SIC - Concepto 608184 de 2025

Bogotá D.C., enero de 2026

Asunto: Radicación: 25-608184

Folios: 12

Reciba un cordial saludo:

Con fundam ento en el artículo 28 del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo, m odificado en lo pertinente por el artículo 1° de la Ley 1755 de 2015 y la Ley 2080 de 2021, se establece el m arco jurídico aplicable para la presente consulta. En virtud de lo anterior, la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O procede a em itir el correspondiente pronunciam iento sobre la solicitud presentada ante esta Entidad, conforme a los térm inos que se detallan a continuación:

1 . OBJETO DE LA CONSULTA

Mediante el radicado de la referencia se eleva una petición dirigida a establecer:

“1. ¿La circular 002 de 2025 resulta aplicable a la prestación de servicios de com putación en la nube, en cualquiera de sus m odalidades, cuando el receptor del software o del servicio realiza el cargue, tratam iento y resguardo de inform ación que contiene datos personales?”

2 . CUESTI ÓN PREVI A

Reviste de gran im portancia precisar en prim er lugar que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, el CONSEJO DE ESTADO se ha pronunciado en los siguientes

particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, el CONSEJO DE ESTADO se ha pronunciado en los siguientes térm inos:

“El concepto dado por la autoridad en respuesta a una consulta, generalm ente, no constituye un acto adm inistrativo, por cuanto se trata sim plem ente de consejos, orientaciones u opiniones que brinda la autoridad pública a los asociados, pero que, de ninguna m anera, producen efectos particulares ni generales, pues no crean derechos nideberes ni imponen obligaciones. Los interesados, en ese caso, tienen la opción de acogerlos o no.”1

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO

EN MATERIA DE DATOS PERSONALES

De acuerdo con las atribuciones conferidas por mandato legal a esta Superintendencia, en particular por la Ley 1581 de 2012 , en materia de datos personales le corresponde a esta Entidad las siguientes funciones:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario

mismos; • Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementará campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. • Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento; • Las demás que le sean asignadas por ley.

Así mismo, el artículo 19 de la citada disposición legal, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

4. CONSIDERACIONES EN TORNO A LA CONSULTA

1 Consejo de Estado, Sección Cuarta, sentencia emitida el 19 de mayo de 2016. Expediente No.

11001-03-27-000-2011-00024-00, C.P Hugo Fernando Bastidas Bárcenas.El cargue, tratamiento y resguardo de información sobre datos personales hace parte del tratamiento de datos. Lo anterior se sustenta en la definición contenida en el artículo 3º de la Ley 1581 de 2012, literal g) que establece:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.”

Así entonces, respecto del tratamiento y resguardo de datos y con independencia del establecimiento o no de lineamientos específicos por parte de la Superintendencia de Industria y Comercio , deben considerarse las disposiciones normativas relativas a : i) las responsabilidades de los Responsables y Encargados del Tratamiento de Datos ii) la transmisión y transferencia de datos y; iii) el principio de responsabilidad demostrada.

Ahora bien, dentro de las consideraciones consignadas en la Circular 002 de 2025 “(… instrucciones aplicables a los procesos de transferencia de tecnología en los que se transfieran datos personales o en los que se transfieran tecnologías que permitan o tengan como objeto el tratamiento de datos personales) se hace una aclaración relacionada con los posibles escenarios de transferencia de tecnología en que se involucra el tratamiento de datos personales expresando:

“En ciertos y muy particulares casos , la transferencia de tecnología tiene relación con el tratamiento de datos personales. Esto ocurre sobre todo en dos escenarios . Primero, Cuando lo que se transfiere no es solo la herramienta tecnológica (software, sistema o modelo), sino que también se transfiere un conjunto de datos o dataset que incluye datos personales. Segundo, cuando la tecnología objeto de transferencia permite o tiene por

transfiere no es solo la herramienta tecnológica (software, sistema o modelo), sino que también se transfiere un conjunto de datos o dataset que incluye datos personales. Segundo, cuando la tecnología objeto de transferencia permite o tiene por objeto el tratamiento de datos personales. En ambas hipótesis es importante que durante el proceso de transferencia de tecnología se garantice el cumplimiento de la legislación de protección de datos personales.” (negrilla fuera de texto original)

Así entonces, de presentarse cualquiera de estos escenarios resultan relevante la observancia de los conceptos en los cuales se enmarca el desarrollo de la respuesta a su consulta:

4.1. Responsables y Encargados del tratamiento de datos

De conformidad con el artículo 5° de la Ley 1581 de 2012, se entiende por:

“Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”“Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento”

En este sentido, el tratamiento de datos personales depende del rol que desempeñe la persona natural o jurídica al tratar los datos. El Responsable del Tratamiento es quien decide sobre la base de datos y/o el Tratamiento de los datos; mientras que el Encargado del Tratamiento, es quien realiza el Tratamiento de datos personales por cuenta del Responsable.

Dicho tratamiento debe realizarse en estricto cumplimiento de lo dispuesto en la Ley 1581 de 2012, el Decreto 1074 de 2015, Decreto 1377 de 2013, el Título

Tratamiento de datos personales por cuenta del Responsable.

Dicho tratamiento debe realizarse en estricto cumplimiento de lo dispuesto en la Ley 1581 de 2012, el Decreto 1074 de 2015, Decreto 1377 de 2013, el Título V de la Circular Única de la Superintendencia de Industria y Comercio y demás normatividad aplicable.

4.2. Tratamiento de datos sensibles

Los datos sensibles tienen un tratamiento especial consagrado en el artículo 6 de la Ley 1581 de 2012 así́:

“Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorizaci ón explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.

b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización. c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindica l, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por raz ón de su finalidad. En estos eventos, los datos no se podr án suministrar a terceros sin la autorizaci ón del Titular. d) El Tratamiento se refiera a datos que sean necesarios para el

contactos regulares por raz ón de su finalidad. En estos eventos, los datos no se podr án suministrar a terceros sin la autorizaci ón del Titular. d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deber án adoptarse las medidas conducentes a la supresión de identidad de los Titulares.”Por lo anterior, la Ley 1581 de 2012 séñala los eventos en los que se puede realizar tratamiento de los datos sensibles, esto es, la recolección, el almacenamiento, el uso, la circulación o supresión de los mismos, entre ellos, cuando el titular haya dado su autorización explícita para ello. 4.3. Transferencia y transmisión nacional de datos

El Decreto 1074 de 2015, por medio de la cual se reglamentó la Ley 1581 de 2012, establece una distinción entre la transferencia de datos y la transmisión de datos, en los siguientes términos:

“ARTÍCULO 2.2.2.25.1.3. Definiciones . Además de las definiciones establecidas en el artículo 3 de la Ley 1581 de 2012, para los efectos del presente capítulo se entenderá por:

“4. Transferencia . La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

“5. Transmisión. Tratamiento de datos personales que implica la

ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

“5. Transmisión. Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable”.

Esto significa que la transferencia de datos ocurre cuando el responsable o encargado del tratamiento, que está ubicado en territorio colombiano, envía los datos personales a un responsable de tratamiento ubicado dentro o fuera del país. Por su parte, la transmisión ocurre cuando el responsable del tratamiento envía los datos personales a un encargado –ubicado dentro o fuera del territorio colombiano– para que realice el tratamiento por cuenta suya.

4.3.1. Transferencia nacional de datos personales

Siguiendo las definiciones del artículo 2.2.2.25.1.3 del Decreto 1074 de 2015, la transferencia nacional de datos personales ocurre cuando un responsable o encargado del tratamiento ubicado en Colombia comunica los datos a un responsable de tratamiento que también está ubicado en nuestro país.

La sociedad o entidad que recibe los datos personales en virtud de una transferencia nacional de datos tiene la calidad de responsable de tratamiento y, por consiguiente, cuando cumple las condiciones del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, está obligado registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD).En cuanto al deber de inscribir las bases de datos en el Registro Nacional de Bases de Datos, el artículo 2.2.2.26.1.3 del Decreto 1075 de 2015 señala:

Nacional de Bases de Datos (RNBD).En cuanto al deber de inscribir las bases de datos en el Registro Nacional de Bases de Datos, el artículo 2.2.2.26.1.3 del Decreto 1075 de 2015 señala:

“Artículo 2.2.2.26.1.3. Deber de inscribir las bases de datos. El Responsable del Tratamiento debe inscribir en el Registro Nacional de Bases de Datos, de manera independiente, cada una de las bases de datos que contengan datos personales sujetos a Tratamiento” (negrillas fuera del texto original).

La información que el responsable del tratamiento debe registrar en el Registro Nacional de Bases de Datos (RNBD) es la concerniente a su identificación, el nombre y la finalidad de la base de datos, la cantidad de titulares de datos personales contenidos en la base de datos, la identificación del encargado del tratamiento, los canales de atención puestos a disposición de los titulares de los datos, la política de tratamiento de la información, las formas de tratamiento, las medidas de seguridad, la inform ación contenida en la base de datos, entre otras.

En el literal f) del artículo 2.1. de la Circular Externa No. 002 de 2015, esta Superintendencia señaló lo siguiente en cuanto a la cesión o transferencia nacional de bases de datos:

“Cesión o transferencia nacional de la base de datos. La información relacionada con la cesión o transferencia nacional de datos incluye la identificación del cesionario, quien se considerará Responsable del Tratamiento de la base de datos cedida a partir del momento en que se perfeccione la cesión. No es obligatorio para el cedente registrar la cesión de la base de datos. Sin embargo, el cesionario, como Responsable del Tratamiento, debe cumplir con el registro de la base

perfeccione la cesión. No es obligatorio para el cedente registrar la cesión de la base de datos. Sin embargo, el cesionario, como Responsable del Tratamiento, debe cumplir con el registro de la base de datos que le ha sido cedida”.

En síntesis, la transferencia nacional de datos personales tiene lugar cuando se comunican datos entre responsables y encargados del tratamiento ubicados en Colombia con otro responsable del tratamiento ubicando también en nuestro país. El responsable o en cargado que transfiere los datos no está obligado a registrar la transferencia de datos en el Registro Nacional de Base de Datos (RBD). En cambio, la sociedad o entidad que recibe los datos, como responsable de tratamiento, tiene la obligación de registrar la base de datos en el Registro Nacional de Base de Datos (RBD) si cumple los requisitos del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015.

4.3.2. Transmisión nacional de datos personales

Siguiendo las definiciones del artículo 2.2.2.25.1.3 del Decreto 1074 de 2015, la transmisión nacional de datos personales ocurre cuando el responsable del tratamiento, ubicado en territorio colombiano, comunica los datos personales aun encargado, también ubicado en nuestro país, para que realice el tratamiento de los datos personales por cuenta suya. En otros términos, en esta hipótesis el responsable de tratamiento comunica los datos personales a un encargado para que realice el tratamiento por su cuenta.

El responsable de tratamiento que trasmite los datos personales a un encargado tiene la obligación de registrar la base de datos en el Registro Nacional de Bases de Datos (RNBD) cuando cumplen las condiciones del artículo 2.2.2.26.1.2 del

El responsable de tratamiento que trasmite los datos personales a un encargado tiene la obligación de registrar la base de datos en el Registro Nacional de Bases de Datos (RNBD) cuando cumplen las condiciones del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015. Como ya se señaló, en cuanto al deber de inscribir las bases de datos en el Registro Nacional de Bases de Datos, el artículo 2.2.2.26.1.3 del Decreto 1075 de 2015 establece:

“Artículo 2.2.2.26.1.3. Deber de inscribir las bases de datos. El Responsable del Tratamiento debe inscribir en el Registro Nacional de Bases de Datos, de manera independiente, cada una de las bases de datos que contengan datos personales sujetos a Tratamiento” (negrillas fuera del texto original).

La información que el responsable del tratamiento debe registrar en el Registro Nacional de Bases de Datos (RNBD) es la concerniente a su identificación, el nombre y la finalidad de la base de datos, la cantidad de titulares de datos personales contenidos en la base de datos, los canales de atención puestos a disposición de los titulares de los datos, la política de tratamiento de la información, las formas de tratamiento, las medidas de seguridad, la información contenida en la base de datos, entre otras

4.4. Obligaciones del responsable y el encargado ( principio de responsabilidad demostrada)

El artículo 17 de la Ley 1581 de 2012 establece los deberes de los Responsables del Tratamiento de datos personales en Colombia. Estos incluyen: (i) asegurar que los titulares puedan acceder, actualizar y corregir su información en cualquier momento; (ii) obtener y conservar la autorización del Titular; (iii) informar sobre la finalidad del tratamiento de los datos y los

incluyen: (i) asegurar que los titulares puedan acceder, actualizar y corregir su información en cualquier momento; (ii) obtener y conservar la autorización del Titular; (iii) informar sobre la finalidad del tratamiento de los datos y los derechos del Titular ; (iv) adoptar medidas de seguridad para proteger la información contra accesos no autorizados ; (v) asegurar la veracidad , actualización de los datos y rectificación de la información incorrecta; (vi) exigir al Encargado del Tratamiento el cumplimiento de normas de seguridad ; (vii) tramitar consultas y reclamos; (viii) establecer un manual interno de políticas; (ix) informar al Titular sobre el uso de sus datos; (x) notificar a la autoridad competente sobre violaciones a la seguridad; y (xi) cumplir con los requerimientos de la Superintendencia de Industria y Comercio.

Por otra parte, el artículo 18 ídem, señala como obligaciones de los Encargados del Tratamiento, las siguientes: (i) garantizar el ejercicio del hábeas data ;(ii) implementar medidas que eviten adulteraciones, pérdidas o accesos no autorizados; (iii) actualizar, rectificar o suprimir datos conforme a los términos de la ley; (iv) actualizar la información reportada por los responsables; (v) atender las consultas y reclamos; (vi) definir las políticas y procedimientos para garantizar el cumplimiento de la normativa y la correcta atención de las consultas y reclamos; (vii) registrar los reclamos en trámite; (viii) incluir la leyenda "información en discusión judicial" cuando exista un proceso judicial en curso sobre un dato personal ; (ix) no divulgar información que el titular haya objetado y cuyo bloqueo haya sido ordenado por esta Superintendencia; (x) garantizar que solo personas autorizadas puedan

proceso judicial en curso sobre un dato personal ; (ix) no divulgar información que el titular haya objetado y cuyo bloqueo haya sido ordenado por esta Superintendencia; (x) garantizar que solo personas autorizadas puedan consultar la información; (xi) reportar violaciones de seguridad; y (xii) acatar las regulaciones y requerimientos de la autoridad competente.

Ahora bien, específicamente el literal k) del artículo 17 de la Ley 1581 de 2012 indica que es deber del Responsable del tratamiento, adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la propia Ley 1581 de 2012.

De esta manera, le corresponde al Responsable del Tratamiento incorporar un Manual Interno de Políticas y Procedimientos, el cual detalle los lineamientos y reglas empleadas para garantizar el correcto tratamiento de datos personales, en especial el procedimiento que adoptará la organización para atender las quejas, consultas y reclamos presentados por los titulares de la información2 .

Conforme lo expuesto, las Políticas de Tratamiento de la Información deberán ser puestas en conocimiento de los titulares, con la finalidad de garantizar que estos puedan ejercer su derecho al habeas data. Para dar a conocer las Políticas de la Información, el artículo 2.2.2.25.3.2 del Decreto 1074 de 2015 indica que se podrá emplear un aviso de privacidad, donde se informe al titular sobre la existencia de tales políticas y la forma de acceder a ellas. Dicho aviso deberá ponerse a disposición del titular de manera oportuna y a más tardar al momento de la recolección de los datos personales.

El artículo 2.2.2.25.3.3 del Decreto 1074 de 2015 indica que el aviso de

ponerse a disposición del titular de manera oportuna y a más tardar al momento de la recolección de los datos personales.

El artículo 2.2.2.25.3.3 del Decreto 1074 de 2015 indica que el aviso de privacidad deberá contener como mínimo: (i) nombre o razón social y los datos de contacto del responsable del tratamiento ; (ii) el tratamiento al cuál serán sometidos los datos y la finalidad de los mismos; (iii) los derechos del titular; (iv) los mecanismos dispuestos por el responsable para que el titular conozca la política de tratamiento y los cambios que se realicen. La implementación del aviso de privacidad no exime al Responsable del Tratamiento de adoptar las

2 Superintendencia de Industria y Comercio. (2017). Cartilla Formato Modelo para el Cumplimiento de Obligaciones Establecidas en la Ley 1581 de 2012 y sus Decretos Reglamentarios. Página 10.Políticas de Tratamiento de la información y de ponerlas en conocimiento del titular.

Finalmente, es importante señalar que el principio de responsabilidad demostrada3, o “accountability”, fue adoptado por la OCDE dentro de las “Guías sobre la Protección de la Privacidad y los Flujos Transfronterizos de Información”, y es entendido como aquél según el cual una entidad que recoge y hace tratamiento de datos personales, debe ser responsable del cumplimiento efectivo de las medidas que implementen los principios de privacidad y protección de datos.

En ese sentido, de conformidad con el principio de responsabilidad demostrada, los Responsables y Encargados del Tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han adoptado medidas apropiadas y efectivas para cumplir con

los Responsables y Encargados del Tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han adoptado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y sus Decretos reglamentarios.

La implementación de esas medidas se debe realizar teniendo en cuenta diversos factores que son propios de cada organización, entre los que se encuentra su tamaño, su naturaleza jurídica, la naturaleza de los datos tratados, el tipo de tratamiento al que se somete la información, los riesgos que implique al titular la recolección y posterior circulación o uso de esos datos, entre otros.

De acuerdo con lo explicado por la Delegatura de Protección de Datos Personales4, el reto frente al principio de responsabilidad demostrada, va más allá de la mera expedición de documentos o redacción de políticas, pues se trata de una actividad constante que exige demostrar un cumplimiento real y efectivo en la práctica de sus labores.

Para dar cumplimiento a este principio, el artículo 27 del Decreto 1377 de 2013, dispuso que las políticas internas efectivas que se implementen por parte de los Responsables del Tratamiento, deben garantizar:

• Que en la organización Responsable del Tratamiento exista una estructura administrativa proporcional a la estructura del responsable para implementarlas. - Que se adopten mecanismos internos para poner en práctica las políticas que incluyan herramientas de implementación, entrenamiento y programas de educación.

3 SIC. “Guía Para la Implementación del Principio de Responsabilidad Demostrada” Disponible en: https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf

que incluyan herramientas de implementación, entrenamiento y programas de educación.

3 SIC. “Guía Para la Implementación del Principio de Responsabilidad Demostrada” Disponible en: https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 4 Res. 12192/2020, SICQue se haga la adopción de procesos para la atención de reclamos y consultas de los titulares.

Por ser de su interés, la invitamos a consultar los siguientes enlaces en donde podrá encontrar información relacionada con el objeto de su petición.

• Cartilla formatos datos Personales - Formatos modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 DE 2012 y sus Decretos

Reglamentarios https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/ Cartilla_formatos_datos_Personales_nov22.pdf

• SIC. “Guía Para la Implementación del Principio de Responsabilidad

Demostrada” Disponible en: https://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf

Al respecto la Superintendencia de Industria y Comercio, cuenta con una herramienta a través de la cual se pueden consultar decisiones jurisprudenciales adoptadas por la entidad, en el siguiente link: https://relatoria.sic.gov.co/#/ al interior del cual y por intermedio del buscador podrá consulta por palabra clave o tema de su interés.

4.5. ÁMBITO DE APLICACIÓN DE LA CIRCULAR 002 DE 2025

Finalmente, y de conformidad con lo consignado en la Circular 002 de 202 5 es preciso destacar el ámbito de aplicación de las instrucciones allí señaladas: “Estas instrucciones son aplicables en concreto a: (i) los procesos de

Finalmente, y de conformidad con lo consignado en la Circular 002 de 202 5 es preciso destacar el ámbito de aplicación de las instrucciones allí señaladas: “Estas instrucciones son aplicables en concreto a: (i) los procesos de transferencia de tecnología en los que, como parte de los insumos a ser transferidos, se transfieran conjuntos de datos que incluyan datos personales; y (ii ) los procesos de transferencia de tecnologías en los que la tecnología a transferir permita o tenga por objeto el tratamiento de datos personales.” En tal sentido, si la prestación de servicios de computación en la nube contempla la transferencia de datos - envío de la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento -, esta se encuentra plenamente sujeta a las disposiciones de la Circular 002 de 2025. Sin embargo, si se realiza exclusivamente la transmisión de datos - comunicación de los mismos que tiene por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable -, no resulta aplicable la precitada circular, luego, el Encargado del tratamiento debe cumplir con las políticas de tratamiento del Responsable y en todo caso con los principios del Régimen General de Protecciónde Datos personales, dentro de los cuales se encuentra el de responsabilidad demostrada. En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.

En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una

compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.

En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link https://forms.office.com/r/hUgLnS0bBN

Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, los puede consultar en nuestra página web https://buscadorconceptos.sic.gov.co/#/search

Atentamente,

ALEJANDRO BUSTOS MENDOZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Diego Villarreal

Revisó: Daniela Mesa

Aprobó: Alejandro Bustos