SIC - Concepto Jurídico 6067 de 2026

Bogotá D .C., m arzo de 2026

A su n to: R adicación: 26-59890

Folios: 14

Respetado Señor:

D e conform idad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar en prim er lugar que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido, im plicaría la flagrante vulneración del debido proceso com o garantía constitucional.

Al respecto, la C O R TE C O N STITU C IO N A L ha establecido en la Sentencia C542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto

542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

2 . FA C U LTA D ES D E LA S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO EN M A TER IA D E P R O TEC C IÓ N D E D A TO S P ER S O N A LES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cum plim iento de la legislación en m ateria de protección de datos personales;2 • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios

Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

3. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA

A partir de la exposición de las consideraciones anteriores, y en el marco del asunto de su comunicación, procederemos a dar respuesta a los interrogantes planteados en la consulta, como sigue:

Primer interrogante

“Respetuosamente solicito orientación sobre la Circular Externa No. 002 del 15 de enero de 2026 en lo siguiente:

1. ¿Quién es el sujeto obligado cuando una campaña envía mensajes sin autorización: el candidato, la campaña, el gerente o el partido avalador?”

Respuesta:

Al respecto, sea lo primero indicar, las definiciones de Responsable y Encargado del Tratamiento, las cuales se encuentran señaladas en el artículo 3º de la Ley 1581 de 2012, en los siguientes términos:

“d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base3

Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base3 de datos y/o el Tratamiento de los datos .” (Subrayas fuera de texto original)

Por lo anterior, el Responsable del T ratamiento de los datos personales es la persona natural o jurídica, pública o privada que decide sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación, usarlo de alguna manera o determinar el acceso a los datos personales.

Por su parte, el E ncargado es la persona natural o jurídica que realiza el tratamiento de los datos personales por instrucción o delegación del responsable.

En los términos anteriores, toda persona, ya sea natural o jurídica, que de manera individual o en conjunto con otros, gestiona el tratamiento de datos personales o de una base de datos, es considerado responsable del tratamiento.

Como Responsable del Tratamiento, debe cumplir los deberes enumerados en el artículo 17 de la Ley 1581 de 2012, dentro de los cuales se encuentra:

“Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;”

Dicho deber de obtener la autorización fue reglamentado por medio del Decreto 1074 de 2015, que dispuso lo siguiente:

copia de la respectiva autorización otorgada por el Titular;”

Dicho deber de obtener la autorización fue reglamentado por medio del Decreto 1074 de 2015, que dispuso lo siguiente:

“Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. (…)"

Por lo anterior , cualquier forma de tratamiento está sujeta a la obligación del Responsable del T ratamiento de obtener la autorización del titular. Para ello, puede utilizar mecanismos para que la autorización se otorgue por escrito, en forma oral o mediante conductas inequívocas, de conformidad con la siguiente disposición:

“Artículo 2.2.2.25.2.4 Modo de obtener la autorización . Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares4 o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas

medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.”

De acuerdo con lo anterior, los Responsables del T ratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior.

Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca . Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita, es decir, verbal o escrita, con independencia del mecanismo o formato utilizado por el responsable que garantice su consulta posterior.

De esta manera, debe tenerse en cuenta que, conforme a lo establecido en la Ley 1581 de 2012, es obligación del Responsable del Tratamiento obtener la autorización del titular de los datos personales que permitan su tratamiento. Lo anterior, teniendo en cuenta que es la persona natural o jurídica, pública o privada, que decide sobre la base de datos y/o el tratamiento de los datos.

autorización del titular de los datos personales que permitan su tratamiento. Lo anterior, teniendo en cuenta que es la persona natural o jurídica, pública o privada, que decide sobre la base de datos y/o el tratamiento de los datos.

Ahora bien, frente al tratamiento de datos personales con fines políticos o electorales, la Circular Externa 00 2 de 2026 de la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, establece lo siguiente:

“El Tratamiento de datos personales con fines políticos o electorales requiere la autorización previa e informada del titular de los datos. Los canales dispuestos para la recolecció n de datos personales deben incorporar la solicitud de autorización, informando de manera clara, transparente y comprensible las finalidades, usos y tipos de tratamiento que se realizaran.”

De acuerdo con lo anterior, l os sujetos que realicen tratamiento de datos personales con fines políticos o electorales, como partidos y movimientos políticos, candidatos, precandidatos, comités promotores, organizaciones de veeduría política, empresas de marketing y, en general, las personas naturales5 o jurídicas que actúen como Responsables o Encargados del tratamiento deben cumplir el régimen de protección de datos personales establecido en la Ley 1581 de 2012 y en el Decreto 1074 de 2015 , de manera particular, deberán contar con la autorización del titular para el tratamiento de sus datos personales y , observar las obligaciones previstas en los artículos 17 y 18 de la Ley 1581 de 2012, dependiendo del rol bajo el cual actúen, ya sea como responsables o como encargados del tratamiento de datos personales.

Segundo y tercer interrogante

“2. ¿Cuál es la diferencia entre sujeto obligado y Responsable del

2012, dependiendo del rol bajo el cual actúen, ya sea como responsables o como encargados del tratamiento de datos personales.

Segundo y tercer interrogante

“2. ¿Cuál es la diferencia entre sujeto obligado y Responsable del Tratamiento para efectos del ejercicio del hábeas data?

3. Cuando coexisten candidato, gerencia y empresa de marketing, ¿a cuál debe dirigirse el Titular para ejercer sus derechos?”

Respuesta:

Al respecto, debe reiterarse lo señalado previamente en relación con las definiciones de Responsable y Encargado del Tratamien to. Así, conforme a lo establecido en el artículo 3º de la Ley 1581 de 2012 se entiende por Responsable y Encargado del Tratamiento a,

“d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos .” (Subrayas fuera de texto original)

Conforme lo anterior, el Responsable del T ratamiento de los datos personales es la persona natural o jurídica, pública o privada que decide sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación, usarlo de alguna manera o determinar el acceso a los datos personales. En tanto, el Encargado es la persona natural o jurídica que realiza el tratamiento de los datos personales por instrucción o delegación del responsable.

para ponerlo en circulación, usarlo de alguna manera o determinar el acceso a los datos personales. En tanto, el Encargado es la persona natural o jurídica que realiza el tratamiento de los datos personales por instrucción o delegación del responsable.

De esta manera, para efectos de lo establecido en la Circular Externa 002 de 2026, serán sujetos obligados, quienes ostenten la calidad de Responsables o Encargados del tratamiento.

2.1. Del Derecho de Habeas Data6 El artículo 15 de la Constitución Política consagra, entre otros, el derecho a la protección de datos personales o habeas data en los siguientes términos:

"Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución ”. (Negrillas fuera de texto original)

Por su parte, el literal a) del artículo 8 º de la L ey 1581 de 2012, señala el siguiente derecho de los titulares de los datos personales:

“El Titular de los datos personales tendrá los siguientes derechos:

a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”.

derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”.

En consecuencia, los artículos 14 y 15 de la precitada ley disponen lo siguiente, respecto a la presentación de consultas y reclamos por parte del titular de los datos personales:

“Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta.

(…)”

Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas:7

1. El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que s e quiera hacer valer.

del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que s e quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. (…)

3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demo ra y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. ” (Subrayas fuera de texto original)

De acuerdo a lo anterior, los titulares de los datos personales o sus causahabientes podrán presentar ante el Responsable y/o ante el Encargado del tratamiento, consultas sobre la información personal del titular que repose en cualquier base de datos, sea esta del sector público o privado, así mismo, presentar reclamos cuando la información debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012 o sus decretos reglamentarios.

Cuarto interrogante

“4. ¿Cuál es el canal mínimo obligatorio que una campaña debe tener disponible y público para que el Titular pueda ejercer sus derechos,

reglamentarios.

Cuarto interrogante

“4. ¿Cuál es el canal mínimo obligatorio que una campaña debe tener disponible y público para que el Titular pueda ejercer sus derechos, considerando que muchas campañas no cuentan con página web ni correo institucional?”

Respuesta:

Al respecto, debe tenerse en cuenta los deberes establecidos a cargo de los Responsables y Encargados del Tratamiento, en relación con los cuales , conforme a lo señalado en los artículos 17 y 18 de la Ley 1581 de 2012, deberán adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la misma Ley 1581, y, en especial, para la atención de consultas y reclamos:

“Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:8 (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos (…)”.

“Artículo 18. Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares; (…)”

En concordancia con lo anterior, respecto el deber que tienen los responsables

garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares; (…)”

En concordancia con lo anterior, respecto el deber que tienen los responsables de fijar las políticas de tratamiento de datos personales y, para ello, el artículo 2.2.2.25.3.1., del Decreto 1074 de 2015, que incorpora el Decreto 1377 de 2013, señala lo siguiente:

“Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información:

1. Nombre o razón social, domicilio, dirección, correo electrónico y

teléfono del Responsable.

2. Tratamiento al cuál serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad.

3. Derechos que le asisten cómo Titular.

4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización.

5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.

6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.

los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.

6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.

Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implement ar las nuevas políticas.”9 De esta manera, los Responsables del tratamiento debe rán establecer las Políticas de Tratamiento de la Información, las cuales deben constar por medio físico o electrónico y, estar a disposición de los titulares de los datos personales. Así mismo, deberán adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y, en especial, para la atención de consultas y reclamos . Para lo cual, deberá establecer los canales y mecanismos dispuestos para que los titulares ejerzan sus derechos.

Al respecto, la Circular Externa 002 de 2026 dispone lo siguiente:

“Los sujetos obligados deben establecer mecanismos sencillos y agiles, que se encuentren permanentemente disponibles, para el ejercicio de los derechos de los titulares a conocer, rectificar, actualizar y suprimir sus datos personales. El procedimiento para la actualización, rectificación y supresión de los datos personales deberá ser igual de ágil y sencillo que el procedimiento para la recolección y captura de los datos personales. Una mención a los mecanismos para el ejercicio de estos derechos deberá incluirse en la Política de Tratamiento de Datos o en cualquier otro medio que facilite su ubicación y conocimiento por parte de los titulares.”

datos personales. Una mención a los mecanismos para el ejercicio de estos derechos deberá incluirse en la Política de Tratamiento de Datos o en cualquier otro medio que facilite su ubicación y conocimiento por parte de los titulares.”

Quinto interrogante

“5. ¿Si el titular presenta la reclamación directa ante la campaña, el candidato o el gerente durante el período electoral y no obtiene respuesta, puede acudir directamente a la Superintendencia sin necesidad de agotar un plazo de espera adicional, considerando que la naturaleza temporal de la campaña hace incierto que exista un interlocutor válido en el futuro? ¿O está obligado a esperar los 15 días hábiles que prevé la ley aunque ello implique que, para cuando venza ese plazo, la campaña ya pueda estar disuelta?”

Respuesta:

El artículo 16 de la Ley 1581 de 2012, dispone lo siguiente respecto al requisito de procedibilidad para que el titular de la información o causahabiente eleven la queja ante esta Superintendencia, para la protección de sus derechos o, cuando adviertan el presunto incumplimiento de los deberes contenidos en la mencionada ley:

“Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento” (Negrillas fuera de texto original)

De esta manera, la Ley 1581 de 2012 consagra el requisito de procedibilidad por parte del titular del dato personal, es decir, que a través del trámite del10 reclamo solicite al responsable y/o encargado del tratamiento la corrección,

original)

De esta manera, la Ley 1581 de 2012 consagra el requisito de procedibilidad por parte del titular del dato personal, es decir, que a través del trámite del10 reclamo solicite al responsable y/o encargado del tratamiento la corrección, actualización o la supresión de los datos personales, o cuando exista una vulneración a las normas constitucionales o legales de protección de datos personales.

En consecuencia, para que esta Superintendencia pueda ejercer la facultad de ordenar la corrección, actualización o supresión de los datos personales, o determinar el incumplimiento de las obligaciones contenidas en la Ley 1581 de 2012 y sus decretos regla mentarios, el titular de la información, deberá acreditar que se surtió a cabalidad el trámite de reclamo por los mismos hechos ante el responsable o encargado, y que el mismo no fue atendido o fue atendido desfavorablemente. Para el efecto deberá allegar copia de la reclamación con constancia de radicación, copia de la respuesta suministrada si la hubiere o la afirmación de que ésta no fue contestada en término o favorablemente, junto con los demás elementos que considere pertinentes.

Sexto interrogante

“6. ¿Qué garantías tiene el Titular al presentar queja ante la SIC, sabiendo que al concluir el período electoral la campaña se disuelve y sus responsables dejan de tener ese rol?”

Respuesta:

El artículo 15 de la Ley 1581 de 2012 indica que el titular de la información que considere que se encuentra ante una vulneración de sus derechos y garantías en razón al incumplimiento de las normas de la Ley 1581 de 2012, o que

El artículo 15 de la Ley 1581 de 2012 indica que el titular de la información que considere que se encuentra ante una vulneración de sus derechos y garantías en razón al incumplimiento de las normas de la Ley 1581 de 2012, o que considere que sus datos deben ser objeto de corrección, actualización o supresión, podrán interponer un reclamo ante el R esponsable o Encargado del tratamiento, conforme al procedimiento señalado en el artículo 15 precitado, el cual deberá ser atendido dentro del término de quince (15) días hábiles siguientes a la fecha de su recepción.

Si el reclamo no es respondido en el término previamente descrito o es desfavorable al titular, éste podrá interponer la respectiva queja ante la Superintendencia de Industria y Comercio. Es importante resaltar que de conformidad con el artículo 16 de la Ley 1581 de 2012, la queja ante esta Autoridad solamente podrá ser interpuesta una vez se haya agotado el trámite de reclamo previamente descrito, ya que es requisito de procedibilidad agotar el trámite de reclamo antes de acudir a esta Superintendencia.

La Superintendencia de Industria y Comercio, como Autoridad de Protección de Datos, es la encargada de las funciones de inspección, vigilancia y control sobre los responsables y encargados del tratamiento en los términos establecidos en la Ley 1581 de 2012 y el Capítulo 25 del Decreto 1074 de 2015.11 Para cumplir dicho objetivo, la ley asignó a esta entidad, entre otras, las siguientes funciones:

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…)

Para cumplir dicho objetivo, la ley asignó a esta entidad, entre otras, las siguientes funciones:

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; (…)”

En consecuencia, en ejercicio de las funciones asignadas por la ley, la Superintendencia de Industria y Comercio puede iniciar investigaciones administrativas cuando una persona natural o jurídica, como responsable o encargado del tratamiento, esté presunt amente violando el régimen de protección de datos personales establecido en la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas concordantes.

Así, ante el incumplimiento de las disposiciones consagradas en la Ley 1581 de 2012 y sus decretos reglamentarios, esta Superintendencia adoptará las medidas o impondrá las sanciones que corresponda, de acuerdo con el siguiente procedimiento:

“Artículo 22. Trámite. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.

En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo.”

del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.

En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo.”

Por su parte el artículo 23 de la precitada ley dispone lo siguiente:

“Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones:

a) Multas de carácter personal e institucional ha