SIC - Concepto 5914 de 2024

Bogot á D.C., oct ubre de 2024

Asu n t o : Radicación: 24388143

Trám it e: 113

Act uación: 440

Folios: 13

Respet ado Señor:

De conform idad con lo previst o en el art ículo 28 de la Ley 1437 de 2011, sust it uido por el art ículo 1 de la Ley 1755 de 2015, “ por m edio de la cual se regula el Derecho Fundam ent al de Pet ición y se sust it uye un t ít ulo del Código de Procedim ient o Adm inist rat ivo y de lo Cont encioso Adm inist rat ivo” , fundam ent o j urídico sobre el cual se sust ent a la consult a obj et o de la solicit ud, procede la SUPERI N TEN D EN CI A D E I N D USTRI A Y COM ERCI O a em it ir un pronunciam ient o, en los t érm inos que a cont inuación se pasan a exponer:

1 . OBJETO D E LA CON SULTA

At endiendo a la solicit ud radicada ant e est a Ent idad en la que m enciona lo siguient e:

“ En virt ud de la Ley 675 de 2001, que r egula la propiedad horizont al en Colom bia, y consider ando la dificult ad de recolect ar la aut orización de t odos los visit ant es, r esident es, pr opiet arios, prov eedores, 1. solicit o aclaración sobr e la figura de la conduct a concluy ent e para la aut orización de t rat am ient o de dat os per sonales al ingreso de visit ant es, r esident es, propiet arios, pr ov eedores a la copr opiedad. Est a

aclaración sobr e la figura de la conduct a concluy ent e para la aut orización de t rat am ient o de dat os per sonales al ingreso de visit ant es, r esident es, propiet arios, pr ov eedores a la copr opiedad. Est a figura est á r espaldada por la Ley 1581 de 2012 y sus decr et os reglam ent arios, que est ablecen disposiciones generales, incluyendo la aut orización t ácit a para el t rat am ient o de dat os personales.2 Adicionalm ent e, solicit o se indique si la conduct a concluy ent e com o m ét odo de aut orización de t rat am ient o de dat os personales debe est ar incluida en la polít ica de t rat am ient o de dat os de la copropiedad, ya que se ent iende que por el sim ple hecho de ingresar a la pr opiedad será considerado com o una acept ación t ácit a de las n orm as y polít icas de la copr opiedad, incluy endo la aut orización para el t rat am ient o de dat os per sonales conform e a la Ley 1581 de 2012 y sus decr et os reglam ent arios.”

Previo a resolver su consult a es necesario realizar las siguient es precisiones:

Superintendencia de Industria y Comercio Señor ciudadano, para hacer seguimiento a su solicitud, la entidad le ofrece los siguientes canales: www.sic.gov.co - Teléfono en Bogotá: 601 S92 04 00 - Unea gratuita a nivel nacional: 01 8000 910 16S - Dirección: Cra. 13 #27 - 00 piso 3 - Radicaciones: Av. carrera 7 #31A-36,

Bogotá D.C.- Colombia - Teléfonos: 601 S87 00 00 - e-mail: contactenos@sic.gov.co G Nuestro aporte es fundamental. al usar menos papel contribui­ mos con el medio ambiente .__.2. CUESTIÓN PREVIA

Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C542 de 2005:

“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a cons ejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se

datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus

funciones.4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

4.1. DEFINICIÓN Y TRATAMIENTO DE DATOS PERSONALES

El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “ Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”

Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el

cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.

Por su parte, el literal g) del artículo 3 define tratamiento en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión."

Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.

4.2. AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES

En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:

"c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que rele ve el consentimiento."

consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que rele ve el consentimiento."

Por lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, es decir, debe recolectarse en una etapaanterior a su incorporación en la base de datos del responsable; expresa, es decir, que no exista duda o equivocación de su aceptación ; e informada del titular, es decir, que conozca las finalidades específicas de tratamiento y los efectos de su consentimiento. Lo anterior, con el fin de permitirle que se garantice en todo momento y lugar que pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

La autorización del titular fue reglamentada a través del artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 que señala lo siguiente:

"Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento."

En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del precitado decreto dispone:

"Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012 los Responsables del Tratamiento de datos personales establecerán mecanismos para

dispone:

"Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012 los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de confor midad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.”

Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior.

Es necesario tener en cuenta que la normativa sobre protección de datos, no establece unos requisitos específicos para la configuración de una conducta inequívoca; sin embargo, debe entenderse como aquellas que no admitan duda o equivocación que permita concluir de forma razonable que el titular otorgó la autorización, por ello, para determinar si una conducta se considera como inequívoca para el otorgamiento de la autorización por parte deltitular, deberá analizarse cada situación concreta, por parte de la Dirección de Protección de datos Personales dentro de una investigación administrativa.

considera como inequívoca para el otorgamiento de la autorización por parte deltitular, deberá analizarse cada situación concreta, por parte de la Dirección de Protección de datos Personales dentro de una investigación administrativa.

Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles, la autorización para el tratamiento de tales datos deberá hacerse de manera explícita, es decir, verbal o escrita, con independencia del mecanismo o formato utilizado por el responsable que garantice su consulta posterior.

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización:

“ARTÍCULO 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

En consecuencia el responsable del tratamiento, al solicitar la autorización por parte del titular de los datos personales se le debe informar: (i) el tratamiento al cual serán sometidos sus datos personales, es decir, si se hará recolección, uso, almacenamiento, circulación, supresión o cualquier operación de los datos, (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativo de la respuesta, cuando el tratamiento se pretenda realizar sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iv) los derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que pueda ejercer sus derechos.

En relación a la consulta, se precisa, que los datos personales solo podrán ser tratados cuando exista autorización previa, expresa e informada deltitular. Es decir, no está permitido el consentimiento tácito del titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial. Así, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior.

deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior.

4.3. POLÍTICAS PARA EL TRATAMIENTO DE DATOS PERSONALES Y

AVISO DE PRIVACIDAD

El literal k) del artículo 17 de la Ley 1581 de 2012 indica que es deber del Responsable del tratamiento, adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la propia Ley 1581 de 2012, donde se indique el procedimient o para la atención de consultas y reclamos.

De esta manera, le corresponde al Responsable del tratamiento incorporar un Manual Interno de Políticas y Procedimientos, el cual detalle los lineamientos y reglas empleadas para garantizar el correcto tratamiento de datos personales, en especial el proced imiento que adoptará la organización para atender las quejas, consultas y reclamos presentados por los titulares de la información1.

En concordancia con lo anterior, los responsables tienen la obligación de desarrollar las políticas para el tratamiento de los datos personales, las cuales deben constar en medio físico o electrónico y ser puestas en conocimiento de los titulares. Dichas políticas deberán contener la información mínima consagrada e n el artículo 2.2.2.25.3.1., del Decreto 1074 de 2015 y la información relacionada, entre otras, con la finalidad y clase de tratamiento al que serán sometidos los datos personales.

Ahora bien, el Manual de Políticas y Procedimientos no se debe confundir con las Políticas de Tratamiento de la Información, estando ambas figuras diferenciadas por los siguientes criterios:

Manual de Políticas y Procedimientos

Ahora bien, el Manual de Políticas y Procedimientos no se debe confundir con las Políticas de Tratamiento de la Información, estando ambas figuras diferenciadas por los siguientes criterios:

Manual de Políticas y Procedimientos Políticas de Tratamiento de la Información

Contenido El Manual de Políticas y

Procedimientos debe contener:

a) Los lineamientos y reglas empleadas para garantizar el correcto tratamiento de datos personales. Las Políticas de Tratamiento de la

Información deben contener:

a) Tratamiento al que serán sometidos los datos del titular.

1 Superintendencia de Industria y Comercio. (2017). Cartilla Formato Modelo para el Cumplimiento de Obligaciones Establecidas en la Ley 1581 de 2012 y sus Decretos Reglamentarios. Página 10.b) El trámite para interponer peticiones, recursos, quejas y reclamos.

b) Los datos de contacto del responsable y del encargado del tratamiento. c) Los derechos del titular. d) Persona o área responsable de atender las peticiones, quejas o reclamos presentados para conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. e) Los canales y mecanismos dispuestos para que los titulares ejerzan sus derechos y presenten peticiones, quejas y reclamos. f) Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos g) Deben constar en medio físico o electrónico y tener un lenguaje claro.

Obligación de registrarlo

la política de tratamiento de la información y período de vigencia de la base de datos g) Deben constar en medio físico o electrónico y tener un lenguaje claro.

Obligación de registrarlo ante la SIC

Actualmente no es necesario registrar el Manual de Políticas y Procedimientos, pero esta Autoridad en el curso de una investigación administrativa puede solicitarlo. Las Políticas de Tratamiento de la Información no deben ser radicadas ante la SIC, pero si deberán ser puestas en conocimiento de los titulares, en tanto su función principal es informar al titular sobre los derechos que tiene y el tratamiento al que son sometidos sus datos. Así mismo, cualquier modificación a las políticas deberán ser comunicadas a los titulares. Normas que lo sustenta

Literal k) del artículo 17 de la Ley 1581 de 2012 Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.

Conforme lo expuesto, las Políticas de Tratamiento de la Información deberán ser puestas en conocimiento de los titulares, con la finalidad de garantizar que estos puedan ejercer su derecho al habeas data. Para dar a conocer las Políticas de la Información, el artículo 2.2.2.25.3.2 del Decreto 1074 de 2015 indica que se podrá emplear un aviso de privacidad, donde se informe al titular sobre la existencia de tales políticas y la forma de acceder a ellas. Dicho aviso deberá ponerse a disposición del titular de manera oportuna y a más tardar al momento

se podrá emplear un aviso de privacidad, donde se informe al titular sobre la existencia de tales políticas y la forma de acceder a ellas. Dicho aviso deberá ponerse a disposición del titular de manera oportuna y a más tardar al momento de la recolección de los datos personales.El artículo 2.2.2.25.3.3. del Decreto 1074 de 2015 indica que el aviso de privacidad deberá contener como mínimo: (i) nombre o razón social y los datos de contacto del responsable del tratamiento (ii) el tratamiento al cuál serán sometidos los datos y la finalidad del mismo (iii) los derechos del titular (iv) los mecanismos dispuestos por el responsable para que el titular conozca la política de tratamiento y los cambios que se realicen.

Tal como se puede apreciar, el deber que tienen los Responsables del Tratamiento es el de adoptar tanto el Manual de Políticas y Procedimientos y el de incorporar las Políticas de la Información, las cuales además deberán ser divulgadas y puestas en conocimiento de los titulares de la información.

4.4. RESPONSABILIDAD DEMOSTRADA FRENTE AL TRATAMIENTO DE

DATOS PERSONALES

El artículo 2.2.2.25.6.1., del Decreto 1074 de 2015 dispone lo siguiente:

“Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una ma nera que sea proporcional a lo siguiente:

1. La naturaleza jurídica del responsable y, cuando sea del caso, su

efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una ma nera que sea proporcional a lo siguiente:

1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente.

2. La naturaleza de los datos personales objeto del tratamiento.

3. El tipo de Tratamiento.

4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalid ades para las cuáles esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”

En consecuencia, los responsables del tratamiento de datos personales deben implementar medidas que permitan el cumplimiento de las disposiciones contenidas en la ley de protección de datos personales, a través de un ProgramaIntegral de Gestión de Datos Personales y que además les permita demostrar a esta Superintendencia la implementación apropiada y efectiva de esas medidas dentro de la organización.

El citado artículo menciona, que la demostración por parte del responsable deberá ser proporcional a: (i) su naturaleza jurídica y si es el caso su tamaño

dentro de la organización.

El citado artículo menciona, que la demostración por parte del responsable deberá ser proporcional a: (i) su naturaleza jurídica y si es el caso su tamaño empresarial, es decir si se trata de una mipyme o una gran empresa (ii) la naturaleza de los datos personales objeto del tratamiento (iii) el tipo de tratamiento y (iv) los riesgos potenciales que el tratamiento podría causar sobre los derechos de los titulares.

En razón al principio de responsabilidad demostrada, el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015 introduce la noción de políticas internas efectivas en los siguientes términos:

“Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superint endencia de Industria y Comercio. Dichas políticas deberán garantizar:

1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo.

2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación.

3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.

La verificación por parte de la Superintendencia de Industria y Comercio

programas de educación.

3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.

La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.”

De esta manera, los responsables del tratamiento deberán adoptar medidas efectivas y apropiadas para cumplir con la Ley 1581 de 2012, las cuales deberán contar con: (i) una estructura administrativa proporcional a la estructura y tamaño empresarial del res ponsable (ii) la adopción de mecanismos internos para poner en práctica las políticas internas efectivas incluyendo herramientas de implementación, entrenamiento y programas de educación (iii) y la adopción de procesos para atención de PQR.En este sentido, se puede concluir que el ordenamiento jurídico le solicita al Responsable del Tratamiento, adoptar las medidas y lineamientos internos necesarios, para garantizar el cumplimiento de la Ley 1581 de 2012 la cual deberá constar en unas políti cas internas efectivas. En caso de que la Superintendencia de Industria y Comercio requiera al responsable, este deberá ser capaz de aportar evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas.

Por su parte, l a Delegatura de Protección de Datos Personales de la Superintendencia de Industria y Comercio ha emitido la “GUÍA PARA LA

IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD

de seguridad apropiadas.

Por su parte, l a Delegatura de Protección de Datos Personales de la Superintendencia de Industria y Comercio ha emitido la “GUÍA PARA LA IMPLEMENTACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA”2 la cual tiene como propósito orientar a los responsables del tratamiento en la implementación de medidas de responsabilidad demostrada con miras a dar cumplimiento a la regulación dispuesta en esta materia.

Así pues, corresponde a cada organización adoptar medidas útiles que le permitan dar cumplimiento a las reglas establecidas para el Tratamiento de Datos Personales, y que además le permitan demostrar a esta Superintendencia que las medidas implementadas son apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios.

En relación con lo anterior, la citada guía señala:

“Medidas “apropiadas” son aquellas ajustadas a las necesidades del Tratamiento de datos. Y “efectivas”, son las que permiten lograr el resultado o efecto que se desea o espera. En otras palabras, no se deben adoptar medidas inoperantes, inservibles, inanes o infructuosas. Solo se deben instaurar aquellas adecuadas, correctas, útiles, oportunas y eficientes con el propósito de cumplir los requerimientos legales para realizar tratamiento de datos personales.”

En suma, quienes realicen tratamiento de datos personales deberán establecer medidas útiles, apropiadas y efectivas para cumplir sus obligaciones legales. Adicionalmente, tendrán que evidenciar y demostrar el correcto cumplimiento de sus deberes. Dichas herramientas deben ser objeto de revisión y evaluación permanente a fin de determinar su nivel de eficacia en cuanto al cumplimiento

Adicionalmente, tendrán que evidenciar y demostrar el correcto cumplimiento de sus deberes. Dichas herramientas deben ser objeto de revisión y evaluación permanente a fin de determinar su nivel de eficacia en cuanto al cumplimiento y grado de protección de los datos personales.

Finalmente le informamos que esta Superintendencia ha publicado en materia de datos personales la “ GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES EN LA PROPIEDAD HORIZONTAL ” la cual tiene como

2 https://www.sic.gov.co/sites/default/files/files/2021/2021%20Gu%C3%ADas%20para%20implementaci%C 3%B3n%20del%20principio%20de%20responsabilidad%20demostrada%202021.pdfpropósito presentar algunas sugerencias a quienes recolectan o tratan datos personales en los edificios o conjuntos de uso residencial, comercial o mixto sometidos al régimen de propiedad horizontal, con miras a orientarlos para que cumplan correctamente la regulación sobre el tratamiento de los mismos y, de esta manera, respeten los derechos de las personas (titulares de datos). la citada guía la puede consultar a través del siguiente link: https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia_prop_horizo ntal_NOV12_OK%20(1).pdf

En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.

En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una

compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.

En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ

Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica l os puede consultar en nuestra página web https://buscadorconceptos.sic.gov.co/#/search

Atentamente,

DIEGO ROMERO RIVERA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariluz Cas