SIC - Guía sobre el tratamiento de datos personales en las entidades estatales

GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES EN LAS ENTIDADES ESTATALES

(Versión No. 2 del 30 de junio de 2021 ajustada según observaciones de la Oficina Jurídica) (Las imágenes utilizadas son meramente referenciales y a título ilustrativo)

GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES

EN LAS ENTIDADES ESTATALES

GUÍA SOBRE EL TRATAMIENTO DE DATOS

PERSONALES EN LAS ENTIDADES ESTATALES

ANDRÉS BARRETO GONZÁLEZ

Superintendente de Industria y Comercio

NELSON REMOLINA ANGARITA

Superintendente Delegado para la Protección de Datos Personales

ANGÉLICA MARÍA ACUÑA PORRAS

Secretaria General

JAZMÍN ROCÍO SOACHA PEDRAZA

Jefe Oficina Asesora Jurídica ANGÉLICA ASPRILLA Jefe Oficina de Servicios al Consumidor y Apoyo empresarial OSCAE

NELSON REMOLINA ANGARITA

MARÍA PAULA VARGAS RODRÍGUEZ CATERINE GÓMEZ CARDONA Autores primera edición

DIANA CRISTINA MARIÑO LÓPEZ

Edición

MANUEL SOLER

Diagramación

BOGOTÁ D.C. COLOMBIA 2021

GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES

EN LAS ENTIDADES ESTATALES TABLA DE CONTENIDO Introducción ..........................................................................................................................................................................................................................................4 Objetivos, precisiones y complementariedad con otras guías y cartillas de esta entidad ............................................6 Recomendaciones ..........................................................................................................................................................................................................................6

I. Tenga presente que la Ley 1581 de 2012 aplica al Tratamiento de Datos Personales que realicen las

entidades estatales. ...........................................................................................................................................................................................6

II. Antes de realizar Tratamiento de datos efectúe un estudio de impacto de privacidad. ...................................7

III. Incorpore legalidad, privacidad, ética, seguridad y responsabilidad demostrada desde el diseño y por defecto. .............................................................................................................................................................................................................9

IV. Informe de manera clara y transparente las finalidades específicas del Tratamiento de los datos. ......11

V. Trate únicamente los datos estrictamente necesarios.........................................................................................................11

VI. No olvide que la recolección de datos personales sin autorización no implica la desprotección del derecho de hábeas data de los titulares.. ..........................................................................................................................................12

VII. Efectúe un diagnóstico de cumplimiento de la Ley 1581 de 2012. ............................................................................14

VIII. Use los formatos modelo de la SIC para el cumplimiento de la Ley 1581 de 2012. ......................................15

IX. Recolecte datos de forma lícita, utilizando medios que dejen evidencia para demostrar el cumplimiento de la ley.. .................................................................................................................................................................................17

X. Clasifique los Datos Personales. .........................................................................................................................................................19

4

XI. Tenga en cuenta las pautas especiales para recolectar huellas dactilares, o recolectar datos relativos al estado de salud de las personas (Datos Sensibles). .............................................................................................................24

XII. Cumpla los requisitos para poder recolectar y tratar Datos Personales de niñas, niños y adolescentes

(NNA). ........................................................................................................................................................................................................................26

XIII. Exija el respeto de la regulación de protección de datos y de su Política de Tratamiento de Datos Personales a los terceros que contrata (Encargados del Tratamiento) para que le presten, entre otros, servicios de seguridad privada y de computación en la nube.. ...........................................................................................27

XIV. Adopte medidas para garantizar los principios sobre Tratamiento de Datos Personales (TDP) en las entidades estatales. .........................................................................................................................................................................................28

XV. Respete los derechos de los Titulares de los datos e implemente mecanismos efectivos para el ejercicio de los mismos. ................................................................................................................................................................................30

1. Ubique avisos de privacidad en sitios fácilmente visibles. ...........................................................................................32
2. Sitúe avisos para informar a las personas que están siendo videovigiladas. ..................................................32
3. Garantice la seguridad de los Datos Personales y esté preparado para actuar frente a eventuales incidentes de seguridad ...............................................................................................................................................................................34
4. Elimine los Datos Personales tan pronto cumplan la finalidad para la cual fueron tratados. .................36

XX. Garantice la confidencialidad de la información. .................................................................................................................38

1. Implemente estrategias de Responsabilidad Demostrada (Accountability) frente al Tratamiento de Datos Personales. ..............................................................................................................................................................................................38
2. Registre las Bases de Datos ante el RNBD. ...........................................................................................................................43
3. Incremente y mantenga la confianza de los Titulares de Datos Personales. .................................................44
4. Tenga presente la regulación de datos en los procesos de interoperabilidad, circulación o entrega de Datos Personales.. ......................................................................................................................................................................................45

GLOSARIO ...............................................................................................................................................................................................................................................46 Introducción La Constitución Política establece que el Estado tiene como finalidad, entre otras, la de garantizar la efectividad de los “derechos y deberes consagrados en la Constitución”. Adicionalmente, señala que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y

de los particulares”1. También es enfática en precisar que los servidores públicos son responsables por infringir la Constitución y las leyes y por “omisión o extralimitación en el ejercicio de sus funciones2” y que deben ejercer “sus funciones en la forma prevista por la Constitución, la ley y el reglamento”3. Las entidades estatales que conforman las ramas del poder público4 recolectan, usan, circulan y tratan Datos Personales. Como tales, son Responsables de su Tratamiento y deben cumplir con todos los deberes constitucionales y legales. Es factible que para ciertas actividades acudan a terceros (contratistas, empresas 5 de seguridad, proveedores de tecnologías, otras entidades públicas, etc.) que actúan como Encargados del Tratamiento. Conforme con el artículo 15 superior, las personas tienen el derecho a conocer, actualizar y rectificar toda la información que se haya recogido sobre ellas en Bases de Datos o archivos de entidades públicas y privadas. Además, señala que “en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. Esta disposición fue desarrollada por la Ley Estatutaria 1581 de 2012, la cual no sólo es aplicable a las entidades públicas5 sino que define “Tratamiento” como “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”6. Dado que las entidades estatales tratan datos de millones de personas y que deben obrar conforme a la Constitución y a la ley, se expide la siguiente guía cuyos objetivos y precisiones señalamos a continuación. 1 Cfr. Artículo 2 de la Constitución Política de Colombia.

2 Cfr. Artículo 6 de la Constitución Política de Colombia. 3 Cfr. Artículo 123 de la Constitución Política de Colombia. 4 Cfr. Artículo 113 de la Constitución Política de Colombia. 5 Cfr. Artículo 2 de la Ley Estatutaria 1581 de 2012. 6 Cfr. Literal 6) del artículo 3 de la Ley Estatutaria 1581 de 2012. GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES EN LAS ENTIDADES ESTATALES Objetivos, precisiones y complementariedad con otras guías y cartillas de esta entidad Esta guía tiene como propósito presentar algunas deberes legales sobre la materia y que la omisión de sugerencias a las entidades estatales y a los servidores algunos de ellos no lo exime de cumplir con todas las públicos que recolectan o tratan Datos Personales con obligaciones jurídicas. miras a orientarlos para que cumplan correctamente la regulación sobre el Tratamiento de los mismos. Finalmente, esta entidad ha publicado los siguientes documentos7 que sugerimos consultar ya que son Estas recomendaciones tienen un enfoque preventivo complementarios a esta guía: (1) Cuestionario de dirigido a las entidades estatales directamente diagnóstico para el cumplimiento de la Ley 1581 de (Responsables del Tratamiento) o a través de terceros 2012 en las mipymes; 2) Cartilla de formatos modelo (Encargados del Tratamiento) para que eviten vulnerar para el cumplimiento de obligaciones establecidas en los derechos de cualquier persona (Titular del dato). la Ley 1581 de 2012 y sus decretos reglamentarios; 3) Guía sobre Protección de Datos Personales en sistemas El presente documento no es un concepto legal ni de videovigilancia; 4) Guía para la implementación

constituye asesoría jurídica. Tampoco pretende ser un del Principio de Responsabilidad Demostrada listado exhaustivo de recomendaciones específicas (Accountability); 5) Guía sobre la implementación sobre todos los temas que involucra la Protección de del Principio de Responsabilidad Demostrada en las Datos Personales en las entidades estatales, pues ello transferencias internacionales de datos y 6) Guía para es un asunto interno de cada entidad a la luz de sus la gestión de incidentes de seguridad en el Tratamiento particularidades y de sus funciones. de Datos Personales. 6 Las orientaciones contenidas en este texto solo comprenden algunos de los temas más relevantes sobre la Protección de Datos Personales en las entidades estatales. Por consiguiente, el lector debe 7 Los textos de los documentos están disponibles en la sección tener claro que este documento no incluye todos los de publicaciones de la Delegatura para la Protección de Datos Personales de la SIC: https://www.sic.gov.co/tema/proteccion-de-datos-personales

RECOMENDACIONES

I. Tenga presente que la Ley 1581 de 2012 aplica al Tratamiento de Datos Personales que realicen las entidades estatales.

Recuerde que la Ley 1581 de 2012 aplica tanto a las entidades públicas como a las privadas. Sólo existen algunas diferencias que deben tenerse presentes: • Por regla general, no se requiere la Autorización del Titular del dato cuando la información es “requeri7 da por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial”8. Pero, en todo caso, las entidades estatales deberán cumplir con todas las demás disposiciones de la

Ley 1581 de 2012. • Las sanciones del artículo 23 de la Ley no aplican a las entidades estatales. Establece el parágrafo de dicha norma que “en el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. • Existen algunos casos exceptuados del campo de aplicación de la Ley 1581 de 20129. No obstante, se trata de situaciones excepcionales que no se sustraen totalmente de algunos principios constitucionales10 que fueron recogidos en el artículo 4 de la Ley 158111. Dado lo anterior, las entidades estatales deben cumplir la Ley 1581 de 2012. En esa medida, las guías que ha emitido esta Entidad también son útiles, salvo lo relativo a los temas anteriormente señalados y teniendo en cuenta algunas precisiones que se realizarán sobre la Autorización para legitimar el Tratamiento de Datos Personales. 8 Cfr. Literal a) del artículo 10 de la Ley Estatutaria 1581 de 2012. 9 Artículo 2 de la Ley Estatutaria 1581 de 2012. 10 Sobre estos casos, la Corte estableció que “(…) estas hipótesis no están exceptuadas de los principios, como garantías mínimas de protección del habeas data. En otras palabras, las hipótesis enunciadas en el inciso tercero son casos exceptuados –no excluidosde la aplicación de las disposiciones de la ley, en virtud del tipo de intereses involucrados en cada uno y que ameritan una regulación especial y complementaria, salvo respecto de las

disposiciones que tienen que ver con los principios” (numeral 2.4.5.1 de la sentencia C-748 de 2011). 11 En línea con lo anterior, el parágrafo del artículo 2 de la Ley 1581 de 2012 señala que los “principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley”.

GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES

EN LAS ENTIDADES ESTATALES

II. Antes de realizar Tratamiento de datos efectúe un estudio de impacto de privacidad.

Previo al diseño y desarrollo del proyecto de cualquier entidad estatal, y en la medida en que sea probable que el mismo entrañe un alto riesgo de afectación del derecho a la Protección de Datos Personales de los Titulares, se sugiere efectuar una evaluación de impacto en la privacidad (Privacy Impact Assessment - PIA por sus siglas en inglés) con el fin de poner en funcionamiento un sistema efectivo de manejo de riesgos y controles internos para garantizar que los datos se tratarán debidamente y conforme con la regulación existente. Dicha evaluación debería incluir, como mínimo, lo siguiente: • Una descripción detallada de las operaciones de Tratamiento de Datos Personales que involucra el proyecto o la actividad de la entidad estatal.

• Una evaluación de los riesgos específicos para los derechos y libertades de los Titulares de los Datos Personales. La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos, son elementos cardinales del Principio de Responsabilidad Demostrada (Accountability).

Es fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”12 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”13. • Las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad, diseño de software, tecnologías y mecanismos que garanticen la Protección de Datos Personales, teniendo 8 en cuenta los derechos e intereses legítimos de los Titulares de los datos y de otras personas eventualmente afectadas. Los resultados de este estudio, junto con las medidas para mitigar los riesgos, hacen parte de la aplicación del Principio de Privacidad desde el diseño y por defecto. 12 Superintendencia de Industria y Comercio (2015) “Guía para implementación del Principio de Responsabilidad Demostrada (Accountability)”. Págs 16-18. 13 Ibid. Pág. 16.

III. Incorpore legalidad, privacidad, IV. Informe de manera clara y ética, seguridad y responsabilidad transparente las finalidades demostrada desde el diseño y por específicas del Tratamiento de los defecto. datos.

La privacidad desde el diseño y por defecto (Privacy Ordena la Ley 1581 de 2012 que “el tratamiento by Design and by Default) es considerada una

debe obedecer a una finalidad legítima de acuerdo medida proactiva para cumplir con el Principio de con la Constitución y la ley, la cual debe ser informada Responsabilidad Demostrada (Accountability). Al al titular”15. Tenga presente que sobre esta norma la introducir la privacidad desde el diseño se está Corte Constitucional concluyó y precisó: “los datos buscando garantizar el correcto Tratamiento de personales deben ser procesados con un propósito los datos. La mejor manera de garantizar el debido específico y explícito. En ese sentido, la finalidad no sólo Tratamiento de datos es evitar su vulneración y ello debe ser legítima sino que la referida información se se logra si desde el inicio se involucra en cualquier destinará a realizar los fines exclusivos para los cuales proyecto lo referente a la recolección, circulación y uso fue entregada por el titular. Por ello, se deberá informar de datos. al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada Con lo anterior se busca que garantizar el debido y por tanto, no podrá recopilarse datos sin la clara Tratamiento de datos se convierta “en el modo de especificación acerca de la finalidad de los mismos. operación predeterminado de una organización”14. Por Cualquier utilización diversa, deberá ser autorizada en eso, desde antes de recolectar información y durante forma expresa por el Titular”16. todo el ciclo de vida de la misma, se deberían adoptar medidas preventivas de diversa naturaleza (tecnológica, En suma, no se pueden recolectar Datos organizacional, humana, ética y procedimental, entre Personales para hacer uso indiscriminado de los

9 otras) con el objeto de evitar vulneraciones a los mismos, ni para establecer finalidades ambiguas derechos de las personas así como fallas de seguridad o indeterminadas. Solo se permite tratarlos para o indebidos Tratamientos de Datos Personales. propósitos concretos y específicos dentro del marco de las competencias constitucionales o legales de La ética desde el diseño y por defecto debe irradiar el cada entidad. Las finalidades deben ser informadas al esquema, desarrollo y uso de los datos en los proyectos Titular del dato. que involucren Tratamiento de Datos Personales, siendo parte estructural de cualquier aspecto relacionado con esa actividad. 14 Cfr. Cavoukia, Ann. Privacidad por Diseño: Los 7 principios 15 Cfr. Literal b) del artículo 4 de la Ley 1581 de 2012. fundamentales. Disponible en: http://mediascope.nl/wp-content/ 16 Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral uploads/2015/08/privacidad-por-dise%C3%B1o.pdf https://www. 2.6.5.2.2. mediascope.es/wp-content/uploads/2016/10/privacidad-pordisen%CC%83o-1.pdf . Ana Brian Nougreres también explica este tema en su artículo de 2012 publicado en la Revista Internacional de Protección de Datos Personales (RIPDP) y titulado “La protección inteligente de los datos personales: Privacy by Design (PbD)”. Puede consultar el texto en: https:// habeasdatacolombia.uniandes.edu.co/wp-content/uploads/ok6_-AnaBrian-Nougreres_FINAL.pdf

GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES

EN LAS ENTIDADES ESTATALES

VI. No olvide que la recolección de

V. Trate únicamente los datos Datos Personales sin Autorización estrictamente necesarios. no implica la desprotección del derecho de hábeas data de los Tampoco se puede recolectar ni tratar cualquier Dato Personal, sino solo aquellos que sean imprescindibles titulares. para cumplir la finalidad para la cual son colectados. En Las entidades públicas o administrativas no requieren este sentido, la regulación ordena que “la recolección obtener la Autorización del Titular para tratar20 sus de datos deberá limitarse a aquellos datos personales Datos Personales cuando la información sea requerida que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos”17. De hecho, para el ejercicio de sus funciones21. cualquier entidad debe estar en capacidad de describir No debe perderse de vista que la recolección de datos las finalidades para las cuales la información es sin Autorización no significa que quede sin protección recolectada y de justificar la necesidad de recolectar los datos en cada caso18. esa información ni las personas Titulares de los datos. En efecto, la parte final del artículo 10 de la Ley Estatutaria 1581 de 2012 señala que “quien acceda a Según la Corte Constitucional “los datos personales los datos personales sin que medie autorización previa registrados deben ser los estrictamente necesarios deberá en todo caso cumplir con las disposiciones para el cumplimiento de las finalidades perseguidas contenidas en la presente ley”. con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos Las entidades públicas no están facultadas per se que no guarden estrecha relación con el objetivo de la para recolectar cualquier tipo o cantidad de datos con

base de datos. En consecuencia, debe hacerse todo lo fines indeterminados. No. Las entidades públicas solo razonablemente posible para limitar el procesamiento pueden tratar los datos para los fines señalados en la 10 de datos personales al mínimo necesario. Es decir, ley. De manera que la finalidad debe estar previamente los datos deberán ser: (i) adecuados, (ii) pertinentes y definida para poder recolectar, usar o circular esa (iii) acordes con las finalidades para las cuales fueron información. En virtud de esto, no se trata de finalidades previstos”19. en abstracto, sino de propósitos concretos previamente autorizados por la Constitución Política Nacional y la ley. La Corte Constitucional ha considerado lo siguiente respecto del Principio de Legalidad que deben observar las entidades públicas que tratan Datos Personales: “El principio constitucional de la legalidad tiene una doble condición [sic] de un lado [sic] es el principio rector del ejercicio del poder [sic] y del otro, es el principio rector del derecho sancionador. Como principio rector del ejercicio del poder se entiende que no existe facultad, función o acto que puedan desarrollar los servidores públicos que no esté prescrito, definido o establecido en forma expresa, clara y precisa en la ley. Este principio exige que todos los funcionarios del Estado actúen siempre sujetándose al ordenamiento jurídico que establece la Constitución y lo desarrollan las demás reglas jurídicas”22. 20 El término “Tratamiento” incluye cualquier actividad con Datos 17 Cfr. Artículo 4 del Decreto 1377 de 2013. Personales como, entre otras, la recolección, uso y circulación de los

18 Cfr. Párrafo 2 del artículo 4 del Decreto 1377 de 2013. mismos. 19 Cfr. Corte Constitucional, sentencia C748 de 2011, numeral 21 Cfr. Literal a) del artículo 10 de la Ley Estatutaria 1581 de 2012. 2.6.5.2.2. 22 Corte Constitucional, sentencia C-710 del 2001. M.P. Según el Principio de Legalidad en materia de Mediante el uso de los listados de comprobación Tratamiento de datos, “el Tratamiento a que se refiere podrá conocer el nivel de avance de su organización la presente ley es una actividad reglada que debe en la implementación de la regulación sobre sujetarse a lo establecido en ella y en las demás Datos Personales y el Principio de Responsabilidad disposiciones que la desarrollen”23. Por eso, cualquier Demostrada (Accountability). En ellos se realizan entidad pública que recolecte, use, circule o trate preguntas sobre los siguientes aspectos: Datos Personales debe obrar conforme a los mandatos legales. Por ende, las entidades públicas solo pueden • Principios para el Tratamiento de Datos tratar Datos Personales para los fines legalmente Personales. previstos y deben cumplir, entre otros y en lo pertinente, • Tratamiento de Datos Sensibles y de los deberes del artículo 17 de la Ley Estatutaria 1581 de menores de edad. 2012. • Derecho de los Titulares de los Datos Personales. • Autorización para el Tratamiento de

VII. Efectúe un diagnóstico de Datos Personales. cumplimiento de la Ley • Información mínima a los Titulares. 1581 de 2012. • Suministro de información personal. • Atención de consultas y reclamos de los

Si la entidad estatal ha implementado medidas para Titulares. cumplir con la regulación de Datos Personales (Ley • Política de Tratamiento de Datos 1581 de 2012 y sus decretos reglamentarios), sugerimos Personales. que se realice una evaluación interna de lo hecho para • Aviso de privacidad. establecer si es correcto, suficiente y útil. Para dicho • Reporte de violaciones a los códigos de efecto, sugerimos que se utilice la cartilla “Cuestionario seguridad. de diagnóstico para el cumplimiento de la Ley 1581 • Gestión de Encargados del Tratamiento. 11 de 2012 en las mipymes”24, publicada en diciembre • Transferencia y transmisión internacional de 2018 por la Delegatura para la Protección de Datos de Datos Personales. Personales de la Superintendencia de Industria y • Responsabilidad demostrada

Comercio: (Accountability). • Registro Nacional de Base de Datos. 23 Cfr. Literal a) del artículo 4 de la Ley 1581 de 2012. 24 Puede consultar el texto en: https://www.sic.gov.co/sites/ default/files/files/Nuestra_Entidad/Publicaciones/Cuestionario_de_ diagnostico_para_el_cumplimiento_de_la_Ley_1581_de_2012_en_las_

Mipymes.pdf GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES EN LAS ENTIDADES ESTATALES De igual forma, encontrará un glosario relacionado con

VIII. Use los formatos modelo de la SIC el tema, algunos ejemplos de finalidades para incluir en para el cumplimiento de la Ley 1581 las autorizaciones y los siguientes documentos: de 2012. • Modelo de Autorización para Para implementar la ley es importante utilizar

el Tratamiento de Datos algunos documentos con el fin de dejar evidencia Personales. del cumplimiento de la misma. Como referente, • Modelo de Política de las entidades estatales pueden usar los siguientes Tratamiento de información. modelos publicados en 2017 por esta Entidad, con • Modelo de aviso de miras a que sirvan de referencia y sean ajustados a las privacidad. particularidades de cada entidad: “Cartilla de formatos modelo para el cumplimiento de obligaciones Dado lo anterior, en esta guía no desarrollaremos los establecidas en la Ley 1581 de 2012 y sus decretos temas incluidos en las dos cartillas complementarias al reglamentarios”25. presente texto.

IX. Recolecte datos de forma lícita, utilizando medios que dejen evidencia para demostrar el cumplimiento de la ley.

Está prohibido “utilizar medios engañosos o fraudulentos para recolectar y realizar 12 Tratamiento de datos personales”26. El artículo 9 de la Ley 1581 de 2012 dispone que “sin perjuicio de las excepciones previstas en la ley27, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y, en este mismo sentido, el artículo 17 de En la cartilla se da respuesta a algunas inquietudes dicha norma consagró como deber de los Responsables como: ¿Qué es una Autorización para el Tratamiento del Tratamiento el de “b) solicitar y conservar, en las de Datos Personales? ¿En qué casos no es necesaria condiciones previstas en la presente ley, copia de la Autorización? ¿Cómo obtener la Autorización?

la respectiva autorización otorgada por el Titular”. Adicionalmente, se hace referencia a la Autorización El artículo 4 del Decreto 1377 de 201328 reitera, entre para el Tratamiento de Datos Personales Sensibles, otros, lo siguiente: “Salvo en los casos expresamente la finalidad de la recolección de Datos Personales, el previstos en la ley, no se podrán recolectar datos deber de informar al Titular, los requisitos especiales personales sin autorización del Titular” y el artículo 5 para el Tratamiento de datos de menores de edad, del mismo decreto establece que “El Responsable el manual de políticas y procedimientos internos, la del Tratamiento deberá adoptar procedimientos para Política de Tratamiento de Datos Personales y los solicitar, a más tardar en el momento de la recolección Avisos de Privacidad. de sus datos, la autorización del Titular para el 25 Puede consultar el texto en: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicac