SIC - Concepto 594825 de 2025

Bogotá D.C., enero de 2026

Asunto: Radicación: 25-594825

Folios: 39

Reciba un cordial saludo:

De conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . CUESTI ÓN PREVI A

Reviste de gran im portancia precisar, en prim er lugar, que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan

adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se sum inistrarán las herram ientas de inform ación y elem entos conceptuales necesarios que le perm itan absolver las inquietudes por Usted m anifestadas.

2 . FACULTADES DE LA SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O EN MATERI A DE PROTECCI ÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;

ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior , a continuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA

Pregunta

“1.1.¿Está permitido que un particular implemente sistemas automatizados —como scraping, bots, APIs, integraciones automáticas o consultas periódicas masivas— para identificar ciudadanos mediante plataformas públicas como las de comparendos de tránsito?”.

Respuesta

1. Aclaración preliminar: la neutralidad tecnológica en el tratamiento de datos personales

La SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO sostiene la neutralidad tecnológica en el tratamiento de datos personales. Sobre esteconcepto, la Red Iberoamericana de Protección de Datos, de la cual esta Superintendencia forma parte, ha explicado lo siguiente:

La SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO sostiene la neutralidad tecnológica en el tratamiento de datos personales. Sobre esteconcepto, la Red Iberoamericana de Protección de Datos, de la cual esta Superintendencia forma parte, ha explicado lo siguiente:

“La regulación sobre tratamiento de datos personales es neutral tecnológica y temáticamente. Ello significa que aplica a cualquier tratamiento de datos, con independencia de las técnicas, procesos o tecnologías –actuales o futuras que se utilicen para dicho efecto. En este sentido, el artículo 4.1. de los Estándares dice que los mismos son “aplicables al tratamiento de datos personales que obren en soportes físicos, automatizados total o parcialmente, o en ambos soportes, con independencia de la forma o modalidad de su creación, tipo de soporte, procesamiento, almacenamiento y organización.

(…)

En suma, la regulación sobre Tratamiento de Datos Personales debe aplicarse al margen de los procedimientos, metodologías o mecanismos que se utilicen para recolectar, usar o tratar ese tipo de información. Por ende, debe ser cumplida por quien realice Tra tamiento de datos mediante el uso de técnicas, herramientas como, entre otros, en internet de las cosas, las App, la inteligencia artificial, la robótica y la computación en la nube. El uso de esas innovaciones tecnológicas no desaparece la protección de d atos ni debe convertirse en un instrumento para disminuir el nivel de protección de los derechos de las personas que es exigido por la regulación en comento”1.

A la luz de lo anterior, la regulación para el tratamiento de datos personales se aplica a cualquier tratamiento de datos, independientemente del software,

instrumento para disminuir el nivel de protección de los derechos de las personas que es exigido por la regulación en comento”1.

A la luz de lo anterior, la regulación para el tratamiento de datos personales se aplica a cualquier tratamiento de datos, independientemente del software, aplicación o tecnología que se utilice para ello. A continuación nos referiremos al Régimen General de Protección de Datos Personales, independientemente de la tecnología que se utilice para su tratamiento.

2. El tratamiento automatizado de datos deben cumplir con el régimen de protección de datos personales

Esta Superintendencia ha sostenido que “ la regulación sobre tratamiento de datos personales debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar este tipo de información. La Ley colombiana permite el uso de tecnologías para tratar datos pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico. Quienes crean, diseñan o usan “innovaciones

1 Red Iberoamericana de Protección de Datos, “ Recomendaciones para el tratamiento de datos personales mediante servicios de computación en la nube ”. Enlace: https://www.sic.gov.co/sites/default/files/files/2021/Guia%20cloud%20computing%202021.pdftecnológicas” deben cumplir todas las normas sobre el tratamiento de datos personales”2.

Por lo tanto, t odo tratamiento de datos personales, incluyendo aquel que se realiza por medios automatizados , debe cumplir el Régimen General de Protección de Datos Personales contenido en la Ley 1581 de 2012, en los Capítulos 25 a 28 del Decreto Único Reglamentario 1074 de 2015 y demás normas complementarias.

Protección de Datos Personales contenido en la Ley 1581 de 2012, en los Capítulos 25 a 28 del Decreto Único Reglamentario 1074 de 2015 y demás normas complementarias.

En otros términos, como lo ha sostenido la Delegatura para la Protección de Datos Personales de esta Superintendencia, “los responsables y encargados del tratamiento que extraen, por mecanismos automatizados y/o análogos, información personal, están obligados a garantizar los postulados del Régimen General de Protección de Datos Personales”3.

3. Los datos personales que se encuentran en fuentes de acceso público no por este solo hecho son de carácter público

Esta Superintendencia ha precisado que un dato personal no tiene la naturaleza de dato público por el simple hecho de que se encuentre en una fuente de acceso público 4. Concretamente, en la Resolución 71406 de 2023, el Director de Investigación de Protección de Datos Personales señaló lo siguiente:

“(…) e sta Autoridad ha sido enfática en afirmar que, bajo el ordenamiento jurídico de nuestro país, la información personal que es "públicamente disponible", "accesible al público" no es, per se, información "de naturaleza pública". El hecho de que estén disponibles en internet no significa que cualquier persona puede tratarlos sin autorización previa, expresa e informada del Titular del Dato . Recolectar datos personales privados, semiprivados o sensibles en internet no legitima al recolector para apropiarse de dicha información y hacer lo que quiera con la misma”5.

A la luz de lo anteriormente expuesto, los datos personales que se encuentran en fuentes de acceso público no adquieren ni tienen por ese solo hecho la

información y hacer lo que quiera con la misma”5.

A la luz de lo anteriormente expuesto, los datos personales que se encuentran en fuentes de acceso público no adquieren ni tienen por ese solo hecho la naturaleza de datos públicos. A modo de ilustración, aun cuando un dato privado

2 Superintendencia de Industria y Comercio. Resolución 71406 de 2023 del Director de Investigación de Protección de Datos Personales. 3 Superintendencia de Industria y Comercio. Resolución 58834 de 2023 de la Delegatura para la Protección de Datos Personales. 4 Véase, Resolución 15339 de 2016 del Director de Investigación de Protección de Datos Personales. https://www.sic.gov.co/sites/default/files/files/Res%20No_%2015339%20de%202016%20- %20LUIS%20EDUARDO%20PALACIO.pdf 5 Superintendencia de Industria y Comercio. Resolución 71406 de 2023 de la Dirección de Investigación de Protección de Datos Personales. Véase, igualmente, la Resolución 58834 de 2023 de la Delegatura para la Protección de Datos Personales.o semiprivado se encuentre en una plataforma de acceso público, ello no lo convierte en dato público ni excluye la aplicación del régimen correspondiente a los datos privados o semiprivados, según el caso.

Por esa razón, en cada caso concreto el responsable o encargado del tratamiento debe identificar si el dato personal objeto de tratamiento es público, semiprivado, privado o sensible, a fin de aplica el régimen jurídico correspondiente. Si el dato personal es de carácter semiprivado, privado o sensible, se deberá obtener el consentimiento previo, expreso e informado de su titular, como se explicará posteriormente,

correspondiente. Si el dato personal es de carácter semiprivado, privado o sensible, se deberá obtener el consentimiento previo, expreso e informado de su titular, como se explicará posteriormente,

Por último, señalamos que en la Resolución 63771 de 2022, confirmada por la Resolución 58834 de 2023, la Delegatura para la Protección de Datos Personales sancionó a una empresa que sustrajo da tos personales de las páginas de consulta de la Rama Judicial mediante “ web scraping ”, sin la autorización expresa, previa e informada de los titulares de la información privada, semiprivada y sensible extraída de dicho portal.

4. Los datos personales que se encuentran en fuentes de acceso público pueden ser de carácter público, semiprivado, privado o sensible

En una fuente o plataforma de acceso público pueden hallarse datos personales de carácter público, semiprivado, privado y sensible. El responsable o encargado del tratamiento debe identificar la naturaleza del dato personal objeto de tratamiento, a fin de aplicar el régimen jurídico correspondiente. Concretamente, salvo los datos de naturaleza pública, el responsable o encargado del tratamiento debe obtener la autorización previa, expresa e informada de su titular cuando se trate de datos de naturaleza semiprivada, privada o sensible.

Para mayor ilustración, a continuación explicaremos el régimen jurídico aplicable a los datos de carácter personal, según de si se trata de datos públicos, semiprivados, privados o sensibles.

4.1. Datos públicos

En primer lugar, e n lo que atañe a los datos públicos , su definición se encuentra contenida en el artículo 3º de la ley 1266 de 2008, en los siguientes términos:

4.1. Datos públicos

En primer lugar, e n lo que atañe a los datos públicos , su definición se encuentra contenida en el artículo 3º de la ley 1266 de 2008, en los siguientes términos:

“f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas”.En concordancia con lo anterior, el artículo 2.2.2.25.1.3 del Decreto 1074 de 2015 establece la siguiente definición:

“2. Dato público. Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva”.

Como se deduce de las disposiciones antes transcritas, la ley utiliza un criterio de indicación expresa y residual: son solamente datos públicos aquellos que la ley califica como tal o que no son datos semiprivados, privados o sensibles. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas, boletines oficiales, entre otros documentos.

ley califica como tal o que no son datos semiprivados, privados o sensibles. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas, boletines oficiales, entre otros documentos.

En lo que atañe a su régimen jurídico, el artículo 10 de la Ley 1581 de 2012 prescribe lo siguiente:

“Artículo 10. Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de:

a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;

b) Datos de naturaleza pública;

c) Casos de urgencia médica o sanitaria;

d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;

e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley” (negrillas fuera del texto original).

En los términos precedentes, la ley establece los supuestos en los que se permite el tratamiento de datos personales sin el consentimiento previo de su titular, dentro los cuales se incluyen los datos de naturaleza pública. No obstante, siguiendo la misma disposición, cuando ellos han sido obtenidos sin autorización de su titular, deberá en todo caso cumplirse las disposiciones de la Ley 1581 de2012. A título de ilustración, en su tratamiento deberán observarse, entre otros, los principios de legalidad6, finalidad7, veracidad8 y transparencia9.

4.2. Datos semiprivados y privados

los principios de legalidad6, finalidad7, veracidad8 y transparencia9.

4.2. Datos semiprivados y privados

En lo que respecta a los datos semiprivados y privados, el artículo 3º de la Ley 1266 de 2008 los define de la siguiente manera:

“g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.

h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular”.

En el tratamiento de los datos personales semiprivados y privados, debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:

“c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”;

En los anteriores términos, el tratamiento de los datos personales solo puede realizarse cuando exista autorización previa, expresa e informada del titular, con el fin de garantizar que el titular conozca en dónde están almacenados sus datos personales, para qué propósitos han sido recolectados y qué mecanismos tiene a su disposición para solicitar su actualización, rectificación o supresión.

titular, con el fin de garantizar que el titular conozca en dónde están almacenados sus datos personales, para qué propósitos han sido recolectados y qué mecanismos tiene a su disposición para solicitar su actualización, rectificación o supresión.

6 Ley 1581 de 2012, art. 4º, “a) Principio de legalidad en materia de Tratamiento de datos: El Tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen”. 7 Ley 1581 de 2012, art. 4º, “b) Principio de finalidad : El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”. 8 Ley 1581 de 2012, art. 4º, “ d) Principio de veracidad o calidad : La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error”. 9 Ley 1581 de 2012, art. 4º, “e) Principio de transparencia : En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan”.Como correlato de dicho principio, la Ley 1581 de 2012 establece, dentro de los deberes de los responsables del tratamiento, el siguiente:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y

deberes de los responsables del tratamiento, el siguiente:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”;

En consecuencia, el responsable de tratamiento debe solicitar la autorización del titular para el tratamiento de sus datos personales. Dicho deber de obtener la autorización fue reglamentado por medio del Decreto 1074 de 2015, que dispuso lo siguiente:

“ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)".

Por lo anterior , cualquier forma de tratamiento está sujeta a la obligación del responsable de tratamiento de obtener la autorización del titular a más tardar al momento de la recolección de la información. Al respecto, es importante tener en cuenta lo dispuesto en el artículo 2.2.2.25.2.4. del Decreto 1074 de 2025:

“2.2.2.25.2.4. Modo de obtener la autorización . Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales

“2.2.2.25.2.4. Modo de obtener la autorización . Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de con formidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

En los términos precedentes, se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea porescrito; (ii) de forma oral o (iii) mediante conductas inequívocas que permitan concluir razonablemente que otorgó su autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización par a el tratamiento de tales datos deberá hacerse de manera explícita.

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización:

“Artículo 12. Deber de informar al Titular . El Responsable del

información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización:

“Artículo 12. Deber de informar al Titular . El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.

b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.

c) Los derechos que le asisten como Titular.

d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

En consecuencia, el responsable del tratamiento al solicitar la autorización al titular de los datos personales le debe informar: (i) el tratamiento al cual serán sometidos sus datos personales en cuanto a su recolección, almacenamiento, uso, circulación, supresión o cualquier otra operación sobre los datos personales; (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativo de la respuesta, cuando el tratamiento se pretenda realizar sobre datos sensibles o sobre l os datos de las niñas, niños y adolescentes; (iv) los derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que el titular pueda ejercer sus derechos.

De acuerdo con lo anterior, cualquier modo de tratamiento de los datos

derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que el titular pueda ejercer sus derechos.

De acuerdo con lo anterior, cualquier modo de tratamiento de los datos personales, deberá realizarse con arreglo a lo dispuesto por la Ley 1581 de 2012 y el Decreto 1074 de 2015, por lo cual el responsable del tratamiento deberá contar con la autorización previa, expresa e informada del titular de los datos personales.4.2. Datos sensibles

En cuanto a los datos sensibles , estos tienen un régimen reforzado de protección que debe ser cumplido por el responsable o el encargado del tratamiento. En cuanto a esta clase de datos, el artículo 5º de la Ley 1581 de 2012 los define así:

“(…) se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas , la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos”.

Partiendo de la anterior definición, son datos personales considerados sensibles, entre otros, las huellas dactilares y los datos relativos a la salud. Si se recolecta, usa o trata este tipo de información, debe cumplirse lo indicado en la ley. El tratamiento de datos sensibles debe estar rodeado de especial cuidado y diligencia en su recolección, uso, seguridad o cualquier otra actividad que se realice con los mismos.

usa o trata este tipo de información, debe cumplirse lo indicado en la ley. El tratamiento de datos sensibles debe estar rodeado de especial cuidado y diligencia en su recolección, uso, seguridad o cualquier otra actividad que se realice con los mismos.

En cuanto a su régimen jurídico, la ley 1581 de 2012 en su artículo 6º prohíbe de manera general su tratamiento, salvo en los casos expresamente autorizados por la ley:

“Artículo 6º. Tratamiento de datos sensibles . Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización;

b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización;

c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, s iempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular;d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;

e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la

reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;

e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares” (negrillas fuera del texto original).

Con respecto a estos datos, la Corte Constitucional ha señalado:

“En relación con el primer contenido normativo, la Sala estima que no solamente es compatible con la Carta, sino que es una exigencia del derecho a la intimidad y un desarrollo del principio del habeas data de acceso y circulación restringida. Ciertamente, como se explicó en la sentencia C-1011 de 2008, en tanto los datos sensibles pertenecen a la esfera de la intimidad de las personas, “(…) todo acto de divulgación mediante los procesos genéricos de administración de datos personales, distintos a las posib ilidades de divulgación excepcional descritas en el fundamento jurídico 2.5 del presente análisis, se encuentra proscrita. Ello en la medida que permitir que información de esta naturaleza pueda ser objeto de procesos ordinarios de acopio, recolección y circulación vulneraría el contenido esencial del derecho a la intimidad”10.

Como se observa, los datos personales sensibles son aquellos que, dentro del conjunto más amplio de datos personales, tienen el régimen más estricto de protección. Esto es comprensible, pues estos datos pueden ser utilizados para actos de discriminación, p oner en riesgo la intimidad o seguridad personal del titular o, incluso, poner en riesgo su salud emocional o sicológica.

En consonancia con el régimen reforzado de protección de los datos sensibles,

actos de discriminación, p oner en riesgo la intimidad o seguridad personal del titular o, incluso, poner en riesgo su salud emocional o sicológica.

En consonancia con el régimen reforzado de protección de los datos sensibles, el artículo 2.2.2.25.2.3 del Decreto 1075 de 2015 dispone:

“(…) En el Tratamiento de datos personales sensibles, cuando d