SIC - Concepto Jurídico 6072 de 2026

Bogotá D .C., m arzo de 2026

A su n to: R adicación: 26-30023

Folios: 50

R eciba un cordial saludo:

D e conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar, en prim er lugar, que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso com o garantía constitucional. Al respecto, la C orte C onstitucional ha establecido en la Sentencia C -542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se

de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se sum inistrarán las herram ientas de inform ación y elem entos conceptuales necesarios que le perm itan absolver las inquietudes por U sted m anifestadas.

2 . FA C U LTA D ES D E LA S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO EN M A TER IA D E P R O TEC C IÓ N D E D A TO S P ER S O N A LES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:2 • Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del

los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o comp lementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior , a continuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA

La Oficina Asesora Jurídica de la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO no tiene competencia legal para pronunciarse sobre situaciones concretas o individuales. Por consiguiente, no puede referirse a la situación particular planteada por la consultante. Esta Oficina Asesora Jurídica solamente brinda lineamientos generales, considerando sus competencias en el marco del régimen de protección de datos personales, en particular de la Ley 1581 de

particular planteada por la consultante. Esta Oficina Asesora Jurídica solamente brinda lineamientos generales, considerando sus competencias en el marco del régimen de protección de datos personales, en particular de la Ley 1581 de 2012, el Capítulo 25 del Decreto 1074 de 2015 y demás normas complementarias.

Pregunta

“1. Respecto de la naturaleza del flujo de datos: Conforme al modelo de negocio descrito, ¿la operación de envío, almacenamiento y acceso a historias clínicas digitales de pacientes extranjeros a través de la3 plataforma tecnológica debe considerarse, según el caso, como transferencia internacional de datos personales, transmisión internacional, o una combinación de ambas figuras?”.

Respuesta

1. Actos de tratamiento de los datos personales

La Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

De esta manera, el tratamiento se refiere a cualquier operación sobre datos personales, como la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo procesamiento sea utilizando medios tecnológicos o manuales. En los anteriores términos, la puesta en circulación de los datos personales a través de su comunicación a terceros se considera un acto de tratamiento.

2. Transferencia y transmisión internacional de datos personales

términos, la puesta en circulación de los datos personales a través de su comunicación a terceros se considera un acto de tratamiento.

2. Transferencia y transmisión internacional de datos personales

El Decreto Único Reglamentario 1074 de 2015, por medio de la cual se reglamentó la Ley 1581 de 2012, establece una distinción entre la transferencia de datos y la transmisión de datos, en los siguientes términos:

“ARTÍCULO 2.2.2.25.1.3. Definiciones . Además de las definiciones establecidas en el artículo 3 de la Ley 1581 de 2012, para los efectos del presente capítulo se entenderá por:

“4. Transferencia. La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

“5. Transmisión. Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable”.

Esto significa que la transferencia de datos ocurre cuando el responsable o encargado del tratamiento, que está ubicado en territorio colombiano, envía los datos personales a un responsable de tratamiento ubicado dentro o fuera del4 país. Por su parte, la transmisión ocurre cuando el responsable del tratamiento envía los datos personales a un encargado –ubicado dentro o fuera del territorio colombiano– para que realice el tratamiento por cuenta suya.

Esto significa que la transferencia de datos ocurre cuando el responsable o

envía los datos personales a un encargado –ubicado dentro o fuera del territorio colombiano– para que realice el tratamiento por cuenta suya.

Esto significa que la transferencia de datos ocurre cuando el responsable o encargado del tratamiento, que está ubicado en territorio colombiano, envía los datos personales a un responsable de tratamiento ubicado dentro o fuera del país. Por su parte, la transmisión ocurre cuando el responsable del tratamiento envía los datos personales a un encargado –ubicado dentro o fuera del territorio colombiano– para que realice el tratamiento por cuenta suya.

De acuerdo con lo anterior, la transferencia internacional de datos se produce cuando el responsable y/o encargado del tratamiento de datos personales, localizado en Colombia, envía datos personales de un titular a un receptor, que a su vez es responsable del tratamiento y que se encuentra fuera del país. Para calificar una operación como transferencia de datos personales, lo fundamental es que la persona natural o jurídica a quien se comunican los datos personales tenga, a su vez, la calidad de responsable de tratamiento, esto es, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos.

Por su parte, la transmisión internacional de datos tiene lugar cuando el responsable del tratamiento ubicado en nuestro país comunica los datos personales a un encargado ubicado fuera del territorio colombiano para que realice el tratamiento de los datos personales por cuenta suya. La transmisión internacional de datos personales ocurre así cuando e xiste un flujo de información personal desde Colombia hacia otro país y que dicho flujo se realiza entre un responsable de tratamiento ubicado en Colombia y un encargado de tratamiento que se encuentra fuera del país.

Pregunta

“2. Sobre la aplicación del artículo 26 de la Ley 1581 de 2012: ¿Existe

entre un responsable de tratamiento ubicado en Colombia y un encargado de tratamiento que se encuentra fuera del país.

Pregunta

“2. Sobre la aplicación del artículo 26 de la Ley 1581 de 2012: ¿Existe una lista de países reconocidos por la Superintendencia de Industria y Comercio con alto nivel de protección de datos personales que sea compatible con la legislación colombiana? Frente a las excepciones contempladas por el artículo 26 de la ley 1581 de 2012: ¿Cuáles son los criterios que adopta esta superintendencia para determinar que un tratamiento médico de un paciente no requiere autorización previa para la transferencia de datos personales? ¿Los tratamientos estéticos se encuentran incluidos dentro de las excepciones contempladas en numeral B del artículo 26 de la ley 1581 de 2012? ¿Cu ál es el procedimiento para solicitarle a la Superintendencia de Industria y Comercio la declaración de conformidad relativa a la transferencia de datos personales?”.5 Respuesta

El régimen jurídico de transferencia internacional de datos personales está establecido en el artículo 26 de la Ley 1581 de 2012, en la Sección 5 del Capítulo 25 del Decreto Único Reglamentario 1074 de 2014 y en el Capítulo Tercero del Título V de la Circular Única de la Superintendencia de Industria y Comercio. A continuación, nos referiremos al régimen jurídico contenido en dicha normativa.

Para ello, en primer lugar, es necesario tener presente que , en virtud de los principios y normas que rigen el tratamiento de datos personales, se requiere la autorización del titular de los datos personales para la transferencia de sus datos personales a un responsable ubicado fuera del territorio colombian o (1). En

principios y normas que rigen el tratamiento de datos personales, se requiere la autorización del titular de los datos personales para la transferencia de sus datos personales a un responsable ubicado fuera del territorio colombian o (1). En segundo lugar, abordaremos la cuestión de los países a los cuales el responsable de tratamiento ubicado en Colombia puede realizar dicha transferencia de datos personales cuando el responsable receptor se encuentra en el extranjero (2).

1. Necesidad de contar con la autorización previa, expresa e informada del titular de los datos personales para la transferencia internacional de sus datos personales

La circulación de datos personales es un acto de tratamiento . Partiendo de esa premisa, como todo acto de tratamiento, se rige por los principios y normas que rigen el tratamiento de datos personales, en virtud de los cuales se requiere la autorización previa, expresa e informada del titular de los datos personales para su puesta en circulación a través de su transferencia a otro responsable de tratamiento ubicado fuera del país.

Para responder esta pregunta, abordaremos primero la cuestión de la circulación de datos personales como un acto de tratamiento (1.1). Enseguida, nos referiremos a las obligaciones de los responsables de tratamiento y a los principios que deben tenerse en cuenta para la transferencia de datos a terceros (1.2 a 1.6). Por último, realizaremos una síntesis de las explicaciones brindadas (1.7).

1.1. La circulación de datos personales es un acto de tratamiento

La mencionada Ley 1581 de 2012 en su artículo 3º, literal g), define el tratamiento de datos personales así:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento,

tratamiento de datos personales así:

“g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión” (negrillas fuera del texto original).

De esta manera, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se6 encuentren registrados en cualquier base de datos o archivo por parte de entidades públicas o privadas, y cuyo procesamiento sea utilizando medios tecnológicos o manuales. En los anteriores términos, la puesta en circulación de los datos personales a través de su comunicación a terceros se considera un acto de tratamiento.

1.2. El principio de libertad: la necesidad de obtener la autorización del titular para el tratamiento de los datos personales

En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión , debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:

“c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”;

Concretamente, salvo los datos de naturaleza pública, para el tratamiento de datos personales de naturaleza privada, semiprivada o sensible, el responsable o encargado del tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización previa, expresa e informada del titular, en los términos establecidos en la ley.

o encargado del tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización previa, expresa e informada del titular, en los términos establecidos en la ley.

Bajo esa premisa, en virtud del principio de libertad, los datos no podrán ser divulgados a terceros sin autorización previa de su titular. En ese sentido, como ya se señaló, la puesta en circulación de los datos personales a través de su comunicación a terceros es un acto de tratamiento, para el cual debe existir la autorización previa, expresa e informada de su titular.

1.3. El principio de finalidad: el deber de informar las finalidades específicas del tratamiento de datos personales

Dentro de los principios que gobiernan el tratamiento de datos personales, la Ley 1581 de 2012 incorpora el principio de finalidad, que define en los siguientes términos:

“b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”

Sobre este principio, la Corte Constitucional ha precisado lo siguiente:

“Según el principio de finalidad, tanto el acopio, el procesamiento y la divulgación de los datos personales, debe obedecer a una finalidad7 constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista.

(…)

Asimismo, de conformidad con el principio de finalidad, el dato del

sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista.

(…)

Asimismo, de conformidad con el principio de finalidad, el dato del titular debe utilizarse, exclusivamente, para los fines por él consentidos, o para aquellos que fueron autorizados por el ordenamiento legal vigente. De tal manera que “debe existir identi dad entre los objetivos materia de autorización o mandato legal para el tratamiento y los fines que efectivamente cumpla la gestión del dato personal. Así, en caso de que la finalidad exceda la autorización o la previsión legal supletoria, se está ante un abuso del poder informático”1.

“El principio de finalidad impone el deber de que el tratamiento de los datos personales cumpla un objetivo constitucionalmente legítimo y que sea conocido por el titular al momento de la autorización, precisamente con el fin de que consienta sobre la recopilación del dato para tales fines. Ese objetivo, en consecuencia, debe estar necesariamente vinculado con el ámbito delimitado por la autorización del titular o la prescripción legal que la releva”2.

Como expresión de este principio, el artículo 12 de la misma Ley 1581 de 2012, señala:

“Artículo 12. Deber de informar al Titular . El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo” (…).

Dicha norma fue reglamentada, entra otras, por el artículo 2.2.2.25.2.2 del

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo” (…).

Dicha norma fue reglamentada, entra otras, por el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, la cual dispone lo siguiente:

“Artículo 2.2.2.25.2.2 . Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuáles se obtiene el consentimiento (…)” (negrillas fuera del texto original).

1 Corte Constitucional, C-282 de 2021. 2 Corte Constitucional, C-032 de 2021.8

De acuerdo con lo anterior, la autorización de tratamiento de datos personales debe ser solicitada informando al titular i) el tratamiento al cual serán sometidos sus datos personales, ii) los datos personales que serán recolectados y iii) la finalidades específicas del tratamiento.

En primer lugar, como ya se señaló, el tratamiento se refiere, entre otros actos, a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales. Por consiguiente, si los datos personales no serán tratados únicamente por el responsable a quien el titular otorga la autorización, sino que uno de los actos de tratamiento será su puesta en circulación, es decir, su transferencia a otros responsables de tratamiento3, esto debe ser informado al titular del dato personal para que pueda consentir dicho tratamiento al cual

uno de los actos de tratamiento será su puesta en circulación, es decir, su transferencia a otros responsables de tratamiento3, esto debe ser informado al titular del dato personal para que pueda consentir dicho tratamiento al cual serán sometidos sus datos personales. En virtud del principio de libertad, el responsable o encargado no puede realizar los actos u operaciones de tratamiento que no hayan sido autorizados por el titular, como lo es su comunicación a terceros, previo suministro de la correspondiente información.

En segundo lugar, en lo relativo al deber de información sobre las finalidades específicas del tratamiento, estas deben ser determinadas de manera previa, clara y suficiente, para ser informadas clara y expresamente al titular, de modo que pueda otorgar su autorización con pleno conocimiento de causa acerca de la finalidad o finalidades para las cuáles van a ser tratados sus datos personales. Solo así se garantiza que la manifestación de voluntad del titular sea verdaderamente libre e informada.

Por consiguiente, la finalidad o finalidades deben ser suficientemente concretas o específicas, de manera que, como lo ha sostenido la Corte Constitucional, no está permitida “la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista ” 4. De esta manera, la autorización nunca puede ser general o indeterminada, pues se vulneraría el principio de finalidad que rige el tratamiento de los datos personales.

Igualmente, se advierte que el responsable de tratamiento debe, antes de solicitar la autorización del tratamiento, determinar con claridad tanto la forma como las finalidades del tratamiento de los datos personales . Si el responsable de tratamiento ha decidido que una de las formas y finalidades del tratamientos

Igualmente, se advierte que el responsable de tratamiento debe, antes de solicitar la autorización del tratamiento, determinar con claridad tanto la forma como las finalidades del tratamiento de los datos personales . Si el responsable de tratamiento ha decidido que una de las formas y finalidades del tratamientos es la transferencia de los datos a un tercero en calidad de responsable, esta

3 Decreto 1074 de 2015, artículo 2.2.2.25.1.3 (…) “ 4. Transferencia. La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país”. 4 Corte Constitucional, C-282 de 2021.9 información debe ser de manera previa suministrada al titular para que otorgue o no su autorización para el tratamiento de sus datos personales.

Por último, es importante tener en cuenta que el tratamiento de los datos personales por el responsable se circunscribe a la autorización otorgada por el titular. Por lo tanto, el responsable del tratamiento no podría transferir los datos personales de un titular a otro responsable, sea a título gratuito o a título oneroso, si al titular no le fue informado dicho acto de tratamiento y no otorgó la autorización para ello.

Por lo demás, por ser el derecho al hábeas data un derecho fundamental, debe interpretarse de acuerdo con la regla de interpretación pro homine, que opera en materia de interpretación de los derechos fundamentales, de conformidad con la cual debe adoptarse aquella opción interpretativa que mejor proteja los derechos de la persona5.

1.4. Principio de confidencialidad

Entre los principios que gobiernan el tratamiento de protección de datos, se

con la cual debe adoptarse aquella opción interpretativa que mejor proteja los derechos de la persona5.

1.4. Principio de confidencialidad

Entre los principios que gobiernan el tratamiento de protección de datos, se encuentra el principio de confidencialidad. Este principio es definido por el artículo 4º de la Ley 1581 de 2012 en los siguientes términos:

“Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma” (negrillas fuera del texto original).

En los términos anteriores, en virtud del principio de confidencialidad, el responsable o encargado del tratamiento debe garantizar la reserva de la información, incluso después de culminada la actividad en el marco de la cual se realizó su tratamiento, y solamente deben suministrar o comunicar los datos personales a terceros cuando lo autoriza ley, en particular observando lo

5 Véase, por ejemplo, acerca de esta regla de interpretación, T-508 de 2019.10 dispuesto en el artículo 13 de la Ley 1581 de 2012. En lo que respecta a la

5 Véase, por ejemplo, acerca de esta regla de interpretación, T-508 de 2019.10 dispuesto en el artículo 13 de la Ley 1581 de 2012. En lo que respecta a la consulta formulada, esta última disposición señala que el responsable o encargado de tratamiento podrá suministrar los datos personales a los terceros cuando medie autorización de su titular. Lo anterior en armonía con el principio de libertad que rige el tratamiento de los datos personales.

1.5. Principios de acceso y circulación restringida

Entre los principios que gobiernan el tratamiento de protección de datos, se encuentra el principio de acceso y circulación restringida. Este principio es definido por el artículo 4º de la Ley 1581 de 2012 en los siguientes términos:

“Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;

En los términos anteriores, en virtud del principio de acceso y circulación

masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;

En los términos anteriores, en virtud del principio de acceso y circulación restringida, el responsable o encargado del tratamiento deberá realizar el tratamiento de los datos personales conforme con el régimen jurídico aplicable según su naturaleza jurídica, es decir, teniendo en cuenta si se trata de datos personales de carácter público, semiprivado, privado o sensible.

Además, su tratamiento o circulación solamente podrá realizarse por terceros según las excepciones establecidas en los artículos 10º y 13º de la Ley 1581 de

2012. Salvo la información pública, los datos personales no podrán estar disponibles en medios de divulgación masiva, salvo que el acceso sea controlable para brindar un conocimiento solamente a los titulares o a los terceros autorizados por la ley o por el titular.

En síntesis, el principio de acceso y circulación restringida impone al responsable o encargado la obligación de identificar la naturaleza jurídica de los datos personales que está tratando y de aplicarles el régimen jurídico que le11 corresponde de acuerdo a dicha naturaleza. Salvo la información pública, dichos datos no pueden divulgarse masivamente sin un control técnico que limite el acceso únicamente a los titulares o a terceros autorizados por el titular o por la ley.

1.6. El suministro de datos personales a terceros (artículo 13, Ley 1581 de 2012)

Los anteriores principios se acompasan con lo dispuesto por el artículo 13 de la

ley.

1.6. El suministro de datos personales a terceros (artículo 13, Ley 1581 de 2012)

Los anteriores principios se acompasan con lo dispuesto por el artículo 13 de la Ley 1581 de 2012 , que establece las hipótesis en las que, en virtud de la ley, puede el responsable del tratamiento suministrar los datos personales del titular a terceros, así:

“Artículo 13. Personas a quienes se les puede suministrar la información. La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas:

a) A los Titulares, sus causahabientes o sus representantes legales;

b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial;

c) A los terceros autorizados por el Titular o por la ley ” (negrilla fuera del texto original).

En los términos anteriores, la ley establece las personas a quienes los responsables de tratamiento pueden suministrar los datos personales que trate o que se encuentran en la base de datos que gestiona. En el último numeral, se señala que el responsable o encargado de tratamiento podrá suministrar los datos personales a los terceros autorizados por el titular. Esta regla es una aplicación de los principios que rigen el tratamiento de los datos personales, que fueron mencionados anteriormente.

1.7. Síntesis

La puesta en circulación de los datos personales a través de su transferencia a terceros responsables del tratamiento constituye un acto d