SIC - Concepto Jurídico 6066 de 2026

Bogotá D .C., m arzo de 2026

A su n to: R adicación: 26-40569

Folios: 14

Respetado Señor:

D e conform idad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar en prim er lugar que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido, im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, la C O R TE C O N STITU C IO N A L ha establecido en la Sentencia C542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto

542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

2 . FA C U LTA D ES D E LA S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO EN M A TER IA D E P R O TEC C IÓ N D E D A TO S P ER S O N A LES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cum plim iento de la legislación en m ateria de protección de datos personales;2 • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios

Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

3. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

A partir de la exposición de las consideraciones anteriores y , en el marco del asunto de su comunicación, procederemos a dar respuesta a los interrogantes planteados en la consulta, como sigue:

Primer interrogante literales a), b) y c)

“a. ¿Qué tipo de empresas, entidades u organizaciones están obligadas a registrar sus bases de datos ante el Registro Nacional de Bases de Datos (RNBD) administrado por la SIC?

b. ¿Esta obligación aplica a todas las personas jurídicas que tratan datos personales, o solo a aquellas que realizan determinados tipos de tratamiento (por ejemplo, datos sensibles, datos financieros, datos de afiliados, datos comerciales, etc.)?

c. ¿Existen excepciones o exclusiones a esta obligación? En caso afirmativo, sírvase detallarlas y citar la normativa aplicable.”

Respuesta:

1.1. Sujetos obligados a realizar la inscripción en el Registro Nacional de Bases de Datos –RNBDEl artículo 2.2.2.26.1.2., del Decreto 1074 de 2015, que incorpora el Decreto 90

1.1. Sujetos obligados a realizar la inscripción en el Registro Nacional de Bases de Datos –RNBDEl artículo 2.2.2.26.1.2., del Decreto 1074 de 2015, que incorpora el Decreto 90 de 2018 determina quienes son los sujetos obligados a inscribir sus bases de datos en el Registro Nacional de Bases de Datos:3 “Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características:

a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT).

b) Personas jurídicas de naturaleza pública”.

Conforme lo anterior, los responsables obligados a registrar las bases de datos personales son:

(i) Todo tipo de sociedades (Limitada, anónimas, en comandita, comandita simple, por acciones simplificadas, colectiva, unipersonales, etc.) que tengan activos totales superiores a 100.000 Unidades de Valor Tributario -UVT-, la medición de los activos totales será el que registren a 31 de diciembre del año inmediatamente anterior.

(ii) Las entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario -UVT-, la medición de los activos totales será el que registren a 31 de diciembre del año inmediatamente anterior.

(iii) Las personas jurídicas de naturaleza pública.

El valor de Unidad Tributaria es la medida de valor que permite ajustar los

será el que registren a 31 de diciembre del año inmediatamente anterior.

(iii) Las personas jurídicas de naturaleza pública.

El valor de Unidad Tributaria es la medida de valor que permite ajustar los valores contenidos en las disposiciones relativas a los impuestos y obligaciones administrados por la Dirección de Impuestos y Aduanas Nacionales, el reajuste del valor se efectuar á anualmente en la variación del índice de precios al consumidor para ingresos medios en el periodo comprendido entre el 1º de octubre del año anterior al gravable y la misma fecha del año inmediatamente anterior a este, certificado por el Departamento Adm inistrativo Nacional de Estadística -DANE1-.

Conforme lo anterior, los responsables obligados a registrar las bases de datos personales, son las sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario -UVTy las personas jurídicas de naturaleza pública.

Ahora bien, en el evento en que el consultante se encuentre obligado a inscribir sus bases de datos ante el RNBD, el artículo 2.2.2.26.2.1., del Decreto 1074 de 2015 establece la información mínima que debe contener su registro, a saber:

1 Artículo 868 del Estatuto Tributario4 “Información mínima del Registro Nacional de Bases de Datos. La información mínima que debe contener el Registro Nacional de Bases de Datos es la siguiente:

1. Datos de identificación, ubicación y contacto del Responsable del Tratamiento de la base de datos;

2. Datos de identificación, ubicación y contacto del o de los Encargados del Tratamiento de la base de datos;

3. Canales para que los titulares ejerzan sus derechos;

Tratamiento de la base de datos;

2. Datos de identificación, ubicación y contacto del o de los Encargados del Tratamiento de la base de datos;

3. Canales para que los titulares ejerzan sus derechos;

4. Nombre y finalidad de la base de datos;

5. Forma de Tratamiento de la base de datos (manual y/o automatizada), y

6. Política de Tratamiento de la información.

La Superintendencia de Industria y Comercio, como autoridad de protección de datos personales, podrá establecer dentro del Registro Nacional de Bases de Datos información adicional a la mínima prevista en este artículo, acorde con las facultades que le atr ibuyó la Ley 1581 de 2012 en el literal h) del artículo 21.”

En concordancia con lo anterior, el Capítulo Segundo del Título V de la Circular Única de esta Superintendencia 2, mediante el cual se imparten instrucciones sobre el Registro Nacional de Bases de Datos, establece la información adicional que deberá inscribirse en el Registro Nacional de Bases de Datos – RNBDEs oportuno aclarar que los Responsables del Tratamiento no cargan sus bases de datos con información personal del titular en el Registro Nacional de Bases de Datos -RNBDsolamente inscriben la información establecida en el Capítulo 26 del Decreto Único 1074 de 2015 y en la Circular Única de la Superintendencia de Industria y Comercio.

En el evento en que el consultante se encuentre obligado a realizar la inscripción en el Registro Nacional de Bases de Datos -RNBD-, puede consultar el procedimiento e instrucciones contenidas en el “Manual del Usuario del Registro Nacional de Bases de Datos - RNBD” publicado en el sitio web de la

en el Registro Nacional de Bases de Datos -RNBD-, puede consultar el procedimiento e instrucciones contenidas en el “Manual del Usuario del Registro Nacional de Bases de Datos - RNBD” publicado en el sitio web de la Superintendencia de Industria y Comercio, www.sic.gov.co o en el micrositio web “Protección de Datos Personales”, luego “Registro Bases de Datos”, allí encontrará la inscripción, acceso, consulta de RNBD, un video tutorial, preguntas frecuentes RNBD y el Manual de Ayuda, que también encontrará a través del sigu iente enlace https://www.sic.gov.co/sites/default/files/Manual%20de%20UsuarioRNBD%20 R-16052025.pdf

2 https://sedeelectronica.sic.gov.co/sites/default/files/normativa/T%C3%ADtulo%20V.%20Circul ar%20001%20del%209%20de%20enero%20de%202026.%20Publicada%20en%20el%20Diario %20Oficial%20No.%2053.362%20del%2009%20de%20enero%20de%202026.pdf5 Segundo interrogante Literales a), b), c) y d)

“a. ¿Las empresas que administran bases de datos de afiliados o clientes están obligadas a rendir informes periódicos a la SIC sobre el estado de contactabilidad de los titulares de los datos?

b. ¿Cuál es el fundamento legal y/o reglamentario de dicha obligación (si existe)?

c. ¿Qué tipo de información debe incluir dicho reporte (por ejemplo: actualización de datos, intentos de contacto, ¿trazabilidad, medios utilizados, etc.)?

d. ¿Con qué periodicidad debe presentarse este informe y bajo qué formato o plataforma?”

c. ¿Qué tipo de información debe incluir dicho reporte (por ejemplo: actualización de datos, intentos de contacto, ¿trazabilidad, medios utilizados, etc.)?

d. ¿Con qué periodicidad debe presentarse este informe y bajo qué formato o plataforma?”

Respuesta:

En primer lugar, frente a la consulta planteada, debe indicarse que, de conformidad con las competencias legales conferidas por la Ley 1581 de 2012 en materia de protección de datos personales, no se encuentra establecido para esta Entidad solicitar informes en relación con la contactabilidad de los titulares de los datos personales.

No obstante, sin perjuicio de lo anterior, en relación con el tema de consulta, frente a la aplicación de la Ley 2300 de 2023, debe tenerse en cuenta lo siguiente:

2.1. Ámbito de aplicación de la Ley 2300 de 2023

El artículo 1º de la Ley 2300 de 2023 señala su objeto y ámbito de aplicación en los siguientes términos:

“ARTÍCULO 1. Objeto. La presente ley tiene por objeto proteger el derecho a la intimidad de los consumidores, estableciendo los canales, el horario y la periodicidad en la que estos pueden ser contactados por las entidades vigiladas por la Superintendencia Financiera y todas l as personas naturales y jurídicas que adelanten gestiones de cobranzas de forma directa, por medio de terceros o por cesión de la obligación.

Parágrafo. Las disposiciones aquí señaladas serán aplicadas por todas las personas naturales y jurídicas que adelanten gestiones de cobranza de forma directa, por tercerización o por cesión de la obligación financiera o crediticia.”

Parágrafo. Las disposiciones aquí señaladas serán aplicadas por todas las personas naturales y jurídicas que adelanten gestiones de cobranza de forma directa, por tercerización o por cesión de la obligación financiera o crediticia.”

De esta manera, la Ley 2300 de 2023 tiene por objetivo establecer un régimen de protección a la intimidad de los consumidores, determinando una serie de reglas respecto al contacto por parte de las entidades financieras o que6 adelanten gestiones de cobranza, estableciendo para ello límites respecto a los horarios, canales y a la periodicidad en la cual los consumidores pueden ser contactados.

Las reglas establecidas en la propia Ley 2300 de 2023 deberán ser cumplidas por las entidades vigiladas por la Superintendencia Financiera y por cualquier persona natural o jurídica, que adelante gestiones de cobranza de forma directa o indirecta, por medi o de terceros o en razón a la cesión de una obligación financiera o crediticia (sujetos obligados)3

De igual manera, el artículo 5 º de la Ley 2300 de 2023 indica que las disposiciones de su cuerpo normativo, también serán de obligatorio cumplimiento para el envío de mensajes publicitarios a través de mensajes cortos de texto -SMS, mensajes web, por aplicaciones, correos electrónicos y llamadas de carácter comercial o publicitarias, en las relaciones comerciales entre los consumidores y los productores y/o proveedores. Por consiguiente, se puede entender que el alcance de la Ley 2300 de 2023 aplica también para la remisión de mensajes publicitarios por medios digitales en las relaciones de consumo reguladas por la Ley 1480 de 2011.

Teniendo claridad sobre los sujetos obligados a cumplir las disposiciones de la

remisión de mensajes publicitarios por medios digitales en las relaciones de consumo reguladas por la Ley 1480 de 2011.

Teniendo claridad sobre los sujetos obligados a cumplir las disposiciones de la Ley 2300 de 2023 y el objeto de la misma, es preciso mencionar algunas de las restricciones establecidas en la misma, para garantizar el derecho a la intimidad de los consumido res. De esta manera el artículo 2 º indica que los sujetos obligados, solamente podrán contactar a los consumidores por los canales que éste autorice, los cuales deben ser socializados y puestos en conocimiento del consumidor de manera previa.

Partiendo de lo anteriormente indicado, el artículo 3 º de la mencionada Ley establece que, una vez establecido un contacto directo con el consumidor, este no podrá ser contactado por parte de los gestores de cobranza mediante varios canales dentro de una misma semana, o en más de una ocasión durante el mismo día. De igual manera, la norma fija un horario de contacto que corresponde de lunes a viernes de 7:00 am a 7:00 pm y sábados de 8:00 am a 3:00 pm, prohibiendo cualquier contacto los domingos y días fest ivos. Por su parte, el parágrafo del artículo en comento indica que, si el consumidor lo autoriza, podrá ser contactado en horarios distintos a los establecidos previamente. No obstante, la autorización, deberá realizarse mediante un instrumento diferente a los contratos o actos que rigen la relación jurídica y esta deberá ser posterior al momento en el cual se adquiere la obligación. Dichas reglas aplican también para la remisión de mensajer ía de texto y las llamadas telefónicas con fines comerciales o publicitarios.

deberá ser posterior al momento en el cual se adquiere la obligación. Dichas reglas aplican también para la remisión de mensajer ía de texto y las llamadas telefónicas con fines comerciales o publicitarios.

3 Artículo 1 de la Ley 2300 de 20237 Por su parte, la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO , mediante la Circular Externa No. 001 de 2024, impartió instrucciones a los titulares de la información y a las entidades sujetas a la vigilancia de esta entidad, sobre el alcance de las competencias a cargo de la Delegatura para la Protección de Datos Personales frente a la Ley 2300 de 2023, específicamente en materia de habeas data y del tratamiento de datos personales. En dicha circular, esta Entidad señaló lo siguiente:

“(…) La Delegatura para la Protección de Datos Personales es competente para dar trámite a las quejas, reclamos y denuncias que se presenten en procura de amparar el derecho fundamental de habeas data en cuanto a los canales autorizados así:

1. Cuando el titular manifiesta que sus datos fueron usados para adelantar gestiones de cobranza por parte de entidades vigiladas por la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de un canal no autorizado, o por más de un canal.

2. Cuando el titular manifiesta que se adelantaron gestiones de cobranza por parte de entidades vigiladas por la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a sus referencias personales.

3. Cuando en su calidad de referencia personal, el titular manifiesta que sus datos fueron utilizados para adelantarse gestiones de cobranza por parte de entidades vigiladas por la SUPERINTENDENCIA DE INDUSTRIA

Y COMERCIO.

3. Cuando en su calidad de referencia personal, el titular manifiesta que sus datos fueron utilizados para adelantarse gestiones de cobranza por parte de entidades vigiladas por la SUPERINTENDENCIA DE INDUSTRIA

Y COMERCIO.

4. Cuando en su calidad de avalista, codeudor o deudor solidario, el titular manifiesta que fue contactado para adelantar las gestiones de cobranza por parte de entidades vigiladas por la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO por un canal no autorizado, o por más de un canal.

Adicionalmente, la Delegatura para la Protección de Datos Personales es competente para dar trámite a las quejas, reclamos y denuncias que se presenten en procura del amparo del derecho fundamental de habeas data cuando sea contactado para efectos publicitarios , y se vulnere el régimen de protección de datos personales, así:

1. Cuando el titular manifiesta que fue contactado por un canal no autorizado, o por más de un canal.

2. Cuando el titular pretenda que se le suprima su información para dejar de recibir publicidad.

3. Cuando el titular manifiesta que no ha dado autorización para recibir promociones para alimentar bases de datos.

4. Cuando el titular manifiesta que se le está imponiendo la obligación de recibir publicidad por algún canal.

5. Cuando el titular manifiesta que está siendo condicionado para ingresar o ser retirado de listas que le permiten acceder a bienes y servicios.

En orden con lo expuesto, a efectos de garantizar la debida protección de datos personales, los productores y proveedores de bienes y8 servicios están obligados a consultar el listado del “Registro de Números Excluidos” de la COMISIÓN DE REGULACIÓN DE COMUNICACIONES para conocer si los titulares de la información

de datos personales, los productores y proveedores de bienes y8 servicios están obligados a consultar el listado del “Registro de Números Excluidos” de la COMISIÓN DE REGULACIÓN DE COMUNICACIONES para conocer si los titulares de la información están inscritos y los canales que tienen restringidos, para así abstenerse de enviar contenidos publicitarios o comerciales a los consumidores que hayan indicado que desean excluirse de estos envíos. Así, se entenderán revocadas las autorizaciones para fines de prospección comercial que los titulares hayan otorgado a los productores y proveedores de bienes y servicios anteriores a la inscripción en el Registro de Números Excluidos. (…)”

Conforme lo anterior, frente a lo dispuesto por la Ley 2300 de 2023, la Delegatura para la Protección de Datos Personales es competente para tramitar las quejas, reclamos y denuncias relativas a los canales empleados para contactar a las personas, ya sea para efectos de cobranza o de publicidad.

No obstante lo anterior, es del caso precisar, que de acuerdo con las facultades establecidas en la Ley 1266 de 2008, régimen jurídico aplicable para la protección de la Ley 2300 de 2023, la Delegatura para la Protección de Datos Personales, no es competente en los eventos en los que se está frente al derecho fundamental a la intimidad, tales como: las que se relacionan con periodicidad y horarios en que se contacta a los titulares; sobre la indagación al consumidor financiero por el motivo de l incumplimiento de su obligación; las que versen sobre confirmación oportuna de las operaciones monetarias, ahorros voluntarios y cesantías; sobre el envío de información solicitada por el consumidor o las que

financiero por el motivo de l incumplimiento de su obligación; las que versen sobre confirmación oportuna de las operaciones monetarias, ahorros voluntarios y cesantías; sobre el envío de información solicitada por el consumidor o las que generen alertas sobre transacciones fraudulentas, inusuales o sospechosas, para lo cual, los titulares podrán ejercer la acción de tutela en los términos del artículos 86 de la Constitución Política y el Decreto 2591 de 1991.

Tercer interrogante Literales a) y b)

“a. Sírvase indicar cuáles son las circulares vigentes expedidas por la SIC que regulan o desarrollan las obligaciones de administración, actualización y reporte de bases de datos personales por parte de las empresas.

b. Explique de manera concreta las principales obligaciones que estas circulares imponen a los responsables y encargados del tratamiento.”

Respuesta:

3.1. Deber de inscribir las bases de datos en el RNBD

Al respecto, e l artículo 2.2.2.26.1.3 del Decreto 1074 de 2015 señala lo siguiente:

“Deber de inscribir las bases de datos . El Responsable del Tratamiento debe inscribir en el Registro Nacional de Bases de Datos,9 de manera independiente, cada una de las bases de datos que contengan datos personales sujetos a Tratamiento.”

En consecuencia, la obligación de realizar el registro de cada base de datos de manera independiente, corresponde al responsable del tratamiento, es decir, a la persona natural o jurídica pública o privada que decide sobre las finalidades del tratamiento –la recolección, el almacenamiento, el uso, la circulación o la supresión de los datos personalesy los medios empleados para el efecto, por

la persona natural o jurídica pública o privada que decide sobre las finalidades del tratamiento –la recolección, el almacenamiento, el uso, la circulación o la supresión de los datos personalesy los medios empleados para el efecto, por ejemplo, para ponerlo en circulación, usarlo de alguna manera o permitir su acceso.

Ahora bien, el artículo 2.2.2.26.3.1. del Decreto 1074 de 2015, modificado por el Decreto 90 de 2018, establece los plazos en los que los obligados deben llevar a cabo el registro:

“Plazo de inscripción. La inscripción de las bases de datos en el Registro Nacional de Bases de Datos se llevará a cabo en los siguientes plazos:

a) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unidades de Valor Tributario (UVT), deberán realizar la referida inscripción a más tardar el treinta (30) de septiembre de 2018, de acuerdo con las instrucciones impartidas por la Superintendencia de Industria y Comercio; b) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario (UVT), deberán realizar la referida inscripción a más tardar el treinta (30) de noviembre de 2018, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio; c) Los Responsables del Tratamiento, personas jurídicas de naturaleza pública, deberán realizar la referida inscripción a más tardar el treinta y uno (31) de enero de 2019, de conformidad con las instrucciones

c) Los Responsables del Tratamiento, personas jurídicas de naturaleza pública, deberán realizar la referida inscripción a más tardar el treinta y uno (31) de enero de 2019, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Las bases de datos que se creen con posterioridad al vencimiento de los plazos referidos en los literales a), b) y c) del presente artículo, deberán inscribirse dentro de los dos (2) meses siguientes, contados a partir de su creación."

De esta manera, dependiendo de la calidad de responsable se tiene tres fechas para la inscripción de bases de datos así: (i) hasta el treinta (30) de septiembre de 2018 para las sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unid ades de Valor Tributario -UVT-; (ii) hasta el treinta (30) de noviembre de 2018 para las sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario -UVT-; (iii) Hasta el treinta y uno (31) de enero de10 2019, para las personas jurídicas de naturaleza pública; (iv) para las bases de datos que se creen con posterioridad al vencimiento de los plazos referidos anteriormente, dentro de los dos (2) meses siguientes contados a partir de su creación.

3.2. Actualización del Registro Nacional de Bases de Datos

Respecto a la actualización de la información contenida en el Registro Nacional de Bases de Datos, el numeral 2.3. del Capítulo Segundo, del Título V de la Circular Única de esta Superintendencia, que incorpora la Circular Externa 01 de

Respecto a la actualización de la información contenida en el Registro Nacional de Bases de Datos, el numeral 2.3. del Capítulo Segundo, del Título V de la Circular Única de esta Superintendencia, que incorpora la Circular Externa 01 de 2017, señala lo siguiente:

“Los responsables de Tratamiento que de conformidad con lo establecido en el Decreto 090 del 18 de enero de 2018 están obligados a registrar sus bases de datos en el RNBD deben actualizar la información registrada, como se indica a continuación:

(i) Dentro de los primeros diez (10) días hábiles de cada mes, a partir de la inscripción de la base de datos, cuando se realicen cambios sustanciales en la información registrada.

(ii) Anualmente, entre el 2 de enero y el 31 de marzo.

Son cambios sustanciales los que se relacionen con la finalidad de la base de datos, como el Encargado del Tratamiento, los canales de atención al Titular, la clasificación o tipos de datos personales almacenados en cada base de datos, las medidas de seguridad de la información implementadas, la Política de Tratamiento de la Información y la transferencia y transmisión internacional de datos personales.

Adicionalmente, dentro de los quince (15) primeros días hábiles de los meses de febrero y agosto de cada año, a partir de su inscripción, los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD deben actualiza r la información de los reclamos presentados por los Titulares, referida en el número (i) del literal f) del numeral 2.1 anterior.

Los Responsables del Tratamiento que no están obligados a efectuar el registro de sus bases de datos y que realizaron dicho trámite, no están

reclamos presentados por los Titulares, referida en el número (i) del literal f) del numeral 2.1 anterior.

Los Responsables del Tratamiento que no están obligados a efectuar el registro de sus bases de datos y que realizaron dicho trámite, no están obligados a efectuar la actualización a que hace referencia este numeral y la información por ellos registrada no estará disponible para consulta pública.”

Los responsables del tratamiento, deben realizar las siguientes actualizaciones de sus bases de datos inscritas en el Registro Nacional de Bases de Datos:11 (i) Dentro de los primeros diez (10) días hábiles de cada mes, a partir de la inscripción de la base de datos, cuando se realicen cambios sustanciales en la información registrada.

Son cambios sustanciales los que se relacionen con: (i) la finalidad de la base de datos, (ii) el encargado del tratamiento, (iii) los canales de atención al titular, (iv) la clasificación o tipos de datos personales almacenados en cada base de datos, (v) las medidas de seguridad de la información implementadas, (vi) la política de tratamiento de la información y (vii) la transferencia y transmisión internacional de datos personales.

(ii) Anualmente, entre el 2 de enero y el 31 de marzo.

(iii) Dentro de los quince (15) primeros días hábiles de los meses de febrero y agosto de cada año, a partir de su inscripción, los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD deben actualizar la información de los reclamos presentados por los Titulares.

En consecuencia, si lo planteado por usted al realizar las actualizaciones de datos personales de los titulares, genera un cambio sustancial de acuerdo a lo

actualizar la información de los reclamos presentados por los Titulares.

En consecuencia, si lo planteado por usted al realizar las actualizaciones de datos personales de los titulares, genera un cambio sustancial de acuerdo a lo explicado en precedencia, deberá realizar la actualización dentro de los primeros diez (10) días hábiles del mes siguiente al que se produce el cambio sustancial.

Ahora bien, en el evento en que no se produzca un cambio sustancial en las bases de datos registradas no es necesario la actualización, y el responsable solo estará obligado al cumplimiento de la actualización anual, es decir, entre el 2 de enero y el 31 de marzo de cada año y, dentro de los 15 primeros días de febrero y agosto de cada año respecto a los reclamos presentados por los titulares.

Finalmente, debe indicarse que la Superintendencia de Industria y Comercio, a través de la Circular Única de esta Entidad, ha impartido instrucciones sobre el Registro Nacional de Bases de Da