y tratamiento de los datos y evitar con ello su pérdida o acceso no autorizado.

Así entonces, conviene señalar que el artículo 15 de la Constitución Política establece que en el Tratamiento de datos personales se respetará la libertad y demás garantías consagradas en la Constitución . Esto significa que, tanto las personas naturales como jurídicas, que traten datos personales –recolecten, almacenen, usen, circulen, supriman –, están sujetas a las obligaciones establecidas en la Constitución y en la ley.

Al respecto, débase indicar primero que el dato personal ha sido definido por el literal c) del artículo 3 de la Ley 1581 de 2012 en los siguientes términos:

“c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

En relación con las características de los datos personales, la Corte Constitucional ha considerado que son las siguientes:

“c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

En relación con las características de los datos personales, la Corte Constitucional ha considerado que son las siguientes:

“i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”1.

1 Corte Constitucional, sentencia C-748 de 2011, M.P. Jorge Ignacio Pretel.De otra parte, l a mencionada Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo p rocesamiento sea utilizando medios tecnológicos o manuales.

Por lo anterior, cualquier forma de tratamiento de estos datos está sujeta a la obligación del responsable de tratamiento de obtener la autorización del titular a más tardar al momento de la recolección de la información. Para ello, puede

tecnológicos o manuales.

Por lo anterior, cualquier forma de tratamiento de estos datos está sujeta a la obligación del responsable de tratamiento de obtener la autorización del titular a más tardar al momento de la recolección de la información. Para ello, puede utilizar mecanismos para que la autorización se otorgue por escrito, en forma oral o mediante conductas inequívocas, de conformidad con la siguiente disposición:

“2.2.2.25.2.4 MODO DE OBTENER LA AUTORIZACIÓN . Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de con formidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

De acuerdo con lo anterior, cualquier modo de tratamiento de estos datos deberá realizarse con arreglo a lo dispuesto por la Ley 1581 de 2012 y el Capítulo 25 del Decreto 1074 de 2015, por lo cual el responsable del tratamiento deberá contar con la autoriz ación previa, expresa e informada del titular de los datos personales.

del Decreto 1074 de 2015, por lo cual el responsable del tratamiento deberá contar con la autoriz ación previa, expresa e informada del titular de los datos personales.

En síntesis, el responsable del tratamiento –recolección, almacenamiento, uso, circulación o supresión – solamente puede realizar el tratamiento de datos personales con la autorización previa, expresa e informada del titular o, tratándose de menores, de su representante legal, siempre que se respete el interés superior del menor, se asegure el respecto de sus derechosfundamentales y, además, que el menor puede expresar su opinión, la cual se valora considerando su madurez, autonomía y capacidad para entender el asunto.

El responsable o encargado de tratamiento debe, en cada caso concreto, determinar la naturaleza pública, semiprivada o sensible del dato personal que es objeto de tratamiento, a fin de determinar las reglas que le son aplicables. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012.

Ahora bien, definidas dichas generalidades y teniendo como base el tema objeto de consulta, procederemos argumentar los siguientes conceptos relevantes al interior de la presente:

3.1 Principio de Seguridad como uno de los principios rectores para el Tratamiento de datos personales

En línea con lo dicho, el artículo 4 de la Ley 1581 de 2012, consagra los principios rectores para el Tratamiento de datos personales , y de manera particular, se señala:

“Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

señala:

“Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(..)” (Negrilla fuera del texto original)

Tabla No. 1 Principio Rector de Seguridad en el Tratamiento de Datos Personales

Principio Normatividad Disposición Aspectos relevantes para su adecuada aplicación Principio de Seguridad Literal g) Artículo 4 Título II Ley 1581 de 2012 y artículo 2.2.2.25.3.7, 2.2.2.25.5.2 Num. 2 y La información sujeta a tratamiento por el responsable o encargado del tratamiento deberá manejarse con las medidas técnicas, humanas y administrativas que sean -Implementación de medidas de seguridad. -Contrato de Transmisión de datos personales. -Deber de demostración.2.2.2.25.6.1 Num. 4, del Decreto 1074 de 2015. necesarias para otorgar seguridad a los registros. Fuente OAJ

3.2 Conservación de la información en condiciones de Seguridad como

Num. 4, del Decreto 1074 de 2015. necesarias para otorgar seguridad a los registros. Fuente OAJ

3.2 Conservación de la información en condiciones de Seguridad como uno de los Deberes de los Responsables y Encargados del Tratamiento

En consonancia con lo anteriormente argumentado, el artículo 17 de la Ley 1581 de 2012, consagra como uno de los deberes de los Responsables del Tratamiento, los siguientes:

“(…) Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)

1. Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del

Titular;

(…)

n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

(…).” (Negrilla fuera del texto original).

Todo lo cual se complementa con la obligación descrita en el numeral K) que consagra:

k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.”

consagra:

k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.”

En el mismo sentido, el Decreto único reglamentario1074 de 2015, establece:“Artículo 2.2.2.25.2.1. Recolección de los datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular

A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

“Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la Información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información:

1. Nombre o razón social, domicilio, dirección, correo electrónico y

teléfono del Responsable.

conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información:

1. Nombre o razón social, domicilio, dirección, correo electrónico y

teléfono del Responsable.

2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad.

3. Derechos que le asisten como Titular.

4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización.

5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.

6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente decr eto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.

Así mismo, el artículo 19 de la Ley 1581 de 2012, dispone la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.Ahora bien, para mayor ilustración frente al tema, el Manual de Políticas y Procedimientos no se debe confundir con las Políticas de Tratamiento de la Información, estando ambas figuras diferenciadas por los siguientes criterios:

Procedimientos no se debe confundir con las Políticas de Tratamiento de la Información, estando ambas figuras diferenciadas por los siguientes criterios:

Tabla No. 2 Diferenciación entre Manual de Políticas y Procedimientos y Políticas de Tratamiento de la Información Manual de Políticas y Procedimientos Políticas de Tratamiento de la Información Contenido El Manual de Políticas y

Procedimientos debe contener:

Los lineamientos y reglas empleadas para garantizar el correcto tratamiento de datos personales.

El trámite para interponer peticiones, recursos, quejas y reclamos. Las Políticas de Tratamiento de la

Información deben contener:

Tratamiento al que serán sometidos los datos del titular. Los datos de contacto del responsable y del encargado del tratamiento.

Los derechos del titular.

Persona o área responsable de atender las peticiones, quejas o reclamos presentados para conocer, actualizar, rectificar y suprimir el dato y revocar la autorización.

Los canales y mecanismos dispuestos para que los titulares ejerzan sus derechos y presenten peticiones, quejas y reclamos.

Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos

Deben constar en medio físico o electrónico y tener un lenguaje claro. Obligación de registrarlo ante la SIC Actualmente no es necesario registrar el Manual de Políticas y Procedimientos, pero esta Autoridad en el curso de una investigación administrativa puede solicitarlo. Las Políticas de Tratamiento de la

registrarlo ante la SIC Actualmente no es necesario registrar el Manual de Políticas y Procedimientos, pero esta Autoridad en el curso de una investigación administrativa puede solicitarlo. Las Políticas de Tratamiento de la Información no deben ser radicadas ante la SIC, pero si deberán ser puestas en conocimiento de los titulares, en tanto su función principal es informar al titular sobre los derechos que tiene y el tratamiento al que son sometidos sus datos. Así mismo, cualquier modificación a las políticas deberán ser comunicadas a los titulares. Normas que lo sustenta Literal k) del artículo 17 de la Ley 1581 de 2012 Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.

Fuente: Tomada del Concepto Rad. No. 25-283125

Conforme lo expuesto, las Políticas de Tratamiento de la Información deberán ser puestas en conocimiento de los titulares, con la finalidad de garantizar que estos puedan ejercer su derecho al habeas data. Para dar a conocer las Políticas de la Información, el artículo 2.2.2.25.3.2 del Decreto 1074 de 2015 indica quese podrá emplear un aviso de privacidad, donde se informe al titular sobre la existencia de tales políticas y la forma de acceder a ellas. Dicho aviso deberá ponerse a disposición del titular de manera oportuna y a más tardar al momento de la recolección de los datos personales.

El artículo 2.2.2.25.3.3. del Decreto 1074 de 2015 indica que el aviso de privacidad deberá contener como mínimo: (i) nombre o razón social y los datos

de la recolección de los datos personales.

El artículo 2.2.2.25.3.3. del Decreto 1074 de 2015 indica que el aviso de privacidad deberá contener como mínimo: (i) nombre o razón social y los datos de contacto del responsable del tratamiento (ii) el tratamiento al cuál serán sometidos los datos y la finalidad del mismo (iii) los derechos del titular (iv) los mecanismos dispuestos por el responsable para que el titular conozca la política de tratamiento y los cambios que se realicen.

Tal como se puede apreciar, el deber que tienen los Responsables del Tratamiento es el de adoptar tanto el Manual de Políticas y Procedimientos y el de incorporar las Políticas de la Información, las cuales además deberán ser divulgadas y puestas en conocimiento de los titulares de la información.

Finalmente, es preciso indicar que, en virtud del principio de responsabilidad demostrada, los responsables del tratamiento deben implementar medidas apropiadas y efectivas para cumplir con la Ley 1581 de 2012. Por ello, el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 indica que el principio de responsabilidad demostrada hace referencia a la capacidad de los responsables del tratamiento para poder demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir las obligaciones establecidas en la Ley 1581 de 2012.

Siguiendo con la sustentación del tema relacionado con la conservación de la información en condiciones de Seguridad como uno de los Deberes de los Responsables y Encargados del Tratamiento , el artículo 18 de la Ley 1581 de 2012 dispone:

“Artículo 18. Deberes de los Encargados del Tratamiento. Los

información en condiciones de Seguridad como uno de los Deberes de los Responsables y Encargados del Tratamiento , el artículo 18 de la Ley 1581 de 2012 dispone:

“Artículo 18. Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares;

(…).” (Negrilla fuera del texto original).

Así las cosas, es pertinente diferenciar el rol y los deberes del Responsable y el Encargado del Tratamiento, de conformidad con los artículos 17 y 18 de la Ley 1581 de 2012 como se muestra a continuación:

Tabla No. 3 Diferenciación Roles Entre Responsable y Encargado del Tratamiento Criterio Responsable del Tratamiento Encargado del Tratamiento

Definición Persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento de los datos. Persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta del Responsable. Rol principal Determinar los fines y medios del tratamiento de datos personales. Determinar los fines y medios del tratamiento de datos personales.

Autonomía en el tratamiento Tiene la facultad de definir cómo y

del Responsable. Rol principal Determinar los fines y medios del tratamiento de datos personales. Determinar los fines y medios del tratamiento de datos personales.

Autonomía en el tratamiento Tiene la facultad de definir cómo y para qué se tratarán los datos personales. Actúa bajo las directrices del Responsable y no tiene autonomía sobre la finalidad del tratamiento.

Derecho de hábeas data Garantizar, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data del Titular. Garantizar, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data del Titular

Conservación y seguridad de la información Debe conservar la información bajo condiciones de seguridad que impidan su adulteración, pérdida o acceso/uso no autorizado o fraudulento. Debe conservar la información aplicando las condiciones de seguridad necesarias para evitar su adulteración, pérdida o acceso no autorizado.

Actualización, rectificación y supresión de datos Actualizar la información, rectificarla cuando es incorrecta y comunicar oportunamente al Encargado cualquier novedad o cambio. Realizar de forma oportuna, la actualización, rectificación o supresión de los datos. Además, debe actualizar la información reportada por el Responsable en un plazo máximo de 5 días hábiles.

Atención de consultas y reclamos

Tramitar las consultas y reclamos de los Titulares. Tramitar las consultas y reclamos de los Titulares conforme a lo estipulado en la ley.

Atención de consultas y reclamos

Tramitar las consultas y reclamos de los Titulares. Tramitar las consultas y reclamos de los Titulares conforme a lo estipulado en la ley. Registrar en la base de datos la leyenda “reclamo en trámite” y gestionar la información en discusión judicial. Manual interno de políticas y procedimientos Adoptar un manual interno de políticas y procedimientos que garantice el cumplimiento de la ley Adoptar un manual interno de políticas y procedimientos para asegurar el adecuado cumplimiento de la ley y lay facilite la atención de consultas y reclamos. atención oportuna de consultas y reclamos.

Relación con el Titular: autorización e información - Solicitar y conservar copia de la autorización otorgada por el Titular. - Informar de manera clara sobre la finalidad de la recolección y los derechos que asisten al Titular. - Suministrar al Encargado únicamente datos cuyo tratamiento esté previamente autorizado.

No tiene la obligación de solicitar la autorización ni de informar directamente sobre la finalidad de la recolección, pero debe garantizar el ejercicio del derecho de hábeas data y atender las consultas/reclamos derivados del tratamiento.

Calidad y veracidad de la información Garantizar que la información entregada al Encargado sea veraz, completa, exacta, actualizada, comprobable y comprensible. Gestionar y actualizar la información conforme a lo suministrado por el

de la información Garantizar que la información entregada al Encargado sea veraz, completa, exacta, actualizada, comprobable y comprensible. Gestionar y actualizar la información conforme a lo suministrado por el Responsable, sin asumir la responsabilidad de su veracidad inicial.

Seguridad de la información Exigir al Encargado el respeto a las condiciones de seguridad y privacidad de la información del Titular. Conservar la información bajo las condiciones de seguridad necesarias, y permitir el acceso a la información únicamente a personal autorizado.

Comunicación de novedades y situaciones de disputa Comunicar de forma oportuna al Encargado las novedades, rectificaciones y cuando la información se encuentre en discusión por parte del Titular. Insertar en la base de datos la leyenda “información en discusión judicial” cuando es notificado por la autoridad competente. Abstenerse de circular información en disputa ordenada por la Superintendencia.

Comunicación a la autoridad y cumplimiento normativo -Informar a la autoridad de protección de datos sobre violaciones a los códigos de seguridad y riesgos en la administración de la información. - Cumplir las instrucciones y requerimientos impartidos por la Superintendencia de Industria y Comercio. -Informar a la Superintendencia de Industria y Comercio sobre violaciones a los códigos de seguridad y riesgos en la administración de la información. - Cumplir las instrucciones y requerimientos que imparta

Comercio. -Informar a la Superintendencia de Industria y Comercio sobre violaciones a los códigos de seguridad y riesgos en la administración de la información. - Cumplir las instrucciones y requerimientos que imparta dicha entidad.

Fuente: Tomado del Concepto Rad. No. 25-283125

Como se puede observar, el legislador les ha otorgado diferentes responsabilidades a estos actores. Por su parte, la Corte Constitucional, aclaró la diferencia entre el Responsable y El encargado del tratamiento de datos personales según la Ley 1581 de 2012. El Alto Tribunal resaltó que:

• El Responsable es quien define los fines y medios esenciales del tratamiento de los datos. • El Encargado actúa por cuenta del responsable bajo una relación de subordinación.Esta distinción es clave para delimitar el régimen de responsabilidades y obligaciones en la administración de datos personales, garantizando el derecho fundamental al habeas data. Además, la Corte enfatizó la importancia de que cada sujeto en el tratamien to de datos asuma sus deberes, y que, en caso de dudas sobre la asignación de responsabilidades, se presuma la responsabilidad solidaria entre los participantes.3

A la luz de lo anteriormente dicho, los responsables del tratamiento deben no solamente cumplir con el régimen de protección de datos personales, sino además demostrar, cuando esta Superintendencia lo requiera, que han tomado las medidas apropiadas y efect ivas para cumplir con dicho régimen, considerando la naturaleza particular del responsable y su tamaño empresarial; la naturaleza de los datos personales objeto del tratami