SIC - Concepto Jurídico 6059 de 2026

Bogotá D .C., m arzo de 2026

A su n to: R adicación: 26-26825

Folios: 8

Reciba cordial saludo D e conform idad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar en prim er lugar que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, la C O R TE C O N STITU C IO N A L ha establecido en la Sentencia C542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto

542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no.”

Ahora bien, una vez realizadas las anteriores precisiones, se sum inistrarán las herram ientas de inform ación y elem entos conceptuales necesarios que le perm itan absolver las inquietudes por usted m anifestadas, com o sigue:2

2. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes

funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;

mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

A continuación, resolveremos los interrogantes de su consulta en los siguientes términos:

Interrogante primero

“¿Se considera acorde al Principio de Necesidad y Proporcionalidad Ley 1581 de 2012 que una entidad privada exija la captura fotográfica de un documento de identidad original para la simple actualización de un dato de contacto como el número telefónico?”

Respuesta:

Debe precisarse que el presente pronunciamiento tiene naturaleza meramente orientadora y general, y se emite en ejercicio de la función doctrinal y pedagógica de la autoridad en materia de protección de datos personales.

En tal sentido, no es jurídicamente posible definir, resolver o prejuzgar situaciones particulares y concretas, ni determinar la legalidad de actuaciones3 específicas de una entidad determinada, toda vez que ello corresponde a actuaciones administrativas de carácter particular, adelantadas dentro de un proceso administrativo sancionatorio, en el cual se garantizan los principios del debido proceso, contradicción y defensa.

Ahora bien, frente a la actualización de los datos personales, de conformidad

proceso administrativo sancionatorio, en el cual se garantizan los principios del debido proceso, contradicción y defensa.

Ahora bien, frente a la actualización de los datos personales, de conformidad con lo dispuesto en el artículo 17 de la Ley 1581 de 2012, los responsables del tratamiento de datos cuentan con, entre otros, los siguientes deberes:

“Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible; f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mant enga actualizada;

(…)”

De acuerdo con lo anterior, es deber del responsable del tratamiento, garantizar

que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mant enga actualizada;

(…)”

De acuerdo con lo anterior, es deber del responsable del tratamiento, garantizar el ejercicio del derecho de hábeas data del titular. Así mismo, conservar la información bajo condiciones de seguridad que impidan cualquier vulneración.

Ahora bien, Ahora bien, en el evento en que el responsable del tratamiento decida recolectar la información mediante la captura fotográfica del documento de identidad, deberá cumplir rigurosamente con los principios rectores del tratamiento de datos personales, particularmente:

Principio de finalidad: La recolección debe obedecer a una finalidad legítima, específica, explícita e informada al titular. En este caso, deberá indicar claramente que la imagen del documento será utilizada exclusivamente para la4 verificación de identidad con ocasión de la actualización del dato y no para fines distintos o adicionales.

Principio de circulación restringida : El acceso a la imagen del documento deberá limitarse estrictamente al personal autorizado y no podrá divulgarse ni compartirse con terceros sin autorización del titular o sin fundamento legal. Además, su almacenamiento no puede ser indefinido si ya no resulta necesario para la finalidad que motivó su recolección.

Principio de seguridad : La entidad está obligada a implementar medidas técnicas, humanas y administrativas que garanticen la confidencialidad, integridad y disponibilidad de la información, evitando su adulteración, pérdida, consulta o acceso no autorizado. Dado que la imagen de un documento de identidad contiene múltiples datos personales y puede facilitar conductas de fraude o suplantación, el estándar de seguridad exigible es particularmente alto.

consulta o acceso no autorizado. Dado que la imagen de un documento de identidad contiene múltiples datos personales y puede facilitar conductas de fraude o suplantación, el estándar de seguridad exigible es particularmente alto.

No obstante, se reitera que los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conce ptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no.

Interrogante segundo

“¿Es compatible con el Principio de Seguridad que se obligue al usuario a transmitir imágenes de alta resolución de su cédula que contiene datos biométricos y sensibles mediante canales de correo electrónico abierto, existiendo métodos menos intrusivos de validación como OTP o preguntas de seguridad?” Respuesta: De conformidad con lo dispuesto en el literal g) del artículo 4 de la ley 1581 de 2012, el principio de seguridad hace referencia a lo siguiente: “g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;” De acuerdo con lo anterior, se entiende que si dentro del trámite de actualización de los datos, se requiere el documento de identidad, sobre la recepción de dicho5

no autorizado o fraudulento;” De acuerdo con lo anterior, se entiende que si dentro del trámite de actualización de los datos, se requiere el documento de identidad, sobre la recepción de dicho5 dato se deben manejar medidas técnicas, humanas y administrativas, que permitan evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Por lo anterior, en caso de emplearse dicho requisito, deberá solicitarse e informarse de manera explícita al titular el alcance de su autorización.

Ahora bien, si el tratamiento se realiza sobre datos sensibles, se debe tener en cuenta que el responsable debe aplicar un régimen jurídico especial, e n cuanto a esta clase de datos, el artículo 5º de la Ley 1581 de 2012 dispone:

“(…) se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosó ficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.”

Si se recolecta, usa o trata este tipo de información, debe cumplirse lo indicado en la ley. El tratamiento de datos sensibles debe estar rodeado de especial cuidado y diligencia en su recolección, uso, seguridad o cualquier otra actividad que se realice con los mismos.

En consonancia con el régimen reforzado de protección de los datos sensibles, el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015 dispone:

que se realice con los mismos.

En consonancia con el régimen reforzado de protección de los datos sensibles, el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015 dispone:

“(…) En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

2. Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamien to, así como obtener su consentimiento expreso. Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles.”

En cuanto a la forma como se debe obtener la autorización del titular debe tenerse en cuenta el artículo 2.2.2.25.2.4. del Decreto 1074 de 2015, el cual dispone:6 “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.”

Subráyese que el artículo 6º de la Ley 1581 de 2012 dispone que en materia de datos sensibles el titular debe otorgar su autorización para el tratamiento de manera explícita, por lo que, tratándose de estos datos, por su propia naturaleza, no podría consid erarse que el titular otorgó su autorización por la sola realización de conductas inequívocas. Adicionalmente, el responsable del tratamiento debe utilizar mecanismos que permitan la consulta posterior de la autorización.

En conclusión, en virtud del principio de libertad, el tratamiento de datos sensibles sólo puede realizarse con la autorización previa, explícita e informada de su titular. Sobre este último aspecto, la ley impone al responsable del tratamiento obligaciones de información cuando solicita la autorización al titular del dato sensible. En particular, debe advertirle que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento.

Interrogante tercero

“¿Puede una entidad negarse a actualizar un dato personal del usuario si este se rehúsa a entregar una copia fotográfica de su documento de identidad por considerar que pone en riesgo su privacidad?”

Respuesta:

Interrogante tercero

“¿Puede una entidad negarse a actualizar un dato personal del usuario si este se rehúsa a entregar una copia fotográfica de su documento de identidad por considerar que pone en riesgo su privacidad?”

Respuesta: El derecho de habeas data, consagrado en el artículo 15 de la Constitución Política y desarrollado por la Ley 1581 de 2012, reconoce al titular de los datos personales el derecho a conocer, actualizar y rectificar la información que repose en bases de datos, sin que dicho derecho pueda ser condicionado a la entrega de información adicional innecesaria o desproporcionada.

Ahora bien, si dentro de los requisitos que emplea el particular, solicita la copia del documento de identidad este deberá solicitar la autorización para el7 tratamiento del dato personal y manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar su seguridad. Lo anterior, so pena de cualquier incumplimiento por parte de la sociedad del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma. Así mismo, el artículo 10 de la Ley 1581 de 2012, establece cuando no será necesaria la autorización del titular de los datos personales cuando se trate de: “a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;

ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” En este sentido, debe tenerse en cuenta que hay situaciones en las que existe un expreso mandato legal que releva el consentimiento previo del titular cuando ha establecido la obligatoriedad de un determinado tratamiento de datos personales. En dichas situaciones, corresponde al Responsable del Tratamiento estudiar la normativa aplicable a efectos de determinar si se ha relevado del requisito de autorización previa, o, por el contrario, sí es necesario contar con el consentimiento del titular previo a su tratamiento. Aunado a lo anterior, se debe tener en cuenta lo referente al principio de libertad, el cual establece lo siguiente: “c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa8 autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”1 Así pues, en virtud del principio de libertad, el tratamiento de datos sólo puede realizarse con la autorización previa, explícita e informada de su titular. Sobre este último aspecto, la ley impone al responsable del tratamiento obligaciones de información cuando solicita la autorización al titular del dato sensible. En particular, debe advertirle que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento.

este último aspecto, la ley impone al responsable del tratamiento obligaciones de información cuando solicita la autorización al titular del dato sensible. En particular, debe advertirle que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento. De esta manera, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los par ámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución. En la Oficina Asesora Jur ídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atenci ón una experiencia de calidad. Por tal raz ón le invitamos a evaluar nuestra gesti ón a través del siguiente link https://forms.office.com/r/hUgLnS0bBN Finalmente le informamos que algunos conceptos de inter és general emitidos por la Oficina Jur ídica, los puede consultar en nuestra https://buscadorconceptos.sic.gov.co/#/search Atentamente,

ALEJANDRO BUSTOS MENDOZA

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Jhon Canizalez

Revisó: Daniela Mesa

Aprobó: Daniel Martínez

1 Literal c) artículo 4 Ley 1581 de 2012