LEY 1581 DE 2012
LEY ESTATUTARIA 1581 DE 2012
LEY ESTATUTARIA 1581 DE 2012
(octubre 17 de 2012)
por la cual se dictan disposiciones generales para la protección de datos personales
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de Octubre de 2011, Magisterio Ponente Dr. Jose Igancio Pretelr Chalijub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de la Ley Etatutaria N° 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE el proyecto de ley, por su aspecto salvo los artículos 29, 30 y 31 <del proyecto de ley> que se declarón INEXEQUIBLES por vicios de procedimiento en su aprobación. |
El Congreso de Colombia
DECRETA:
Título I Objeto, ámbito de aplicación y definiciones
Artículo 1°. Objeto. La presente ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.3 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| '2.3.3.2. En relación con el primer objetivo, la Sala encuentra que es plenamente compatible con el título del proyecto y su contenido, pues se trata del desarrollo del derecho fundamental al habeas data. |
| No obstante, la Sala precisa, como bien lo indica la Defensoría del Pueblo, que las garantías del habeas data enunciadas en este artículo no son las únicas que comprende el derecho. Ciertamente, del derecho al habeas data se desprenden no solamente las facultades de conocer, actualizar y rectificar las actuaciones que se hayan recogido sobre el titular, sino también otras como autorizar el tratamiento, incluir nuevos datos, o excluirlos o suprimirlos de una base de datos o archivo. Por tanto, si bien la disposición se ajusta a la Carta, no debe entenderse como una lista taxativa de las garantías adscritas al derecho. |
| 2.3.3.3. Sobre el segundo y tercer objetivos, la Corte encuentra que son demasiado amplios si se comparan, por una parte, con el título del proyecto y el contenido del articulado y, por otra, con las garantías comprendidas en los artículos 15 y 20 superiores. |
| En efecto, el artículo 15 de la Carta reconoce tres derechos: (i) el derecho a la intimidad, (ii) el derecho al buen nombre y (iii) el derecho al habeas data La Sala observa que si bien el derecho al habeas data está estrechamente ligado con los derechos a la intimidad y al buen nombre, todos los anteriores son derechos con contenidos autónomos y diferentes. En este caso, la Sala encuentra que el proyecto solamente pretende desarrollar el habeas data y no los otros derechos, por lo que si bien la disposición no desconoce la Carta por ser amplia en este respecto, debe entenderse que solamente desarrolla indirectamente los derechos a la intimidad y al buen nombre, es decir, no puede considerarse una regulación comprensiva y sistemática de tales derechos. |
| Lo mismo ocurre con la mención del artículo 20 superior sobre el derecho a la información. Ciertamente, el derecho a la información, tanto en su dimensión activa y pasiva, es decir, el derecho a expresar y difundir información -incluidas las propias opiniones- y el derecho a recibir información veraz e imparcial, converge en algunos aspectos con el derecho al habeas data, en tanto, por ejemplo, (i) el derecho a la información puede recaer sobre datos personales y, (ii) en su faceta activa comprende el derecho a la rectificación que puede versar sobre datos personales. Sin embargo, el derecho a la información comprende todo tipo de datos, no solamente el dato personal, de ahí que deba concluirse que los dos derechos comprenden ámbitos de protección diferentes y que el proyecto de ley sujeto a revisión no desarrolla comprensivamente el derecho a la información. |
| En este punto también debe tenerse en cuenta que si bien el artículo 2 exceptúa de la aplicación de algunas de las disposiciones del proyecto a las bases de datos de contenido periodístico y editorial, como se desarrollará más adelante, tales bases deben sujetarse como mínimo a los principios previstos en el artículo 4, lo que significa que el derecho a la información sí es regulado en algunos aspectos por el proyecto. |
Artículo 2°. Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.
La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.
El régimen de protección de datos personales que se establece en la presente ley no será de aplicación:
a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico.
Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley;
b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo;
c) A las Bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia;
d) A las bases de datos y archivos de información periodística y otros contenidos editoriales;
e) A las bases de datos y archivos regulados por la Ley 1266 de 2008;
f) A las bases de datos y archivos regulados por la Ley 79 de 1993.
Parágrafo. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal.
En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.4 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| En relación con el inciso 1o. |
| '…teniendo en cuenta que el concepto de bases de datos es suficientemente amplio para cobijar los archivos, la Sala concluye que la segunda condición <registrados en una base de datos que los haga susceptibles de tratamiento> es exequible. |
| En relación con la tercera condición del inciso 1o. <por entidades públicas o privadas> '…la Sala concluye que debe entenderse –sin necesidad de condicionar la exequibilidad del precepto- que la interpretación del inciso que se ajusta a la Carta es aquella según el cual el término entidades comprende tanto las personas naturales como jurídicas. De modo que así entendida la condición, la Sala también concluye que es compatible con la Carta, pues cobija las hipótesis necesarias para que el proyecto cumpla su finalidad de brindar protección a los datos personales.' |
| En relación con el inciso 2o. |
| '…Esta disposición debe además leerse en conjunto con los artículos sobre transferencia de datos a terceros países, de los cuales se ocupará la Sala más adelante.' |
| En relación con el inciso 3o. y el parágrafo: |
|
'En consecuencia, una interpretación del inciso tercero del artículo 2 consonante con la Constitución y el contenido y finalidad del proyecto de ley es que aquél no prevé regímenes excluidos de la aplicación de la ley sino exceptuados de algunas de sus disposiciones en virtud de los intereses que se hallan en tensión. Esos casos exceptuados deben ser regulados por leyes estatutarias especiales y complementarias, las cuales deberán sujetarse a las exigencias del principio de proporcionalidad. |
|
En este orden de ideas, las leyes especiales que se ocupen de los ámbitos exceptuados deberán (i) perseguir una finalidad constitucional, (ii) prever medios idóneos para lograr tal objetivo, y (iii) establecer una regulación que en aras de la finalidad perseguida, no sacrifique de manera irrazonable otros derechos constitucionales, particularmente el derecho al habeas data. Además, de conformidad con los principios que se examinarán más adelante, el cumplimiento de las garantías y la limitación del habeas data dentro de los límites de la proporcionalidad debe ser vigilada y controlada por un órgano independiente, bien sea común o sectorial. |
|
Antes de terminar, tal como se hizo en la sentencia C-1011 de 2008, la Sala se permite recordar que aunque en principio es constitucional la consagración de algunas excepciones a la aplicación de algunas disposiciones de la ley, ello no significa que aquellos ámbitos, así como todos los demás en los que se lleva a cabo tratamiento de datos personales, estén excluidos de las garantías básicas del derecho al habeas data, así como de las garantías de otros derechos fundamentales que en cada caso puedan resultar lesionados con el tratamiento de datos personales.' |
| En relación con el inciso 3o. Literal a): |
|
'Ahora bien, no puede entenderse que el primer contenido normativo del literal a) se extienda al tratamiento de cualquier dato cuando circule internamente, como pretende ASOBANCARIA. En primer lugar, si bien es cierto una de las razones por las cuales la excepción del literal a) es razonable es porque los datos “mantenidos en un ámbito exclusivamente personal o doméstico” no están destinados a circular, de ahí no se sigue que todo dato que no circula o circula internamente deba ser exceptuado, pues para que opere la excepción, por voluntad del legislador, se requiere además que los datos sean mantenidos por una persona natural en su esfera íntima. Ciertamente, se trata de dos hipótesis diferentes, razón por la cual, por ejemplo, en el texto de la Ley 1266, si bien fueron tratadas conjuntamente, fueron unidas por la conjunción “y”, lo que significa que son dos ideas distintas |
|
En segundo lugar, no hay razones para concluir que, en el contexto de una regulación general y mínima del habeas data, el tratamiento de datos que circulan internamente merezca las mismas consecuencias jurídicas del tratamiento de datos “mantenidos en un ámbito exclusivamente personal o doméstico”; en otras palabras, no hay argumentos constitucionales que lleven a concluir que las dos hipótesis deben recibir el mismo trato legal. El que los datos no circulen o circulen internamente, no asegura que su tratamiento no pueda tener consecuencias adversas para su titular. Piénsese por ejemplo en las hojas de vida de los empleados de una empresa mantenidas en el ámbito interno; si bien no van a ser divulgadas a terceros, su tratamiento y circulación interna sí puede traer consecuencias negativas para el titular del dato (por ejemplo, en términos sancionatorios o de ascensos), razón por la cual deben estar sujetas a las reglas generales que consagra el proyecto de ley. |
| En este orden de ideas, siempre y cuando se cumplan las condiciones mencionadas previamente y se entienda que, en todo caso, esta hipótesis sí se encuentra sujeta a los principios del artículo 4, para la Sala la excepción prevista en la primera regla del literal a) se ajusta a la Carta.' |
| En relación con el inciso 3o. Literal b): |
|
'… la defensa del orden público y de la integridad de la soberanía no pueden servir de excusa para desconocer las garantías básicas del estado social de derecho e implementar un estado totalitario en el que las personas se conviertan en objetos al servicio del Estado Por ello, toda labor de seguridad y defensa nacional debe ser compatible con la dignidad y los derechos fundamentales de las personas que puedan resultar afectadas. En este orden de ideas, la Sala reitera que el tratamiento de datos personales con estas finalidades debe sujetarse de manera estricta a las exigencias del principio de proporcionalidad…. |
|
En este orden de ideas, dada la entidad de la amenaza que para el orden constitucional representan las conductas delictivas de terrorismo y lavado de activos, la Corte considera razonable que el tratamiento de datos para su prevención, detección, monitoreo y control sea exceptuado de la aplicación del proyecto bajo revisión, salvo en materia de principios' |
| En relación con el inciso 3o. Literal c): |
|
'Por tanto, la inteligencia y la contrainteligencia deben ser vistas como herramientas al servicio del Estado social de derecho y no como fines en sí mismos, lo que explica que deban sujetarse de manera estricta a las exigencias del principio de proporcionalidad. Entendidas de esta manera, excepcionar de la aplicación de las disposiciones del proyecto al tratamiento de datos que tiene lugar con ocasión de actividades de inteligencia y contrainteligencia no resulta inconstitucional, pues se trata de labores importantes para mantener el orden público y la integridad de las fronteras nacionales |
|
Ahora bien, en virtud de la jurisprudencia constitucional y los estándares internacionales de protección de derechos humanos, los cuales además se desprenden de las exigencias del principio de proporcionalidad que debe guiar cualquier limitación de un derecho fundamental, la regulación especial que se introduzca en materia de inteligencia y contrainteligencia deberá ceñirse a las siguientes pautas' |
|
(i) el tratamiento de datos personales para estas labores debe estar justificada en una amenaza seria, real e inminente contra la seguridad nacional y el orden público; (ii) los datos objeto de tratamiento para estos fines no pueden ser revelados sino hasta que se dé inicio al proceso pena y, en todo caso, no pueden tener valor probatorio en su interior. La revelación de esta información sin una debida justificación acarrea responsabilidad penal (iii) No se pueden deducir consecuencias adversas para el titular del dato de los informes de inteligencia y contrainteligencia, por ejemplo en materia de acceso a ciertos cargos públicos, a menos que previamente se informe al titular la información que ha sido recaudadas y se le brinde oportunidad de controvertir las conclusiones de los respetivos informes. |
Artículo 3°. Definiciones. Para los efectos de la presente ley, se entiende por:
a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales;
b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento;
c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables;
d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;
e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;
f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento;
g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.5 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| a) Base de Datos '…el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley' |
| d) y e) Encargado y Responsable del Tratamiento 'En esa línea, lo importante para una verdadera garantía del derecho al habeas data, es que se pueda establecer de manera clara la responsabilidad de cada sujeto o agente en el evento en que el titular del dato decida ejercer sus derechos. Cuando dicha determinación no exista o resulte difícil llegar a ella, las autoridades correspondientes habrán de presumir la responsabilidad solidaria de todos, aspecto éste sobre el que guarda silencio el proyecto de ley y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta. ' |
| f) Titular 'Por tanto, eventualmente, la protección del habeas data se podrá extender a las personas jurídicas cuando se afecten los derechos de las personas naturales que la conforman.' |
Título II Principios rectores
Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:
a) Principio de legalidad en materia de Tratamiento de datos: El Tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen;
b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;
c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;
d) Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error;
e) Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan;
f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;
Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;
g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.6 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| En relación con: |
| Principio de Finalidad '…debe hacerse algunas precisiones. |
| Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. |
| Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. |
| Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. |
| Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas. |
| En razón de lo anterior, el literal b) debe ser entendido en dos aspectos. |
| Primero, bajo el principio de necesidad se entiende que los datos deberán ser conservados en una forma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de los datos personales no debe exceder del necesario para alcanzar la necesidad con que se han registrado. (…) |
| Segundo, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos. En consecuencia, debe hacerse todo lo razonablemente posible para limitar el procesamiento de datos personales al mínimo necesario. Es decir, los datos deberán ser: (i) adecuados, (ii) pertinentes y (iii) acordes con las finalidades para las cuales fueron previstos.' |
| Principio de Libertad: 'De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales. Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez'. |
| Principio de Transparencia: '…debe precisarse que la información que debe ofrecerse al Titular de los datos debe ser cualificada y por tanto cuando procese datos personales, el Responsable o Encargado del Tratamiento de datos debe ofrecer, como mínimo, la siguiente información a la persona afectada: (i) información sobre la identidad del controlador de datos, (ii) el propósito del procesamiento de los datos personales, (iii) a quien se podrán revelar los datos, (iv) cómo la persona afectada puede ejercer cualquier derecho que le otorgue la legislación sobre protección de datos, y (v) toda otra información necesaria para el justo procesamiento de los datos. |
| De otra parte, debe entenderse que no sólo existe un derecho del Titular del dato de acceder a su información, sino que esta garantía implica que cuando de la inclusión de datos personales en determinadas bases, deriven situaciones ventajosas para el titular, la entidad administradora de datos estará en la obligación de incorporarlos, si el titular reúne los requisitos que el orden jurídico exige para tales efectos, de tal forma que queda prohibido negar la incorporación injustificada a la base de datos'. |
| Principio de Acceso y Circulación Restringida: '… el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella. De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. |
| De otra parte, cabe señalar que aún cuando se trate de información pública, su divulgación y circulación está sometida a los límites específicos determinados por el objeto y finalidad de la base de datos'. |
| '2.6.6 Otros principios que se entienden incluidos en el proyecto |
| 2.6.6.1. Principios derivados directamente de la Constitución |
| Además de las obligaciones derivadas de los principios rectores del proceso de administración de bases de datos personales, existen otros que tienen su origen directo en normas constitucionales, específicamente: (i) la prohibición de discriminación por las informaciones recaudadas en las bases de datos, (ii) el principio de interpretación integral de los derechos constitucionales y (ii) la obligación de indemnizar los perjuicios causados por las posibles fallas en el proceso de administración de datos. |
| Así las cosas, en virtud de la aplicación del principio pro homine, propio de la interpretación de las normas de la Carta Política, la administración de datos personales deberán, en todo caso, subordinarse a la eficacia de los derechos fundamentales del individuo. Así mismo, los principios deben entenderse de manera armónica, coordinada y sistemática, respetando en todo caso los contenidos básicos del derecho fundamental al habeas data. |
| 2.6.6.2. Principios derivados del núcleo temático del proyecto de ley estatutaria |
| Por otra parte, advierte la Sala que existen principios que, a pesar de no encontrarse numerados en el artículo 4, se entienden incorporados en razón de una lectura sistemática del Proyecto de Ley Estatutaria: (i) principio de la proporcionalidad del establecimiento de excepciones: La Ley consagra materias exceptuadas, más no excluidas, del régimen general de la administración de datos, tal y como se explicó en el análisis del ámbito de aplicación de la norma. Sin embargo, tal tratamiento especial debe estar justificado en términos de proporcionalidad y responder a los estándares internacionales de protección, (ii) principio de autoridad independiente: la adopción de una normatividad sólo es efectiva si se garantiza que dentro de la estructura del Estado exista un órgano encargado de garantizar el respeto de los principios anteriormente desarrollados. Esta autoridad debe garantizar imparcialidad e independencia y (iii) principio de exigencia de estándares de protección equivalentes para la transferencia internacional de datos: Tal y como se deduce del artículos 26 del Proyecto de Ley Estatutaria, existe una prohibición de transferencia internacional a cualquier tipo de países que no proporcionen niveles adecuados de protección de datos.' |
Título III Categorías especiales de datos
Artículo 5°. Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.7 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| 'Conforme a esta explicación, la definición del artículo 5 es compatible con el texto constitucional, siempre y cuando no se entienda como una lista taxativa, sino meramente enunciativa de datos sensibles, pues los datos que pertenecen a la esfera intima son determinados por los cambios y el desarrollo histórico.' |
Artículo 6°. Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:
a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización;
b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización;
c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular;
d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;
e) El Tratamiento tenga una finalidad histórica, estadística o científica.
En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.
*Nota Jurisprudencial*
|
Corte Constitucional |
| Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, excepto la expresión “el Titular haya hecho manifiestamente públicos o” del literal d) que declaró INEXEQUIBLE. |
| Ver considerandos incluidos bajo el numeral 2.8 |
|
Destaca el editor los siguientes aspectos de la parte motiva: |
| En relación con el literal a) |
| 'En relación con el segundo contenido normativo, este es, la posibilidad de tratar el dato sensible sin autorización explícita del titular cuando “(…) por ley no sea requerido el otorgamiento de dicha autorización”, la Sala considera que es compatible con la Constitución, siempre y cuando se entienda, como se mencionará más adelante, que tal autorización, además de estar contenida en una ley, sea conforme a las garantías que otorga el habeas data, por ejemplo en materia de finalidad, y cumpla las exigencias del principio de proporcionalidad' |
| En relación con el literal b) |
| '…la Sala declarará el literal b) exequible, no sin antes reiterar que las excepciones a las protecciones del habeas data, en este caso a la prohibición de someter a tratamiento los datos sensibles, son de interpretación restrictiva. ' |
| En relación con el literal d), adicional a la declaratoria parcial de inexequibilidad: |
| '… se reitera, en virtud de los principios de libertad, finalidad, legalidad y confidencialidad, (i) el titular debe dar su consentimiento expreso, (ii) se requiere orden judicial –cuando sea del caso, (iii) los datos no podrán ser empleados para propósitos diferentes a los propios del proceso judicial y (iv) las autoridades judiciales y las partes involucradas en el proceso deben garantizar la reserva y confidencialidad de los datos sensibles, entre otros requisitos.' |
Artículo 7°. Derechos de los niños, niñas y adolescentes. En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes.
Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública.
Es tarea del Estado y las entidades educativas de todo tipo proveer información y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños, niñas y adolescentes respecto del Tratamiento indebido de sus datos personales, y proveer de conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su información personal y la de los demás. El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta ley.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.9 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
|
'En definitiva, el inciso segundo del artículo objeto de estudio es exequible, si se interpreta que los datos de los niños, las niñas y adolescentes pueden ser objeto de tratamiento siempre y cuando no se ponga en riesgo la prevalencia de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior, cuya aplicación específica devendrá del análisis de cada caso en particular. |
|
Respecto al contenido del inciso 3 del artículo 7 que establece: “El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta ley”, esta Corporación encuentra que existen dos interpretaciones posibles sobre el alcance de la expresión “materia”. |
|
La primera, es aquella que tiene que ver con la reglamentación de la materia por parte del Gobierno Nacional, en el sentido de que el Gobierno podrá regular lo concerniente al tratamiento de los datos personales de los niños, las niñas y adolescentes. Teniendo en cuenta que esta regulación tiene reserva de ley, tal y como se expone en el estudio del artículo 27 de este proyecto, esta interpretación es contraria a la Constitución. Por tanto, el contenido del inciso 3 al que se hace referencia bajo este entendido sería inexequible. |
| No obstante, en aplicación del principio de conservación del derech, la Corte encuentra que existe una segunda interpretación sobre el alcance de la expresión en cuestión, en el sentido de que la potestad reglamentaria que el legislador le entrega al Gobierno Nacional para que regule la materia, se encuentra relacionada con (i) todas las acciones que debe desplegar para proveer información y formar a los representantes legales y tutores sobre los riesgos que afrontan los niños, niñas y adolescentes al realizar un uso indebido de sus datos personales y (ii) proveer de conocimiento a los niños, las niñas y las adolescentes sobre la importancia de darle un uso responsable al manejo de su información personal, el respeto por su derecho a la privacidad y la protección que deben otorgarle a sus datos personales y los de los demás |
| En este orden de ideas, la constitucionalidad del contenido del inciso 3 del artículo 7, que establece: “El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta ley”, debe ser entendida a que dicha regulación se circunscriba al desarrollo del contenido del inciso 3 del artículo en mención, tal y como quedo arriba expuesto.' |
Título IV Derechos y condiciones de legalidad para el tratamiento de datos
Artículo 8°. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos:
a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado;
b) Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la presente ley;
c) Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales;
d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen;
e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;
f) Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, excepto la expresión “sólo”, del literal e) que declaró INEXEQUIBLE. De la misma manera, el literal e) debe entenderse en el sentido que el Titular también podrá revocar la autorización y solicitar la supresión del dato, cuando no exista un deber legal o contractual que le imponga el deber de permanecer en la referida base de datos. |
| Ver considerandos incluidos bajo el numeral 2.10 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| En relación con el inciso 1o. |
| '… cabe señalar que al igual que los principios, no puede considerarse que esta es una lista taxativa de garantías, sino que se encuentran incluidas todas aquellas prerrogativas que sean consecuencia de la garantía amplia del derecho fundamental al habeas data. De la misma manera, la rapidez del surgimiento de nuevos sistemas de información también hace necesario que los derechos sean integrados a los propios de cada sistema de información' |
| En relación con el literal e, adicional a lo dispuesto en la parte resolutiva |
| En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos.'' |
Artículo 9°. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.11 |
Artículo 10. Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de:
a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;
b) Datos de naturaleza pública;
c) Casos de urgencia médica o sanitaria;
d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;
e) Datos relacionados con el Registro Civil de las Personas.
Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.12 |
|
Destaca el editor los siguientes aspectos de la parte motiva: |
|
'El artículo 10 del Proyecto de Ley bajo estudio señala las situaciones en las que no es necesaria la autorización, las cuales responden a la naturaleza misma del dato y al tipo de funciones que cumplen. Sin embargo, deben hacerse las siguientes precisiones: |
|
En primer término, se señala que se prescindirá de la autorización cuando la información sea “requerida por una autoridad pública o administrativa en ejercicio de sus funciones legales o por orden judicial”. Sin embargo, considera la Sala que deben hacerse las mismas observaciones que las contenidas en la Sentencia C-1011 de 2008, al hacer el estudio del Proyecto de Ley Estatutaria de los datos financieros. |
|
En relación, con las autoridades públicas o administrativas, señaló la Corporación que tal facultad “no puede convertirse en un escenario proclive al abuso del poder informático, esta vez en cabeza de los funcionarios del Estado. Así, el hecho que el legislador estatutario haya determinado que el dato personal puede ser requerido por toda entidad pública, bajo el condicionamiento que la petición se sustente en la conexidad directa con alguna de sus funciones, de acompasarse con la garantía irrestricta del derecho al hábeas data del titular de la información. En efecto, amén de la infinidad de posibilidades en que bajo este expediente puede accederse al dato personal, la aplicación del precepto bajo análisis debe subordinarse a que la entidad administrativa receptora cumpla con las obligaciones de protección y garantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida. |
|
Para la Corte, esto se logra a través de dos condiciones: (i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y (ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información, habida consideración que ese grupo de condiciones permite la protección adecuada del derecho. |
|
En relación con el primero señaló la Corporación que “la modalidad de divulgación del dato personal prevista en el precepto analizado devendrá legítima, cuando la motivación de la solicitud de información esté basada en una clara y específica competencia funcional de la entidad.” Respecto a la segunda condición, la Corte estimó que una vez la entidad administrativa accede al dato personal adopta la posición jurídica de usuario dentro del proceso de administración de datos personales, lo que de forma lógica le impone el deber de garantizar los derechos fundamentales del titular de la información, previstos en la Constitución Política y en consecuencia deberán: “(i) guardar reserva de la información que les sea suministrada por los operadores y utilizarla únicamente para los fines que justificaron la entrega, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud de suministro del dato personal; (ii) informar a los titulares del dato el uso que le esté dando al mismo; (iii) conservar con las debidas seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento; y (iv) cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la legislación estatutaria.” |
| Frente a los casos de urgencia médica y sanitaria, en aras de la efectividad del derecho a la libertad en el manejo de datos, la norma debe entenderse que opera sólo en los casos en que dada la situación concreta de urgencia, no sea posible obtener la autorización del titular o resulte particularmente problemático gestionarla, dadas las circunstancias de apremio, riesgo o peligro para otros derechos fundamentales, ya sea del titular o de terceras personas. |
| En relación con el tratamiento para fines históricos, estadísticos o científicos, la norma no ofrece reparo de constitucionalidad en razón a que delega a la Ley la manera como estos datos deben ser protegidos, además, debe interpretarse en concordancia con el literal e) del artículo 6 que señala que en estos casos “deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares”.' |
Artículo 11. Suministro de la información. La información solicitada podrá ser suministrada por cualquier medio, incluyendo los electrónicos, según lo requiera el Titular. La información deberá ser de fácil lectura, sin barreras técnicas que impidan su acceso y deberá corresponder en un todo a aquella que repose en la base de datos.
El Gobierno Nacional establecerá la forma en la cual los Responsables del Tratamiento y Encargados del Tratamiento deberán suministrar la información del Titular, atendiendo a la naturaleza del dato personal, Esta reglamentación deberá darse a más tardar dentro del año siguiente a la promulgación de la presente ley.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.13 |
Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:
a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;
b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;
c) Los derechos que le asisten como Titular;
d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.14 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
|
'… cuando se trate de una de las situaciones en que excepcionalmente se permite el Tratamiento de un dato sensible o de una niña, niño o adolescente, el Responsable del Tratamiento deberá informar las limitaciones y derechos que le son predicables de este tipo de dato.' |
Artículo 13. Personas a quienes se les puede suministrar la información. La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas:
a) A los Titulares, sus causahabientes o sus representantes legales;
b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial;
c) A los terceros autorizados por el Titular o por la ley.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
|
Ver considerandos incluidos bajo el numeral 2.15 |
|
Destaca el editor los siguientes aspectos de la parte motiva: |
|
En relación con el ordinal b) |
|
'…el ordinal b) debe entenderse que la entidad administrativa receptora cumpla con las obligaciones de protección y garantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida. Por lo tanto, debe encontrarse demostrado (i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y (ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información.' Remite a los considerandos relacionados con el artículo 10. |
| En relación con el ordinal c) |
| '… la Corte también reiterará lo señalado en la Sentencia C-1011 de 2008. Para el Tribunal, esas autorizaciones podrían “prestarse a equívocos, en el entendido que establecería una cláusula genérica, con base en la cual una ley posterior pudiera permitir la divulgación de información personal a otras personas, sin consideración de las garantías propias del derecho fundamental al hábeas data y de la vigencia de los principios de administración de datos personales. Al respecto, la extensión irrestricta de las posibilidades de divulgación de la información contradiría el principio de circulación restringida, comprendido por el legislador estatutario como la imposición de restricciones a la divulgación de datos en razón de su naturaleza, de la finalidad del banco de datos y de la vigencia de los citados principios.” |
| En consecuencia, esa prerrogativa dada al legislador debe entenderse en el entendido que se encuentra supeditada a la vigencia de las prerrogativas que se derivan del derecho al hábeas data y, en especial, a los principios de administración de datos personales. |
Título V Procedimientos
Artículo 14. Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.
La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta.
La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
Parágrafo. Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
|
Ver considerandos incluidos bajo el numeral 2.16 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
|
'En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constituciona ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada. |
| 'Respecto a la posibilidad de que el Gobierno Nacional expida reglamentos según la naturaleza del dato personal y en ellos se reduzcan los términos para responder, es necesario remitirnos al análisis que hará la Sala del artículo 27 del proyecto <declarado inexequible> relacionado con las disposiciones especiales, en el que se concluye que en relación con el tratamiento de datos según su naturaleza o especialidad existe una reserva legal, que impide al Gobierno Nacional hacer reglamentaciones por fuera de su facultad reglamentaria constitucional.' |
Artículo 15. Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas:
1. El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
2. Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.
3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.16 |
Artículo 16. Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.16 |
Título VI Deberes de los responsables del tratamiento y encargados del tratamiento
Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:
a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;
b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;
c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;
d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible;
f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada;
g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento;
h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley;
i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular;
j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;
k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;
l) Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo;
m) Informar a solicitud del Titular sobre el uso dado a sus datos;
n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.17 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| 'En consecuencia, la Sala advierte que si no se puede identificar de forma clara la posición de uno y otro, tendrán que responder de forma solidaria y no podrán excusar sus deberes de actualización, rectificación y exclusión o supresión del dato. |
| 'En ese sentido, se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares. (…) |
| 'En otras palabras, los deberes enunciados en los artículos bajo estudio <Arts. 17 y 18>, respecto del titular del derecho al habeas data, no son taxativos sino enunciativos, lo que significa que responsables y encargados tendrán otros deberes derivados del derecho al habeas data, que corresponderán a las prerrogativas que otorga el derecho, en tanto sujetos pasivos de dicha garantía constitucional. |
| No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, sí operan como una lista taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a las sanciones administrativas previstas por el mismo proyecto de ley.' |
Artículo 18. Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:
a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;
b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la presente ley;
d) Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo;
e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la presente ley;
f) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares;
g) Registrar en la base de datos las leyenda “reclamo en trámite” en la forma en que se regula en la presente ley;
h) Insertar en la base de datos la leyenda “información en discusión judicial” una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal;
i) Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio;
j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella;
k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares;
l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
Parágrafo. En el evento en que concurran las calidades de Responsable del Tratamiento y Encargado del Tratamiento en la misma persona, le será exigible el cumplimiento de los deberes previstos para cada uno.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.17 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| 'En consecuencia, la Sala advierte que si no se puede identificar de forma clara la posición de uno y otro, tendrán que responder de forma solidaria y no podrán excusar sus deberes de actualización, rectificación y exclusión o supresión del dato. |
| 'En ese sentido, se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares. (…) |
| 'En otras palabras, los deberes enunciados en los artículos bajo estudio <Arts. 17 y 18>, respecto del titular del derecho al habeas data, no son taxativos sino enunciativos, lo que significa que responsables y encargados tendrán otros deberes derivados del derecho al habeas data, que corresponderán a las prerrogativas que otorga el derecho, en tanto sujetos pasivos de dicha garantía constitucional. |
| No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, sí operan como una lista taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a las sanciones administrativas previstas por el mismo proyecto de ley.' |
Título VII De los mecanismos de vigilancia y sanción
Capítulo I
De la autoridad de protección de datos
Artículo 19. Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.
Parágrafo 1°. El Gobierno Nacional en el plazo de seis (6) meses contados a partir de la fecha de entrada en vigencia de la presente ley incorporará dentro de la estructura de la Superintendencia de Industria y Comercio un despacho de Superintendente Delegado para ejercer las funciones de Autoridad de Protección de Datos.
Parágrafo 2°. La vigilancia del tratamiento de los datos personales regulados en la Ley 1266 de 2008 se sujetará a lo previsto en dicha norma.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, 'bajo el entendido que la Delegatura de Protección de Datos Personales, en ejercicio de sus funciones deberá actuar de manera autónoma e independiente'. |
| Ver considerandos incluidos bajo el numeral 2.18 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| 'De igual manera, el Gobierno Nacional, al momento de reglamentar esta dependencia, debe asegurarse de que se conforme por personas con un conocimiento técnico y que hagan parte de carrera administrativa de la entidad.' |
Artículo 20. Recursos para el ejercicio de sus funciones.La Superintendencia de Industria y Comercio contará con los siguientes recursos para ejercer las funciones que le son atribuidas por la presente ley:
a) Los recursos que le sean destinados en el Presupuesto General de la Nación.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, salvo el literal a) contenido en el proyecto de ley que declaró INEXEQUIBLE. |
| Ver considerandos incluidos bajo el numeral 2.19 |
Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:
a) Velar por el cumplimiento de la legislación en materia de protección de datos personales;
b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;
c) Disponer el bloqueo temporal de los datos cuando, de la solicitud y de las pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva;
d) Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementará campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;
e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;
f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.
g) Proferir las declaraciones de conformidad sobre las transferencias internacionales de datos;
h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento;
i) Sugerir o recomendar los ajustes, correctivos o adecuaciones a la normatividad que resulten acordes con la evolución tecnológica, informática o comunicacional;
j) Requerir la colaboración de entidades internacionales o extranjeras cuando se afecten los derechos de los Titulares fuera del territorio colombiano con ocasión, entre otras, de la recolección internacional de datos personajes;
k) Las demás que le sean asignadas por ley.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.20 |
Capítulo II
Procedimiento y sanciones
Artículo 22. Trámite. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.
En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.21 |
Artículo 23. Sanciones.La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones:
a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar;
c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio;
d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, salvo la expresión “a favor de la Superintendencia de Industria y Comercio”, del literal a) que declaró INEXEQUIBLE. |
| Ver considerandos incluidos bajo el numeral 2.22 |
Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables:
a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley;
b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción;
c) La reincidencia en la comisión de la infracción;
d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio;
e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio;
f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.23 |
Capítulo III
Del Registro Nacional de Bases de Datos
Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país.
El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.
Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.
Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.3 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| 'En ese sentido, cuando el parágrafo acusado señala que el Gobierno Nacional reglamentará la información mínima que debe contener este registro y los términos y condiciones en que se deben inscribir los responsables del tratamiento, lo debe hacer teniendo en cuenta que éste debe permitir a cualquier persona determinar quién está haciendo tratamiento de sus datos personales para de esa forma garantizar que la persona pueda tener un control efectivo sobre sus datos personales al poder conocer clara y certeramente en qué bases se manejan sus datos personales. Por ende, el Gobierno Nacional tendrá en su labor de reglamentación que acudir a los estándares internacionales y a la experiencia de otros Estados en la materia para lograr que la finalidad antes descrita de este registro se cumpla.' |
Título VIII Transferencia de datos a terceros países
Artículo 26. Prohibición. Se prohíbe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección de datos. Se entiende que un país ofrece un nivel adecuado de protección de datos cuando cumpla con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los que la presente ley exige a sus destinatarios. Esta prohibición no regirá cuando se trate de:
a) Información respecto de la cual el Titular haya otorgado su autorización expresa e inequívoca para la transferencia;
b) Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública;
c) Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable;
d) Transferencias acordadas en el marco de tratados internacionales en los cuales la República de Colombia sea parte, con fundamento en el principio de reciprocidad;
e) Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable del Tratamiento, o para la ejecución de medidas precontractuales siempre y cuando se cuente con la autorización del Titular;
f) Transferencias legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
Parágrafo 1°. En los casos no contemplados como excepción en el presente artículo, corresponderá a la Superintendencia de Industria y Comercio, proferir la declaración de conformidad relativa a la transferencia internacional de datos personales. Para el efecto, el Superintendente queda facultado para requerir información y adelantar las diligencias tendientes a establecer el cumplimiento de los presupuestos que requiere la viabilidad de la operación.
Parágrafo 2°. Las disposiciones contenidas en el presente artículo serán aplicables para todos los datos personales, incluyendo aquellos contemplados en la Ley 1266 de 2008.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, salvo la expresión “necesarias o” contenida en el literal f), que declaró INEXEQUIBLE. |
| Ver considerandos incluidos bajo el numeral 2.3 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| 'El literal b) por su parte, hace referencia al tratamiento de datos de carácter médico, cuando se requiera a favor del titular por razones de salud o higiene pública. Encuentra este Tribunal que la excepción se justifica, puesto que en este caso se trata de preservar y garantizar derechos de rango fundamental. Es pertinente precisar que en esta oportunidad, la facultad de autorizar la transferencia del dato médico recae no sólo en su titular sino también en sus familiares o representante legal, ya que dicho dato puede ser requerido en circunstancias donde su titular no se encuentre en capacidad de otorgar la autorización. |
|
'En relación con las transferencias bancarias o bursátiles previstas en el literal c), las mismas se regirán de conformidad a lo dispuesto por la Ley 1266 de 2008, la cual reglamenta el manejo de la información financiera, crediticia y comercial, pero bajo el entendido que la transferencia se hará contando con la autorización previa y expresa del titular del dato. |
|
'Así, siguiendo la misma línea de la sentencia C-1011 de 2008, se advierte que en las mencionadas excepciones, salvo la consagrada en el literal b), debe existir necesariamente autorización previa y expresa del titular que permita trasmitir sus datos personales, descartando así, cualquier posibilidad de transferencia de datos a un tercer país sin contar con el consentimiento del titular. En este sentido, serán declarados exequibles los literales c), d) y e), en el entendido que sólo procederán cuando medie la autorización previa y expresa del titular de los datos. |
|
'Finalmente, en relación con el literal f) la Corte encuentra que lo allí estipulado maneja términos que pueden ser objeto de imprecisiones y que dada su naturaleza amplia y ambigua generan inconvenientes al momento de su aplicación. |
| 'Coincide la Corte con lo conceptuado por la Defensoría del Pueblo en el sentido de que las expresiones “necesarias” y “o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial”,no ofrecen suficiente claridad sobre su ámbito de aplicación y si, por el contrario, van en contra de los principios de finalidad, autorización y circulación restringida de los datos personales. La anterior consideración, tiene fundamento en las siguientes observaciones: |
| 'Por una parte, la expresión “necesarias” resulta abierta, ambigua y general en el sentido de que no establece respecto de quien se reputa dicha necesidad, ni quien la define, ni cómo se establece. Por otro lado, la expresión “o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial” no especifica si el proceso judicial involucra al titular de los datos directamente como encausado o como testigo; en qué calidad y bajo qué circunstancias se hace imperiosa la transmisión, o si, por otro lado, se refiere a los derechos de un tercero. |
| 'En consecuencia, teniendo en consideración que se trata de la regulación del derecho fundamental al habeas data, debe recordarse que las limitaciones impuestas a su ejercicio a través de la consagración de excepciones, han de ser precisas sin emplear conceptos que por su grado de indeterminación pueden comprometer el ejercicio o el goce de otros derechos constitucionales. |
| 'Se trata de una defensa del principio de legalidad que pretende ofrecer seguridad jurídica a las personas y, en esta medida, conocer con certeza cuándo sería viable la transferencia de datos personales a países que no otorgan garantías de protección adecuados. En concordancia con lo anterior, lo dispuesto por el literal f) presenta un grado de indeterminación que puede afectar la protección de los datos personales, motivo por el cual, se declarará su inexequibilidad.' |
Título IX Otras disposiciones
Artículo 27. Normas Corporativas Vinculantes. El Gobierno Nacional expedirá la reglamentación correspondiente sobre Normas Corporativas Vinculantes para la certificación de buenas prácticas en protección de datos, personales y su transferencia a terceros países.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo, de conformidad con lo expuesto en la parte motiva de esta providencia. |
| Ver considerandos incluidos bajo el numeral 2.27 |
| Destaca el editor los siguientes aspectos de la parte motiva: |
| '…En consecuencia, la Corte considera que para que estas normas cumplan su objetivo, una vez el Gobierno Nacional las reglamente y las organizaciones las implementen, deben ser revisadas por la autoridad de protección, función que no fue enlistada en las funciones que se le van a asignar al mencionado ente. |
| 'En los términos expuestos y bajo la condición que dichas normas las revise la autoridad de protección, el artículo 28 <reglamentación correspondiente sobre normas corporativas vinculantes> será declarado exequible'. |
Artículo 28. Régimen de transición. Las personas que a la fecha de entrada en vigencia de la presente ley ejerzan alguna de las actividades acá reguladas tendrán un plazo de hasta seis (6) meses para adecuarse a las disposiciones contempladas en esta ley.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo. |
Artículo 29. Derogatorias. La presente ley deroga todas las disposiciones que le sean contrarias a excepción de aquellas contempladas en el artículo 2°.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE. |
Artículo 30. Vigencia. La presente ley rige a partir de su promulgación.
*Nota Jurisprudencial*
|
Corte Constitucional |
|
Mediante Sentencia C-748-11 de 6 de octubre de 2011, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub, la Corte Constitucional efectuó la revisión de constitucionalidad del Proyecto de Ley Estatutaria No. 184/10 Senado, 046/10 Cámara y declaró EXEQUIBLE este artículo. |
El Presidente del honorable Senado de la República
Roy Leonardo Barreras Montealegre
El Secretario General del honorable Senado de la República
Gregorio Eljach Pacheco
El Presidente de la honorable Cámara de Representantes
Augusto Posada Sánchez
La Secretaria General (E.) de la honorable Cámara de Representantes
Flor Marina Daza Ramírez
REPÚBLICA DE COLOMBIA – GOBIERNO NACIONAL
Publíquese y cúmplase
En cumplimiento de lo dispuesto en la Sentencia C-748 de 2011 proferida por la Corte Constitucional, se procede a la sanción del proyecto de ley, la cual ordena la remisión del expediente al Congreso de la República, para continuar el trámite de rigor y posterior envío al Presidente de la República.
Dada en Bogotá, D. C., a 17 de octubre de 2012.
JUAN MANUEL SANTOS CALDERÓN
La Ministra de Justicia y del Derecho
Ruth Stella Correa Palacio
El Ministro de Hacienda y Crédito Público
Mauricio Cárdenas Santa María
El Ministro de Comercio, Industria y Turismo
Sergio Diaz-Granados Guida
El Ministro de Tecnologías, de la Información y las Comunicaciones
Diego Molano Vega