SIC - Concepto 562877 de 2025

Bogotá D.C., diciem bre de 2025

Asunto: Radicación: 25-562877

Folios: 56

Respetada Señora:

De conform idad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . CUESTI ÓN PREVI A

Reviste de gran im portancia precisar en prim er lugar que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido, im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, la CORTE CONSTI TUCI ONAL ha establecido en la Sentencia C542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de

la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

2 . FACULTADES DE LA SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O EN MATERI A DE PROTECCI ÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cum plim iento de la legislación en m ateria de protección de datos personales;• Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

3. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

En atención al traslado recibido, esta Entidad en el marco de las competencias atribuidas en materia de protección de datos personales , procederá a dar respuesta a los interrogantes planteados en los numerales 5, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17 y 19 de la consulta, como sigue:

Quinto y décimo noveno interrogante

“¿Existe obligación legal expresa de propietarios de unidades inmobiliarias en régimen de propiedad horizontal de mantener actualizado ante la administración sus datos personales (número de cédula de ciudadanía, teléfono, correo electrónico, domicilio de contacto)? ¿Cuál es el fundamento normativo de tal obligación? ¿Dónde se establece expresamente: en la Ley 675 de 2001, en los estatutos de cada conjunto, o en reglamentos internos? ¿Qué consecuencias legales y sanciones administrativas se derivan del incumplimiento reiterado del propietario en actualizar sus datos?

¿Puede la Asamblea General aprobar acuerdo o norma que imponga multa o sanción pecuniaria a propietarios que rehúsen actualizar sus datos personales ante la administración? ¿Constituiría tal sanción violación del derecho fundamental a la privacidad y protección de datos personales? ¿Existe proporcionalidad entre obligación de actualizar datos y sanción pecuniaria impuesta? ¿Cuál es el límite razonable de tal

violación del derecho fundamental a la privacidad y protección de datos personales? ¿Existe proporcionalidad entre obligación de actualizar datos y sanción pecuniaria impuesta? ¿Cuál es el límite razonable de tal multa: porcentaje de cuota de mantenimiento, monto fijo, multas progresivas? ¿Puede el propietario o ponerse a sanción argumentando que actualizar datos crearía riesgo para su seguridad personal?”

Respuesta: El artículo 15 de la Constitución Política establece que en el Tratamiento de datos personales se respetará la libertad y demás garantías consagradas en la Constitución. Esto significa que, tanto las personas naturales como las jurídicas, que traten datos personales –recolecten, almacenen, usen, circulen, supriman– , están sujetas a las obligaciones establecidas en la Constitución y en la ley.

De acuerdo con lo anterior, e n el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4º de la Ley 1581 de 2012 así:

"c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento."

Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización voluntaria, previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido

cuando exista la autorización voluntaria, previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

Ahora bien, debe tenerse en cuenta que hay situaciones en las que existe un expreso mandato legal que releva el consentimiento previo del titular cuando ha establecido la obligatoriedad de un determinado tratamiento de datos personales. En dichas situaciones, corresponde al Responsable del Tratamiento estudiar la normativa aplicable a efectos de determinar si se ha relevado del requisito de autorización previa, o, por el contrario, sí es necesario contar con el consentimiento del titular previo a su tratamiento.

En este sentido, resulta oportuno remitirnos a lo dispuesto en el artículo 10 de la Ley 1581 de 2012, que prevé distintos supuestos en los que no es necesaria la autorización del titular:

“Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de:

a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.”

En esos términos, es importante que la peticionaria tenga en cuenta la

acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.”

En esos términos, es importante que la peticionaria tenga en cuenta la obligación, a cargo del Responsable del Tratamiento, de garantizar el cumplimiento del principio de libertad contando con la autorización previa, expresa e informada del titular. Ahora bien, la ley prevé 5 supuestos en los que no es necesaria la autorización y será, entonces, para estos casos establecidos en el artículo 10 de la Ley Estatutaria que el Responsable no tendrá que contar con autorización.

5.1. Principio de veracidad

El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”

En consecuencia, para que un dato pueda ser considerado como personal debe cumplir con las siguientes características: (i) estar referidos a aspectos exclusivos y propios de una persona natural, ii) identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales –principiosen lo relativo a su captación, administración y divulgación contenidos en los literales del artículo 4º, entre ellos, el principio de veracidad o calidad, a saber:

“d) Principio de veracidad o calidad : La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada,

literales del artículo 4º, entre ellos, el principio de veracidad o calidad, a saber:

“d) Principio de veracidad o calidad : La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible . Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error” (Subrayas fuera de texto original)

Al respecto, la CORTE CONSTITUCIONAL mediante sentencia C -748 de 2011 señaló lo siguiente:

“En la sentencia SU -082 de 1995, esta Corporación fijó el principio de integridad en el manejo de los datos. Bajo su amparo, se prohibió que el manejo de los datos fuese incompleto, en razón a que esta situación puede distorsionar la veracidad de la información. (…).”

En otras palabras, todo Responsable y Encargado del tratamiento está obligado a cumplir con los principios contenidos en el régimen de protección de datospersonales, entre ellos, la información sometida a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Cabe señalar que el principio de veracidad o calidad a su vez está contenido en los “Deberes de los Responsables y Encargados del Tratamiento” obrantes en el artículo 17 y 18 de la Ley 1581 de 2012, en los siguientes términos:

“Artículo 17. Deberes de los Responsables del tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) e) Garantizar que la información que se suministre al Encargado del

Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;

f) Actualizar la información , comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada;

g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento (…)” (Subrayas fuera de texto original)

“Artículo 18. Deberes de los Encargados del tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la presente ley;

d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo; (…)” (Subrayas fuera de texto original)

En lo que respecta al titular del dato personal, el artículo 8 º de la Ley 1581 de 2012 señala, entre otros, el siguiente derecho:

“Artículo 8. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos:

a) Conocer, actualizar y rectificar sus datos personales frente a los

2012 señala, entre otros, el siguiente derecho:

“Artículo 8. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos:

a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento . Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.” (Subrayas fuera de texto original)Los derechos del titular son ejercidos frente al R esponsable y/o Encargado del tratamiento mediante los procedimientos de consulta y reclamos.

Octavo interrogante

“¿Cómo se aplica concretamente el derecho fundamental al hábeas data (consagrado en artículos 15, 23 y 86 de la Constitución Política, Ley 1581 de 2012 y Decreto 1377 de 2013) a los contextos administrativos de una propiedad horizontal? ¿Califica la administración como responsable del tratamiento de datos personales conforme a la Ley 1581 de 2012? ¿Cuál es la naturaleza jurídica de la administración de propiedad horizontal: entidad pública, semipública, privada, o híbrida? ¿A qué régimen de protección de datos personales se somete: derecho administrativo, privado, o ambos? ¿Cuáles son los límites y excepciones al derecho de habeas data aplicables en este contexto?”

Respuesta:

8.1. De los responsables y encargados del tratamiento de datos personales

Cuando las personas naturales o jurídicas realizan el tratamiento de datos personales, la ley establece las categorías del responsable y del encargado del tratamiento, a los cuales les asigna los deberes que deben observar para el

personales

Cuando las personas naturales o jurídicas realizan el tratamiento de datos personales, la ley establece las categorías del responsable y del encargado del tratamiento, a los cuales les asigna los deberes que deben observar para el cumplimiento del régimen de protección de datos personales.

Así, de conformidad con el literal e) del artículo 3º de la Ley 1581 de 2012, se considera responsable del tratamiento:

“e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”

En los términos anteriores, toda persona, ya sea natural o jurídica, que de manera individual o en conjunto con otros, gestiona el tratamiento de datos personales o de una base de datos, es considerado responsable del tratamiento.

La propiedad horizontal es una persona jurídica (Art. 4, Ley 675 de 2001), que en su actividad recolecta, trata y usa datos de los propietarios, residentes, visitantes, empleados y de otras personas (titulares de los datos), por lo cual es considerado jurídicamente como responsable del tratamiento.

Como responsable del tratamiento, debe cumplir los deberes enumerados en el artículo 17 de la Ley 1581 de 2012, a saber:“Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;

f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se m antenga actualizada;

g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento;

h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley;

1. Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular;

j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;

k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial,

j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;

k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo;

m) Informar a solicitud del Titular sobre el uso dado a sus datos;n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.”

El responsable de tratamiento debe rá entonces garantizar al titular el pleno y efectivo ejercicio de su derecho de hábeas data. Para ello, es importante señalar que el tratamiento de los datos personales se rige por los principios de finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, los cuales están establecidos en el artículo 4º de la Ley 1581 de 2012.

Noveno interrogante

“¿Es obligatorio que toda administración de propiedad horizontal implemente y mantenga vigente una política formal de protección de datos personales? ¿Cuál debe ser el contenido mínimo de tal política: (a) finalidades del tratamiento, (b) categorías de dato s tratados, (c) medidas de seguridad, (d) procedimientos para ejercicio de derechos de acceso y rectificación, (e) mecanismos de autorización y

(a) finalidades del tratamiento, (b) categorías de dato s tratados, (c) medidas de seguridad, (d) procedimientos para ejercicio de derechos de acceso y rectificación, (e) mecanismos de autorización y consentimiento? ¿Dónde debe publicarse tal política: en sitio web, en lugar visible, en asamblea? ¿Cuál es la re sponsabilidad de la administradora por incumplimiento o deficiencia en implementación de política de protección de datos?”

Respuesta:

9.1. Definición de Responsable del tratamiento

El concepto de Responsable del tratamiento de datos personales se encuentra consignado en el literal e) del artículo 3 de la Ley 1581 de 2012:

“e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.”

Por lo anterior, el responsable del tratamiento de los datos personales es la persona natural o jurídica que decide sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación, usarlo de alguna manera o determinar el acceso a los datos personales.

Por su parte, el artículo 17 de la citada ley, señala, entre otros, el siguiente deber para los responsables del tratamiento:“Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.”

En concordancia con lo anterior, respecto el deber que tienen los responsables

(…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.”

En concordancia con lo anterior, respecto el deber que tienen los responsables de fijar las políticas de tratamiento de datos personales y, para ello, el artículo 2.2.2.25.3.1., del Decreto 1074 de 2015, que incorpora el Decreto 1377 de 2013, señala lo siguiente:

“Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. (…)”

9.2. Políticas para el tratamiento de datos personales

El literal k) del artículo 17 de la Ley 1581 de 2012 indica que es deber del Responsable del tratamiento, adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la propia Ley 1581 de 2012, donde se indique el procedimient o para la atención de consultas y reclamos.

De esta manera, le corresponde al Responsable del tratamiento incorporar un Manual Interno de Políticas y Procedimientos, el cual detalle los lineamientos y reglas empleadas para garantizar el correcto tratamiento de datos personales, en especial el proced imiento que adoptará la organización para atender las quejas, consultas y reclamos presentados por los titulares de la información1.

En concordancia con lo anterior, los responsables tienen la obligación de desarrollar las políticas para el tratamiento de los datos personales, las cuales deben constar en medio físico o electrónico y ser puestas en conocimiento de los titulares. Dichas p olíticas deberán contener la información mínima

desarrollar las políticas para el tratamiento de los datos personales, las cuales deben constar en medio físico o electrónico y ser puestas en conocimiento de los titulares. Dichas p olíticas deberán contener la información mínima consagrada en el artículo 2.2.2.25.3.1., del Decreto 1074 de 2015 y la información relacionada, entre otras, con la finalidad y clase de tratamiento al que serán sometidos los datos personales.

Respecto al principio de finalidad, el literal b) del artículo 4º de la Ley 1581 de 2012, establece que “el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular ". En

1 Superintendencia de Industria y Comercio. (2017). Cartilla Formato Modelo para el Cumplimiento de Obligaciones Establecidas en la Ley 1581 de 2012 y sus Decretos Reglamentarios. Página 10.este sentido, cada responsable, entendido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros decida sobre la base de datos y/o el Tratamiento de los datos, debe fijar sus políticas de tratamiento de datos personales de acuerdo con la finalidad específica que se requiera con el tratamiento de datos personales del titular.

Ahora bien, el Manual de Políticas y Procedimientos no se debe confundir con las Políticas de Tratamiento de la Información, estando ambas figuras diferenciadas por los siguientes criterios:

Manual de Políticas y Procedimientos Políticas de Tratamiento de la Información

Contenido El Manual de Políticas y

Procedimientos debe contener:

a) Los lineamientos y reglas empleadas para garantizar el correcto

Procedimientos Políticas de Tratamiento de la Información

Contenido El Manual de Políticas y

Procedimientos debe contener:

a) Los lineamientos y reglas empleadas para garantizar el correcto tratamiento de datos personales.

b) El trámite para interponer peticiones, recursos, quejas y reclamos.

Las Políticas de Tratamiento de la

Información deben contener:

a) Tratamiento al que serán sometidos los datos del titular. b) Los datos de contacto del responsable y del encargado del tratamiento. c) Los derechos del titular. d) Persona o área responsable de atender las peticiones, quejas o reclamos presentados para conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. e) Los canales y mecanismos dispuestos para que los titulares ejerzan sus derechos y presenten peticiones, quejas y reclamos. f) Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. g) Deben constar en medio físico o electrónico y tener un lenguaje claro.

Obligación de registrarlo ante la SIC

Actualmente no es necesario registrar el Manual de Políticas y Procedimientos, pero esta Autoridad en el curso de una Las Políticas de Tratamiento de la Información no deben ser radicadas ante la SIC, pero si deberán ser puestas en conocimiento de los titulares, eninvestigación administrativa puede solicitarlo.

Autoridad en el curso de una Las Políticas de Tratamiento de la Información no deben ser radicadas ante la SIC, pero si deberán ser puestas en conocimiento de los titulares, eninvestigación administrativa puede solicitarlo. tanto su función principal es informar al titular sobre los derechos que tiene y el tratamiento al que son sometidos sus datos. Así mismo, cualquier modificación a las políticas deberán ser comunicadas a los titulares. Normas que lo sustenta

Literal k) del artículo 17 de la Ley 1581 de 2012 Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.

Conforme lo expuesto, las Políticas de Tratamiento de la Información deberán ser puestas en conocimiento de los titulares, con la finalidad de garantizar que estos puedan ejercer su derecho al habeas data. Para dar a conocer las Políticas de la Información, el artículo 2.2.2.25.3.2 del Decreto 1074 de 2015 indica que se podrá emplear un aviso de privacidad, donde se informe al titular sobre la existencia de tales políticas y la forma de acceder a ellas. Dicho aviso deberá ponerse a disposición del titular de manera oportuna y a más tardar al momento de la recolección de los datos personales.

El artículo 2.2.2.25.3.3. del Decreto 1074 de 2015 indica que el aviso de privacidad deberá contener como mínimo: (i) nombre o razón social y los datos de contacto del responsable del tratamiento (ii) el tratamiento al cuál serán sometidos los datos y la finalidad del mismo (iii) los derechos del titular (iv) los

privacidad deberá contener como mínimo: (i) nombre o razón social y los datos de contacto del responsable del tratamiento (ii) el tratamiento al cuál serán sometidos los datos y la finalidad del mismo (iii) los derechos del titular (iv) los mecanismos dispuestos por el responsable para que el titular conozca la política de tratamiento y los cambios que se realicen.

Tal como se puede apreciar, el deber que tienen los Responsables del Tratamiento es el de adoptar tanto el Manual de Políticas y Procedimientos y el de incorporar las Políticas de la Información, las cuales además deberán ser divulgadas y puestas en conocimiento de los titulares de la información.

Por su parte, es preciso indicar que, en virtud del principio de responsabilidad demostrada, los responsables del tratamiento deben implementar medidas apropiadas y efectivas para cumplir con la Ley 1581 de 2012. Por ello, el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 indica que el principio de responsabilidad demostrada, hace referencia a la capacidad de los responsables del tratamiento para poder demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir las obligaciones establecidas en la Ley 1581 de 2012. El artículo en comento menciona, que la demostración por parte del responsable deberá ser proporcional a: (i) su naturaleza jurídica y si es el caso su tamaño empresarial, es decir si se trata de una mipyme o una gran empresa (ii) la naturaleza de los datos personales objeto del tratamiento (iii) el tipo de tratamiento y (iv) los riesgos potenciales que el tratamiento podría causar sobre los derechos de los titulares.En razón al principio de responsabilidad demostrada, el artículo 2.2.2.25.6.2 del

datos personales objeto del tratamiento (iii) el tipo de tratamiento y (iv) los riesgos potenciales que el tratamiento podría causar sobre los derechos de los titulares.En razón al principio de responsabilidad demostrada, el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015 introduce la noción de políticas internas efectivas en los siguientes términos:

“Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artícu