SIC - Concepto Jurídico 5973 de 2025

Bogotá D .C., m ayo de 2025

A su n to: R adicación: 25-167843

Trám ite: 113

Actuación: 440

Folios: 16

R eciba un cordial saludo:

D e conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar, en prim er lugar, que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso com o garantía constitucional. Al respecto, la C orte C onstitucional ha establecido en la Sentencia C -542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se sum inistrarán las herram ientas de inform ación y elem entos conceptuales necesarios que le perm itan absolver las inquietudes por U sted m anifestadas.

2 . FA C U LTA D ES D E LA S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO EN M A TER IA D E P R O TEC C IÓ N D E D A TO S P ER S O N A LES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas

acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior , a continuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA

Pregunta

“1. ¿El software para propiedad horizontal que gestiona información de residentes, visitantes y empleados se encuentra sujeto a las disposiciones de la Ley 1581 de 2012?”.

Respuesta

1. Definición de datos personales

Débase indicar primero que el dato personal ha sido definido por el literal c) del

disposiciones de la Ley 1581 de 2012?”.

Respuesta

1. Definición de datos personales

Débase indicar primero que el dato personal ha sido definido por el literal c) del artículo 3 de la Ley 1581 de 2012 en los siguientes términos:“c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

En relación con las características de los datos personales, la Corte Constitucional ha considerado que son las siguientes:

“i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente e n el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”1.

La mencionada Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo p rocesamiento sea utilizando medios tecnológicos o manuales.

almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo p rocesamiento sea utilizando medios tecnológicos o manuales.

2. Responsables y encargados de tratamiento de datos personales

En cuanto a las personas naturales o jurídicas que tratan datos personales, la ley establece las categorías del responsable y del encargado del tratamiento, a los cuales les asigna los deberes que deben observar para el cumplimiento del régimen de protección de datos personales.

Por una parte, de conformidad con el literal e) del artículo 3º de la ley 1581 de 2012, se considera responsable de tratamiento de datos personales:

“e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”

En los términos anteriores, toda persona, ya sea natural o jurídica, que de manera individual o en conjunto con otros, gestiona el tratamiento de datos personales o de una base de datos, es considerado responsable del tratamiento.

1 Corte Constitucional, sentencia C-748 de 2011, M.P. Jorge Ignacio Pretel.Por consiguiente, la propiedad horizontal, que es una persona jurídica (art. 4, ley 675 de 2001), que en su actividad recolecta, trata y usa datos de los propietarios residentes, visitantes, empleados y de otras personas (titulares de los datos), es considerado jurídicamente como responsable de tratamiento. Todo responsable del tratamiento debe cumplir los deberes enumerados en el artículo 17 de la ley 1581 de 2012, además de las demás normas que integran el régimen de protección de datos personales en nuestro ordenamiento jurídico.

responsable del tratamiento debe cumplir los deberes enumerados en el artículo 17 de la ley 1581 de 2012, además de las demás normas que integran el régimen de protección de datos personales en nuestro ordenamiento jurídico.

Como responsable del tratamiento, debe cumplir los deberes enumerados en el artículo 17 de la ley 1581 de 2012, que son los siguientes:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;

f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se m antenga actualizada;

g) Rectificar la información cuando sea incorrecta y comunicar lo

que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se m antenga actualizada;

g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento;

h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley;

1. Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular;j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;

k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo;

m) Informar a solicitud del Titular sobre el uso dado a sus datos;

n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”.

Por otra parte, de conformidad con el literal d) del artículo 3º de la ley 1581 de 2012, se considera encargado del tratamiento de datos personales:

“d) Encargado del Tratamiento : Persona natural o jurídica, pública

Por otra parte, de conformidad con el literal d) del artículo 3º de la ley 1581 de 2012, se considera encargado del tratamiento de datos personales:

“d) Encargado del Tratamiento : Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento”;

De acuerdo con lo anterior, se considera como encargado del tratamiento a la persona que, por sí misma o asocio con otros, realiza el tratamiento de datos personas por cuenta de un responsable del tratamiento. A título de ilustración, es considerado un encargado de tratamiento la persona a quien el responsable de tratamiento transfiere los datos personales recolectados para que los administre siguiendo sus instrucciones. Todo encargado de tratamiento debe cumplir los deberes enumerados en el artículo 1 8 de la ley 1581 de 2012 , además de las demás normas que integran el régimen de protección de datos personales en nuestro ordenamiento jurídico.

Como encargado de tratamiento, debe cumplir los deberes enumerados en el artículo 18 de la ley 1581 de 2012, que son los siguientes:

“Artículo 18. Deberes de los Encargados del Tratamiento . Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

derecho de hábeas data;b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la presente ley;

d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo;

e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la presente ley;

f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares;

g) Registrar en la base de datos las leyenda "reclamo en trámite" en la forma en que se regula en la presente ley;

h) Insertar en la base de datos la leyenda "información en discusión judicial" una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal;

1. Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio;

j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella;

k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares;

l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares;

l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

Parágrafo. En el evento en que concurran las calidades de Responsable del Tratamiento y Encargado del Tratamiento en la misma persona, le será exigible el cumplimiento de los deberes previstos para cada uno”.

En síntesis, la persona natural o jurídica que en ejercicio de una actividad trata datos personales puede ser considerado responsable o encargado de tratamiento. En dicha calidad, deben cumplir los deberes establecidos por la ley, así como todas las demás normas que rigen el tratamiento de datos personales, en particular la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas concordantes.3. Principio de responsabilidad demostrada

Es importante señalar que el Decreto 1074 de 2015 incorporó a nuestro ordenamiento jurídico el denominado principio de la responsabilidad demostrada, de conformidad con la cual el responsable de tratamiento debe ser capaz de demostrar que ha implementado las medidas apropiadas y efectivas para cumplir con las medidas establecidas en la Ley 1581 de 2012 y en el Capítulo 25 del Decreto 1074 de 2015. Concretamente, el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 incorporó dicho principio en los siguientes términos:

“ARTÍCULO 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las

tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente:

1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente.

2. La naturaleza de los datos personales objeto del tratamiento.

3. El tipo de Tratamiento.

4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, cómo también la descripción de las finalid ades para las cuáles esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”.

A la luz de lo anteriormente dicho, los responsables del tratamiento deben no solamente cumplir con el régimen de protección de datos personales, sino además demostrar, cuando esta Superintendencia lo requiera, que han tomado las medidas apropiadas y efect ivas para cumplir con dicho régimen, considerando la naturaleza particular del responsable y su tamaño empresarial; la naturaleza de los datos personales objeto del tratamiento ; e l tipo de

además demostrar, cuando esta Superintendencia lo requiera, que han tomado las medidas apropiadas y efect ivas para cumplir con dicho régimen, considerando la naturaleza particular del responsable y su tamaño empresarial; la naturaleza de los datos personales objeto del tratamiento ; e l tipo de tratamiento realizado; y, los riesgos potenciales que dicho tratamiento pudiera generar en los derechos de los titulares.

Además, en cuanto las medidas apropiadas y efectivas para cumplir con el régimen de protección de datos personales, el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015 dispone lo siguiente:“ARTÍCULO 2.2.2.25.6.2. Políticas internas efectivas . En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2. 25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superi ntendencia de Industria y Comercio. Dichas políticas deberán garantizar:

1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo.

2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación.

3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.

La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo

peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

En síntesis, la responsabilidad demostrada exige que, más allá del cumplimiento de la normativa, los responsables del tratamiento puedan demostrar, cuando así se les requiera, que han tomado las medidas efectivas y apropiadas para garantizar la protección de los derechos de los titulares de los datos personales, en particular a través del diseño e implementación de políticas que aseguren la existencia de una estructura administrativa adecuada para el cumplimiento del régimen de protección de datos personale s, la adoptación de mecanismos que permiten la ejecución de dichas políticas, así como la creación de procedimientos para la atención de las consultas, peticiones y reclamos de los titulares. Estos elementos serán tomados en cuenta por la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO cuando evalúe la imposición de sanciones por el incumplimiento del régimen de protección de datos personales.

Por último, por enmarcarse en el tema general de su pregunta, es importante señalar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO ha publicado las siguientes guías, las cuales pueden ser descargadas de su página web:

• “Guía sobre el tratamiento de datos personales en la propiedad horizontal”, la cual puede ser descargada en el siguiente enlace:https://www.sic.gov.co/sites/default/files/files/Publicaciones/Gui

web:

• “Guía sobre el tratamiento de datos personales en la propiedad horizontal”, la cual puede ser descargada en el siguiente enlace:https://www.sic.gov.co/sites/default/files/files/Publicaciones/Gui a_prop_horizontal_NOV12_OK%20(1).pdf• “Guía para la implementación del Principio de Responsabilidad Demostrada (Accountability)” , la cual puede ser descargada en el

siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf

4. Tratamiento de b ases de datos personales utilizando un programa informático o software

Cuando se organiza un conjunto de datos personales que son objeto de tratamiento, la ley considera que existe una base de datos. En efecto, según el artículo 3º, b) de la ley 1581 de 2012, una base de datos es el “ [C]onjunto organizado de datos personales que sean objeto de Tratamiento ”. Sobre este concepto, la Corte Constitucional mediante Sentencia C -748 de 2011 señaló lo siguiente:

“El literal b) define las bases de datos como un “(…) conjunto organizado de datos personales que sea objeto de tratamiento”. Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación. Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sa la recuerda, como se

donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sa la recuerda, como se indicó en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley”.

La persona natural o jurídica que realiza el tratamiento de datos personales de los titulares 2 es considerado responsable o encargado del tratamiento –de conformidad con las definiciones ya mencionadas– y, en tales calidades, que le atribuye la ley, tiene la obligación de garantizar el ejercicio pleno y efectivo de los derechos de los titulares de los datos.

Cuando el responsable o el encargado utiliza un programa informático o software para el tratamiento de los datos personales —por ejemplo, para gestionar la información de residentes, visitantes y propietarios en una propiedad horizontal—, dicho programa o software debe estar diseñado para que el responsable o encargado del tratamiento cumpla las disposiciones de la Ley 1581 de 2012, el Decreto 1074 de 2015 y las demás normas complementarias en materia de protección de datos personales.

2 Ley 1581 de 2012, art. 3º, f) “Titular: Persona natural cuyos datos personales sean objeto de Tratamiento”.Al respecto, es importante señalar que, en distintos documentos, la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO ha abordado el concepto de privacidad desde el diseño y por defecto (Privacy by Design and by Default), el cual se considera una medida proactiva orientada al cumplimiento del principio de responsabilidad demostrada anteriormente mencionado. Este concepto debe

de privacidad desde el diseño y por defecto (Privacy by Design and by Default), el cual se considera una medida proactiva orientada al cumplimiento del principio de responsabilidad demostrada anteriormente mencionado. Este concepto debe ser tenido en cuenta por los responsables y encargados del tratamiento cuando utilizan programas informáticos para el tratamiento de los datos personales, sea que tales programas incorporen o no sistemas de inteligencia artificial.

Particularmente, en las “Recomendaciones Generales para el tratamiento de datos en la Inteligencia Artificia l”3 de la Red Iberoamericana de Protección de Datos, de la cual forma parte esta entidad, se señala lo siguiente:

“3. Incorporar la Privacidad, la Ética y la Seguridad desde el Diseño y por Defecto La privacidad desde el diseño y por defecto (Privacy by Design and by Default) es considerada una medida proactiva para cumplir con el Principio de Accountability, como se observa en los numerales 1 y 2 del artículo 38 de los Estándares de la RIPD. Al incrustar la privacidad desde el diseño, se está buscando garantizar el correcto tratamiento de los datos utilizados en procesos de inteligencia artificial, incluso antes de la materialización de los riesgos. La mejor manera de garantizar el debido tratamiento de datos, es tomando la privacidad como un componente esencial del diseño y la arquitectura del software o el algoritmo. La Privacidad por Diseño "promueve la visión de que el futuro de la privacidad no puede ser garantizada sólo por cumplir con los marcos regulatorios; más bien, idealmente el aseguramiento de la privacidad debe convertirse en el modo de operación predeterminado de una organización”. Por eso, desde antes que se recolecte información y

privacidad no puede ser garantizada sólo por cumplir con los marcos regulatorios; más bien, idealmente el aseguramiento de la privacidad debe convertirse en el modo de operación predeterminado de una organización”. Por eso, desde antes que se recolecte información y durante todo el ciclo de vida de la misma, se deberían adoptar medidas preventivas de diversa naturaleza (tecnológica, organizacional, humana, procedimental, entre otras) con el objeto de evitar vulneraciones al derecho a la privacidad o a la confidencialidad de la información. Así como fallas de seguridad o indebidos tratamientos de datos personales. La ética desde el diseño y por defecto debe irradiar el esquema, desarrollo y uso de los productos o procesos de inteligencia artificial, debiendo ser parte del ADN de cualquier aspecto relacionado con la inteligencia artificial” (negrillas fuera del texto original).

Particularmente, tratándose del tratamiento de datos personales en sistemas de inteligencia artificial, esta Superintendencia emitió la Circular no. 002 de 2024, la cual puede ser consultada en el siguiente enlace:

3https://www.sic.gov.co/sites/default/files/files/pdf/1%20RIPD%20(2019)%20RECOMENDACION ES%20GENERALES%20PARA%20EL%20TRATAMIENTO%20DE%20DATOS%20EN%20LA%20IA. pdfhttps://sedeelectronica.sic.gov.co/sites/default/files/normativa/Circular%20Ext erna%20No.%20002%20del%2021%20de%20agosto%20de%202024.pdf

Pregunta

“2. ¿Cómo empresa que presta servicios de alquiler de Software para la gestión administrativa en una copropiedad, que estamos obligados a

Pregunta

“2. ¿Cómo empresa que presta servicios de alquiler de Software para la gestión administrativa en una copropiedad, que estamos obligados a cumplir con relación a tratamiento de datos personales?”.

Respuesta

En concordancia con lo manifestado en la respuesta a la primera pregunta, la persona natural o jurídica que tenga la calidad de responsable o encargado del tratamiento de datos personales –en los términos precedentemente señalados– deben cumplir los deberes establecidos por la ley, así como todas las demás normas que rigen el tratamiento de datos personales, en particular la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas concordantes.

Como ya se señaló, c uando el responsable o el encargado utiliza un software para el tratamiento de los datos personales , dicho programa o software debe estar diseñado para que el responsable o encargado del tratamiento cumpla las disposiciones de la Ley 1581 de 2012, el Decreto 1074 de 2015 y las demás normas complementarias en materia de protección de datos personales. Deberá además tomarse en cuenta el principio de responsabilidad demostrada antes mencionado y la privacidad desde el diseño y por defecto (Privacy by Design and by Default), en los términos anteriormente explicados.

Pregunta

“3. ¿Qué responsabilidades adquiere la administración de la copropiedad y el proveedor del software en cuanto a la protección y tratamiento de los datos personales?”.

Respuesta

Como ya se señaló, en cuanto a las personas naturales o jurídicas que tratan datos personales, la ley establece las categorías del responsable y del encargado del tratamiento, a los cuales les asigna los deberes que deben observar para el

Respuesta

Como ya se señaló, en cuanto a las personas naturales o jurídicas que tratan datos personales, la ley establece las categorías del responsable y del encargado del tratamiento, a los cuales les asigna los deberes que deben