SIC - Concepto Jurídico 6071 de 2026

Bogotá D .C ., m arzo de 2026

A su n to: R adicación: 26-20731

Folios: 22

R eciba un cordial saludo:

D e conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar, en prim er lugar, que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso com o garantía constitucional. Al respecto, la C orte C onstitucional ha establecido en la Sentencia C -542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se

de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se sum inistrarán las herram ientas de inform ación y elem entos conceptuales necesarios que le perm itan absolver las inquietudes por U sted m anifestadas.

2 . FA C U LTA D ES D E LA S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO EN M A TER IA D E P R O TEC C IÓ N D E D A TO S P ER S O N A LES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:2  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del

los mismos;  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;  Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o complementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carác ter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior, a continuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA

La Oficina Asesora Jurídica de la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO no tiene competencia legal para pronunciarse sobre situaciones concretas o individuales. Por consiguiente, no puede referirse a la situación particular planteada por la consultante. Esta Oficina Asesora Jurídica solamente brinda lineamientos generales, considerando sus competencias en el marco del régimen de protección de datos personales, en particular de la Ley 1581 de

particular planteada por la consultante. Esta Oficina Asesora Jurídica solamente brinda lineamientos generales, considerando sus competencias en el marco del régimen de protección de datos personales, en particular de la Ley 1581 de 2012, el Capítulo 25 del Decreto 1074 de 2015 y de más normas complementarias.

Pregunta

“La sociedad […], entidad que cuenta con bases de datos inscritas en el RNBD absorbida dentro del proceso de fusión por absorción empresarial por la sociedad […]. La sociedad absorbente […], asumió3 la totalidad de los derechos y obligaciones de la sociedad absorbida, incluyendo la calidad de Responsable del Tratamiento de los datos personales de clientes, empleados y proveedores. Peticiones: En virtud de lo expuesto, solicito cordialmente se sirva dar concepto y/o el procedimiento técnico para los siguientes puntos: Traspaso de Registros en el RNBD: Dado que la personería jurídica de la sociedad absorbida se encuentra disuelta, ¿cuál es el procedimiento correcto para dar de baja los registros de bases de datos de […]. y realizar la nueva inscripción o actualización bajo el NIT de […]?”.

Respuesta

1. El Registro Nacional de Bases de Datos (RNBD)

El Registro Nacional de Bases de Datos (RNBD ) fue creado por la Ley 1581 de 2012, la cual dispuso lo siguiente:

“Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país.

El registro será administrad o por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.

Para realizar el registro de bases de datos, los interesados deberán

operan en el país.

El registro será administrad o por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.

Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la i nformación, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.

Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.

En los términos anteriores, el Registro Nacional de Bases de Datos – RNBD - es el directorio público de las bases de datos sujetas a tratamiento que operan en el país, el cual es administrado por la Superintendencia de Industria y Comercio y de libre consulta para los ciudadanos.

2. Registro de eliminación o inhabilitación de base de datos

Cuando una persona jurídica inscrita en el Registro Nacional de Bases de Datos (RNBD) suprimirá una base de datos, por ejemplo, porque se extingu irá su personería jurídica, debe entonces inhabilitar dicha base de datos del registro.4 El registro de la persona jurídica extinguida que se inscribió en el Registro Nacional de Bases de Datos (RNBD) no se borra. Tampoco se borra el registro de las bases de datos registradas, sino que no se muestra en adelante en la consulta pública del RNBD y queda s olamente como consulta histórica en el

Nacional de Bases de Datos (RNBD) no se borra. Tampoco se borra el registro de las bases de datos registradas, sino que no se muestra en adelante en la consulta pública del RNBD y queda s olamente como consulta histórica en el registro de la persona jurídica extinguida y de la SUPERINTENDENCIA DE

INDUSTRIA Y COMERCIO.

Para ello, la base de datos a la que se quiere registrar la novedad de eliminación debe estar finalizada y activa. Una vez en la opción, el usuario debe dar clic al botón “Registro de Eliminación de la BD” como se ve a continuación:

El sistema abrirá una ventana emergente de Novedad de Eliminación de Base de

Datos:

En la ventana emergente el usuario despliega una lista de las Bases de Datos Finalizadas y activas de la cuales se puede escoger o buscar parte del nombre o radicado de la base de datos para realizar el proceso de regi stro de la novedad de Eliminación:5

Cuando el usuario elija la Base de Datos que eliminó y desea registrar la novedad debe dar clic en el botón “Registrar Novedad”.

Posteriormente, se despliega el formulario de “Registro de Novedades de Eliminación de Base de Datos”:

En Motivo de Eliminación se selecciona desde la lista y para agregarlo se debe hacer clic en el botón “Agregar Motivo”. Si el usuario quiere agregar más motivos debe realizar el mismo proceso seleccionando uno u otros motivos diferentes a los que haya agregado . En caso de no encontrar la opción requerida puede comunicarse con el centro de atención telefónica de esta Superintendencia.

Después se debe ingresar la fecha en que fue eliminada la base de datos por parte del Responsable y/o Encargado:6

comunicarse con el centro de atención telefónica de esta Superintendencia.

Después se debe ingresar la fecha en que fue eliminada la base de datos por parte del Responsable y/o Encargado:6

Adicionalmente se debe ingresar la descripción del porqué se va a eliminar la base de datos, en un resumen de máximo 1000 caracteres. Una vez se haya diligenciado toda la información, se debe dar clic en Radicar:

Al dar clic e n el botón radicar, el sistema enviará un mensaje emergente preguntando “¿Está seguro de registrar la novedad de eliminación?”. Al dar clic en el botón “Aceptar” finalizará el proceso de registro de novedad de eliminación y se enviará vía correo electrónic o (del usuario) el comprobante en PDF del trámite con la información respectiva.

Ejemplo de una base de datos inhabilitada en el m ódulo RNBD – inscripción de base de datos:

Si el usuario quiere consultar o identificar si la base de datos quedó inhabilitada, tendrá que ir al módulo RNBD –inscripción de base de datos submódulo Inscribir datos. Aquí se muestra el resumen de las bases de datos . Las bases de datos inhabilitadas tendrán la mención “INHABILITADA” y al dar clic en este enlace aparecerán los motivos eliminación que el usuario relacion ó al m omento de eliminarla, así:7

Las indicaciones anteriormente presentadas podrá encontrarlas también en el Manual de Ayuda del Registro Nacional de Bases de Datos (RNBD), el cual podrá descargar en el siguiente enlace: https://www.sic.gov.co/sites/default/files/Manual%20de%20UsuarioRNBD%20 R-16052025.pdf

Manual de Ayuda del Registro Nacional de Bases de Datos (RNBD), el cual podrá descargar en el siguiente enlace: https://www.sic.gov.co/sites/default/files/Manual%20de%20UsuarioRNBD%20 R-16052025.pdf

En síntesis, el registro de la persona jurídica extinguida que se inscribió en el Registro Nacional de Bases de Datos (RNBD) permanece. Las bases de datos que inhabilitó quedan como consulta histórica en el registro de la persona jurídica extinguida. Estas bases de datos inhabilitadas no se muestran en adelante en la consulta pública del Registro Nacional de Bases de Datos (RNBD). Si hubo una transferencia de la base de datos, el nuevo responsable receptor de dicha base de datos deberá realizar su registro en el Registro Nacional de Bases de Datos (RNBD ), de conformidad con lo que se explicará en los numerales siguientes.

3. Las obligaciones de los responsables de tratamiento

El artículo 2.2.2.26.1.2. del Decreto Único Reglamentario Decreto 1074 de 2015 establece la obligación para los Responsables del tratamiento de inscribirse en el Registro Nacional de Bases de Datos (RNBD) cuando cumplen ciertas condiciones. Concretamente, el artículo 2.2.2.26.1.2. dispuso:

“ARTÍCULO 2.2.2.26.1.2. Ámbito de aplicación . Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características:

a) Sociedades y entidades sin ánimo de lucro que tengan activos totales

datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características:

a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT).

b) Personas jurídicas de naturaleza pública" (negrilla fuera del text o original).

Así las cosas, están obligados a registrar sus bases de datos los responsables del tratamiento que sean sociedades o entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT). En cada caso concreto, debe analizarse si la sociedad o la entidad sin ánimo de lucro tiene ese nivel de activos para determinar si debe registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD).

Si hubo una transferencia de la base de datos, el nuevo responsable receptor de dicha base de datos deberá realizar su registro en el Registro Nacional de Bases8 de Datos (RNBD) cuando se encuentre en el supuesto de hecho del literal a) del artículo 2.2.2.26.1.2. del Decreto Único Reglamentario 1074 de 2015.

4. Inscripción de las bases de datos en el Registro Nacional de Bases de

Datos (RNBD)

Los responsables de tratamiento que cumplan con las condiciones mencionadas precedentemente deben inscribir en el Registro Nacional de Bases de Datos (RNBD) las bases de datos que contienen datos personales respecto de los cuales realizan el tratamiento, sin importar la naturaleza del dato personal (datos de identificación, datos de contacto, datos sensibles, datos de contenido socioeconómico, etc.).

Los sujetos obligados a inscribir sus bases de datos en dicho registro no cargan

realizan el tratamiento, sin importar la naturaleza del dato personal (datos de identificación, datos de contacto, datos sensibles, datos de contenido socioeconómico, etc.).

Los sujetos obligados a inscribir sus bases de datos en dicho registro no cargan sus bases de datos con información personal de los titulares de información, sino que solamente inscriben la información establecida en el Capítulo 26 del Decreto Único 1074 de 2015 y en la Circular Única de la Superintendencia de Industria y Comercio.

La información que el responsable del tratamiento debe registrar en el Registro Nacional de Bases de Datos (RNBD) es la concerniente a su identificación, el nombre y la finalidad de la base de datos, la cantidad de titulares de datos personales contenidos en la base de datos, la identificación del encargado del tratamiento, los canales de atención puestos a disposición de los titulares de los datos, la política de tratamiento de l a información, las formas de tratamiento, las medidas de seguridad, la información contenida en la base de datos, entre otras.

En cuanto a la información contenida en las bases de datos, el responsable de tratamiento debe seleccionar las subcategorías de datos almacenados en la base de datos, las cuales se encuentran agrupadas por categorías de acuerdo con su naturaleza, con el fin de facilitar la inscripción de los datos. En caso de que no encuentre alguna categoría o subcategoría de datos que contenga su base de datos, se debe informar al Contact Center 5920400, indicando claramente la información que se debería agregar en las categorías y/o subcategorías.

Estas categorías y subcategorías de los datos personales que pueden estar contenidas en una base de datos son, entre otras, las que se describen a continuación:910

Estas categorías y subcategorías de los datos personales que pueden estar contenidas en una base de datos son, entre otras, las que se describen a continuación:910

Las indicaciones anteriormente presentadas podrá encontrarlas también en el Manual de Ayuda del Registro Nacional de Bases de Datos (RNBD), el cual podrá descargar en el siguiente enlace: https://www.sic.gov.co/sites/default/files/Manual%20de%20UsuarioRNBD%20 R-16052025.pdf

En síntesis, en el Registro Nacional de Bases de Datos (RNBD) el responsable del tratamiento selecciona las subcategorías de datos almacenados en la base de datos cuyo tratamiento realiza, las cuales se encuentran agrupadas por categorías de acuerdo con su naturaleza.

Por último, por enmarcarse en el tema general de consulta, se señala que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO tiene a la disposición de todo ciudadano la página web https://www.sic.gov.co/registro-nacional-debases-de-datos, en la cual podrá:11 - Inscribir su base de datos cuando es un responsable del tratamiento obligado a ello.

• Consultar el Registro Nacional de Bases de Datos (RNBD)

• Tener acceso a un video tutorial del Registro Nacional de Bases de Datos

(RNBD).

• Descargar el Manual de Ayuda del Registro Nacional de Bases de Datos

(RNBD).

• Consultar las preguntas frecuentes1.

Pregunta

“¿Es suficiente con la publicación de un aviso de continuidad en un diario de amplia circulación o en la página web, o se requiere el envío de una comunicación individual a cada titular informando el cambio de Responsable del Tratamiento? Autorizaciones Existentes: ¿Las

diario de amplia circulación o en la página web, o se requiere el envío de una comunicación individual a cada titular informando el cambio de Responsable del Tratamiento? Autorizaciones Existentes: ¿Las autorizaciones de t ratamiento de datos otorgadas originalmente a la sociedad Excelcredit S.A. conservan su validez legal para ser explotadas

por KOA COMPAÑÍA DE FINANCIAMIENTO S.A?”.

Respuesta

La circulación de datos personales es un acto de tratamiento. Partiendo de esa premisa, como todo acto de tratamiento, se rige por los principios y normas que rigen el tratamiento de datos personales, en virtud de los cuales se requiere la autorización del titular de los datos personales para su puesta en circulación a través de su transferencia a otro responsable de tratamiento.

Para responder más detenidamente la cuestión que nos plantea en su consulta, abordaremos el concepto de transferencia nacional de bases de datos (1) y la circulación de datos personales como un acto de tratamiento (2). Enseguida, nos referiremos a las obligaciones de los responsables de tratamiento y a los principios que deben tenerse en cuenta para el suministro de datos personales a terceros (3 a 8). Por último, realizaremos una síntesis (9).

1. Transferencia nacional de bases de datos

El Decreto Único Reglamentario 1074 de 2015, por medio de la cual se reglamentó la Ley 1581 de 2012, establece una distinción entre la transferencia de datos y la transmisión de datos, en los siguientes términos:

1 https://www.sic.gov.co/preguntas-frecuentes-rnbd12

“ARTÍCULO 2.2.2.25.1.3. Definiciones . Además de las definiciones

de datos y la transmisión de datos, en los siguientes términos:

1 https://www.sic.gov.co/preguntas-frecuentes-rnbd12

“ARTÍCULO 2.2.2.25.1.3. Definiciones . Además de las definiciones establecidas en el artículo 3 de la Ley 1581 de 2012, para los efectos del presente capítulo se entenderá por:

“4. Transferencia. La transf erencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

“5. Transmisión. Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable”.

Esto significa que la transferencia de datos ocurre cuando el responsable o encargado del tratamiento, que está ubicado en territorio colombiano, comunica los datos personales a un responsable de tratamiento ubicado dentro o fuera del país. Por su parte, la transmisión ocurre cuando el responsable del tratamiento envía los datos personales a un encargado –ubicado dentro o fuera del territorio colombiano– para que realice el tratamiento por cuenta suya.

En síntesis, lo fundamental para calificar una operación como transferencia de datos personales es que la persona natural o jurídica a quien se comunican los datos personales tenga, a su vez, la calidad de responsable de tratamiento, esto es, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos. Dicha transferencia será nacional cuando dicho receptor se encuentre ubicado en territorio colombiano.

es, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos. Dicha transferencia será nacional cuando dicho receptor se encuentre ubicado en territorio colombiano.

2. La circulación de datos personales es un acto de tratamiento

La mencionada Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión” (negrillas fuera del texto original).

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o arc hivo por parte de entidades públicas o privadas, y cuyo procesamiento sea utilizando medios tecnológicos o manuales.13 En los anteriores términos, la puesta en circulación de los datos personales a través de su comunicación a terceros se considera un acto de tratamiento, independientemente de la operación jurídica en el marco de la cual se realice.

3. Obligaciones de los responsables de tratamiento

Cuando un responsable del tratamiento comunica los datos personales a otro responsable del tratamiento, el responsable de tratamiento a quien se transfieren los datos personales estará sujeto al régimen de protección de datos personales, en especial la Ley 1581 de 2012, los capítulos 25 a 28 del Decreto Único Reglamentario 1074 de 2015 y demás normas complement arias. En especial, el receptor deberá cumplir con los deberes que le son exigibles en su calidad de responsable de tratamiento, que están contenidos, entre otras

Único Reglamentario 1074 de 2015 y demás normas complement arias. En especial, el receptor deberá cumplir con los deberes que le son exigibles en su calidad de responsable de tratamiento, que están contenidos, entre otras disposiciones, en el artículo 17 de la Ley 1581 de 2012.

Además, debe tenerse en cuenta que en virtud del principio de responsabilidad demostrada (acountability), los responsables de tratamiento deben no solamente cumplir con el régimen de protección de datos personales, sino además demostrar, cuando esta Superintendencia lo requiera, que han tom ado las medidas apropiadas y efectivas para cumplir con dicho régimen. Cuando existe una transferencia nacional de datos personales, ambos responsables deben estar en la posibilidad de demostrar el cumplimiento del Régimen de Protección de Datos Personales.

Uno de los elementos que puede permitir dicha demostración es precisamente el contrato que dio lugar a la comunicación de los datos personales por el responsable de tratamiento al responsable receptor. En efecto, la comunicación de los datos personales por un responsable del tratamiento a otros terceros responsables –transferencia de datos– solamente puede realizarse cumpliendo lo dispuesto en el artículo 13 de la Ley 1581 de 2012, así como observando los principios que rigen el tratamiento de datos per sonales, en especial, el de libertad, el de finalidad, el de confidencialidad y el de acceso y circulación restringida, como se explicará posteriormente.

Precisamente, el contrato de transferencia de datos personales puede contener las obligaciones, garantías y medidas técnicas, humanas y administrativas que el responsable y el receptor de los datos asumieron y asumirán para asegurar que el tratamiento se realice conforme con los principios, reglas y deberes

las obligaciones, garantías y medidas técnicas, humanas y administrativas que el responsable y el receptor de los datos asumieron y asumirán para asegurar que el tratamiento se realice conforme con los principios, reglas y deberes establecidos en la Ley 1581 de 2012, los capítu los 25 a 28 del Decreto Único Reglamentario 1074 de 2015 y las demás normas aplicables.

Partiendo de lo anterior, un contrato de transferencia de datos personales puede ser un instrumento mediante el cual los responsables puedan demostrar que han cumplido y cumplirán las obligaciones que garantizan la observancia del régimen14 de protección de datos personales, en virtud del principio de responsabilidad demostrada, al cual nos referiremos con más detenimiento a continuación.

4. El principio de libertad: la necesidad de obtener la autorización del titular para el tratamiento de los datos personales

En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión, debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:

“c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin pr evia autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”;

Concretamente, salvo los datos de naturaleza pública, para el tratamiento de datos personales de naturaleza privada, semiprivada o sensible, el responsable o encargado del tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización previa,

datos personales de naturaleza privada, semiprivada o sensible, el responsable o encargado del tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización previa, expresa e informada del titular, en los términos establecidos en la ley.

Bajo esa premisa, en vi rtud del principio de libertad, los datos no podrán ser divulgados o comunicados a terceros sin autorización previa de su titular. En ese sentido, como ya se señaló, la puesta en circulación de los datos personales a través de su comunicación a terceros es un acto de tratamiento, para el cual debe existir la autorización previa, expresa e informada de su titular.

5. El principio de finalidad: el deber de informar las finalidades específicas del tratamiento de datos personales

Dentro de los principios que gobiernan el tratamiento de datos personales, la Ley 1581 de 2012 incorpora el principio de finalidad, que define en los siguientes términos:

“b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitució n y la Ley, la cual debe ser informada al Titular”

Sobre este principio, la Corte Constitucional ha precisado lo siguiente:

“Según el principio de finalidad, tanto el acopio, el procesamiento y la divulgación de los datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos,15 así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista.

previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos,15 así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista.

(…)

Asimismo, de conformidad con el principio de finalidad, el dato del titular debe utilizarse, exclusivamente, para los fines por él consentidos, o para aquellos que fueron autorizados por el ordenamiento legal vigente. De tal manera que “debe existir identidad entre los objetivos materia de autorización o mandato legal para el tratamiento y los fines que efectivamente cumpla la gestión del dato personal. Así, en caso de que la finalidad exceda la autorización o la previsión legal supletoria, se está ante un abuso del poder informático”2.

“El principio de finalidad impone el deber de que el tratamiento de los datos personales cumpla un objetivo constitucionalmente legítimo y que sea conocido por el titular al momento de la autorización, precisamente con el fin de que consienta sobre la recopilación del dato para tales fines. Ese objetivo, en consecuencia, debe estar necesariamente vinculado con el ámbito delimitado por la autorización del titular o la prescripción legal que la releva”3.

Como expresión de este principio, el artículo 12 de la misma Ley 1581 de 2012, señala:

“Artículo 12. Deber de informar al Titular . El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo” (…).

Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo” (…).

Dicha norma fue reglamentada, entra otras, por el artículo 2.2.2.25.2.2 del Decreto Único