SIC - Concepto Jurídico 6011 de 2025

Bogotá D .C., septiem bre de 2025

A su n to: R adicación: 25-360008

Trám ite: 113

Actuación: 440

Folios: 12

Respetada Señora:

D e conform idad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar en prim er lugar que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido, im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, la C O R TE C O N STITU C IO N A L ha establecido en la Sentencia C542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de

Al respecto, la C O R TE C O N STITU C IO N A L ha establecido en la Sentencia C542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

2 . FA C U LTA D ES D E LA S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO EN M A TER IA D E P R O TEC C IÓ N D E D A TO S

P ER S O N A LES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;

mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

3. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

A partir de la exposición de las consideraciones anteriores, y en el marco del asunto de su comunicación, procederemos a dar respuesta a los interrogantes planteados en la consulta, como sigue:

Primer, segundo y tercer interrogante

“La administración del edificio donde poseo un apartamento decidió establecer como único medio de ingreso peatonal al edificio el sistema de identificación facial, negándose a establecer como posibilidad alterna de ingreso algún mecanismo que no implicara la recolección de datos biométricos como carnés, chips o tarjetas de acceso. Esto, pese a que la empresa contratada para instalar el sistema ofreció a la administración adecuar e instalar 2 lectores faciales en el acceso peatonal principal, este dispositivo contaba con 3 modos de registro: • Registro facial. • Registro de palma. • Registro con tarjeta. Frente a estas opciones fui clara con la administración que me acogía a la de ingreso con tarjeta; sin embargo, la administración no ha facilitado la obtención de una nueva tarjeta o dispositivo de acceso

con tarjeta. Frente a estas opciones fui clara con la administración que me acogía a la de ingreso con tarjeta; sin embargo, la administración no ha facilitado la obtención de una nueva tarjeta o dispositivo de acceso diferente al registro facial. De tal suerte que quienes no dimos nuestro consentimiento para utilizar dichos datos faciales, por no estar obligados a hacerlo ya que se trata de datos sensibles, no podemos ingresar en forma peatonal al edificio. La administración no tuvo en cuenta las razones expuestas que demuestran la inconveniencia de instalar dicho mecanismo, entre otras:- Según lo establecido en la Ley de protección de datos personales (1581 de 2012) está prohibido el tratamiento de datos sensibles sin la previa autorización de las personas. - Se estaría violando el acceso a la propiedad privada (acceso a mi apartamento). - Las bases de datos manejadas pueden verse expuestas a ataques de los ciberatacantes. - La administración no cuenta con la estructura requerida para garantizar la absoluta seguridad y confidencialidad de los datos almacenados. - En el edificio viven niños y adultos mayores a quienes se les estaría violando sus derechos. - Se estarían violando derechos fundamentales como el derecho a la intimidad y el derecho fundamental al Habeas Data. - El reconocimiento facial comporta bastantes riesgos que a nivel mundial están siendo analizados y trabajados para poder mitigarlos.

Por ejemplo: el riesgo de suplantaciones a través de edición de imagen, o los riesgos del uso de bases de datos centralizadas para almacenar dicha información (accesos sin permisos, ataques, robos, entre otros).

De acuerdo con estos hechos, les solicito de forma respetuosa aclararnos:

imagen, o los riesgos del uso de bases de datos centralizadas para almacenar dicha información (accesos sin permisos, ataques, robos, entre otros). De acuerdo con estos hechos, les solicito de forma respetuosa aclararnos:

1. ¿Está actuando la Administración dentro de la Constitución o, por el contrario, está violando derechos constitucionales? 2. ¿La Administración está acatando o no lo establecido en la ley 1581 de 2012? 3. ¿Está obligada la administración a implementar los sistemas de registro con tarjeta o por huella en el caso de que los residentes del edificio lo requieran?”

Respuesta:

Al respecto, sea lo primero indicar que, de conformidad con las competencias legales conferidas a esta Oficina Asesora Jurídica en materia de protección de datos personales, no corresponde mediante una consulta jurídica pronunciarse sobre las particularidades de casos concretos, pues tal situación devendría en una flagrante vulneración del derecho fundamental al debido proceso. En este sentido, se procederá a desarrollar de manera general el contexto en el que procede el tratamiento de datos personales, como sigue:

3.1. Definición de dato personal

El artículo 15 de la Constitución Política establece que en el Tratamiento de datos personales se respetará la libertad y demás garantías consagradas en la Constitución. Esto significa que, tanto las personas naturales como las jurídicas, que traten datos personales –recolecten, almacenen, usen, circulen,supriman–, están sujetas a las obligaciones establecidas en la Constitución y en la ley.

Al respecto, débase indicar primero que el dato personal ha sido definido por el

en la ley.

Al respecto, débase indicar primero que el dato personal ha sido definido por el literal c) del artículo 3 de la Ley 1581 de 2012 en los siguientes términos:

“c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”

En relación con las características de los datos personales, la Corte Constitucional ha considerado que son las siguientes:

“i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”1.

La mencionada Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.”

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo procesamiento se realice utilizando medios tecnológicos o manuales.

3.2. De l os responsables y encargados del tratamiento de datos personales

encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo procesamiento se realice utilizando medios tecnológicos o manuales.

3.2. De l os responsables y encargados del tratamiento de datos personales

Cuando las personas naturales o jurídicas realizan el tratamiento de datos personales, la ley establece las categorías del responsable y del encargado del tratamiento, a los cuales les asigna los deberes que deben observar para el cumplimiento del régimen de protección de datos personales.

Así, de conformidad con el literal e) del artículo 3º de la Ley 1581 de 2012, se considera responsable del tratamiento:

1 Corte Constitucional, sentencia C-748 de 2011, M.P. Jorge Ignacio Pretel.“e) Responsable del Tratamiento : Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”

En los términos anteriores, toda persona, ya sea natural o jurídica, que de manera individual o en conjunto con otros, gestiona el tratamiento de datos personales o de una base de datos, es considerado responsable del tratamiento.

La propiedad horizontal es una persona jurídica (Art. 4, Ley 675 de 2001), que en su actividad recolecta, trata y usa datos de los propietarios , residentes, visitantes, empleados y de otras personas (titulares de los datos), por lo cual es considerado jurídicamente como responsable del tratamiento.

Como responsable del tratamiento, debe cumplir los deberes enumerados en el artículo 17 de la Ley 1581 de 2012, dentro de los cuales se encuentran:

“Deberes de los Responsables del Tratamiento . Los Responsables

Como responsable del tratamiento, debe cumplir los deberes enumerados en el artículo 17 de la Ley 1581 de 2012, dentro de los cuales se encuentran:

“Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada ; (…)”

El responsable de tratamiento debe entonces garantizar al titular el pleno y efectivo ejercicio de su derecho de hábeas data. Para ello, es importante señalar que el tratamiento de los datos personales se rige por los principios de finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, los cuales están establecidos en el artículo 4º de la Ley 1581 de 2012.

3.3. Del tratamiento de los datos sensibles por los responsables o encargados del tratamiento de datos personales

Cuando el responsable del tratamiento realiza el tratamiento de datos sensibles debe tener en cuenta su régimen jurídico especial. En cuanto a esta clase de datos, el artículo 5º de la Ley 1581 de 2012 dispone:“(…) se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación

del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos ” (Negrilla fuera del texto original)

Por lo anterior, son datos personales considerados sensibles, entre otros, las fotos, las videograbaciones y las huellas dactilares. Si se recolecta, usa o trata este tipo de información, debe cumplirse lo indicado en la ley. El tratamiento de datos sensibles debe estar rodeado de especial cuidado y diligencia en su recolección, uso, seguridad o cualquier otra actividad que se realice con los mismos.

En cuanto a su régimen jurídico, la Ley 1581 de 2012 en su artículo 6º prohíbe de manera general su tratamiento, salvo en los casos expresamente autorizados por la ley:

“Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización;

b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización;

c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación,

estos eventos, los representantes legales deberán otorgar su autorización;

c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular;

d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;

e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares .” ( Negrillas fuera del texto original).Y en cuanto a la información que debe ser suministrada al titular, el artículo 12 de la misma Ley 1581 de 2012 dispuso lo siguiente:

“Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: (…) b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (…) ” (Negrillas fuera del texto original)

Con respecto a estos datos, la Corte Constitucional ha señalado:

“En relación con el primer contenido normativo, la Sala estima que no solamente es compatible con la Carta, sino que es una exigencia del

original)

Con respecto a estos datos, la Corte Constitucional ha señalado:

“En relación con el primer contenido normativo, la Sala estima que no solamente es compatible con la Carta, sino que es una exigencia del derecho a la intimidad y un desarrollo del principio del habeas data de acceso y circulación restringida. Ciertamente, como se explicó en la sentencia C-1011 de 2008, en tanto los datos sensibles pertenecen a la esfera de la intimidad de las personas, “(…) todo acto de divulgación mediante los procesos genéricos de administración de datos personales, distintos a las posibilidades de divulgación excepcional descritas en el fundamento jurídico 2.5 del presente análisis, se encuentra proscrita. Ello en la medida que permitir que información de esta naturaleza pueda ser objeto de procesos ordinarios de acopio, recolección y circulación vulneraría el contenido esencial del derecho a la intimidad”.

Como se observa, los datos personales sensibles, y dentro de ellos los biométricos, son aquellos que, dentro del conjunto más amplio de datos personales, tienen el régimen más estricto de protección. Esto es comprensible, pues estos datos pueden ser utilizados para actos de discriminación, poner en riesgo la intimidad o seguridad personal del Titular o, incluso, poner en riesgo su salud emocional o sicológica.

En consonancia con el régimen reforzado de protección de los datos sensibles, el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015. dispone:

“(…) En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de

el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015. dispone:

“(…) En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

2. Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto deTratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles.”

En cuanto a la forma c omo se debe obtener la autorización del Titular debe tenerse en cuenta el artículo 2.2.2.25.2.4. del Decreto 1074 de 2015, el cual dispone:

“Modo de obtener la autorización . Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante

mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.”

Subráyese que el artículo 6º de la Ley 1581 de 2012 dispone que en materia de datos sensibles el Titular debe otorgar su autorización para el Tratamiento de manera explícita, por lo que, tratándose de estos datos, por su propia naturaleza, no podría considerarse que el Titular otorgó su autorización por la sola realización de conductas inequívocas. Adicionalmente, el responsable del Tratamiento debe utilizar mecanismos que permitan la consulta posterior de la autorización2.

En conclusión, en virtud del principio de libertad, el tratamiento de datos sensibles sólo puede realizarse con la autorización previa, explícita e informada de su Titular. Sobre este último aspecto, la ley impone al responsable del tratamiento obligaciones de información cuando solicita la autorización al titular del dato sensible. En particular, debe advertirle que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento.

Igualmente, en virtud del principio de finalidad, el tratamiento debe obedecer a una finalidad legítima y debe informarse al titular cuáles de los datos que serán objeto de Tratamiento son sensibles, así como la finalidad del Tratamiento. El responsable del tratamiento solamente puede tratar el dato para la finalidad autorizada por el titular. Asimismo, la ley dispone, como desarrollo del

objeto de Tratamiento son sensibles, así como la finalidad del Tratamiento. El responsable del tratamiento solamente puede tratar el dato para la finalidad autorizada por el titular. Asimismo, la ley dispone, como desarrollo del principio de libertad, que ninguna actividad podrá condicionarse al suministro de datos personales sensibles.

2 Ley 1581 de 2012, art. 9º.Con respecto a este último punto, la Dirección de Investigaciones para la Protección de Datos personales de esta Superintendencia, en la reciente resolución 16582 de 2025, reiteró esta regla en los siguientes términos:

“Conforme a todo lo descrito, es claro para el Despacho que al margen de que se configure una cualquiera de las causas que originan la limitación en la creación o acceso a la cuenta de usuario por parte (…), conforme a las disposiciones del Gobierno Nacional en el inciso final del artículo 2.2.2.25.2.3 “Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles”. Al respecto, resulta imperioso también recordar que el legislador proscribió en el artículo 6° de la Ley 1581 de 2012, el tratamiento de datos sensibles salvo las excepciones previstas en ese mismo cuerpo normativo. Así las cosas, los Responsables del tratamiento de datos personales no podrán a su consideración establecer eventos distintos a aquellos taxativamente contemplados en la Ley Estatutaria y con ello desconocer la prohibición expresa respecto al condicionamiento de una actividad al suministro de datos sensibles, para el caso que nos ocupa, información biométrica” (Negrillas fuera del texto original)3.

En síntesis, el tratamiento de los datos sensibles está prohibido por la ley,

respecto al condicionamiento de una actividad al suministro de datos sensibles, para el caso que nos ocupa, información biométrica” (Negrillas fuera del texto original)3.

En síntesis, el tratamiento de los datos sensibles está prohibido por la ley, salvo en los casos expresamente establecidos por ella. Si bien se permite el tratamiento de los datos sensibles cuando el titular ha dado su autorización expresa para su tratamiento, esa excepción debe interpretarse en concordancia con lo establecido en el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015, según el cual “ Ninguna actividad podrá condicionarse a que el titular suministre datos personales sensibles”. Por consiguiente, cuando existen otros mecanismos o medios para realizar una actividad –por ejemplo, controlar el ingreso a un edificio–, no puede condicionarse dicha actividad al suministro de datos sensibles, como son los datos biométricos.

Cuarto y quinto interrogante

“4. ¿A qué sanción estaría expuesta la Administración en caso de no estar cumpliendo con lo establecido en la Constitución y la ley? 5. ¿A qué sanción estaría expuesta la Administración en caso de negarse a implementar sistemas alternos al reconocimiento facial como medio para acceder peatonalmente al edificio?”

Respuesta:

Como ya se señaló, las personas que realicen el tratamiento de datos personales se consideran responsables o encargado del tratamiento. Todo responsable o encargado del tratamiento debe cumplir con el régimen de

3 https://www.sic.gov.co/sites/default/files/files/2025/sanciones/RE16582-2025.pdfprotección de datos contenido en la Ley 1581 de 2012 y en el Decreto 1074 de 2015.

3 https://www.sic.gov.co/sites/default/files/files/2025/sanciones/RE16582-2025.pdfprotección de datos contenido en la Ley 1581 de 2012 y en el Decreto 1074 de 2015.

La Superintendencia de Industria y Comercio, como Autoridad de Protección de Datos, es la encargada de las funciones de inspección, vigilancia y control sobre los responsables y encargados del tratamiento en los términos establecidos en la Ley 1581 de 2012 y el Capítulo 25 del Decreto 1074 de 2015.

Para cumplir dicho objetivo, la ley asignó a esta entidad, entre otras, las siguientes funciones:

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

a) Velar por el cumplimiento de la legislación en materia de protección de datos personales;

b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva;

d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementará campañas

de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva;

d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementará campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;

e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;

f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones (…)”

En consecuencia, en ejercicio de las funciones asignadas por la ley, la Superintendencia de Industria y Comercio puede iniciar investigaciones administrativas cuando una persona natural o jurídica, como responsable o encargado del tratamiento, esté presuntamente violando el régimen deprotección de datos personales establecido en la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas concordantes.

En línea con lo anterior, el artículo 22 de la misma Ley 1581 de 2012 dispuso lo siguiente en cuanto al incumplimiento de sus disposiciones:

“Trámite. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo”.

Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo”.

En cuanto a las sanciones por el incumplimiento de las disposiciones de dicha ley por parte de los responsables o encargados de l tratamiento, el artículo 23 de la misma Ley 1581 de 2012 establece:

“Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones:

a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar;

c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio;

d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.”

De acuerdo con lo anterior, la Superintendencia de Industria y Comercio puede impon