SIC - Concepto Jurídico 6075 de 2026

Bogotá D .C ., abril de 2026

A su n to: R adicación: 26-73932

Folios: 21

Respetada señora:

D e conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . O B JETO D E LA C O N S U LTA

Atendiendo la solicitud radicada ante esta Entidad a través de la com unicación del asunto, en la cual consulta:

“(… ) m e perm ito solicitar de m anera atenta y respetuosa un concepto jurídico form al relacionado con la aplicación de la Ley Estatutaria 1581 de 2012 en el contexto de la atención en salud. Trabajo en una IPS am bulatoria y se ha identificado situaciones en las cuales algunos pacientes no otorgan la autorización para el tratam iento de sus datos personales, en procedim ientos electivos C onsulta externa no urgentes. (… )”

Efecto por el cual se plantean algunos interrogantes y, antes de dar respuesta a su consulta, es fundam ental realizar las siguientes precisiones:

2 . C U ES TIÓ N P R EV IA

(… )”

Efecto por el cual se plantean algunos interrogantes y, antes de dar respuesta a su consulta, es fundam ental realizar las siguientes precisiones:

2 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar, en prim er lugar, que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso com o garantía constitucional. Al respecto, la C orte C onstitucional ha establecido en la Sentencia C -542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de2 la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver la inquietud por Usted manifestada.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS

PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS

PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

 Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;  Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el presente numeral, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o complementar contratos, actos administrativos o leyes, mucho menos a so lucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre el interrogante

a interpretar o complementar contratos, actos administrativos o leyes, mucho menos a so lucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre el interrogante de su consulta. Sin perjuicio de lo anterior, a continuación, daremos respuesta a la inquietud presentada.3

4. CONSIDERACIONES EN TORNO A LA CONSULTA

4.1 Definición y Tratamiento de Datos Personales

La Ley 1581 de 2012, en su artículo 2, señala el ámbito de aplicación de la siguiente manera:

“Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada”.

La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas.

En cuanto al concepto de bases de datos o archivos la CORTE CONSTITUCIONAL mediante Sentencia C-748 de 2011 señaló́ lo siguiente:

“El literal b) define las bases de datos como un “(...) conjunto organizado de datos personales que sea objeto de tratamiento”. Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos emp leada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación.

Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple

de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación.

Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó́ en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley”.

Por lo anterior, la Ley 1581 de 2012 se aplica a los datos personales que se encuentren en bases de datos o archivos de entidades públicas o privadas, entendidos estos, como el conjunto organizado o depósitos ordenados de datos personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos.

A su vez, el literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos:4 “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”

Por su parte, el literal g) del artículo 3 define tratamiento en los siguientes términos:

"Tratamiento: Cualquier operación o conjunt o de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión."

Por lo anterior, el tratamiento se refiere a cualquier operación sobre datos personales como, la utilización, recolección, almacenamiento, circulación y

datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión."

Por lo anterior, el tratamiento se refiere a cualquier operación sobre datos personales como, la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.

Ahora bien, teniendo en cuenta el contexto del tema objeto de consulta, en cuanto al;

4.2 Tratamiento de Datos Sensibles relacionados con la salud

Nuestra legislación contempla una categoría especial de datos personales respecto de la cual se atribuyen ciertas características que a su vez imponen la obligación de dar un tratamiento diferenciado y de mayor rigor que otros grupos de datos, entre estos, los datos sensibles, frente a los cuales la ley 1581 de 2012 en su título III, ha definido en la siguiente forma y términos:

“Artículo 5°. Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías d e partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.” (Negrilla fuera del texto original).

Aunado a lo anterior, y según la Corte Constitucional, el tratamiento de datos

garantías d e partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.” (Negrilla fuera del texto original).

Aunado a lo anterior, y según la Corte Constitucional, el tratamiento de datos sensibles puede “generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos” , razón por la cual, los Responsables y Encargados que realizan tratamiento de este tipo de datos “tienen una responsabilidad re forzada que se traduce en una exigencia mayor en términos de cumplimiento de los principios del artículo 4 y los deberes del título VI” de la ley 1581 de 2012 , así como dar plena observancia a los5 deberes establecidos por el legislador en materia estatutaria, en lo que en el particular respecta, solicitar y conservar copia de la autorización otorgada para el titular, y en particular para circular su información con terceros.

4.3 Derecho al Habeas Data en tratamiento de datos personales

El artículo 15 de nuestra Constitución contempla el derecho fundamental que tienen todas las personas a conocer, actualizar y rectificar toda la información que sobre ellas se haya recogido en las bases de datos. De esta prerrogativa de orden superior se derivan uno s principios y deberes cuya observancia corresponde a quienes intervengan en el proceso de recolección, tratamiento y circulación de datos personales, en los términos señalados por la Corte Constitucional en la sentencia C-748 de 2011, así:

“DERECHO AL H ABEAS DATA EN TRATAMIENTO DE DATOS PERSONALES-Principios y garantías constitucionales.

El proyecto de ley estatutaria establece en materia de tratamiento de

“DERECHO AL H ABEAS DATA EN TRATAMIENTO DE DATOS PERSONALES-Principios y garantías constitucionales.

El proyecto de ley estatutaria establece en materia de tratamiento de datos personales los principios de legalidad, el de finalidad, de libertad, de veracidad o calidad, de transparencia, de acceso y circulación restringida, de seguridad y el principio de confidencialidad, principios éstos que no obstan para que en el proceso de administración de bases de datos se dé aplicación a los principios rectores derivados directamente de la Constitución al igual que a aquellos derivados del núcleo temático del proyecto de ley estatutaria, los cuales pese a no encontrase numerados se entiende incorporados en razón de una lectura sistemática del proyecto de Ley Estatutaria”.

En el citado p ronunciamiento también se determinan las características de los datos personales, a saber: i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está some tido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.” 1, peculiaridades que se armonizan con el concepto de dato personal establecido en la Ley, consistente en un derecho que al asociarse a una persona natural, radica precisamente en cabeza del titular.

Ahora bien, el artículo 17 de ese cuerpo normativo contempla los deberes que les asisten, en particular a los responsables, siendo este “aquel que define los

en un derecho que al asociarse a una persona natural, radica precisamente en cabeza del titular.

Ahora bien, el artículo 17 de ese cuerpo normativo contempla los deberes que les asisten, en particular a los responsables, siendo este “aquel que define los

1 Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).6 fines y medios esenciales para el tratamiento del dato”2, con el propósito de garantizar, de una parte, el pleno ejercicio del derecho fundamental de hábeas data, y de otra, una correcta administración de la información personal. Dentro de esos deberes se encuentra enlistado el de obtener la autorización previa, expresa e informada por parte de los titulare s de la información, para hacer el respectivo tratamiento de sus datos personales

A su turno los principios de legalidad y libertad establecen un marco dentro del cual solo el consentimiento de los titulares faculta para realizar tratamiento sobre los dat os que les sean asociados. En palabras de la Honorable Corte

Constitucional es el:

“(…) pilar fundamental de la administración de datos , permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

(…)

En igual sentido, en la Sentencia SU-082 de 1995, la Corte basó toda la ratio decidendi, en el concepto de autodeterminación informática, cuyo elemento esencial recaía en el consentimiento. Sobre la particular

(…)

En igual sentido, en la Sentencia SU-082 de 1995, la Corte basó toda la ratio decidendi, en el concepto de autodeterminación informática, cuyo elemento esencial recaía en el consentimiento. Sobre la particular la Corte se preguntó: “¿Cuál es el núcleo esencial del habeas data? A juicio de la Corte, está integrado por el derecho a la autodeterminación informática y por la libertad, en general, y en especial económica. La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales.” Esa posición ha sido reiterada, entre muchas otras, en las Sentencias T-580 de 1995, T-448 de 2004, T-526 de 2004, T-657 de 2005, TT-684 de 2006, C-1011 de 2008, T-017 de 2011”

Dicho esto, se procederá, como a continuación sigue:

Pregunta

“1. Si la negativa del paciente a autorizar el tratamiento de datos personales permite o no a la IPS abstenerse de prestar el servicio, aun cuando este sea electivo.(sic).”

2 Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).7 Respuesta

Es importante señalar que la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio, en el desarrollo de su función de resolver consultas, carece de competencia para emitir pronunciamientos sobre casos específicos. Por lo

Respuesta

Es importante señalar que la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio, en el desarrollo de su función de resolver consultas, carece de competencia para emitir pronunciamientos sobre casos específicos. Por lo tanto, no es posible referirse de manera puntual a la situación expuesta por la consultante.

En este sentido, únicamente se proporcionarán directrices generales, tomando en cuenta las competencias asignadas en el contexto del régimen de protección de datos personales. Esto incluye las disposiciones establecidas en la Ley 1581 de 2012, el Capítulo 25 del Decreto 1074 de 2015, la Ley 1266 de 2008 y otras normativas complementarias aplicables.

Ahora bien, r especto a la autorización para el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la ley 1581 de 2012 así:

“c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”.

Así las cosas, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, es decir, debe recolectarse en una etapa anterior a su incorporación en la base de datos del responsable; expresa, es decir, que no exista duda o equivocación de su aceptación; e informada del titular, es decir, que conozca las finalidades específicas de tratamiento y los efectos de su consentimiento. Lo anterior, con el fin de permitirle que se

es decir, que no exista duda o equivocación de su aceptación; e informada del titular, es decir, que conozca las finalidades específicas de tratamiento y los efectos de su consentimiento. Lo anterior, con el fin de permitirle que se garantice en todo momento y lugar que pueda conocer en donde est á su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

Respecto a la autorización , ya referida, el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo siguiente:

"Autorización. El Responsable del Tratamiento deber á́ adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así́ como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento".8 Para el tratamiento de los datos sensibles , objeto de consulta, el artículo 2.2.2.25.2.3. del precitado Decreto señala lo siguiente:

“De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 est á prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de da tos sensibles no est á́

Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de da tos sensibles no est á́ obligado a autorizar su Tratamiento.

2. Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán obj eto de Tratamiento son sensibles y la finalidad del Tratamiento, as í́ como obtener su consentimiento expreso.

Ninguna actividad podrá́ condicionarse a que el Titular suministre datos personales sensibles.”

En concordancia con lo anterior, el artículo 2. 2.2.25.2.4., del mencionado decreto dispone:

“Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnico s que faciliten al Titular su manifestación automatizada. Se entenderá́ que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de f orma razonable que otorgó la autorización. En ningún caso el silencio podrá́ asimilarse a una conducta inequívoca”.

inequívocas del titular que permitan concluir de f orma razonable que otorgó la autorización. En ningún caso el silencio podrá́ asimilarse a una conducta inequívoca”.

En consecuencia, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos, y debe utilizar mecanismos que garanticen su consulta posterior.

Ahora bien, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización:9 “ARTÍCULO 12. Deber de informar al Titular . El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deber á́ informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.

b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular.

d) La identificación, d irección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá́ conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. (Negrilla fuera del texto original)

Todo lo cual ha sido reforzado por la Corte Constitucional mediante Sentencia T402 de 2024, al interior de la cual, condenó la divulgación no autorizada de una

lo solicite, entregarle copia de esta”. (Negrilla fuera del texto original)

Todo lo cual ha sido reforzado por la Corte Constitucional mediante Sentencia T402 de 2024, al interior de la cual, condenó la divulgación no autorizada de una historia clínica, reafirmando que este deber de reserva es una obligación ética y legal, y que su vulneración afecta los derechos fundamentales a la intimidad y al habeas data:

En dicho pronunciamiento y frente al habeas Data, entre otros manifestó:

“La Ley Estatutaria 1581 de 2012, desarrolló este derecho fundamental. En esta norma se establecen los principios para el tratamiento de los datos personales (art. 4), incluidos aquellos que se denominan sensibles, dentro de los cuales se encuentran los datos que afectan la intimidad -v. g. como la salud- (art. 5). Luego, en el artículo 9, la misma norma prevé que “sin perjuicio de las excepciones previstas en la ley, en el tratamiento se requiere la autorización previa e informada del titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”. En los artículos 16, 17 y 18 de esta ley se establecen los derechos de los titulares de los datos y los deberes de los responsables y administradores de las bases de datos, todo con el propósito de que el titular de los mismos conserve la potestad de control y conocimiento sobre cuál es el tratamiento y finalidad de su recolección, entre otras. Finalmente, en el artículo 19 y siguientes se regula que la autoridad de protección de datos es la SIC, a través de una delegatura para la protección de datos personales. Allí se establecen sus funciones, los

Finalmente, en el artículo 19 y siguientes se regula que la autoridad de protección de datos es la SIC, a través de una delegatura para la protección de datos personales. Allí se establecen sus funciones, los procedimientos y las sanciones que puede imponer.” (Negrilla fuera del texto original).

Acto seguido y frente al derecho de la intimidad dijo:10

“(…) se tiene que el derecho a la intimidad se expresa, en primer lugar, como la facultad de la persona para oponerse a las intromisiones injustificadas al ámbi to que ha reservado para sí o su familia, a la divulgación de los hechos privados así como a las restricciones a su libertad para tomar decisiones sobre asuntos que solo le conciernen al individuo. En segundo lugar, constituye una prohibición para el Estado y los particulares de inmiscuirse sin justificación en la esfera íntima del titular del derecho, de divulgar los hechos privados o de restringir la libertad de elegir sobre asuntos que solo le conciernen al titular del derecho o a su familia. Y, en terce r lugar, implica la obligación de adoptar todas las medidas normativas, judiciales y administrativas para asegurar el respeto de las diferentes dimensiones de esta garantía constitucional.”

De otra parte y en relación con el derecho a la intimidad y su relación con las garantías a la información indicó:

“De lo anterior, se concluye que la información personal tiene distintas intensidades de protección que están directamente relacionadas con la afectación del derecho a la intimidad. En ese contexto , la Sala precisa que la información que contiene la historia clínica y, en concreto, los datos sobre la salud sexual y reproductiva de una persona son reservados y cuando dicha información conste en registros

afectación del derecho a la intimidad. En ese contexto , la Sala precisa que la información que contiene la historia clínica y, en concreto, los datos sobre la salud sexual y reproductiva de una persona son reservados y cuando dicha información conste en registros administrados por las autoridades del Estado tienen la condición de información clasificada y, por lo mismo, son objeto de reserva. Esto quiere decir que no puede ser divulgada ni publicada sin que medie la autorización expresa del titular o de una autoridad competente en ejercicio de sus funciones, so pen a de vulnerar los derechos a la intimidad y al habeas data.”

En síntesis, el responsable del tratamiento –recolección, almacenamiento, uso, circulación o supresión – solamente puede realizar el tratamiento de datos personales con la autorización previa, ex presa e informada del titular o, tratándose de menores, de su representante legal, siempre que se respete el interés superior del menor, se asegure el respecto de sus derechos fundamentales y, además, que el menor puede expresar su opinión, la cual se valora considerando su madurez, autonomía y capacidad para entender el asunto.

Por ende, cualquier empresa u organización que trate datos personales está obligada a tener un marco que incluya una política en tal sentido, en la forma y términos de la Ley 1581 de 2012 y demás decretos reglamentarios, pues tal y como lo deduce las disposiciones antes descritas, hacen referencia expresa a la necesidad y deber de toda organización que trate información personal cuente con unos procedimientos para la recolección, a lmacenamiento, uso, circulación y supresión de información, con el fin de que a lo largo del ciclo de vida del dato11 se garanticen y respeten los preceptos legales que van desde la recolección de

con unos procedimientos para la recolección, a lmacenamiento, uso, circulación y supresión de información, con el fin de que a lo largo del ciclo de vida del dato11 se garanticen y respeten los preceptos legales que van desde la recolección de la información hasta la disposición final de la misma, de tal suerte que no se empleen medios engañosos o fraudulentos para recolectar y tratar los datos personales y que siempre se utilicen para las finalidades que fueron autorizadas en su momento por el Titular , en el entendido de que la información se utilice úni camente para la finalidad que fue informada, lo que adicionalmente implica la supresión segura de la información y la correspondiente documentación de este procedimiento.

Finalmente, se resalta la importancia de que las entidades de salud adopten medidas técnicas, humanas y administrativas para garantizar la seguridad de las historias clínicas, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado.

Recordemos que l a SUPERINTEN DENCIA DE INDUSTRIA Y C OMERCIO, como Autoridad de Protección de Datos, es la encargada de las funciones de inspección, vigilancia y control sobre los responsables y encargados del tratamiento en los términos establecidos en la Ley 1581 de 2012 , y por ende, puede iniciar investigaciones administrativas cuando una persona natural o jurídica, como responsable o encargado del tratamiento, está presuntamente violando el régimen de protección de datos personales establecido en la ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas concordantes , imponiendo sanciones a quienes incumplan dicho régimen de protección de datos personales en el marco de las facultades sancionatorias otorgadas por la ley.

de 2012, el Decreto 1074 de 2015 y demás normas concordantes , imponiendo sanciones a quienes incumplan dicho régimen de protección de datos personales en el marco de las facultades sancionatorias otorgadas por la ley.

Finalmente, y en aras de que pueda hallar una solución a su inquietud, es importante referir que las