SIC - Concepto Jurídico 6047 de 2026

Bogotá D .C., m arzo de 2026

A su n to: R adicación: 26-16316

Folios: 9

Respetado Señor:

D e conform idad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . O B JETO D E LA C O N S U LTA

Atendiendo a la solicitud radicada ante esta Entidad en la que m enciona lo siguiente:

“Am ablem ente quisiera m e pudieran guiar con la respuesta al siguiente dilem a: Si un titular de la inform ación solicita a un laboratorio clínico elim inar sus datos personales de la base de datos, el laboratorio clinico (sic) está en la obligación de hacerlo teniendo en cuenta que estos datos personales están relacionados con la historia clinica (sic) del paciente, la cual el laboratorio está en la obligación de m antenerla por 20 años según la resolución 839 de 2017. Q ue responder al titular de la inform ación que solicita la elim inación de sus datos en la base y que procedim iento se debe realizar en el laboratorio clinico (sic)”

20 años según la resolución 839 de 2017. Q ue responder al titular de la inform ación que solicita la elim inación de sus datos en la base y que procedim iento se debe realizar en el laboratorio clinico (sic)”

Previo a resolver su consulta es necesario realizar las siguientes precisiones:

2 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar en prim er lugar que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido, im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, la C O R TE C O N STITU C IO N A L ha establecido en la Sentencia C542 de 2005:2 “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conce ptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales;

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

4.1. Alcance del derecho a solicitar la eliminación del dato personal

El derecho de habeas data se encuentra consagrado en el artículo 15 de la Constitución Política como un derecho fundamental a conocer, actualizar y rectificar la información que sobre cada persona se haya recolectado en una base de datos. En desarrollo de este derecho fundamental, por medio de la Ley 1581 de 2012 se consagraron los principios y deberes mínimos para satisfacer y garantizar el cumplimiento de este.

rectificar la información que sobre cada persona se haya recolectado en una base de datos. En desarrollo de este derecho fundamental, por medio de la Ley 1581 de 2012 se consagraron los principios y deberes mínimos para satisfacer y garantizar el cumplimiento de este.

Así, el artículo 4º de la Ley 1581 de 2012 , establece los principios generales a tener en cuenta para realizar un adecuado tratamiento de datos personales. En3 el literal a) del citado artículo se introduce el principio de legalidad, el cual manifiesta que el tratamiento de datos es una actividad reglada, la cual se sujeta a lo establecido en la Ley 1581 de 2012 y en las disposiciones que la desarrollan.

En el literal b) del mismo artículo se introduce el principio de finalidad, por el cual el tratamiento debe obedecer a una finalidad legítima según lo disponga la Constitución y la ley. La finalidad del tratamiento debe ser informada al titular. Este principio tiene una dualidad, pu es debe responder a una necesidad específica que determine qué datos y de qué forma se har á tratamiento de los mismos, y ésta a su vez debe estar delimitada temporalmente.

El literal c) establece el principio de libertad, el cual indica que el tratamiento sólo puede ejercerse con el consentimiento previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin la autorización del titula r, o sin un mandato legal o judicial que supla el consentimiento del titular.

Posteriormente, se encuentra el principio de veracidad o calidad en el literal d), que establece el deber de que la información recolectada corresponda con la realidad. Lo anterior, sumado a los principios de transparencia, acceso y circulación restringida, seguridad y confidencialidad, que fijan parámetros para

que establece el deber de que la información recolectada corresponda con la realidad. Lo anterior, sumado a los principios de transparencia, acceso y circulación restringida, seguridad y confidencialidad, que fijan parámetros para garantizar que terceros no puedan acceder a la información, salvo que se encuentren facultados para ello.

Sumados a estos principios, se establecen unos derechos en favor de los titulares de la información y unos deberes en cabeza de los R esponsables y Encargados del tratamiento. En los derechos, se destaca, en respuesta a su interrogante, el contenido en el literal e) del artículo 8º, que dispone:

“Artículo 8 º. Derechos de los titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales   y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución.”

Como se advierte de la cita normativa, este literal fue objeto de algunas aclaraciones por parte de la Corte Constitucional. Al respecto, dijo la Corte en

Sentencia C-748 de 2011:

“En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en ar as de garantizar el4

Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en ar as de garantizar el4 debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos.” (Subrayas fuera de texto original)

Es decir que, los Titulares podrán solicitar en cualquier momento la supresión de sus datos o revocar la autorización, cuando el tratamiento no se esté realizando conforme a las prerrogativas del régimen de protección de datos y cuando así lo desee de mane ra libre y voluntaria. Sin embargo, este último evento tiene una limitante: no puede existir una obligación legal o contractual que imponga al Titular el deber de permanecer en la base de datos. Esto, por cuanto ningún derecho puede entenderse como absoluto, si con este se pueden transgredir los derechos de un tercero o conllevan a incumplir los deberes legales de un ciudadano. En consonancia con esto, en el Decreto 1377 de 2013, incorporado al Decreto 1074 de 2015, se estableció:

“Artículo 2.2.2.25.2.6. Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos,

supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos.

El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012. ” (Subrayas fuera de texto original)

Además, ha entendido la Corte Constitucional que el derecho de habeas data tiene una doble vía. Así lo manifiesta en sentencia SU-458 de 2012:

“La Corte reafirma esta condición del habeas data como derecho autónomo y como garantía. Como derecho autónomo, tiene el habeas data un objeto protegido concreto: el poder de control que el titular de la información puede ejercer sobre quién (y cómo) admini stra la5 información que le concierne. En este sentido el habeas data en su

data un objeto protegido concreto: el poder de control que el titular de la información puede ejercer sobre quién (y cómo) admini stra la5 información que le concierne. En este sentido el habeas data en su dimensión subjetiva faculta al sujeto concernido a conocer, actualizar, rectificar, autorizar, incluir, excluir, etc., su información personal cuando ésta es objeto de administración en una base de datos. A su vez, como garantía, tiene el habeas data la función específica de proteger, mediante la vigilancia del cumplimiento de las reglas y principios de la administración de datos, los derechos y libertades que dependen de (o que pueden ser a fectados por) una administración de datos personales deficiente. Por vía de ejemplo, el habeas data opera como garantía del derecho al buen nombre, cuando se emplea para rectificar el tratamiento de información falsa. Opera como garantía del derecho a la seguridad social, cuando se emplea para incluir, en la base de datos, información personal necesaria para la prestación de los servicios de salud y de las prestaciones propias de la seguridad social . (…).” (Subrayas fuera de texto original)

La información, en consecuencia, debe ser tratada en procura del titular. Igualmente, como se señaló con anterioridad, los datos recolectados deben ser veraces, pero, además, deben limitarse a los necesarios para realizar el tratamiento de los datos. Este análisis lo realiza la Corte Constitucional en

Sentencia T-020 de 2014:

“Por su parte, en la misma providencia en cita [Sentencia C-748 de 2011], se indicó que el principio de necesidad involucra que “los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de

2011], se indicó que el principio de necesidad involucra que “los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibi do el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos”. Como consecuencia de este principio, en el tratamiento deben adoptarse todas las medidas razonables para limitar el procesamiento de datos personales al mínimo necesario, es decir, la información que se recopile debe ser (i) adecuada, (ii) pertinente y (iii) acorde con las finalidades para las cuales fue prevista.”

Entonces, los datos que se recolecten deben ser los necesarios, adecuados, pertinentes y acordes a las finalidades previstas, ya sea por el responsable o por la ley que ordena realizar el tratamiento del dato. Cuando se trate de este último caso, el titular encuentra limitado su derecho a solicitar la supresión de los datos que la ley ordena que deben ser tratados por el responsable de la información. Sin embargo, frente a los datos que excedan la necesidad prevista en la norma, el titular tendrá la facultad de solicitar su retiro.

4.2. Tratamiento de datos personales en la historia clínica

La Ley 1581 de 2012 incluyó unos datos de especial protección en el Artículo 5º, denominados datos sensibles, los cuales describe como:

“(…) se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales6 como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que

como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud , a la vida sexual y los datos biométricos ”. (Negrillas fuera de texto original)

Es importante tener en cuenta que en virtud de este carácter especial que tienen los datos personales sensibles, con la Ley 1581 de 2012 se prohibió su tratamiento, salvo que estos se encuentren en alguna de las causales del artículo 6º.

“Artículo 6o. Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización;

b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización;

c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, s iempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular;

exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular;

d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;

e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares. ” (Subrayas fuera de texto original)

Al respecto, la Corte Constitucional mediante la Sentencia C-748 de 2011 señaló lo siguiente:

“[C]omo se indicó en apartes previos, la prohibición de tratamiento de datos sensibles es una garantía del habeas data y del derecho a la intimidad, y además se encuentra estrechamente relacionada con la protección de la dignidad humana. Sin embargo, en ciertas ocasiones el tratamiento de tales datos es indispensable para la adecuada prestación de servicios –como la atención médica y la7 educacióno para la realización de derechos ligados precisamente a la esfera íntima de las personas –como la libertad de asociación y el ejercicio de las libertades religiosas y de opinión. Las excepciones del artículo 6 responden precisamente a la necesidad del tr atamiento de datos sensible en dichos escenarios (…) ” (Negrillas fuera de texto original)

Así las cosas, existe una salvedad al tratamiento de datos sensibles cuando se trata de datos relativos a la salud, según los cuales, estos podrán ser tratados con la autorización expresa del Titular o por mandato legal. En el caso de la historia clínica, es necesario entonces referirnos a la Ley 23 de 1981, en la que

trata de datos relativos a la salud, según los cuales, estos podrán ser tratados con la autorización expresa del Titular o por mandato legal. En el caso de la historia clínica, es necesario entonces referirnos a la Ley 23 de 1981, en la que se define en los siguientes términos:

“Artículo 34. La historia clínica es el registro obligatorio de las condiciones de salud del paciente. Es un documento privado sometido a reserva que únicamente puede ser conocido por terceros previa autorización del paciente o en los casos previstos por la Ley.”

Esta a su vez, se encuentra reglamentada en la Resolución 1995 de 1999 del Ministerio de Salud, en la que se señala:

“Artículo 4. Obligatoriedad del registro. Los profesionales, técnicos y auxiliares que intervienen directamente en la atención a un usuario, tienen la obligación de registrar sus observaciones, conceptos, decisiones y resultados de las acciones en salud desarrolladas, conforme a las características señaladas en la presente resolución.”

Por lo que, en tanto exista la obligación de registrar la información y ésta información sea tratada conforme a los preceptos legales del régimen de protección de datos personales, el Titular no puede ejercer el derecho a solicitar la supresión de los datos que contenga la historia clínica, pues existe un deber legal que obliga al responsable a realizar el registro de la información.

Ahora bien, en relación con la custodia de la historia clínica, el artículo 13 de la mencionada Resolución, establece que estará a cargo del prestador de servicios de salud que la generó en el curso de la atención, el cual deberá dar cumplimiento a los procedimientos de archivo señalados para el efecto, y, en caso de requerirlo podrá entregar copia d e la misma al usuario o a su

de salud que la generó en el curso de la atención, el cual deberá dar cumplimiento a los procedimientos de archivo señalados para el efecto, y, en caso de requerirlo podrá entregar copia d e la misma al usuario o a su representante legal.

De igual manera, deberá tenerse en cuenta lo siguiente:

“Parágrafo Primero. Del traslado entre prestadores de servicios de salud de la historia clínica de un usuario, debe dejarse constancia en las actas de entrega o de devolución, suscritas por los funcionarios responsables de las entidades encargadas de su custodia.8 Parágrafo Segundo. En los eventos en que existan múltiples historias clínicas, el prestador que requiera información contenida en ellas, podrá solicitar copia al prestador a cargo de las mismas, previa autorización del usuario o su representante legal.

Parágrafo Tercero. En caso de liquidación de una Institución Prestadora de Servicios de Salud, la historia clínica se deberá entregar al usuario o a su representante legal. Ante la imposibilidad de su entrega al usuario o a su representante legal, el liquidador de la empresa designará a cargo de quien estará la custodia de la historia clínica, hasta por el término de conservación previsto legalmente. Este hecho se comunicará por escrito a la Dirección Seccional, Distrital o Local de Salud competente, la cua l deberá guardar archivo de estas comunicaciones a fin de informar al usuario o a la autoridad competente, bajo la custodia de quien se encuentra la historia clínica.”

Por su parte, conforme lo señalado en el artículo 14 de la citada resolución, e l acceso a la historia clínica, se entenderá en todos los casos, única y exclusivamente para los fines que de acuerdo con la ley resulten procedentes,

Por su parte, conforme lo señalado en el artículo 14 de la citada resolución, e l acceso a la historia clínica, se entenderá en todos los casos, única y exclusivamente para los fines que de acuerdo con la ley resulten procedentes, debiendo en todo caso, mantenerse su reserva legal. En este sentido, podrán acceder a la información contenida en la historia clínica, (i) el usuario, (ii) el equipo de salud, (iii) las autoridades judiciales y de salud en los casos previstos en la Ley, y (iv) las demás personas que determine la ley.

A su vez, el artículo 4º de la Ley 1581 de 2012 consagra entre otros, el principio de seguridad en el tratamiento de datos personales, por el cual, “La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los regi stros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”

En desarrollo del principio en mención, el artículo 17 de la Ley 1581 de 2012 ha establecido, deberes a cargo de los responsables del tratamiento de datos personales, a fin de que adopte medidas encaminadas a que: (i) no sea adulterada la información contenida en las bases de datos, ( ii) no se pierda la información de las bases de datos, ( iii) no se pueda hacer uso, consultar o acceder sin autorización o de manera fraudulenta a las bases de datos.

Es necesario aclarar que la normativa no determina de manera específica qué medidas se deben adoptar para garantizar el principio de seguridad en el

acceder sin autorización o de manera fraudulenta a las bases de datos.

Es necesario aclarar que la normativa no determina de manera específica qué medidas se deben adoptar para garantizar el principio de seguridad en el tratamiento de las bases de datos, por lo que corresponde a los responsables y encargados del tratamiento i mplementar las medidas técnicas, humanas y administrativas que resulten idóneas para la obtención de tal fin, a través de un Programa Integral de Gestión de datos Personales y que además les permita demostrar a esta Superintendencia la implementación aprop iada y efectiva de esas medidas dentro de la organización, en consonancia con el principio de9 “Accountability” o “Responsabilidad demostrada” que se desprende del artículo 2.2.2.25.6.1. del Decreto 1074 de 2015.

En concordancia con lo señalado en precedencia, el artículo 2.2.2.25.6.2. del Decreto 1074 de 2015, establece que las políticas internas adoptadas e implementadas por los responsables del tratamiento deben ser efectivas y proporcionales con la estructura a dministrativa, tamaño de la empresa y el tratamiento realizado a los datos, que le permitan cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios.

Ahora bien, las organizaciones para el desarrollo, implementación y seguimiento de un programa Integral de Gestión de datos personales deben desarrollar y poner en marcha controles que permitan asegurar las políticas adoptadas por el responsable del tratam iento y su implementación al interior de cada organización, entre dichos controles se encuentra el Sistema de administración de riesgos asociados al tratamiento de datos personales, el cual permite a la organización identificar y manejar los riesgos asociados al tratamiento de datos

responsable del tratam iento y su implementación al interior de cada organización, entre dichos controles se encuentra el Sistema de administración de riesgos asociados al tratamiento de datos personales, el cual permite a la organización identificar y manejar los riesgos asociados al tratamiento de datos personales e incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.

En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link https://forms.office.com/r/hUgLnS0bBN

Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica los puede consultar en nuestra página web https://buscadorconceptos.sic.gov.co/#/search

Atentamente,

ALEJANDRO BUSTOS MENDOZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariluz Castaño

Revisó: Daniela Mesa

Aprobó: Alejandro Bustos