CONCEPTO CTO 405020 DE 2023
(septiembre)
<Fuente: Archivo interno entidad emisora>
SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO
Bogotá D.C., septiembre de 2023
| Asunto: | Radicación | 23-405020 |
| Trámite: | 113 | |
| Evento: | 0 | |
| Actuación: | 440 | |
| Folios: | 8 | |
Reciba cordial saludo
De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se funda la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:
1. OBJETO DE LA CONSULTA
Atendiendo su solicitud radicada ante esta Entidad en la cual señala:
“Una empresa privada proveedora de servicios a entidades privadas y públicas le solicita a uno de sus clientes, que es una entidad pública, autorizar la elaboración de un video promocional como un caso exitoso de los productos que comercializa, para lo cual requiere la participación y uso de la imagen de la entidad pública y de funcionarios de la entidad, en el cual se describa el proceso que se realizó. De lo anterior, la empresa manifiesta que el tema de producción, desarrollo y demás trámites que se necesites para realizar el video de manera pecuniaria y de equipos, estaría a cargo de tal empresa, sin que se deba realizar pago alguno por parte de esta Entidad pública, con la condición de que el ésta última le autorice para que dichos contenidos sean usados sin costo alguno, para los fines que consideren apropiados, entre otros para que sean empleados para publicaciones en redes sociales, brochures (sic) o campañas de mercadeo, hacer referencias de casos de éxito, y en general, actividades de posicionamiento de imagen que adelante la compañía. Conforme a lo anterior, aporta un formato de autorización que debe ser diligenciado por parte de esta Entidad pública, en el cual se exprese la autorización para el uso de imagen, la cual abarca la cesión gratuita de los derechos patrimoniales que se generen, renunciando a cualquier reclamación o remuneración económica por concepto de la participación en la obra visual, pudiendo emplear las imágenes de la entidad estatal con el propósito antes
establecido. En razón a lo anterior, se consulta si es viable o no que la entidad pública acepte la propuesta realizada por tal empresa privada. En el caso que sea viable, indicar la normatividad pertinente para proceder; o en el evento en que no se conveniente cuales (sic) serían los motivos legales por el cual no es razonable aceptar tal propuesta. ”
Nos permitimos realizar las siguientes precisiones:
2. CUESTIÓN PREVIA
Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.
Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C-542 de 2005:
“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no.
Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:
3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS
La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:
- Velar por el cumplimiento de la legislación en materia de protección de datos personales;
- Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de estos;
- Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;
- Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;
- Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.
4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA
De acuerdo con lo anterior, la competencia de esta Superintendencia se establece sobre el cumplimiento de la legislación en materia de datos personales, la promoción y divulgación de los derechos de las personas en relación con el tratamiento de datos personas, impartir instrucciones sobre medidas y procedimientos necesarios para la adecuación de las operaciones de responsables y encargados del tratamiento de los datos. Por lo tanto, esta Superintendencia no es competente en materia de los derechos patrimoniales que se deriven del respectivo contrato entre la empresa privada y la entidad pública.
Ahora bien, el fundamento del derecho constitucional de hábeas data, es otorgar el derecho a los titulares de los datos personales, de conocer, actualizar y rectificar sus datos personales frente a los responsables del tratamiento o encargados del tratamiento.
Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
La aplicación de la legislación de Habeas Data al Derecho de Imagen introduce al ordenamiento requisitos, mecanismos y derechos para proteger al titular de la imagen frente al tratamiento que terceros hagan de ésta. Entre los requisitos está la obligatoriedad de la autorización previa para el tratamiento de la imagen, la cual debe evidenciar el uso que se hará de ella y debe servir como prueba del consentimiento. De igual manera, a través de las políticas de tratamiento de datos personales se le confiere al titular un mecanismo para ejercer algún control sobre el uso de sus propios datos.
De acuerdo con lo anterior, y para el caso en particular, la autorización del tratamiento de la imagen no la podrá realizar la Entidad pública, sino el titular del dato, para el presente caso, cada uno de los funcionarios de los que se hará uso de su imagen.
A continuación, procedemos a mencionar las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco del interrogante planteado en su solicitud.
4. DEFINICIÓN Y TRATAMIENTO DE DATOS PERSONALES
Para el tratamiento de datos personales, es necesario tener en cuenta el principio de libertad, definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:
El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: "Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”
De esta manera, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.
Por su parte, el literal g) del artículo 3 define tratamiento en los siguientes términos: "Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión."
Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.
4.2 Autorización del uso de la imagen
A partir de la expedición de la Ley 1581 de 2012, y del Decreto Reglamentario 1377 de 2013 incorporado en el Decreto 1074 de 2015 del sector Comercio, Industria y Turismo, dichas normas crearon derechos y requisitos especiales para el tratamiento de la imagen, entendida como dato personal que deben ser adoptados por las licencias de uso de imagen pues su inobservancia puede generar la orden de eliminación del dato personal por parte de la autoridad competente En relación con este tema, el artículo 8o de la Ley 1581 de 2012 establece derechos a favor de los titulares de datos personales:
“Artículo 8o. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos:
“(...) a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado; “d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen;
(…)
e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;
(…)
Dichos derechos le permiten al titular mantener algún tipo de control sobre sus datos personales incluso después de haber autorizado su uso. Así, el responsable se encuentra obligado a darle herramientas a los titulares de los datos recolectados para que éstos hagan efectivos sus derechos.
Cabe señalar dentro de los derechos señalados, la importancia de la autorización o licencia de uso en caso de la imagen, después de la expedición de la citada ley, actualmente es indispensable para el responsable del tratamiento de datos personales contar con una autorización previa para su recolección y tratamiento. En consecuencia, ya no es posible obtener un consentimiento posterior pues la sola omisión de este requisito puede generar sanciones en su contra por parte de la Superintendencia de Industria y Comercio.
Considerando lo expuesto la persona que se sienta lesionada por el uso de su imagen, puede ejercer el derecho de rectificación y actualización de datos, en otras palabras, es la facultad de toda persona para solicitar que su imagen sea cambiada por otra en la cual se presente su nueva apariencia o se proyecte una idea distinta sobre sí misma. Podría ocurrir entonces que el titular de una imagen pida la modificación de ésta en medio de una campaña publicitaria donde es utilizada, generando costos de producción inesperados. De acuerdo con la normatividad, el titular de la imagen tendría derecho a exigirlo.
4.3. Autorización para el tratamiento de datos personales
En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:
“c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.'
Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente:
'[P]rincipio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales
no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.
El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática".
(...)
En materia de manejo de información personal, el consentimiento exigido es además, calificado, por cuanto debe ser previo, expreso e informado. Sobre el particular, en la Sentencia C-1011 de 2008 se sostuvo que tales características concretan la libertad del individuo frente al poder informático
(…)
En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. (...)
En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. (...)
En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (...)'" (Subrayas fuera de texto original)
Conforme lo anterior, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular, con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.
Ahora bien, es necesario tener en cuenta el literal b) del artículo 4 de la mencionada ley define el principio de finalidad así: "b) Principio de finalidad: el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular". Por lo tanto, la utilización de los datos personales de un titular debe realizarse para los casos autorizados de manera previa y expresa por éste cumpliendo con una finalidad legítima y destinada a realizar los fines exclusivos para los cuales fue entregada por el titular.
Respecto a la autorización el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo siguiente:
"Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento/'
En concordancia con lo anterior, el artículo 2.2.2.25.2.4 del precitado Decreto dispone:
“Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.
Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca/'
Por lo anterior, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de estos, y debe utilizar mecanismos que garanticen su consulta posterior.
Se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) sea oral o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita.
En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.
En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ
Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, los puede consultar en nuestra http://www.sic.gov.co/Doctrina-1
Atentamente,
MARIA ISABEL SALAZAR ROJAS
Jefe Oficina Asesora Jurídica
