SIC - Concepto 66110 de 2025

Bogotá D.C., marzo de 2025

Asunto: Radicación: 25-66110

Trámite: 113

Evento: 0

Actuación: 440

Folios: 17

Respetado Señor:

De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por m edio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundamento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los términos que a continuación se pasan a exponer:

1 . CUESTI ÓN PREVI A

Reviste de gran importancia precisar en primer lugar que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su Oficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido, implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la CORTE CONSTI TUCI ONAL ha establecido en la Sentencia C542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se

de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. No pueden reem plazar un acto adm inistrativo. Dada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

2 . FACULTADES DE LA SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O EN MATERI A DE PROTECCI ÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia: Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;  Promover y divulgar los derechos de las personas en r elación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;  Impartir instrucciones sobre las medidas y proc edimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;  Solicitar a los responsables del tratamiento y encargados del tratamiento

 Impartir instrucciones sobre las medidas y proc edimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;  Solicitar a los responsables del tratamiento y encargados del tratamiento la inf ormación que sea necesaria para el ejercicio efectivo de sus funciones.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE HABEAS DATA

En virtud de las atribuciones conferidas en la Ley 1266 de 2008 y el Decreto 4886 de 2011, modificado por el Decreto 092 de 2022, la Superintendencia de Industria y Comercio está facultada para la protección de datos personales así:

“54. Vigilar a los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de la misma naturaleza, en cuanto se refiere a la actividad de administración de datos personales, en los términos de la Ley 1266 de 2008, sin perjuicio de la competencia de la Superintendencia Financiera”.

4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

A partir de la exposición de las consideraciones anteriores, y en el marco del asunto de su comunicación, procederemos a dar respuesta a los interrogantes planteados en la consulta, como sigue:

Primer interrogante

“como ciudadano interesado en los procesos y requerimientos de la SIC, solicito respetuosamente información a cerca (sic) de ¿Qué requisitos debe cumplir una sociedad comercial que esta (sic) obligada a cumplir con las leyes 1266 de 2008 y 1581 de 2012 en cuanto al tratamiento

solicito respetuosamente información a cerca (sic) de ¿Qué requisitos debe cumplir una sociedad comercial que esta (sic) obligada a cumplir con las leyes 1266 de 2008 y 1581 de 2012 en cuanto al tratamiento de datos personales y habeas data? ¿Cómo debe realizarse esetratamiento de datos personales en cuanto a qué deberes le son impuestos por ustedes para realizar el tratamiento conforme a las directrices de la SIC?”

Respuesta:

La Ley 1581 de 2012 en su artículo 3 señala las siguientes definiciones:

“d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.”

Por lo anterior, el Responsable del tratamiento de los datos personales es la persona natural o jurídica que decide sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación, usarlo de alguna manera o determinar el acceso a los datos personales.

Por su parte, e l encargado es la persona natural o jurídica que realiza el tratamiento de los datos personales por instrucción o delegación del responsable.

El artículo 17 de la ley 1581 de 2012 señala los siguientes deberes para los Responsables del tratamiento de datos personales así:

“Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras qu e rijan su actividad:

“Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras qu e rijan su actividad:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdi da, consulta, uso o acceso no autorizado o fraudulento;

e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada;

g) Rectificar la inform ación cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento;

h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley;

1. Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular;

conformidad con lo previsto en la presente ley;

1. Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular;

j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;

k) Adoptar u n manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo;

m) Informar a solicitud del Titular sobre el uso dado a sus datos;

n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.”

Por su parte , el artículo 18 de la me ncionada ley señala los deberes de los

Encargados del tratamiento así:

“Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

derecho de hábeas data;b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la presente ley;

d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo;

e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la presente ley;

f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares;

g) Registrar en la base de datos la leyenda “reclamo en trámite” en la forma en que se regula en la presente ley;

h) Insertar en la base de datos la leyenda “información en discusión judicial” una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal;

1. Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio;

j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella;

k) Informar a la Superintendencia de Industria y C omercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares;

l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares;

l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

PARÁGRAFO. En el evento en que concurran las calidades de Responsable del Tratamiento y Encargado del Tratamiento en la misma persona, le será exigible el cumplimiento de los deberes previstos para cada uno.”

De otra parte, la Ley 1266 de 2008 en su artículo 3 define Fuente y Operador de Información en los siguientes términos:

“b) Fuente de información. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índoley que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios y no, a través de un operador, aquella tendrá la doble condición de fuente y operador y asumirá los deberes y responsabilidades de ambos. (…)”

“c) Operador de información. Se denomina operador de información a la persona, entidad u organización que recibe de la fu ente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. (…)”

Por lo anterior, la Fuente de información es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de

que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información; y el Operador es la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley.

El artículo 8 de la Ley 126 6 de 2008 establece l os siguientes deberes de las

Fuentes de Información:

“Deberes de las Fuentes de la Información. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

1. Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable.

2. Reportar, de forma peri ódica y oportuna al operador, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.

3. Rectificar la información cuando se a incorrecta e informar lo pertinente a los operadores.

4. Diseñar e implementar mecanismos eficaces para reportar oportunamente la información al operador.

5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización ot orgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización

respectiva autorización ot orgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley.6. Certific ar, semestralmente al operador, que la información suministrada cuenta con la autorización de conformidad con lo previsto en la presente ley.

7. Resolver los reclamos y peticiones del titular en la forma en que se regula en la presente ley.

8. Informar al operador que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite.

9. Cumplir con las instrucciones que imparta la autoridad de control en relación con el cumplimiento de la presente ley.

10. Los demás que se deriven de la Constitución o de la presente ley.

11. Reportar la información negativa de los titulares, máximo (18) meses después de la constitución en mora del titular.”

En igual sentido, el artículo 7 de la precitada ley, determina los deberes a cargo de los Operadores de la Información, así:

“Deberes de los Operadores de los Bancos de Datos. Sin perjuicio del cumplimiento de las demás disposiciones contenidas en la presente ley y otras que rijan su actividad, los operadores de los bancos de datos están obligados a:

1. Garantizar, en todo tiempo al titular de la información, el pleno y efectivo ejercicio del derecho de hábeas data y de petición, es decir, la posibilidad de conocer la información que sobre él exista o repose en el

están obligados a:

1. Garantizar, en todo tiempo al titular de la información, el pleno y efectivo ejercicio del derecho de hábeas data y de petición, es decir, la posibilidad de conocer la información que sobre él exista o repose en el banco de datos, y solicitar la actualización o corrección de datos, todo lo cual se realizará por conducto de los mecanismos de consultas o reclamos, conforme lo previsto en la presente ley.

2. Garantizar, que en la recolección, tratamiento y circulación de datos, se respetarán los demás derechos consagrados en la ley.

3. Permitir el acceso a la información únicamente a las personas que, de conformidad con lo previsto en esta ley, pueden tener acceso a ella.

4. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en es pecial, para la atención de consultas y reclamos por parte de los titulares.

5. Solicitar la certificación a la fuente de la existencia de la autorización otorgada por el titular, cuando dicha autorización sea necesaria, conforme lo previsto en la presente ley.6. Conservar con las debidas seguridades los registros almacenados para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento.

7. Realizar periódica y oportunamente la actualización y rectificación de los datos, cada vez que le reporten novedades las fuentes, en los términos de la presente ley.

8. Tramitar las peticiones, consultas y los reclamos formulados por los titulares de la información, en los términos señalados en la presente ley.

9. Indicar en el respectivo registro individual que determinada información se encuentra en discusión por parte de su titular, cuando

titulares de la información, en los términos señalados en la presente ley.

9. Indicar en el respectivo registro individual que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma y no haya finalizado dicho trámite, en la forma en que se regula en la presente ley.

10. Circular la información a los usuarios dentro de los parámetros de la presente ley.

11. Cumplir las instrucciones y requerimientos que la autoridad de vigilancia imparta en relación con el cumplimiento de la presente ley.

12. Los demás que se deriven de la Constitución o de la presente ley.”

Conforme lo anterior, y de acuerdo a la consulta, debe tener en cuenta que si actúa en calidad de Responsable o Encargado del tratamiento de los datos personales, o en calidad de Fuente u Operador de Información, además de lo señalado anteriormente deberá cumplir con todas las disposiciones consagradas en la Ley 1581 de 2012 y 1266 de 2008 y sus decretos reglamentarios , respectivamente.

Segundo interrogante

“¿Qué reportes, requerimientos, solicitudes, documentos, o obligaciones, etc. por parte de la SIC debe cumplir la empresa y en qué fechas se deben presentar dichos reportes, requerimientos, etc. en caso de haberlos? por favor responder indicando el calendar io de las fechas para presentar las obligaciones de reportes etc.”

Respuesta:

El artículo 25 de la Ley 1581 de 2012 señala lo siguiente:

“Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país.El registro será administrado por la Superintendencia de Industria y

“Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país.El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.

Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.

Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento.”

Dicho artículo fue reglamentado mediante el artículo 2.2.2.26.1.2., del Decreto 1074 de 2015, que incorpora el Decreto 90 de 2018 y en el que se determina qué bases de datos deben ser inscritas en el Registro Nacional de Bases de datos:

“Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las b ases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características:

a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT).

b) Personas jurídicas de naturaleza pública”.

características:

a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT).

b) Personas jurídicas de naturaleza pública”.

Por su parte, el artículo 2.2.2.26.1.3 del Decreto 1074 de 2015 señala lo siguiente:

“Deber de inscribir las bases de datos . El Responsable del Tratamiento debe inscribir en el Registro Nacional de Bases de Datos, de manera independiente, cada una de las bases de datos que contengan datos personales sujetos a Tratamiento”.

En consecuencia, la obligación de realizar el registro de cada base de datos de manera independiente, corresponde al responsable del tratamiento, es decir, a la persona natural o jurídica pública o privada que decide sobre las finalidades del tratamiento –la recolección, el almacenamiento, el uso, la circulación o la supresió n de los datos personales - y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación, usarlo de alguna manera o permitir su acceso.Ahora bien, el artículo 2.2.2.26.3.1. del Decreto 1074 de 2015, modificado por el Decreto 90 de 2018, establece los plazos en los que los obligados deben llevar a cabo el registro:

“Plazo de inscripción. La inscripción de las bases de datos en el Registro Nacional de Bases de Datos se llevará a cabo en los siguientes plazos:

a) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unidades de Valor Tributario (UVT), deberán realizar la referida inscripción a más

plazos:

a) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unidades de Valor Tributario (UVT), deberán realizar la referida inscripción a más tardar el treinta (30) de septiembre de 2018, de acuerdo con las instrucciones impartidas por la Superintendencia de Industria y Comercio;

b) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario (UVT), deberán r ealizar la referida inscripción a más tardar el treinta (30) de noviembre de 2018, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio;

c) Los Responsables del Tratamiento, personas jurídicas de naturaleza pública, deberán realizar la referida inscripción a más tardar el treinta y uno (31) de enero de 2019, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Las bases de datos que se creen con posterioridad al vencimiento de los plazos referidos en los literales a), b) y c) del presente artículo, deberán inscribirse dentro de los dos (2) meses siguientes, contados a partir de su creación."

De esta manera, dependiendo de la calidad de responsable se tiene tres fechas para la inscripción de bases de datos así: (i) hasta el treinta (30) de septiembre de 2018 para las sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unidades de Valor Tributario -UVT-; (ii) hasta el

de 2018 para las sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unidades de Valor Tributario -UVT-; (ii) hasta el treinta (30) de noviembre de 2018 para las sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario -UVT-; (iii) Hasta el treinta y uno (31) de enero de 2019, para las personas jurídicas de naturaleza pública; (iv) para las bases de datos que se creen con posterioridad al vencimiento de los plazos referidos anteriormente, dentro de los dos (2) meses siguientes contados a partir de su creación.

Actualización del Registro Nacional de Bases de Datos

Respecto a la actualización de la información contenida en el Registro Nacional de Bases de Datos, el numeral 2.3. del Capítulo Segundo, del Título V de laCircular Única de esta Superintendencia, que incorpora la Circular Externa 01 de 2017, señala lo siguiente:

“Los responsables de Tratamiento que de conformidad con lo establecido en el Decreto 090 del 18 de enero de 2018 están obligados a registrar sus bases de datos en el RNBD deben actualizar la información registrada, como se indica a continuación:

(i) Dentro de los primeros diez (10) días hábiles de cada mes, a partir de la inscripción de la base de datos, cuando se realicen cambios sustanciales en la información registrada.

(ii) Anualmente, entre el 2 de enero y el 31 de marzo, a partir de 2020.

Son cambios sustanciales los que se relacionen con la finalidad de la base de datos, el Encargado del Tratamiento, los canales de atención

(ii) Anualmente, entre el 2 de enero y el 31 de marzo, a partir de 2020.

Son cambios sustanciales los que se relacionen con la finalidad de la base de datos, el Encargado del Tratamiento, los canales de atención al Titular, la clasificación o tipos de da tos personales almacenados en cada base de datos, las medidas de seguridad de la información implementadas, la Política de Tratamiento de la Información y la transferencia y transmisión internacional de datos personales.

Adicionalmente, dentro de los quince (15) primeros días hábiles de los meses de febrero y agosto de cada año, a partir de su inscripción, los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD deben actualizar la información de los reclamos presentados por los Titulares, referida en el número (i) del literal f) del numeral 2.1 anterior. El primer reporte de reclamos presentados por los Titulares se deberá realizar en el segundo semestre de 2019 con la información que corresponda al primer sem estre del 2019.

Los Responsables del Tratamiento que no están obligados a efectuar el registro de sus bases de datos y que realizaron dicho trámite, no están obligados a efectuar la actualización a que hace referencia este numeral y la información por ellos registrada no estará disponible para consulta pública”.

Los responsables del tratamiento, deben realizar las siguientes actualizaciones de sus bases de datos inscritas en el Registro Nacional de Bases de Datos:

(i) Dentro de los primeros diez (10) d ías hábiles de cada mes, a partir de la inscripción de la base de datos, cuando se realicen cambios sustanciales en la información registrada.

Son cambios sustanciales los que se relacionen con:

inscripción de la base de datos, cuando se realicen cambios sustanciales en la información registrada.

Son cambios sustanciales los que se relacionen con:

1. La finalidad de la base de datos.

2. El Encargado del Tratamiento.

3. Los canales de atención al Titular.4. La clasificación o tipos de datos personales almacenados en cada base de datos.

5. Las medidas de seguridad de la información implementadas.

6. La Política de Tratamiento de la Información.

7. La transferencia y transmisión internacional de datos personales.

(ii) Anualmente, entre el 2 de enero y el 31 de marzo, a partir de 2020.

(iii) Dentro de los quince (15) primeros días hábiles de los meses de febrero y agosto de cada año, a partir de su inscripción, los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD deben actualizar la información de los reclamos presentados por los Titulares.

En consecuencia, si lo planteado por usted al realizar las actualizaciones de datos personales de los titulares, genera un cambio sustancial de acuerdo a lo explicado en precedencia, deberá realizar la actualización dentro de los primeros diez (10) días hábiles del mes siguiente al que se produce el cambio sustancial.

Ahora bien, en el evento en que no se produzca un cambio sustancial en las bases de datos registradas no es necesario la actualización, y el responsable solo estará obligado al cumplimiento de la actualización anual, es decir, entre el 2 de enero y el 31 de marzo de cada año y, dentro de los 15 primeros días de febrero y agosto de cada año respecto a los reclamos presentados por los titulares.

Tercer interrogante

“¿Qué tipo de seguridad de la información obliga la SIC a manejar en

y agosto de cada año respecto a los reclamos presentados por los titulares.

Tercer interrogante

“¿Qué tipo de seguridad de la información obliga la SIC a manejar en el tratamiento de datos personales en cuanto a la seguridad informática, seguridad de las paginas (sic) web, etc.? Las anteriores dudas derivan de la inquiet