RESUMEN: ¿Cómo manejar solicitudes de datos personales en arrendamiento? El oficio aclara que la entrega de datos personales en arrendamiento requiere autorización expresa del titular, a menos que sean de naturaleza pública. Se detallan los principios y condiciones legales para su tratamiento.
Algunas preguntas que ayuda a responder este oficio son:
¿Cuándo es necesario entregar datos personales en arrendamiento?
¿Cuáles son las funciones de la Superintendencia en la protección de datos?
¿Qué implica el principio de finalidad en el tratamiento de datos personales?
La Superintendencia destaca la importancia de respetar los derechos de los titulares y proporciona directrices claras sobre el manejo de datos personales en el ámbito del arrendamiento.
Ver a continuación concepto Superintendencia de Industria y Comercio sobre: ¿Cómo manejar solicitudes de datos personales en arrendamiento?:
SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO
Bogotá D.C., octubre de 2023
Asunto: Radicación: 23-401245
Trámite: 113
Evento: 0
Actuación: 440
Folios: 7
Reciba cordial saludo
De conformidad con lo previsto en el artículo 28 de la Ley 1437 de 2011, sustituido por el artículo 1 de la Ley 1755 de 2015, “por medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, fundamento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a emitir un pronunciamiento, en los términos que a continuación se pasan a exponer:
1. OBJETO DE LA CONSULTA
Atendiendo su solicitud radicada ante esta Entidad en la cual señala:
“En el día a día de nuestra labor de intermediación en arrendamiento, tanto arrendatarios como propietarios, nos solicitan número de documento de identidad y datos de ubicación de los unos y los otros, los cuales, generalmente, no entregamos, por considerar que se trata de información que hace parte de nuestras bases de datos y que salvo, autorización expresa del titular, no podemos entregar a quien lo solicita, sin que esté (sic) se trate de un aliado nuestro. En algunas ocasiones, el solicitando (sic) de la información reitera su solicitud, por considera (sic) que el número de cédula y datos de ubicación de las personas, no son datos de los protegidos por la Ley 1581 y que para ser entregados a terceras personas, no se requiere de autorización expresa, con fundamento en la siguiente definición: «Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no sometidas a reserva.» Agradecemos nos precisen si, a la luz de la norma, es viable entregar esta información a quien la solicite, por poderse considerar un dato público (…)”
Nos permitimos realizar las siguientes precisiones:
2. CUESTIÓN PREVIA
Reviste de gran importancia precisar en primer lugar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional.
Al respecto, la CORTE CONSTITUCIONAL ha establecido en la Sentencia C-542 de 2005:
“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparán a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no.”
Ahora bien, una vez realizadas las anteriores precisiones, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver las inquietudes por usted manifestadas, como sigue:
3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS
La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:
- Velar por el cumplimiento de la legislación en materia de protección de datos personales;
- Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de estos;
- Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos;
- Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;
- Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.
4. CONSIDERACIONES EN TORNO A LA CONSULTA PRESENTADA
El fundamento del derecho constitucional de hábeas data, es otorgar el derecho a los titulares de los datos personales, de conocer, actualizar y rectificar sus datos personales frente a los responsables del tratamiento o encargados del tratamiento. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
El tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, expresa e informada del titular o por mandato legal con el fin de permitirle que se garantice que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.
Los responsables y encargados del tratamiento de datos personales solo pueden suministrarlos a: (i) el titular, sus causahabientes o representante legal, con el fin de garantizar el derecho fundamental de conocer donde se encuentra la información; (ii) a las entidades públicas o administrativas en ejercicio de sus funciones o por orden judicial, y (iii) a un tercero previa autorización del titular o por disposición legal y con los requisitos desarrollados en este concepto.
Ahora bien, no mediará la autorización del titular cuando se pretenda el acceso de datos personales de naturaleza pública; sin embargo, a pesar de no ser necesaria la autorización del titular para su uso por parte del responsable y/o encargado, deberán en todo caso cumplir con las disposiciones de la Ley 1581 de 2012 y sus decretos reglamentarios, en especial la aplicación de los principios rectores, entre otros, el de finalidad
A continuación, procedemos a mencionar las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco del interrogante planteado en su solicitud.
5. SUMINISTRO DE DATOS PERSONALES
El artículo 11 de la Ley 1581 de 2012 dispone lo siguiente, respecto al suministro de información por parte de los responsables y encargados del tratamiento:
“Suministro de la información. La información solicitada podrá ser suministrada por cualquier medio, incluyendo los electrónicos, según lo requiera el Titular. La información deberá ser de fácil lectura, sin barreras técnicas que impidan su acceso y deberá corresponder en un todo a aquella que repose en la base de datos”.
Por su parte, el artículo 13 de la Ley 1581 de 2012 dispone lo siguiente:
“Personas a quienes se les puede suministrar la información. La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas:
- A los Titulares, sus causahabientes o sus representantes legales.
- A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial.
- A los terceros autorizados por el Titular o por la ley.”
Al respecto, la Corte Constitucional mediante Sentencia C-748 de 2011 señaló lo siguiente:
“La norma establece que la información podrá suministrarse a las siguientes personas: (i) a los Titulares, sus causahabientes o sus representantes legales,
(ii) a las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial y (iii) a los terceros autorizados por el Titular o por la Ley.
En cuanto al primero de los casos, esta posibilidad, en criterio de la Corte, es constitucional, en tanto el artículo 15 C.P. confiere a los sujetos concernidos la facultad de conocer la información que sobre ellos se haya incorporado en un sistema automatizado de información, y dentro de los mismos se encuentran sus representantes y aquellos que los suceden en razón de causa de muerte. Frente al segundo escenario permitido por el legislador, esto es la entrega de información a las entidades públicas y en virtud de una orden judicial, se harán las mismas observaciones que al estudiar el artículo 10, sobre los casos exceptuados de autorización. Por lo tanto, el ordinal b) debe entenderse que la entidad administrativa receptora cumpla con las obligaciones de protección y garantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida. Por lo tanto, debe encontrarse demostrado (i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y
(ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información.
Finalmente, en cuanto al ordinal c) que establece la posibilidad de la entrega de la información a “los terceros autorizados por el Titular o por la ley”, la Corte también reiterará lo señalado en la Sentencia C-1011 de 2008. Para el Tribunal, esas autorizaciones podrían “prestarse a equívocos, en el entendido que establecería una cláusula genérica, con base en la cual una ley posterior pudiera permitir la divulgación de información personal a otras personas, sin consideración de las garantías propias del derecho fundamental al hábeas data y de la vigencia de los principios de administración de datos personales. Al respecto, la extensión irrestricta de las posibilidades de divulgación de la información contradiría el principio de circulación restringida, comprendido por el legislador estatutario como la imposición de restricciones a la divulgación de datos en razón de su naturaleza, de la finalidad del banco de datos y de la vigencia de los citados principios.”
En consecuencia, esa prerrogativa dada al legislador debe entenderse en el entendido que se encuentra supeditada a la vigencia de las prerrogativas que se derivan del derecho al hábeas data y, en especial, a los principios de administración de datos personales.”
En consecuencia, los datos personales solo pueden suministrarse a: (i) el titular, sus causahabientes o representante legal, con el fin de garantizar el derecho fundamental de conocer donde se encuentra la información; (ii) a las entidades públicas o administrativas en ejercicio de sus funciones o por orden judicial, y (iii) a un tercero previa autorización del titular o por la ley.
5.1. Definición y tratamiento de Datos Personales
Para el tratamiento de datos personales, es necesario tener en cuenta el principio de libertad, definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:
El literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”
De esta manera, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables que cumplen con las siguientes características: (i) están referidos a aspectos exclusivos y propios de una persona natural, ii) permiten identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.
Por su parte, el literal g) del artículo 3 define tratamiento en los siguientes términos: «Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.»
Por lo anterior, el tratamiento se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.
6. DATO PERSONAL DE NATURALEZA PÚBLICA
El artículo 10 de la Ley 1581 de 2012 señala lo siguiente, respecto a la no autorización del titular del dato:
“Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de:
(…)
b) Datos de naturaleza pública. (…)
Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”.
En consecuencia, no será necesaria la autorización del titular cuando se pretenda el acceso de datos personales de naturaleza pública; sin embargo, a pesar de no ser necesaria la autorización del titular para su uso por parte del responsable y/o encargado deberán en todo caso cumplir con las disposiciones de la Ley 1581 de 2012 y sus decretos reglamentarios, en especial la aplicación de los principios rectores, entre otros, el principio de finalidad para el tratamiento de los datos personales, de conformidad con el artículo 4 de la Ley 1581 de 2012.
Por lo anterior, el tratamiento de los datos personales de un titular solo puede hacerse cumpliendo con una finalidad legítima y destinada a realizar los fines exclusivos para los cuales fue entregada por el titular a cada uno de los responsables del tratamiento. Así mismo, debe tenerse en cuenta que el tratamiento de los datos personales debe ser necesario y pertinente.
En ese orden de ideas, esperamos haber atendido satisfactoriamente su consulta, reiterándole que la misma se expone bajo los parámetros del artículo 28 de la Ley 1437 de 2011, esto es, bajo el entendido que la misma no compromete la responsabilidad de esta Superintendencia ni resulta de obligatorio cumplimiento ni ejecución.
En la Oficina Asesora Jurídica de la Superintendencia de Industria y Comercio estamos comprometidos con nuestros usuarios para hacer de la atención una experiencia de calidad. Por tal razón le invitamos a evaluar nuestra gestión a través del siguiente link http://www.encuestar.com.co/index.php/2100?lang=esQ
Finalmente le informamos que algunos conceptos de interés general emitidos por la Oficina Jurídica, los puede consultar en nuestra http://www.sic.gov.co/Doctrina-1
Atentamente,
MARIA ISABEL SALAZAR ROJAS
JEFE OFICINA ASESORA JURÍDICA
Elaboró: Jhon Canizalez
Revisó: Carolina García / Ximena Pantoja Aprobó: María Isabel Salazar Rojas
Puedes encontrar más información sobre: ¿Cómo manejar solicitudes de datos personales en arrendamiento?, en https://www.sic.gov.co/
Además del tema relacionado con: ¿Cómo manejar solicitudes de datos personales en arrendamiento?, quizás te interese leer: Protección de Datos Personales: Obligaciones del Tercero Subcontratado – Concepto SIC N° 22-401941