CONCEPTO 98130 DE 2024
(abril)
<Fuente: Archivo interno entidad emisora>
SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO
Bogotá D.C., abril de 2024
| Asunto | Radicación: | 24-98130 |
| Trámite: | 113 | |
| Evento: | 0 | |
| Actuación: | 440 | |
| Folios: | 9 | |
Reciba cordial saludo
De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:
1. OBJETO DE LA CONSULTA
Atendiendo su solicitud radicada ante esta Entidad en la cual señala:
“Buen día quisiera saber como (sic) es el procedimiento y quienes están obligados a tener el RNBD, ya que actualmente tengo conocimiento de una empresa que maneja clientes y queremos saber como (sic) es este proceso para realizarlo de ser necesario”
Nos permitimos realizar las siguientes precisiones:
2. CUESTIÓN PREVIA
Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.
Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C-542 de 2005:
“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no".
Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:
3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS
La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:
- Velar por el cumplimiento de la legislación en materia de protección de datos personales;
- Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;
- Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;
- Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;
- Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.
4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA
La Ley 1581 de 2012 se aplica a los datos personales que se encuentren en bases de datos o archivos de entidades públicas o privadas, entendidos estos, como el conjunto organizado o depósitos ordenados de datos personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos.
Las bases que sean reguladas por la Ley 1581 de 2012, es decir, las que contengan datos personales cuyo tratamiento sea realizado por personas naturales o jurídicas, de naturaleza pública o privada de manera automatizada o manual, deben ser inscritas en el Registro Nacional de Bases de Datos.
La cantidad de titulares de la base de datos, corresponde a la cantidad de titulares o personas naturales cuyos datos personales almacene en la base de datos que está inscribiendo. No se trata de la cantidad de registros que se tengan de esos titulares o personas naturales. En consecuencia, si la base de datos tiene más de un registro relacionado con un mismo titular o persona natural, para efectos de este campo, ese titular o persona natural se contará una sola vez.
A continuación, procedemos a mencionar las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco del interrogante planteado en su solicitud.
5. DEFINICIÓN DE DATO PERSONAL Y BASE DE DATOS PERSONALES
El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: "Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”
Al respecto, la CORTE CONSTITUCIONAL mediante sentencia C-748 de 2011 señaló lo siguiente:
"[E]n efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales- son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”
(...)
Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos dependiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles".
Por lo anterior, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.
Respecto al concepto de bases de datos o archivos la CORTE CONSTITUCIONAL mediante Sentencia C-748 de 2011 señaló lo siguiente:
“El literal b) define las bases de datos como un “(...) conjunto organizado de datos personales que sea objeto de tratamiento”. Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación.
Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley”.
Las bases de datos o archivos de entidades públicas o privadas, son entendidos, como el conjunto organizados o depósitos ordenados de datos personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos y cuyo procesamiento sea utilizando medios tecnológicos o manuales. Si las bases mencionadas en su consulta son archivos que contienen datos personales de personas naturales deberán considerarse como bases de datos.
5.1. REGISTRO NACIONAL DE BASES DE DATOS - RNBD -
El artículo 25 de la Ley 1581 de 2012 señala lo siguiente:
“Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país.
El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.
Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.
Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente Ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en éste los Responsables del Tratamiento. ”
Por su parte, el artículo 2.2.2.26.1.3 del Decreto 1074 de 2015 señala lo siguiente:
“Artículo 2.2.2.26.1.3. Deber de inscribir las bases de datos. El Responsable del Tratamiento debe inscribir en el Registro Nacional de Bases de Datos, de manera independiente, cada una de las bases de datos que contengan datos personales sujetos a Tratamiento”.
En consecuencia, la obligación de realizar el registro de cada base de datos de manera independiente, corresponde al responsable del tratamiento, es decir, a la persona natural o jurídica pública o privada que decide sobre las finalidades del tratamiento (la recolección, el almacenamiento, el uso, la circulación o la supresión de los datos personales) y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación, usarlo de alguna manera o permitir su acceso.
Ahora bien, respecto de la información mínima que debe contener el Registro Nacional de Bases de Datos el artículo 2.2.2.26.2.1., del Decreto 1074 de 2015 establece:
“Información mínima del Registro Nacional de Bases de Datos. La información mínima que debe contener el Registro Nacional de Bases de Datos es la siguiente:
1. Datos de identificación, ubicación y contacto del Responsable del Tratamiento de la base de datos;
2. Datos de identificación, ubicación y contacto del o de los Encargados del Tratamiento de la base de datos;
3. Canales para que los titulares ejerzan sus derechos;
4. Nombre y finalidad de la base de datos;
5. Forma de Tratamiento de la base de datos (manual y/o automatizada), y 6. Política de Tratamiento de la información.
La Superintendencia de Industria y Comercio, como autoridad de protección de datos personales, podrá establecer dentro del Registro Nacional de Bases de Datos información adicional a la mínima prevista en este artículo, acorde con las facultades que le atribuyó la Ley 1581 de 2012 en el literal h) del artículo 21.”
Es oportuno aclarar que los Responsables del Tratamiento no cargan sus bases de datos con información personal del titular en el Registro Nacional de Bases de Datos -RNBD- solamente inscriben la información establecida en el Capítulo 26 del Decreto Único 1074 de 2015 y en la Circular Única de la Superintendencia de Industria y Comercio.
En concordancia con lo anterior, en el numeral 2.1, del Capítulo Segundo del Título V de la Circular Única de esta Superintendencia, se imparten instrucciones sobre el Registro Nacional de Bases de Datos, entre ellas, la información adicional a la señalada en el artículo 2.2.2.26.2.1. del Decreto 1074 de 2015, que debe inscribirse en los siguientes términos:
“Los Responsables del tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT) y personas jurídicas de naturaleza pública deben inscribir en el Registro Nacional de Bases de Datos -RNBD- la siguiente información, además de la establecida mediante el Capítulo 26 del Decreto Único 1074 de 2015:
a) Información almacenada en la base de datos. Es la clasificación de los datos personales almacenados en cada base de datos, agrupados por categorías y subcategorías, de acuerdo con la naturaleza de los mismos.
b) Medidas de seguridad de la información. Corresponde a los controles implementados por el Responsable del Tratamiento para garantizar la seguridad de las bases de datos que está registrando, teniendo en cuenta las preguntas dispuestas para el efecto en el RNBD. Tales preguntas no constituyen de ninguna manera instrucciones acerca de las medidas de seguridad que deben implementar los Responsables del Tratamiento de datos personales.
c) Procedencia de los datos personales. La procedencia de los datos se refiere a si estos son recolectados del Titular de la información o suministrados por terceros y si se cuenta con la autorización para el tratamiento o existe una causal de exoneración, de acuerdo con lo establecido en el artículo 10 de la Ley 1581 de 2012.
d) Transferencia internacional de datos personales. La información relacionada con la Transferencia internacional de datos personales comprende la identificación del destinatario como Responsable del Tratamiento, el país en el que este se encuentra ubicado y si la operación está cobijada por una declaración de conformidad emitida por la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio o por una causal de excepción en los términos señalados en el artículo 26 de la Ley 1581 de 2012.
e) Transmisión internacional de datos personales. La información relacionada con la Transmisión internacional de datos comprende la identificación del destinatario como Encargado del Tratamiento, el país en el que este se encuentra ubicado, si se tiene un contrato de transmisión de datos en los términos señalados en el artículo 2.2.2.25.5.2 de la Sección 5 del Capítulo 25 del Decreto Único 1074 de 2015 o si la operación está cobijada por una declaración de conformidad emitida por
La Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio.
f) Reporte de novedades. Se reportarán como novedades los reclamos presentados por los Titulares ante los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD y/o sus Encargados y los incidentes de seguridad que afecten las bases de datos administradas por cualquier Responsable del Tratamiento, así:
1. (i) Reclamos presentados por los Titulares. Corresponde a la información de los reclamos presentados por los Titulares ante el Responsable y/o el Encargado del tratamiento, según sea el caso, dentro de un semestre calendario (enero - junio y julio - diciembre). Esta información se reportará teniendo en cuenta lo manifestado por los Titulares y los tipos de reclamos prestablecidos en el RNBD. El reporte deberá ser el resultado de consolidar los reclamos presentados por los Titulares ante los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD y sus respectivos Encargados del Tratamiento.
2. (ii) Incidentes de seguridad. Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD por parte de los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos. Los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD y los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el micrositio de la Delegatura para la Protección de Datos Personales o mediante cualquiera de los canales habilitados por la entidad para recibir comunicaciones dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.
La información relacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes de seguridad reportados en el RNBD no estará disponible para consulta pública".
Es oportuno aclarar que los Responsables del Tratamiento no cargan sus bases de datos con información personal del titular en el Registro Nacional de Bases de Datos -RNBD- solamente inscriben la información establecida en el Capítulo 26 del Decreto Único 1074 de 2015 y en la Circular Única de la Superintendencia de Industria y Comercio.
El procedimiento para realizar el Registro Nacional de Bases de Datos, el cual deberá hacerse de acuerdo a las instrucciones contenidas en el “Manual del Usuario del Registro Nacional de Bases de Datos - RNBD” publicado en el sitio Web de la Superintendencia de Industria y Comercio, www.sic.gov.co.
La inscripción se realizará en línea en el portal Web de esta entidad www.sic.gov.co ingresa por el micrositio de “Protección de datos personales” ubicado en la barra horizontal superior, luego “Registro Bases de Datos”, allí encontrará la inscripción, consulta de RNBD, un video tutorial, el Manual de Ayuda y Preguntas frecuentes RNBD.
Ahora bien, el artículo 2.2.2.26.1.2., del Decreto 1074 de 2015, que incorpora el Decreto 90 de 2018 determina quienes son los obligados para inscribir sus bases de datos en el Registro Nacional de Bases de datos así:
“Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características:
a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT).
b) Personas jurídicas de naturaleza pública”.
Los responsables obligados a registrar las bases de datos personales son:
(i) Todo tipo de sociedades (Limitada, anónimas, en comandita, comandita simple, por acciones simplificadas, colectiva, unipersonales, etc) que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT), la medición de los activos totales será el que registren a 31 de diciembre del año inmediatamente anterior.
(ii) Las entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT), la medición de los activos totales será el que registren a 31 de diciembre del año inmediatamente anterior.
(iii) Las personas jurídicas de naturaleza pública.
El valor de Unidad Tributaria es la medida de valor que permite ajustar los valores contenidos en las disposiciones relativas a los impuestos y obligaciones administrados por la Dirección de Impuestos y Aduanas Nacionales, el reajuste del valor se efectuará anualmente en la variación del índice de precios al consumidor para ingresos medios en el periodo comprendido entre el 1o de octubre del año anterior al gravable y la misma fecha del año inmediatamente anterior a este, certificado por el Departamento Administrativo Nacional de Estadística -DANE-.
En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.
En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad.
Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ%
Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, los puede consultar en nuestra página web https://buscadorconceptos.sic.gov.co/#/search
Cordialmente,
GABRIEL TURBAY VELANDIA
Jefe Oficina Asesora Jurídica
