por la cual se dictan disposiciones generales para la protección de datos personales

1.4.2.1. Considera que la decisión de limitar el recaudo y tratamiento de datos personales, así como el uso y el acceso a las bases de datos que contienen esa información, es razonable, pues su finalidad es preservar del conocimiento público los datos que pertenecen la intimidad de su titular.

1.4.2.2. Sostiene que el literal c) del artículo 5 es exequible, bajo el entendido que siempre debe mediar autorización por parte del titular.

1.4.2.3. Por otra parte, indica que las excepciones a la prohibición de circulación de datos sensibles, previstas en el artículo 6, por fundarse en el consentimiento del titular o en finalidades importantes, son razonables. Sin embargo, refiere que en el caso del ejercicio de actividades legítimas de un grupo de personas, organizado sin ánimo de lucro, como es el caso de las fundaciones, las ONG, las asociaciones, los sindicatos o cualquier otra; el hecho de pertenecer a dicho grupo no es razón para obviar la necesidad de obtener la autorización previa del titular de los datos.

1.4.2.4. Sostiene que la especial protección que se da a los datos personales de niños, niñas y adolescentes en el artículo 7 es razonable, ya que se desprende de su condición de sujetos de especial protección constitucional. No obstante, indica que la excepción prevista en este precepto respecto de los datos que son de "naturaleza pública", puede generar dos situaciones conflictivas: en primer lugar, parte de que los niños, niñas y adolescentes no tienen capacidad plena para otorgar su consentimiento, lo que se pretende superar con la exigencia de autorización de sus padres o tutores; y en segundo lugar, no tiene en cuenta que esta población, al tener acceso sin restricciones a Internet, en especial a las redes sociales, puede publicar de manera irreflexiva sus datos personales y su intimidad. Por lo anterior, el Ministerio Público considera que la expresión "naturaleza pública", en tanto excepción a la prohibición de tratamiento de datos sensibles de los niños, niñas y adolescentes, debe declararse inexequible.

1.4.2.5. Sobre el artículo 10 del proyecto, en el cual se encuentran establecidos los sucesos en los cuales no es necesaria la autorización del titular, específicamente en relación con el tercer evento referido a "que se trate de un caso de urgencia médica o sanitaria", estima que es una excepción razonable, pues busca salvaguardar la vida e integridad física del titular del dato. No obstante, aclara que esta excepción sólo puede cobijar al personal médico o científico que atiende la urgencia.

1.4.2.6. Con respecto al inciso del artículo 10 que establece que "(…) quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley (…)", el Procurador considera que deja abierta la puerta a graves transgresiones, en tanto invalida la prohibición de tratar los datos personales sin consentimiento del titular, lo cual es irrazonable e inaceptable en términos constitucionales. Agrega que si un dato se obtiene sin el consentimiento previo de su titular, salvo las excepciones previstas en la ley, se está vulnerando el artículo 15 de la Constitución. La misma consecuencia puede aplicarse cuando dicho dato se hace circular. Por estas razones solicita que el precepto sea declarado inexequible.

1.4.2.7. Manifiesta que el parágrafo del artículo 14, específicamente en lo referente a que "(…) el Gobierno Nacional podrá establecer términos inferiores a los señalados en los procedimientos contemplados en la ley", aunque en principio podría concluirse que es una medida favorable para los intereses de los titulares de los datos y, por tanto, no existiría una restricción a sus derechos, es una medida inconstitucional. Aduce que no puede pasarse por alto que la competencia para regular los mecanismos de protección de los derechos fundamentales que tienen que ver con el núcleo esencial de los mismos, corresponde exclusivamente al legislador estatutario. Por lo anterior, cualquier modificación de los mecanismos de protección, así beneficie al titular del derecho, le corresponde realizarlo al Congreso a través de una ley estatutaria.

1.4.2.8. En relación con el artículo 27, teniendo en cuenta las razones expuestas precedentemente, recuerda que la competencia para regular los mecanismos de protección de los derechos fundamentales, en la medida en que afecten el núcleo esencial de los mismos, goza de reserva de ley estatutaria. Por tanto, concluye que este precepto es inexequible.

1.4.2.9. También pone de presente que la expresión "podrá constituir criterio orientador para el desarrollo de los actos urgentes que desarrolla la policía judicial en materia penal", contenida en el artículo 31, es exequible bajo el entendido que para llevar a cabo esas actividades se requiere orden judicial. En su criterio, si no se trata de prevenir un grave riesgo inminente, sino de investigar delitos, esto es, el desarrollo de la tarea propia de policía judicial en materia penal, siempre debe existirse una orden judicial previa.

1.4.2.10. Por último, alega que la expresión "o los reglamentos expedidos por el Gobierno Nacional" contenida en el parágrafo del artículo 14, es inexequible.

1.5 METODOLOGÍA La revisión integral del proyecto de ley estatutaria se desarrollará de la siguiente manera. En primer lugar, y de manera previa al estudio de constitucionalidad, la Sala hará una referencia al origen histórico y el alcance del derecho fundamental al habeas data. En segundo lugar, determinará cuál fue el modelo de regulación adoptada por el legislador estatutario y sus implicaciones en el análisis de constitucionalidad de las disposiciones del Proyecto. Establecido el marco general de protección de datos en Colombia, la Corporación realizará el análisis tanto formal como material del articulado del proyecto.

2 CONSIDERACIONES

2.1 CONSIDERACIONES PRELIMINARES

2.1.1 La materia del proyecto de ley estatutaria: regulación de algunos contenidos mínimos del derecho fundamental al habeas data

El título del proyecto de ley -"Por el cual se dictan disposiciones generales para la protección de datos personales"- indica que su objetivo principal es regular de manera general las garantías del derecho fundamental a la protección de los datos personales, derecho que en la jurisprudencia constitucional ha sido con frecuencia denominado derecho al habeas data y en algunas oportunidades derecho a la autodeterminación informática o informativa[1]. Para determinar si, en efecto, el proyecto regula al menos algunos de los contenidos mínimos de este derecho, a continuación la Sala examinará su origen y alcance:

2.1.1.1 Origen del derecho al habeas data

2.1.1.1.1 La protección de los datos personales surgió ligada al derecho a la intimidad, reconocido en varios instrumentos del derecho internacional de los derechos humanos.

En el plano internacional, el derecho a la intimidad fue reconocido por primera vez en 1948, en la Declaración Universal de los Derechos Humanos, cuyo artículo 12 dispone que toda persona debe ser protegida contra injerencias arbitrarias en su vida privada, familia, domicilio o correspondencia, así como de ataques contra su honra y reputación.[2] Posteriormente, en 1966, este precepto fue reproducido por el artículo 17 del Pacto Internacional de Derechos Civiles y Políticos (PIDCP), con lo cual se le dio naturaleza vinculante entre los estados partes.

En el ámbito regional, también en 1948, se reconoció el derecho a la intimidad con el artículo V de la Declaración Americana de Derechos y Deberes del Hombre. El derecho fue nuevamente introducido en el artículo 11 de la Convención Americana de Derechos Humanos de 1969, el cual en términos generales reproduce el artículo 12 de la Declaración Universal de los Derechos Humanos.

En el sistema europeo de protección, el derecho a la intimidad fue reconocido por primera vez en el artículo 8 del Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales, en 1950. Este artículo, además de proteger la vida privada y familiar, y el domicilio y la correspondencia, proscribe toda injerencia de las autoridades públicas en el ejercicio de este derecho, salvo "(…) cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás."[3]

2.1.1.1.2 Fue en Europa precisamente donde, con fundamento en esta última disposición y en vista de los riesgos a los que se enfrenta la intimidad en la sociedad de la información, comenzó a labrarse el camino para el reconocimiento del habeas data como un derecho fundamental autónomo. Así, en 1967, el Consejo de Europa convocó una comisión consultiva para estudiar los riesgos que las tecnologías de la información generan sobre los derechos de las personas. Como consecuencia de esta comisión, se expidió en 1968, la Resolución 509 sobre los derechos humanos y los nuevos logros científicos y técnicos, en la que se hizo un llamado a la protección de la privacidad frente a las nuevas tecnologías.

En la década de los 70, la Comisión de Ministros del Consejo de Europa adoptó la resolución relativa a "la protección de la vida privada de las personas físicas frente a los bancos de datos electrónicos en el sector privado", y la resolución sobre "la protección de la vida privada de las personas físicas frente a los bancos de datos electrónicos en el sector público", en las que recomienda a los países miembros implementar una serie de principios de protección. Posteriormente, varios países introdujeron legislaciones destinadas establecer garantías para los datos personales; varias de estas legislaciones crearon reglas específicas con miras a proteger no solamente la intimidad, sino también otros valores como la integridad, la autonomía y la dignidad de las personas.[4]

En 1981, el Convenio 108 del Consejo de Europa sobre la protección de las personas en lo relativo al tratamiento automatizado de datos de carácter personal, brindó protección explícita a este tipo de información y fijó las pautas del modelo común de protección. El Convenio amplió el catálogo de garantías con la introducción de los principios de lealtad, exactitud, finalidad, pertinencia, utilización no abusiva, olvido, publicidad, acceso individual y seguridad, y con la prohibición de tratamiento automático de datos que revelen el origen racial de las personas, sus opiniones políticas, convicciones religiosas o de otro tipo, así como datos sobre su salud o vida sexual[5]. Además, introdujo definiciones sobre datos personales, ficheros automatizados, tratamientos automatizados y autoridades que manejan la información. [6] El Convenio 108 dio paso a una segunda generación de leyes nacionales de protección de datos que incorporaron varios de los principios reconocidos en él.[7]

En 1983, una sentencia del Tribunal Constitucional alemán denominó por primera vez el derecho a la protección de los datos personales como derecho a la autodeterminación informativa, con fundamento en el derecho al libre desarrollo de la personalidad.[8] Para este tribunal, tal derecho comprende la facultad de decidir por sí mismo cuando y dentro de qué límites procede revelar situaciones referentes a la propia vida. Además, el tribunal señaló que la garantía del derecho requiere especiales medidas de protección, teniendo en cuenta que la interconexión de varias bases de datos puede dar lugar a la elaboración de un perfil de la personalidad que limite la libertad de decisión. Este ejemplo fue seguido por el Tribunal Constitucional español, el cual, en 1993, precisó que el artículo 18.4 de la constitución española consagra un derecho fundamental autónomo al disponer que la ley debe limitar el uso de la informática para garantizar la intimidad, el honor y el pleno ejercicio de los derechos de los ciudadanos.[9]

Años más tarde, en el plano comunitario, mediante la Directiva 95/46/CE de 1995 sobre la protección de personas físicas respecto al tratamiento y circulación de datos personales, el Parlamento Europeo y el Consejo de Europa, si bien ligan la protección de los datos personales al derecho a la intimidad, precisan varias definiciones e introducen directrices sobre las garantías específicas que rigen la circulación de este tipo de datos, por ejemplo, en materia de principios de tratamiento y requisitos procedimentales.[10]

La configuración de la autodeterminación informativa como derecho autónomo culmina con la Carta de los Derechos Fundamentales de la Unión Europea de 1999, cuyo artículo 8 reconoce explícitamente el derecho de toda persona a "la protección de los datos de carácter personal que la conciernan" y dispone que "[e]stos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley." Además, indica que "[t]oda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación", y señala que la verificación del cumplimiento de estas garantías debe encargarse en cada estado a un órgano independiente.

2.1.1.1.3 En el seno de las Naciones Unidas también se han presentado iniciativas importantes dirigidas a reforzar la protección de los datos personales y a dotar de contenido autónomo al derecho al habeas data. Por ejemplo, mediante la Resolución 45/95 de 14 de diciembre de 1990, "Principios rectores aplicables a los ficheros computarizados de datos personales", se reconocieron varias garantías mínimas que deben prever las legislaciones nacionales para el tratamiento de este tipo de información.

Por otra parte, el Comité de Derechos Humanos, en su Observación General 16 sobre el artículo 17 del PIDCP, si bien es cierto conecta la protección de los datos personales con el derecho a la intimidad, por vía interpretativa fija una serie de pautas importantes que deben guiar la protección de tales datos, como que "[l]a recopilación y el registro de información personal en computadoras, bancos de datos y otros dispositivos, tanto por las autoridades públicas como por lasparticulares o entidades privadas, deben estar reglamentados por la ley",o que todas las personas tienen derecho a verificar "(…) si hay datos personales suyos almacenados en archivos automáticos de datos y, en caso afirmativo, de obtener información inteligible sobre cuáles son esos datos y con qué fin se han almacenado", garantías que hacen parte de los contenidos del habeas data.[11]

2.1.1.1.4 A nivel del sistema regional de protección, el derecho al habeas data o a la autodeterminación informativa sigue siendo interpretado a partir del artículo 11 de la Convención Americana de Derechos Humanos sobre el derecho a la intimidad. Sin embargo, mediante la Resolución AG/RES.1395 (XXVI-O/96), la Asamblea General de la OEA solicitó al Comité Jurídico Interamericano que iniciara un estudio de los contextos jurídicos de los estados miembros en relación con dos temas: acceso a la información y a la protección de los datos personales. Este estudio condujo a que el 13 de junio de 2011, la Asamblea General aprobara una resolución sobre el acceso a información pública y la protección de datos personales. En este documento, encomendó al Comité Jurídico Interamericano que, antes del cuadragésimo segundo período ordinario de sesiones de la Asamblea General, presente un documento de principios de privacidad y protección de datos personales en la región. Además, desde hace varios años existe un anteproyecto de convención americana sobre autodeterminación informativa, que reconoce expresamente el derecho al habeas data.

2.1.1.1.5 En el caso colombiano, si bien el artículo 15 de la Constitución de 1991 reconoció por primera vez y explícitamente el derecho al habeas data, desde años atrás ya existía una preocupación en el Congreso y el Ejecutivo por proteger los datos personales. Entre las iniciativas en la materia, vale la pena destacar la Ley 23 de 1981 "Por la cual se dictan normas en materia de ética médica", cuyo artículo 34 dispone que la historia clínica "[e]s un documento privado sometido a reserva que únicamente puede ser conocido por terceros previa autorización del paciente o en los casos previstos por la Ley", y la Ley 96 de 1985, cuyo artículo 51 reconoce la naturaleza pública de los datos sobre número de identificación personal y lugar y fecha de expedición, pero otorga carácter reservado a los archivos que reposan en la Registraduría ligados a la identificación, como datos biográficos, filiación y fórmula dactiloscópica.

2.1.1.1.6 Finalmente, como ya se mencionó, el artículo 15 de la Constitución de 1991 reconoció explícitamente el "(…) derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas" y además dispuso que "[e]n la recolección, tratamiento y circulación de datos se respetará la libertad y demás garantías consagradas en la Constitución". Estos preceptos leídos en conjunto con la primera parte del mismo artículo 15 -sobre el derecho a la intimidad, el artículo 16 -que reconoce el derecho al libre desarrollo de la personalidad- y el artículo 20 -sobre el derecho a la información activo y pasivo y el derecho a la rectificación- de la Carta, han dado lugar al reconocimiento de un derecho fundamental autónomo catalogado como derecho al habeas data, y en algunas oportunidades, como derecho a la autodeterminación informativa o informática.

2.1.1.1.7 En la jurisprudencia constitucional, el derecho al habeas data fue primero interpretado como una garantía del derecho a la intimidad, de allí que se hablara de la protección de los datos que pertenecen a la vida privada y familiar, entendida como la esfera individual impenetrable en la que cada cual puede realizar su proyecto de vida y en la que ni el Estado ni otros particulares pueden interferir.[12]

Desde los primeros años de la nueva Carta, también surgió al interior de la Corte una segunda línea interpretativa que consideraba el habeas data una manifestación del libre desarrollo de la personalidad. Según esta línea, el habeas data tiene su fundamento último "(…) en el ámbito de autodeterminación y libertad que el ordenamiento jurídico reconoce al sujeto como condición indispensable para el libre desarrollo de la personalidad y en homenaje justiciero a su dignidad"[13].

A partir de 1995, surge una tercera línea interpretativa que apunta al habeas data como un derecho autónomo y que es la que ha prevalecido desde entonces.[14] Así, según la sentencia SU-082 de 1995[15], el núcleo del derecho al habeas data está compuesto por la autodeterminación informática y la libertad -incluida la libertad económica. Además, este derecho comprende al menos las siguientes prerrogativas: "a) El derecho a conocer las informaciones que a ella se refieren; || b) El derecho a actualizar tales informaciones, es decir, a ponerlas al día, agregándoles los hechos nuevos; || c) El derecho a rectificar las informaciones que no correspondan a la verdad.", e incluye el derecho a la caducidad del dato negativo.

En esta misma dirección, en la sentencia T-176 de 1995[16], la Corte indicó que el derecho al habeas data es violado cuando se desconoce alguna de las prerrogativas enunciadas en la sentencia SU-082 de 1995, es decir, cuando la información contenida en el archivo o base de datos es "(…) recogida de manera ilegal, sin el consentimiento del titular del dato",es errónea o recae "(…) sobre aspectos íntimos de la vida de su titular no susceptibles de ser conocidos públicamente".

Posteriormente, en la sentencia T-729 de 2002[17], la Corte explicó que es importante diferenciar y delimitar el habeas data respecto de otros derechos como el buen nombre y la intimidad, por lo menos por tres razones: "(…) (i) por la posibilidad de obtener su protección judicial por vía de tutela de manera independiente; (ii) por la delimitación de los contextos materiales que comprenden sus ámbitos jurídicos de protección; y (iii) por las particularidades del régimen jurídico aplicable y las diferentes reglas para resolver la eventual colisión con el derecho a la información".[18] A continuación, la Corte definió el derecho de la siguiente forma:

"El derecho fundamental al habeas data, es aquel que otorga la facultad[19] al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en la posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios[20] que informan el proceso de administración de bases de datos personales".

Más recientemente, en la sentencia C-1011 de 2008[21], la Corte nuevamente reconoció la autonomía del derecho al habeas data y lo conceptualizó así:

"El hábeas data confiere, (…), un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información. En ese sentido, este derecho fundamental está dirigido a preservar los intereses del titular de la información ante el potencial abuso del poder informático".

2.1.1.1.8 En resumen, como lo muestra el anterior recuento, el reconocimiento del derecho al habeas data -identificado como un derecho fundamental autónomo tanto en el plano nacional como internacional- persigue la protección de los datos personales en un mundo globalizado en el que el poder informático es creciente. Esta protección responde a la importancia que tales datos revisten para la garantía de otros derechos como la intimidad, el buen nombre y el libre desarrollo de la personalidad. Sin embargo, el que exista una estrecha relación con tales derechos, no significa que no sea un derecho diferente, en tanto comprende una serie de garantías diferenciables y cuya protección es directamente reclamable por medio de la acción de tutela, sin prejuicio del principio de subsidiariedad que rige la procedencia de la acción.

2.1.1.2 El contenido del derecho al habeas data

De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas -contenidos mínimos- que se desprenden de este de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer -acceso- la información que sobre ellas está recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información; (ii) el derecho a un incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad; (v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titular -salvo las excepciones previstas en la normativa.

2.1.1.3 La ley desarrolla algunos contenidos del derecho al habeas data y por ello debía tramitarse por ley estatutaria

2.1.1.3.1 El artículo 152 de la Constitución prevé una modalidad especial de leyes con un trámite más riguroso -especialmente en términos de mayorías-[22] debido al tipo de materias destinadas a regular, estas son: (i) los derechos y deberes fundamentales, y los procedimientos y recursos para su protección; (ii) la administración de justicia; (iii) la organización y régimen de los partidos y movimientos políticos, el estatuto de la oposición y las funciones electorales; (iv) las instituciones y mecanismos de participación ciudadana; (v) los estados de excepción; y (vi) la igualdad electoral entre candidatos a la Presidencia de la República.

Esta corporación ha defendido la tesis de que la reserva de ley estatutaria no debe interpretarse de manera restrictiva, en el sentido de que cualquier regulación que se ocupe de las materias contempladas por el artículo 152 constitucional requiere ser expedida por medio de dicho tipo de ley.[23]

Además, la Corte ha sostenido que el tipo de desarrollo y el grado de detalle de la regulación que la Constitución exige al legislador estatutario depende de la clase de materia. Así, para el caso de las funciones electorales, la Corte han defendido un especie de reserva reforzada, según la cual corresponde al legislador estatutario no solamente establecer los lineamientos básicos de tales funciones, sino desarrollarlas con un mayor detalle con una pretensión de exhaustividad y sistematización. Al respecto, esta Corporación expresó lo siguiente en la sentencia C-226 de 1994[24]:

"Por consiguiente, conforme a los anteriores argumentos, concluye la Corte Constitucional que a diferencia de lo que ocurre con los derechos fundamentales, en el caso de las funciones electorales, la ley estatutaria debe regular no sólo los elementos esenciales de las mismas sino todos aquellos aspectos permanentes para el ejercicio adecuado de tales funciones por los ciudadanos, lo cual incluye asuntos que podrían en apariencia ser considerados potestades menores o aspectos puramente técnicos, pero que tienen efectos determinantes en la dinámica electoral, como la fijación de las fechas de elecciones, el establecimiento de los términos de cierre de las inscripciones de candidatos o registro de votantes, la organización de las tarjetas electorales o de los sistemas de escrutinio, etc. Por su propia naturaleza, la ley estatutaria de funciones electorales es entonces de contenido detallado. Esto no impide que de manera excepcional ciertas materias electorales puedan ser reguladas mediante leyes ordinarias. Así, hay disposiciones que corresponden a aspectos puramente operativos para facilitar la realización de una elección concreta y guardan conexidad con el tema electoral sin ser en sí mismas funciones electorales, como la autorización de una apropiación presupuestal para financiar unas elecciones determinadas. Tales materias pueden ser reguladas mediante estatutaria." (negrilla fuera del texto)

Para la hipótesis de la administración de justicia, la Corte ha señalado que son materia de las leyes estatutarias "los elementos estructurales esenciales de la función pública de justicia"[25],los cuales han sido identificados como "los principios que informan la administración de justicia, así como los órganos encargados de ejercerla y sus competencias generales"[26].

En relación con los mecanismos de participación ciudadana, la Corte ha señalado que aquellas disposiciones que comprometen el núcleo esencial del derecho de participación deben ser tramitadas como estatutarias. Por consiguiente, "aquel reducto esencial que es absolutamente necesario para que tal derecho pueda ser ejercido y sea efectivamente tutelado, debe ser regulado mediante este trámite especial. En este sentido, las disposiciones que tengan el significado de introducir límites, restricciones, excepciones, prohibiciones o condicionamientos al ejercicio del derecho"[27], están sometidas a los procedimientos especiales.

Respecto de los derechos fundamentales, en concordancia con el primer criterio explicado, la Corte ha indicado que la reserva de ley estatuaria no se predica de la regulación de "todo evento ligado a los derechos fundamentales"[28] sino "solamente los elementos estructurales esenciales de los derechos fundamentales"[29],de modo que las leyes estatutarias no deben regular en detalle cada variante o cada manifestación de dichos derechos o todos aquellos aspectos que tengan que ver con su ejercicio. En este sentido, la Corte afirmó lo siguiente en la sentencia C-145 de 1994:

"(…) la competencia legislativa ordinaria está directamente habilitada por la Carta para regular derechos fundamentales y si no se presentara tal evento, la mencionada competencia ordinaria se transformaría en exceptiva, ya que directa o indirectamente gran parte de las leyes tocan algún o algunos derechos fundamentales. En materia de derechos fundamentales debe efectuarse 'una interpretación restrictiva de la reserva de ley estatutaria porque una interpretación extensiva convertiría la excepción -las leyes estatutarias basadas en mayorías cualificadas y procedimientos más rígidos- en regla, en detrimento del principio de mayoría simple que es el consagrado por la Constitución'. Esto significa que las leyes estatutarias están encargadas de regular únicamente los elementos estructurales esenciales de los derechos fundamentales y de los mecanismos para su protección, pero no tienen como objeto regular en detalle cada variante de manifestación de los mencionados derechos o todos aquellos aspectos que tengan que ver con su ejercicio, porque ello conduciría a una petrificación del ordenamiento jurídico".(negrilla fuera del texto)

Para definir los elementos estructurales esenciales, la jurisprudencia constitucional se ha valido de la teoría del núcleo esencial. Según esta teoría, los derechos fundamentales tienen (i) un núcleo o contenido básico que no puede ser limitado por las mayorías políticas ni desconocido en ningún caso, ni siquiera cuando un derecho fundamental colisiona con otro de la misma naturaleza o con otro principio constitucional, y (ii) un contenido adyacente objeto de regulación. Las preguntas que genera esta teoría son: si el núcleo es una garantía contramayoritaria, ¿a quién compete su delimitación y ¿cuál es el reparto de competencias entre la ley estatutaria, la ley ordinaria y el reglamento respecto del contenido adyacente

Una respuesta que se dio en los primeros años de la Corte es que el núcleo esencial es definido por la Constitución y corresponde a la ley estatutaria desarrollar el contenido adyacente más cercano al núcleo[30]; sin embargo, en esta línea jurisprudencial no se define cuál es el contenido adyacente más cercano al núcleo.[31] Además, como ha reconocido la propia Corte, las cláusulas constitucionales sobre derechos fundamentales tienden a ser abstractas y generales, lo que hace difícil extraer de ellas un contenido mínimo de los derechos.

Una segunda respuesta que se ha expuesto en la jurisprudencia constitucional es que es competencia del legislador estatutario desarrollar aspectos importantes del núcleo esencial, con lo que parece sugerirse que tal núcleo es delineado tanto por el constituyente como por el legislador estatutario.[32] Algunos de los asuntos importantes del núcleo esencial que son propios de las leyes estatutarias y que han sido señalados por la Corte son: (i) la consagración de límites, restricciones, excepciones y prohibiciones de alcance general[33], y (ii) los principios básicos que guían su ejercicio[34]. Otro elemento que puede deducirse a partir de un examen de la estructura de los derechos fundamentales es la definición de las prerrogativas básicas que se desprenden del derecho para los titulares y que se convierten en obligaciones para los sujetos pasivos.

La segunda respuesta parece ser la más coherente con los recientes desarrollos de la jurisprudencia constitucional, en los que se evidencia la adopción de un criterio histórico de construcción de los derechos fundamentales. Según este criterio, los derechos fundamentales se amplían con el paso del tiempo y dependen de lo que en una sociedad considera fundamental en un momento histórico y a partir del concepto de dignidad humana.[35] Por tanto, el contenido de los derechos cambia y se expande, para lo cual es importante la labor de actualización del legislador estatutario y del juez constitucional.[36]

Ahora bien, la tesis que se defiende no desvirtúa la función contramayoritaria del núcleo esencial, pues, de un lado, la labor del legislador estatutario es definir su contenido en lo no dispuesto expresamente por el constituyente, lo que significa que no puede desconocer lo establecido en el texto superior, y de otro, en tanto las leyes estatutarias tienen control previo de la Corte Constitucional, el juez constitucional cumple la función contramayoritaria de examinar que el legislador no haya excedido sus competencias en la materia.

Por otra parte, la Sala observa que en varios pronunciamientos la Corte ha sostenido que las leyes estatutarias, cuando se ocupan de los derechos fundamentales, deben pretender regularlos de manera integral, estructural y completa.[37] Para la Sala, esta afirmación debe ser interpretada en conjunto con la doctrina antes analizada sobre contenido material de la ley estatutaria, es decir, con la tesis según la cuál el legislador estatutario, junto con el constituyente, delimitan los elementos esenciales de los derechos. Por tanto, la pretensión de integralidad y exhaustividad debe limitarse a los elementos estructurales del derecho, es decir, en concordancia con lo expresado previamente, (i) a las prerrogativas básicas que se derivan del derecho y que se convierten en obligaciones para los sujetos pasivos, (ii) a los principios que guían su ejercicio -cuando haya lugar, y (iii) a las excepciones a su régimen de protección y otras limitaciones de orden general[38].

Por último, respecto de los procedimientos y recursos para la protección de los derechos fundamentales, es necesario hacer las siguientes precisiones:

En primer término, tales procedimientos y recursos, si bien son mencionados en el literal a) del artículo 152 superior junto a los derechos y deberes fundamentales, constituyen una materia separada, pues no son elementos de la estructura de los derechos sino una herramienta para hacerlos efectivos[39]; por tanto, pueden o no ser desarrollados en una misma ley estatutaria.

En segundo término, la jurisprudencia constitucional ha indicado que es objeto de las leyes estatutarias solamente la regulación de forma directa del ejercicio de los derechos.[40] Por tanto, es competencia del legislador estatutario únicamente el desarrollo de los procedimientos y recursos para la protección directa de los derechos.

Ahora bien, tales herramientas pueden ser tanto de naturaleza judicial como administrativa, es decir, el literal a) hace referencia (i) tanto a acciones o recursos que permiten reclamar la satisfacción de un derecho ante un juez y que implican la existencia de un proceso, (ii) como a mecanismos administrativos tales como órganos de vigilancia y control y procesos administrativos dirigidos a resolver controversias relacionadas con la realización de los derechos fundamentales.

En relación con los recursos judiciales, es necesario traer a colación la clasificación empleada en la sentencia C-372 de 2011[41], según la cual un derecho fundamental debe gozar de mecanismos de justiciabilidad ordinarios y otros reforzados dirigidos a la protección directa e inmediata de los derechos; de estos últimos debe ocuparse la ley estatutaria.

2.1.1.3.2 Conforme a estas consideraciones, la Sala observa que efectivamente, como el título y el artículo 1º lo indican, el proyecto desarrolla los contenidos mínimos o el núcleo esencial del derecho al habeas data y, en consecuencia, su aprobación debía seguir el trámite de las leyes estatutarias.

El artículo segundo define las excepciones generales a la aplicación de las disposiciones del proyecto, salvo los principios -como se desarrollará más adelante.

El título segundo consagra los principios rectores, los cuales establecen las pautas mínimas que deben seguir tanto las autoridades públicas como los particulares que se relacionan con el tratamiento de datos personales. Estos principios limitan el alcance del tratamiento y definen las pautas para que procedan las reclamaciones de acceso, inclusión, actualización, corrección y exclusión.

El título tercero establece como regla general la prohibición de tratamiento de datos sensibles, como modalidad de dato personal merecedor de especial protección, prevé excepciones puntuales a tal prohibición, y hace énfasis en la protección de los datos personales - especialmente los sensibles- de los niños, niñas y adolescentes.

El título cuarto desarrolla las facultades básicas que otorga el habeas data a los titulares de los datos personales, así como las condiciones de legalidad para el tratamiento de datos como la autorización del titular, el suministro de la información solicitada y sus implicaciones, es decir, dota de un contenido mayor las prerrogativas mínimas derivadas del derecho al habeas data.

El título quinto hace referencia a los procedimientos a seguir para las consultas y reclamos, y define el competente para resolver tales solicitudes. Este título es complementado por el título séptimo que regula, mediante tres capítulos, los mecanismos de vigilancia, control y sanción, la autoridad administrativa responsable de la protección de datos y el registro nacional de bases de datos.

El título sexto, que contiene los deberes de los responsables y encargados del tratamiento, es la contra cara de las facultades reconocidas para el titular del dato en el título cuarto; en otras palabras, este título reúne -sin ser taxativo- los deberes que el derecho impone a algunos de los sujetos pasivos. Estos deberes, además, son indispensables para la imposición de las sanciones administrativas a las que hace referencia el título séptimo, sanciones que a su vez constituyen un mecanismo adicional de protección del habeas data.

El título octavo regula la transferencia de datos a terceros países y establece algunos requisitos mínimos que deben satisfacerse con el fin de extender la protección a los datos incluso fuera de las fronteras nacionales.

Finalmente, el título noveno comprende varias materias, entre ellas, (i) la facultad del gobierno para regular lo concerniente al tratamiento de datos que requieran de disposiciones especiales; (ii) la expedición de normas corporativas vinculantes a cargo del gobierno; (iii) la certificación de antecedentes judiciales; (iv) lineamientos de las bases de datos de inteligencia y contrainteligencia; y (v) el valor probatorio y la reserva de los informes de inteligencia y contrainteligencia, todos asuntos relacionados con modalidades especiales de datos personales.

En vista de que el proyecto regula algunos de los contenidos mínimos del derecho, era necesario -como en efecto lo hizo el Congreso- tramitar la iniciativa a través del procedimiento de ley estatutaria.

2.1.2 El modelo de regulación que introduce el proyecto de ley: modelo de protección híbrido

2.1.2.1 En el derecho comparado existen dos modelos de protección de datos ampliamente reconocidos: un modelo centralizado y un modelo sectorial.

El primer modelo, implementado en los países europeos y, con algunas modificaciones, en la propia Unión Europea, parte de una categoría general de datos personales y de la idea de que cualquier tratamiento de ellos es considerado per se potencialmente problemático, razón por la cual debe sujetarse a unos principios y garantías mínimas comunes, susceptibles de ser complementadas con regulaciones especiales -según el tipo de dato y los intereses involucrados, pero que de ninguna manera suponen una derogación de los estándares de protección generales.[42] Además, estos estándares generales, así como los especiales, son aplicables tanto al sector público como al privado.

Así, nivel de la Unión, (i) se prevén una serie de principios generales de obligatorio cumplimiento en todos los estados y aplicables a todo dato personal -salvo las excepciones señaladas expresamente, (ii) así como garantías para los interesados, como la notificación previa frente a la recolección y tratamiento de datos personales y el derecho a acceder y a oponerse al recaudo y circulación. Tales reglas garantizan niveles adecuados de protección, lo que a su vez facilita el flujo transfronterizo de datos.

También es propio de este modelo la existencia de una entidad central, autónoma e independiente, que supervisa la instrumentación, cumplimiento normativo y ejecución de los estándares de protección generales, y que está facultada para autorizar o prohibir las transferencias de datos internacionales atendiendo a la equivalencia de la protección que ofrece el país de destino[43]. Esta entidad se especializa en la protección de datos personales, lo que le permite generar memoria y producir conocimiento que son reempleados en el diseño de políticas públicas en la materia.[44] Esto no impide la existencia de entes especializados para ámbitos que requieren una regulación complementaria.

En contraste, el modelo sectorial no parte de una categoría común de datos personales y por ello no se considera que todos estos datos deban estar sometidos a la misma regulación mínima.[45] Es por ello que bajo este modelo se adoptan regulaciones especiales y diferentes para cada tipo de dato personal, dependiendo de su relación con la intimidad -o privacidad como se denomina en el sistema anglosajón- y con la protección de intereses superiores -como la seguridad y la defensa nacional, es decir, la regulación sectorial se basa en una especie de ponderación de intereses que da lugar a reglas diferenciadas según el tipo de dato y que otorga más o menos poderes de intervención a las autoridades. La verificación del cumplimiento de las reglas también es asignada a autoridades sectoriales, las cuales son dotadas de distintos poderes de vigilancia y control, según el nivel de intervención previsto por el legislador.

Este modelo también se inspira en la idea de la autorregulación[46] de los mercados, razón por la cual el Estado solamente participa en la protección de ciertos datos en ámbitos en los que se presenta un alto riesgo de lesión de la intimidad, como la esfera financiera, la salud y los derechos de los niños.

Así, en Estados Unidos, aunque existe una ley federal de protección general de datos personales -Privacy Act de 1974[47], la regulación de los datos personales es regida principalmente por leyes sectoriales como la Electronic Communications Privacy Act(1986), que se relaciona con la protección de datos personales en comunicaciones electrónicas; la Cable Communications Policy Act(1994), que regula la protección de datos personales en archivos de televisión por cable; la Fair Credit Reporting Act-modificada de manera reiterada entre 1996 y 2001, que se refiere a los informes crediticios; la Bank Secrecy Act(1994), relativa a los registros bancarios; la Telephone Consumer Privacy Act(1994), sobre registros telefónicos; la Drivers Privacy Protection Act(1994), relacionada con la protección de los archivos de los permisos para conducir; la Health Insurance Portability and Accountability Act(1996), que regula la transferencia de seguros médicos; y la Children's Online Privacy Protection Act(1998), sobre el control parental de los niños en sus actividades en Internet.[48]

2.1.2.2 En el caso colombiano, el proyecto de ley que dio lugar a la Ley 1266 de 2008 buscaba convertirse en una ley de principios generales aplicable a todas las categorías de datos personales. Sin embargo, como observó esta Corporación en la sentencia C-1011 de 2008[49], pese a su pretensión de generalidad, el proyecto de ley en realidad solamente establecía estándares básicos de protección para el dato financiero y comercial destinado a calcular el nivel de riesgo crediticio de las personas. Por ello en la referida sentencia, la Corte dejó claro que la materia de lo que luego se convertiría en la Ley 1266 es solamente el dato financiero y comercial.[50] Por tanto, la Ley 1266 solamente puede ser considerada una regulación sectorial del habeas data.

Este nuevo proyecto de ley busca llenar el vacío de estándares mínimos de protección de todos los datos personales -anunciado por la Corte Constitucional en la sentencia C-1011 de 2008[51], de ahí que su título sea precisamente "Por el cual se dictan disposiciones generales para la protección de datos personales". Esa intención también fue anunciada por el gobierno en la exposición de motivos, en la que afirmó: "(…) es necesario que el país cuente con una legislación integral y transversal que garantice la protección efectiva de los datos personales en todo el proceso de tratamiento". Como se verá más adelante, pese a varias deficiencias que presenta el proyecto, puede concluirse que efectivamente introduce principios y reglas generales destinadas a garantizar algunos contenidos mínimos del derecho al habeas data, entendido de la forma como se expuso previamente.

En consecuencia, con la introducción de esta reglamentación general y mínima aplicable en mayor o menor medida a todos los datos personales, el legislador ha dado paso a un sistema híbrido de protección en el que confluye una ley de principios generales con otras regulaciones sectoriales, que deben leerse en concordancia con la ley general, pero que introduce reglas específicas que atienden a la complejidad del tratamiento de cada tipo de dato.

En este contexto es que debe entenderse, por ejemplo, el artículo 2, el cual establece una serie de ámbitos exceptuados de la aplicación de las disposiciones del proyecto, salvo en materia de principios. Tales ámbitos deben ser regulados de manera específica por el legislador a través de una ley sectorial en la que se introduzcan principios complementarios, así como otras reglas particulares dependiendo del tipo de dato, como ya ocurrió con los datos financieros y comerciales destinados a calcular el riesgo crediticio. Esta es la razón por la cual en el parágrafo del artículo 2 se indica expresamente "[e]n el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley."

Entendido el modelo de protección al que da lugar este nuevo proyecto de ley, leído en conjunto con la Ley 1266, pasa la Sala a estudiar la constitucionalidad del articulado.

2.2 EXÁMEN DEL PROCEDIMIENTO LEGISLATIVO

2.2.1 Intervenciones ciudadanas y concepto del Ministerio Público

2.2.1.1 La Secretaría Jurídica de la Presidencia manifiesta que en cumplimiento de lo dispuesto en el artículo 153 de la Constitución Política, el proyecto de ley Estatutaria objeto de revisión se aprobó dentro de una sola legislatura y por la mayoría absoluta de los miembros de una y otra cámara. Así mismo, se cumplieron los requisitos generales enunciados en el artículo 157 de la Constitución para que un proyecto pueda convertirse en Ley de la Republica.

Afirma que el Proyecto de Ley fue presentado el 3 de agosto de 2010 por los señores Ministros de Interior y de Justicia, Dr. Fabio Valencia Cossio; de Comercio, Industria y Turismo, Dr. Luis Guillermo Plata Páez y de Tecnologías de la Información y las Comunicaciones, Dr. Daniel Enrique Medina Velandia, ante la Secretaria General de la Cámara de Representantes y le correspondió en ese momento el No. 046 de 2010 de Cámara.

Este proyecto de Ley Estatutaria, con la correspondiente exposición de motivos, fue publicado el 4 de agosto en la gaceta del Congreso No. 488 de 2010, dando cumplimiento al requisito constitucional consistente en la publicación oficial del proyecto por el Congreso antes de darle curso en la Comisión respectiva (CP Art.157-1).

De conformidad con lo establecido en el numeral 2° del artículo 157 de la Constitución Política, este proyecto fue aprobado en primer debate en la correspondiente Comisión Permanente de cada cámara, inicialmente por la Comisión Primera de la Cámara el 14 de Septiembre de 2010, según consta en Acta No. 12 de la misma fecha, publicada en la Gaceta 958 de 2010. En esta oportunidad, tanto el informe de ponencia como el articulado fueron votados afirmativamente por 29 de los 35 Honorables Representantes que componen esta comisión, por lo que el articulado fue aprobado con la mayoría necesaria.

Posteriormente, fue aprobada por la Comisión Primera del Senado el 6 de diciembre de 2010, tal como consta en Acta No. 33 de esa fecha, publicada en la Gaceta 39 de 2011. En esta oportunidad, el proyecto fue votado en bloque con un total de 13 votos afirmativos de un total de 19 miembros que componen esta Comisión.

De igual manera, en cumplimiento del numeral 3 del mismo artículo. 157 de la Carta Política, el Proyecto de Ley Estatutaria fue aprobado por las plenarias de cada cámara, inicialmente en la Cámara de Representantes el 19 de octubre de 2010, como consta en Acta No. 24, publicada en la Gaceta 868 de 2010. En este debate fue aprobado el informe de ponencia con una mayoría de 89 Representantes. Se abrió una nueva votación sobre artículos varios, obteniéndose una mayoría de 104 Representantes. Ningún parlamentario votó negativamente, ni se excusó o abstuvo de votar. Finalmente, se abrió el registro para votaciones y se formuló la pregunta sobre si se quería que el proyecto se convirtiera en Ley de la Republica a lo cual respondieron afirmativamente 102 Representantes. Ninguno votó negativamente, ninguno se excusó o se abstuvo de votar.

Posteriormente, en el Senado de la Republica el 15 de diciembre de 2010, según consta en el Acta No. 34, publicada en la Gaceta No. 80 de 2011, fue aprobado el proyecto de ley, con el siguiente procedimiento. El informe de ponencia fue aprobado afirmativamente por 60 Senadores. A renglón seguido, la presidencia sometió a consideración de la plenaria el articulado en bloque del proyecto siendo aprobado por 56 senadores y votado negativamente por un senador. La omisión de la lectura del articulado, el articulado en bloque, el título y que sea ley de la Republica, el proyecto de ley número 184 de 2010 Senado, 046 de 2010 Cámara.

Así mismo, el proyecto de ley Estatutaria fue aprobado por la mayoría absoluta requerida por la Constitución en su artículo 153, este procedimiento se puede verificar en las Actas de plenaria tanto de Cámara como de Senado referenciadas así:

Dentro de la plenaria de la Cámara de Representantes el día 19 de octubre de 2010 un primer bloque de artículos fue aprobado por 97 de 166 miembros que componen la Cámara, dentro de la misma sesión, lo que restaba del articulado fue aprobado por 106 Representantes, en cuanto a la pregunta de si quieren que el proyecto sea ley fue aprobado por 113 miembros de la Cámara.

En la sesión del Senado de la Republica el proyecto de ley estatutaria se aprobó por la mayoría reglamentaria con un total de 60 votos de 102 senadores, la omisión de la lectura del articulado, el articulado en bloque, el título y que sea Ley de la Republica, fue aprobado por 56 senadores.

Concluye sosteniendo que los requisitos constitucionales para el trámite de las leyes estatutarias se cumplieron a cabalidad, dando por entendido que no se advierte vicio de forma que conlleve a la inconstitucionalidad del proyecto de ley, por la cual se dictan disposiciones generales para la protección de datos personales. Igualmente, destaca que de conformidad con el artículo 158 de la Constitución política, el proyecto cumple con el propósito de unidad y coherencia en la materia del derecho al "habeas data".

2.2.1.2. El Ministerio de Comercio, Industria y Turismo sostiene que la Constitución Política no impone al legislador estatutario el deber de regular de manera integral la materia sujeta a dicha reserva, pues conforme con las reglas sentadas por la Corte Constitucional en dicha materia, "si sobre una materia sujeta a ley estatutaria se dicta una regulación integral, ello sólo puede hacerse a través de una ley estatutaria, independientemente de que en esa regulación, se incorporen disposiciones que podrían haberse abordado a través de una ley ordinaria". Igualmente, se refiere a una segunda regla en este sentido, según la cual "la regulación de elementos que pertenecen o comprometen el núcleo esencial de un derecho o materia sujeta a la ley estatutaria, únicamente puede contenerse en una ley de ese tipo, independientemente de que la regulación sea o no integral."

2.2.1.3. ASOBANCARIA advierte que el parágrafo del artículo 2° es inconstitucional por vicios de forma, ya que viola el principio de consecutividad. Lo anterior, por cuanto al efectuar una revisión de las sucesivas transformaciones que recibió el artículo 2 del proyecto de Ley a lo largo del trámite legislativo y al realizar un recuento de la jurisprudencia constitucional relacionada con dicho principio, se encuentra que la inclusión del parágrafo 2 constituye un artículo nuevo, dado que la integridad de su contenido no fue previamente debatido y mucho menos, aprobado en instancias anteriores. Así, por ejemplo, la previsión según la cual "Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparadas por la reserva legal" no fue una constante en el Congreso; al igual que tampoco lo fue el hecho de que "En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley". Por el contrario, en las diferentes etapas del trámite de la discusión del proyecto se abogó por la aplicación de las disposiciones especiales, como la Ley 1266 de 2008, en aquellos eventos donde fuere aplicable, con el fin de evitar traumatismos hermenéuticos y así garantizar la especificidad de las regulaciones legislativas previstas para situaciones particulares.

2.2.1.4. La ciudadana María Lorena Flórez Rojas resalta que el principio de consecutividad establecido como la obligación a que todo proyecto, para convertirse en ley, deba ser aprobado en primer debate en la correspondiente comisión permanente de cada cámara y en segundo por la plenaria tanto del Senado como de la Cámara de Representantes no puede ser violentado para introducir nuevos textos que no guardan relación alguna con el proyecto discutido. De esta manera, hace alusión a lo señalado por la Corte Constitucional en el entendido que "no basta con establecer que un determinado texto aprobado en plenaria es nuevo respecto de lo aprobado en la comisión, puesto que ello puede responder a una modificación o adición producida en los términos de las normas superiores citadas. Es necesario además, para que el cargo de inconstitucionalidad pueda prosperar, que se acredite, que tal novedad no guarda relación de conexidad con lo aprobado en el primer debate o que es contraria a lo allí decidido".

En este sentido, afirma que en la introducción del artículo 29 del proyecto referente al antecedente judicial no se cumplió con el requisito de consecutividad, pues el tema incluido en dicho artículo no fue debatido por ambas cámaras, por lo menos en segundo debate. En suma, señala que "Dentro de la ponencia de segundo debate en Cámara (Gaceta Judicial 706 de 2010), no se evidencia la discusión referente al antecedente judicial y la eliminación de los antecedentes penales, es decir, que el tema fue incluido por el Senado sin que se surtiera el trámite legislativo completo lo que indica la inconstitucionalidad del artículo en mención. Además, según el artículo 178 de la Ley 5 de 1992, las modificaciones, adiciones o supresiones se pueden introducir en el segundo debate siempre y cuando el tema haya sido debatido en primer debate, cosa que en este caso se presentó (sic)".Si se analiza la Gaceta Judicial 625 de 2010, ponencia para primer debate en Cámara, el tema no es debatido ni analizado por esta cámara (sic)".

Por lo tanto, el texto del artículo 29 introducido por el Senado no se ajusta al principio de consecutividad ya que altera la esencia del proyecto por no guardar identidad con el tema discutido en primer debate y en comisiones, además por no guardar identidad con el tema discutido, tampoco es conexo como el tema inicial del proyecto, pues la eliminación de los antecedentes penales dentro del certificado judicial no guarda relación con el objeto de la ley que es el de desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que sobre ellas figuren en bases de datos o archivos.

2.2.1.5. Por su parte, la ciudadana Juanita Duran Vélez resalta que el Proyecto de Ley no cumple con la integralidad que exige la Constitución para leyes estatutarias, y de esta manera, vulnera el principio de ley estatutaria.

2.2.1.6. El Procurador General de la Nación sostiene que el proyecto cumple con lo previsto en el artículo 160 de la Constitución, pues (i) entre la aprobación en primer y en segundo debate en cada una de las cámaras transcurrió un tiempo no inferior a ocho días, y (ii) entre la aprobación surtida en una cámara y el inicio del debate en la otra hubo un lapso no inferior a los quince días.

En el caso particular: (i) la Comisión Primera de la Cámara aprobó el proyecto el 14 de septiembre de 2010 y la plenaria emitió su aprobación el 19 de octubre de 2010; la Comisión Primera del Senado aprobó el proyecto el 6 de diciembre de 2010 y de la misma forma procedió la plenaria el 15 de diciembre de 2010. (ii) El proyecto fue aprobado por la Cámara de Representantes el 19 de octubre de 2010 y su debate en el Senado inició el 6 de diciembre de 2010.

De otra parte, afirma que el proyecto cumplió con lo establecido en el artículo 153 de la Constitución que exige la mayoría absoluta de los miembros del Congreso para aprobar proyectos de leyes estatutarias como también que su trámite debe efectuarse dentro de una sola legislatura. En el caso específico, se radicó el proyecto de ley el 3 de agosto de 2010 y su trámite culminó el 16 de diciembre de 2010, lo que evidencia que su trámite se surtió dentro de la legislatura que inició el 20 de julio de ese mismo año y que culmina el 20 de junio de 2011.

2.2.2. La especialidad del trámite aprobatorio de las leyes estatutarias (artículos 152 y 153 Superiores)

2.2.2.1. Por cuanto se trata del estudio de un proyecto de ley estatutaria, es necesario que la Corte verifique el cumplimiento de los rigurosos requisitos establecidos en la Constitución para la aprobación de este tipo de leyes de especial jerarquía. Sea lo primero señalar que el particular trámite dispuesto por el artículo 153 Superior para las leyes estatutarias tiene como fin esencial salvaguardar la entidad de las materias que regula, estas son, los derechos y deberes fundamentales, así como los procedimientos y recursos para su protección; la administración de justicia; la organización y régimen de los partidos y movimientos políticos, el estatuto de la oposición y las funciones electorales; las instituciones y mecanismos de participación ciudadana; los estados de excepción, y la igualdad electoral entre candidatos a la Presidencia de la República (artículo 152).

Como se observa, se trata de materias que comportan una importancia cardinal para el desarrollo de los artículos 1 y 2 de la Carta, pues su regulación especial garantiza la vigencia de principios básicos constitucionales y propende por la consecución de los fines esenciales del Estado. De modo que imprimirle rigurosidad a la aprobación de la regulación de dichas materias y, además, mayor jerarquía a las leyes que las consagren, son medios idóneos para lograr la efectividad de los derechos constitucionales, la salvaguarda de un orden justo, así como la existencia de un sistema democrático y participativo.

Así las cosas, el constituyente decidió crear una categoría especial de leyes que, en ese orden, requieren atributos formales más estrictos para ser aprobadas que los fijados para las leyes ordinarias, así como un control constitucional previo, automático e integral, todo con el objetivo de otorgarles mayor estabilidad y especial jerarquía en virtud de la trascendencia de las materias que regula. Bajo tal entendido, la jurisprudencia constitucional, desde sus inicios, ha establecido:

"La Constitución Política de 1991 introdujo la modalidad de las leyes estatutarias para regularalgunas materias respecto de las cuales quiso el Constituyente dar cabida al establecimiento de conjuntos normativos armónicos e integrales, caracterizados por una mayor estabilidad que la de las leyes ordinarias, por un nivel superior respecto de éstas, por una más exigente tramitación y por la certeza inicial y plena acerca de su constitucionalidad.

La propia Carta ha diferenciado esta clase de leyes no solamente por los especiales asuntos de los cuales se ocupan y por su jerarquía, sino por el trámite agravado que su aprobación, modificación o derogación demandan"[52]

2.2.2.2. Cualquier proyecto para convertirse en ley (Constitución, artículos 157 y 158) debe cumplir con los siguientes requisitos:

• (i) Ser publicado oficialmente por el Congreso antes de darle curso en la comisión respectiva;

(ii) Surtir los correspondientes debates en las comisiones y plenarias de las Cámaras, luego de que se hayan efectuado las ponencias respectivas y respetando los quórum previstos por los artículos 145 y 146 de la Constitución;

(iii) Realizar los anuncios del proyecto de ley previo a la discusión y votación en cada una de las comisiones y plenarias (artículo 160 Constitución Política). Debe anotarse que el artículo 9 del Acto Legislativo 1 de 2003 (Constitución Política, artículo. 161) dispuso que esta exigencia también se aplica a los debates sobre los informes de las comisiones de conciliación, los cuales deberán ser publicados por lo menos un día antes de darse su discusión y aprobación;

(iv) Respetar los términos para los debates previstos por el artículo 160, ocho días entre el primer y segundo debate en cada Cámara, y quince días entre la aprobación del proyecto en una de las Cámaras y la iniciación del debate en la otra;

• (v) Respetar los principios de unidad de materia, de identidad y consecutividad (Constitución Política, artículos 158, 157, 160 y 16); y

(vi) Haber obtenido la sanción gubernamental. Como es obvio, en el caso de las leyes estatutarias, dicha sanción se surte después de que la Corte Constitucional haya efectuado la revisión previa y oficiosa de constitucionalidad y declarado, en consecuencia, que las disposiciones del proyecto se ajustan a la Carta[53].

Además de lo anterior, por tratarse de un proyecto de ley estatutaria (Constitución Política artículo 153), es necesario que el proyecto: (i) haya sido aprobado por mayoría absoluta y (ii) haya sido tramitado en una sola legislatura.

Al respecto, conviene aclarar que conforme a reiterada jurisprudencia de esta Corte, la Constitución ordena que dentro de la legislatura el proyecto haga tránsito en el Congreso, esto es, que sea modificado y aprobado por las Cámaras en ese lapso, pero la revisión constitucional por la Corte y la sanción presidencial pueden ocurrir por fuera de la legislatura[54]. Y es que como se explicó en la sentencia C-011 de 1994, si el trámite que debe ser surtido en una sola legislatura incluyese la revisión por la Corte, o las objeciones y sanción presidenciales, sería prácticamente imposible aprobar, modificar o derogar leyes estatutarias, o éstas tendrían que ser tramitadas en el Congreso con excesiva celeridad, sin una adecuada discusión democrática, e incluso con improvisación.

2.2.2.3. Ahora bien, dado que en la sentencia C-702 de 2010[55], la Corte Constitucional precisó que la consulta previa a las comunidades étnicas que puedan resultar afectadas directamente por cualquier medida legislativa, constituye un requisito de procedimiento que debe surtirse antes del trámite legislativo respectivo, la Sala estudiará en esta instancia si en esta ocasión debía surtirse ese proceso consultivo.

Debe señalarse que la consulta previa solamente es necesaria en el caso de decisiones que conciernen directamente a una o varias comunidades étnicas. Sobre este punto la Corte afirmó lo siguiente en la sentencia C- 030 de 2008[56]:

"(…) cabe distinguir dos niveles de afectación de los pueblos indígenas y tribales: el que corresponde a las políticas y programas que de alguna manera les conciernan, evento en el que debe hacerse efectivo un derecho general de participación, y el que corresponde a las medidas administrativas o legislativas que sean susceptibles de afectarlos directamente, caso para el cual se ha previsto un deber de consulta."

En el caso bajo estudio, un examen del contenido del proyecto de ley permite concluir que las medidas que mediante él se pretenden adoptar no conciernen directamente a ninguna comunidad étnica asentada en el territorio nacional, de modo que la consulta previa no era un requisito previo. En efecto, el proyecto solamente establece un régimen general para la protección de datos en Colombia y no define un tratamiento específico directamente destinado a comunidades étnicas, lo que impide establecer qué grupos étnicos o en qué medida se hallarían dentro del ámbito de influencia de los mandatos del proyecto.

La definición de disposiciones especiales -donde podría entrar la regulación de datos de comunidades étnicas- quedaría en manos del gobierno nacional en caso de declararse exequible el artículo 27 del proyecto. De modo que es en el momento en que se cree dicha regulación, cuando surgiría el requisito de consulta previa.

En conclusión, dado que en el presente caso el proyecto en examen no afecta de manera directa comunidades étnicas colombianas, sino que se trata de una legislación destinada a la sociedad en general, no era necesario realizar procesos de consulta antes de dar inicio al trámite legislativo.

A continuación la Corte examinará el trámite de aprobación del proyecto de ley bajo revisión en el Congreso, para así verificar si atendió los requisitos del trámite legislativo antes mencionados.

2.2.3. Radicación y publicación del proyecto de ley

El proyecto de ley estatutaria "por la cual se dictan disposiciones generales para la protección de datos personales", fue presentado ante el Congreso de la República el 3 de agosto de 2010, por el entonces Ministro del Interior y de Justicia, Fabio Valencia Cossio; el Ministro de Comercio, Industria y Turismo, Luis Guillermo Plata Páez; y el Ministro de Tecnologías de la Información y las Comunicaciones, Daniel Enrique Medina Velandia. El proyecto de ley se radicó con los números 046 de 2010 Cámara, 184 de 2010 Senado.

El texto del proyecto, junto con la exposición de motivos, fue publicado en la Gaceta del Congreso No. 488 del 4 de agosto de 2010[57]. El trámite inició ante la Cámara de Representantes y, en razón a que se trata de una norma estatutaria, fue repartido a la Comisión Primera Constitucional permanente de esa célula legislativa.

2.2.4. Trámite en la Cámara de Representantes

2.2.4.1. Publicación de la ponencia para primer debate

La ponencia para primer debate en la Comisión Primera de la Cámara de Representantes, en la que se solicitó aprobar la iniciativa con modificaciones, fue presentada por los Representantes Alfredo Deluque Zuleta, Óscar Fernando Bravo Realpe, Orlando Velandia Sepúlveda, Germán Varón Cotrino, Efraín Torres Monsalve. El informe de ponencia para primer debate fue publicado en la Gaceta del Congreso 625 del 9 de septiembre de 2010[58].

El pliego de modificaciones propuesto por los Representantes ponentes al texto del proyecto de ley presentado por el Gobierno[59], consistió en lo siguiente:

"PLIEGO MODIFICATORIO

Modificaciones al texto publicado en la Gaceta número 488 del 4 de agosto de 2010

• 1. Se elimina el parágrafo primero del artículo 2º y se unifica con el parágrafo 2º.

Existe una contradicción entre los dos parágrafos de este artículo que se puede prestar para interpretaciones equívocas. El ámbito de aplicación excluye directamente a los datos financieros que ya se encuentran regulados por la Ley 1266 de 2008. Como consecuencia de esta situación, los datos de carácter financiero se regirán bajo las disposiciones contempladas exclusivamente en la Ley 1266 de 2008.

• 2. Se introduce en el artículo 3º Definiciones el literal h) Autoridad de Control: Entiéndase por Autoridad de Control para los efectos de esta ley a la Superintendencia de Industria y Comercio

A lo largo del proyecto de ley se habla y se le asignan funciones a la Autoridad de Control de datos personales, y sólo hasta el artículo 19 se define esta. Para mayor comprensión de los Responsables, Encargados y Titulares de la información, se incorpora la definición en el artículo respectivo.

• 3. Introducir en el artículo 7°, derechos de los niños, niñas y adolescentes, que la reglamentación que hará el Gobierno Nacional de esta materia no excederá los seis meses después de sancionada la ley.

El citado artículo prohíbe el tratamiento, uso, divulgación publicación o circulación de datos personales de niños, niñas y adolescentes cuyo fin sea su comercialización, tráfico, venta o cesión a terceros. Deja en cabeza del Gobierno Nacional la reglamentación de la materia. Siendo el tema de la divulgación de datos de este segmento de la población de vital importancia se considera prudente dejar el plazo antes dicho.

• 4. Aclarar el alcance de la revocatoria del consentimiento en el literal e) del artículo 8º.

El literal e) establece que la revocatoria del consentimiento procederá cuando en el tratamiento no se respeten los derechos, garantías y principios legales y constitucionales. Sin embargo es importante aclarar que esta revocatoria no procede de manera inmediata y que para ser efectiva debe existir una resolución por parte de la Autoridad de Control donde se establezca que efectivamente en el tratamiento se violaron las disposiciones legales y constitucionales.

• 5. Se elimina el literal c) del artículo 10 y se modifica el literal a) de la siguiente manera: Cuando la información sea requerida por una autoridad pública, siempre y cuando medie una autorización legal.

El artículo 10 trae las excepciones en las cuales no es necesaria la autorización del titular para el tratamiento de datos. El literal a) enuncia los casos de autorización legal para fines históricos, estadísticos, científicos u otros, por su parte el literal c) preveía que cuando la información fuera requerida por una autoridad pública en ejercicio de sus funciones que se encontraran consagradas en la ley.

La taxatividad del literal a) no es necesaria ya que es claro por los principios constitucionales y por el desarrollo que hace de los mismos el proyecto de ley, que la excepción a la autorización previa del titular para la entrega y tratamiento de datos personales puede sólo estar autorizada por ley. Ahora bien en cuanto al literal c), el mismo no resulta claro y puede generar confusiones, lo que se pretende indicar es lo mismo del literal a), por eso se propone que se manejen en uno sólo, dejando claro además que las autoridades públicas no pueden solicitar y tratar datos personales para el ejercicio de sus funciones, sino solamente cuando una ley lo permita.

• 6. Incluir en el artículo 11 plazo de un año para la reglamentación para el suministro de la información.

• 7. Modificar el literal b) del artículo 13 en el sentido de indicar que el suministro de información de que trata el proyecto de ley sólo puede entregarse a una autoridad pública siempre y cuando medie una autorización legal.

Al igual que en el artículo 10 debe hacerse claridad que la autoridad pública por el simple hecho de serlo no puede ni tratar ni solicitar ni ser destinataria de datos personales, sólo en el evento en el que haya una disposición legal que así lo disponga.

• 8. Incluir un parágrafo en el artículo 23 sanciones, indicando que las mismas sólo aplican para personas privadas que incumplan las disposiciones contenidas en la presente ley, y que para las autoridades públicas la Superintendencia de Industria y Comercio una vez realizada la investigación respectiva y de encontrar violación a la ley remitirá el expediente a la Procuraduría General de la Nación para lo de su competencia.

El artículo 23 contiene las sanciones que puede imponer la Autoridad de Control a los responsables del tratamiento y manejo de los datos personales, las cuales van desde multas hasta cierre definitivo de la operación, es claro que estas, por su naturaleza, por el procedimiento para imponerlas y por el ente que las impone, que para el presente caso la Superintendencia de Industria y Comercio no pueden aplicar a autoridades públicas, ya que no hay competencia para ello. De tal manera, se específica esta situación y se aclara que una vez adelantada la investigación por parte de la Autoridad de Control en caso de identificar alguna falta de una autoridad pública se debe remitir el expediente a la Procuraduría General de la Nación para lo de su competencia."

2.2.4.2. Anuncio y aprobación en primer debate

Según comunicación suscrita por el Secretario de la Comisión Primera de la Cámara de Representantes[60], el proyecto de ley fue anunciado para su discusión y aprobación en primer debate en la sesión del 8 de septiembre de 2010, según consta en el Acta No. 11 de esa fecha, publicada en la Gaceta del Congreso No. 957 del 24 de noviembre de 2010. El anuncio se realizó en los siguientes términos[61]:

"Por instrucciones del señor Presidente se anuncian para discusión y votación en lapróxima sesiónlos siguientes proyectos que estarán integrando el Orden del Día:

(…)

Proyecto de ley Estatutaria número 46 de 2010 Cámara, por la cual se dictan disposiciones generales para la protección de datos personales.

Señor Presidente por instrucciones suyas se han anunciado en cumplimiento de la Constitución, los proyectos que en lapróxima sesiónse discutirán y votarán.

Agradecemos a los televidentes el seguimiento a esta sesión, agradecemos a los Parlamentarios. Se levanta la sesión,se convoca para el próximo martesa las nueve de la mañana, de igual manera el miércoles a la misma hora. Por favor".

En efecto, el proyecto de ley, con las modificaciones propuestas en el informe de ponencia, fue aprobado en primer debate en la sesión del 14 de septiembre de 2010, según consta en el Acta No. 12 de esa misma fecha, publicada en la Gaceta del Congreso No. 958 del 24 de noviembre de 2010.

En relación con el quórum y las mayorías obtenidas, el Secretario informa en la certificación arriba mencionada (folios 542 a 546 del cuaderno de pruebas No. 2), que el informe de ponencia, el articulado propuesto y el título del proyecto fueron aprobados con la mayoría absoluta requerida por el artículo 153 Superior. Narra que se dio con votación nominal, con el voto afirmativo de 31 Representantes de los 35 que conforman la Comisión. Lo anterior pudo verificarse al leer el Acta No. 12 del 14 de septiembre de 2010, en la que se plasma el desarrollo de la discusión y la votación del proyecto de ley bajo estudio, coincidiendo con lo afirmado por el Secretario General de la Comisión[62] y en la que además puede observarse que el informe con que termina la ponencia fue aprobado con 29 votos positivos, el articulado también con 29 votos a favor y el título con 30 votos afirmativos.

El texto definitivo del proyecto de ley aprobado por la Comisión Primera de la Cámara de Representantes fue publicado en la Gaceta del Congreso No. 706 del 28 de septiembre de 2010, en el que esta Sala encuentra que los miembros de dicha Comisión acogieron completamente la propuesta del informe de ponencia, sin agregar nuevas disposiciones y sin modificar las existentes.

2.2.4.3. Publicación de la ponencia para segundo debate en la Cámara de Representantes

La ponencia positiva para segundo debate con pliego de modificaciones, fue presentada por los Representantes Alfredo Deluque Zuleta, Óscar Fernando Bravo Realpe, Orlando Velandia Sepúlveda, Germán Varón Cotrino, Efraín Torres Monsalve, Miguel Gómez Martínez y Humphrey Roa Sarmiento. El documento fue publicado en la Gaceta del Congreso 706 del 28 de septiembre de 2010[63].

Las modificaciones propuestas son las que a continuación se citan[64]:

"PLIEGO MODIFICATORIO

MODIFICACIONES AL TEXTO PUBLICADO EN LA GACETA NÚMERO 625 de 2010

• 1. Se suprime el término soporte por el de base de datos (artículo 2°)Para brindar una mayor uniformidad en el texto se suprime el término soporte, el cual hace referencia directa al término base de datos, el cual se encuentra definido en el artículo 3° del proyecto.

• 2. Se aclara que los datos personales hacen referencia a las personas naturales (artículo 3°)

Es importante aclarar que el derecho contenido en el artículo 15 de la Constitución Política hace referencia a los datos de personas naturales ya que son estas las que son objeto directo de las posibles vulneraciones en el Tratamiento.

La Corte Constitucional ha señalado que las personas jurídicas tienen derecho a la protección de su información, ello lo ha precisado refiriéndose a la información sobre la morosidad o cumplimiento de obligaciones dinerarias, tema que ya quedó regulado en la Ley 1266 de 2008.

La legislación colombiana cuenta con diferentes normas que ya protegen la información de las empresas, como entre otras, las siguientes: Los secretos empresariales (Decisión Andina 486 de 2000); La información privilegiada (Código Penal y Ley 45 de 1990); los libros y papeles del comerciante (Código de Comercio). Así las cosas, conferir más protección equivaldría a dar más importancia a la información de las personas jurídicas (sobreprotección) que a la de las personas naturales.

• 3. Se elimina la definición de Autoridad de Control (artículo 3°)

Para aclarar los posibles inconvenientes que se puedan derivar de la concurrencia de Autoridades como consecuencia de la Ley 1266 de 2008 se suprime el concepto de Autoridad de Control y se define en el articulado que para propósitos de esta ley se debe entender como Autoridad de Protección de Datos a la Superintendencia de Industria y Comercio.

• 4. Se aclara que solo la información que tenga naturaleza pública podrá ser objeto de Tratamiento en el caso de las niñas, niños y adolescentes (artículo 7°)

Aunque el principio general de este artículo establece que queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes cuyo fin sea su comercialización, tráfico, venta o cesión a terceros, es importante aclarar que la información pública no es objeto de esta prohibición dada su naturaleza.

• 5. Se elimina el verbo suprimir del literal a) y se modifica el literal e) del artículo 8°

Es importante aclarar que el Titular no tiene la facultad de suprimir sus datos ya que el artículo 15 de la Constitución establece que estos podrán conocer, rectificar o actualizar la información. Asimismo Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión sólo procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución.

• 6. Se modifica el título del artículo 13 ya que es el mismo del artículo 11

Tanto el artículo 11 como el 13 tenían el mismo nombre, por consiguiente se establece que para el caso del artículo 13 el título será "Personas a quienes se les puede suministrar la información".

• 7. Se modifica el nombre de Autoridad de Control por el de Autoridad de Protección de Datos (artículo 19).

La Superintendencia de Industria y Comercio no tiene la facultad de control a la que hace referencia y por consiguiente se podría interpretar que se le está asignando esta nueva facultad. Por consiguiente se aclara que la Superintendencia de Industria y Comercio será la Autoridad en Protección de Datos y no la de Control.

2.2.4.4. Anuncio y aprobación del proyecto en segundo debate

En principio, el proyecto de ley fue anunciado el 12 de octubre de 2010 para el día siguiente, tal como consta en el Acta No. 22 de la misma fecha, publicada en la Gaceta del Congreso 925 del 18 de noviembre de 2010[65]. El anuncio se realizó así:

"Dirección de la Presidencia doctor Roosvelt Rodríguez Rengifo:

Señor Secretario, leamos los proyectos de leypara mañana.

Secretario General doctor Jesús Alfonso Rodríguez C.:Anunciar Proyectos,para mañana miércoles 13 de octubreo para la próxima Sesión en la que se debatan proyectos de ley o de acto legislativo.

Subsecretaria General doctora Flor Marina Daza Ramírez:Proyectos para segundo debate.

(…)

Proyecto de ley Estatutaria número 046 de 2010 Cámara

Señor Presidente, han sido anunciados los proyectos de leypara el día trece de octubre de 2010, de acuerdo al Acto Legislativo 1 de julio 3 de 2003, en su artículo 8°."

Sin embargo, en la sesión del día 13 de octubre de 2010 se inició la discusión del proyecto pero la Plenaria decidió realizar su votación en la siguiente sesión, tal como consta en el Acta No. 23 de la misma fecha, publicada en la Gaceta del Congreso 849 del 2 de noviembre de 2010, en la que se lee:

"Dirección de la Presidencia, doctor Carlos Alberto Zuluaga Díaz:

Le he pedido al señor coordinador de ponentes que vamos a empezar hoy a hacer el gran debate para que todas las bancadas y todos los partidos y todos los Representantes opinen frente al proyecto, como se necesitan 85 votos a favor, el proyecto voy a solicitar es debatir hoy el proyecto y vamos a votar el proyecto, doctor Deluque el martes,pero por favor hoy debatimos con todas las garantías, con toda la tranquilidad y el martes entramos a votar el proyecto de ley." [66]

Ahora bien, en el acta mencionada puede observarse que el proyecto fue debidamente anunciado de nuevo, de la siguiente manera[67]:

"Se anuncian los Proyectos para la Sesión Plenaria del día19 de octubreo para la siguiente Sesión Plenaria en la cual se debatan Proyectos de Ley o Actos Legislativos:

(...)

Proyecto de ley número 046 de 2010 Cámara

(…)

Señor Presidente han sido anunciados los proyectos de ley para la Sesión Plenaria para el día19 de octubrepara la siguiente Sesión Plenaria en la cual se debatan Proyectos Actos de Ley o Actos Legislativos de acuerdo al Acto Legislativo 01 de julio 3 de 2003 en su artículo 8°."[68]

En efecto, el proyecto de ley fue aprobado en la plenaria de la Cámara de Representantes, en la sesión del 19 de octubre de 2010, según consta en el Acta No. 24 de la misma fecha, publicada en la Gaceta del Congreso 868 del 4 de noviembre de 2010[69].

Acerca del quórum y las mayorías obtenidas, según certificación suscrita por el Secretario General de la Cámara de Representantes[70], se cumplió con el requisito de ser aprobado por la mitad más uno de los integrantes de dicha célula legislativa, esto es, con mayoría absoluta. Afirmó el Secretario que "en la Sesión Plenaria de la H. Cámara de Representantes del día 19 de octubre de 2010, a la cual se hicieron presentes ciento cincuenta y cinco (155) Honorables Representantes, fue considerado y aprobado pormayoría absolutade los presentes envotación nominal Informe de Ponencia para segundo debate, el título y el articulado del Proyecto de Ley". Las votaciones se desarrollaron de la siguiente manera:

"Proposición con que termina el informe de Ponencia para Segundo Debate: por el Sí: 89 por el No: 0. Tal y como consta en la página 25 de la Gaceta del Congreso No. 868 de 2010 (Aprobado).

Los artículos 1, 3, 6, 7, 9, 12, 13, 14, 15, 16, 17, 18, 20, 22, 24 y el 29 no tienen proposiciones. Por el sí: 97 por el No: 0 (Ver página 26 y 27 de la Gaceta No. 868 de 2010).

Votación en Bloque de los siguientes artículos con y sin proposición y unos artículos nuevos: proposición para el artículo 2, proposición para el artículo 10, proposición para el artículo 19, proposición para el artículo 21, proposición para el artículo 23, proposición para el artículo 25, proposición para el artículo 26, proposición para el artículo 27, proposición para el artículo 28. Los artículos 4, 5, 8 que no tienen proposición y el 23. Por el Sí: 106 por el No: 0 (Ver páginas 28 a 32)"

El texto definitivo aprobado en la Cámara de Representantes, fue publicado en la Gaceta del Congreso No. 833 del 29 de octubre de 2010[71], donde es posible verificar que la Plenaria adoptó los cambios propuestos en el informe de ponencia -arriba reproducidos- y, además, se aprobaron las proposiciones de diferentes Representantes para eliminar o adicionar el contenido de algunos artículos, a saber:

• i) Se incluyó la frase "así como el derecho a la información consagrado en el artículo 20 de la misma" al final del artículo 1°[72].

• ii) Se agregaron cinco literales al artículo 2°[73]:

"El régimen de protección de datos personales que se establece en la presente ley no será de aplicación:

(…)

• c) A las bases de datos y archivos de información periodística y otros contenidos editoriales;

• d) A las bases de datos y archivos regulados por la Ley 1266 de 2008;

• e) A las bases de datos y archivos regulados por la Ley 79 de 1993;

• f) A las bases de datos y archivos regulados por la Ley 594 de 2000;

• g) Las bases de datos y archivos relacionados con el Registro Civil de las Personas."

• iii) Se modificó el literal a) del artículo 10 y se agrega un literal d) a esa disposición[74]:

"La autorización del titular no será necesaria en los siguientes casos:

• a) Cuando la información sea requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.

(…)

• d) Cuando sea autorizado por la ley para fines históricos, estadísticos, científicos u otros."

• iv) Se modificó el primer inciso del artículo 19 y se agregó un parágrafo[75]:

"Artículo 19. Autoridad de protección de datos. La Superintendencia de Industria y Comercio ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la ley.

Parágrafo. La vigilancia, el tratamiento de los datos, personas reguladas en la Ley 1266 del 2008, se ajustará en lo previsto en dicha norma".

• v) Se eliminó el literal f) del artículo 21[76].

• vi) Se agrega un párrafo al artículo 25, señalando[77]:

"Para realizar el registro de base de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio, las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley."

• vii) Se crea el parágrafo segundo al artículo 26[78].

• viii) Se elimina el inicial artículo 27[79].

• ix) Agrega la frase "con excepción de aquellas contempladas en el artículo 2º de la presente ley" al final del artículo 28 sobre derogatorias[80].

• x) Se crea un nuevo artículo, que establece[81]:

"Normas corporativas vinculantes. El Gobierno Nacional expedirá la reglamentación correspondiente sobre las normas corporativas vinculantes para la certificación de buenas prácticas en protección de datos personales y su transferencia a terceros países."

• xi) Se crea otro nuevo artículo, que dispone[82]:

"Régimen de transición. Las personas que a la fecha entrada en vigencia la presente ley ejerzan alguna de las actividades aquí reguladas, tendrán un plazo de 6 meses para adecuarse a las disposiciones contempladas en esta ley."

2.2.5. Trámite en el Senado de la República

2.2.5.1. Audiencia pública

Mediante Resolución No. 04 de noviembre 18 de 2010, se convocó a audiencia pública para la discusión del proyecto de ley en estudio. Ésta se llevó a cabo el día 25 de noviembre de ese mismo año, tal como consta en la Gaceta del Congreso No. 60 del 28 de febrero de 2011[83]. Participaron en ella los ciudadanos Raúl Antonio Vargas Camargo y Andrés Eduardo Cubillos Benavides, estudiantes de Derecho de la Universidad Libre.

El primero de ellos propuso al Senado de la República incluir un artículo relacionado con el certificado de antecedentes judiciales expedido por el Departamento Administrativo de Seguridad -DAS-, en cuanto ello implica el manejo de datos sensibles, sobretodo cuanto expide certificados indicando que una persona "registra antecedentes pero no es requerido por autoridad judicial".

El segundo interviniente planteó algunas inquietudes sobre el ámbito de aplicación y la finalidad de la ley.

2.2.5.2. Publicación de la ponencia para primer debate

Para primer debate ante la Comisión Primera del Senado, rindieron ponencia favorable los Senadores Luis Fernando Velasco Cháves, Carlos E. Soto, Luis Carlos Avellaneda Hemel Hurtado Angulo, Jorge Eduardo Londoño y Juan Manuel Corzo. La ponencia fue publicada en la Gaceta del Congreso 1023 del 2 de diciembre de 2010[84].

Los Senadores Ponentes sugirieron las siguientes modificaciones al texto del proyecto de ley aprobado por la Cámara de Representantes (subrayas, viñetas y numeración, fuera de texto original):

"Justificación de los cambios al texto aprobado por la Cámara de Representantes

El cumplimiento de los principios antes mencionados, más los ya expuestos en la Ley 1266 de 2008 y la regulación internacional de protección de datos, permite tener un filtro para analizar algunos artículos del proyecto que a nuestra consideración deben ser estudiados y modificados en busca de un real reconocimiento de la protección de datos en Colombia.

En el artículo 2°. Ámbito de Aplicación se debe tener en cuenta justificaciones en la excepción de algunas bases de datos

• 1. Se propone excluir del literal a) "y aquellos que circulan internamente, esto es, que no se suministran a otras personas jurídicas o naturales".

Lo anterior porque no guarda congruencia el pretender generar una ley estatutaria que podría violar el principio de igualdad al excepcionar de su aplicación a una buena parte de operadores de datos, pues si se permite que mientras el dato circule internamente este no sea objeto de la ley se estaría sesgando no solo el derecho de Hábeas Data sino los conexos como acceso a la información, debido proceso y demás derechos conexos al manejo de la información. Ya que es bien sabido que para que una decisión judicial o la aplicación de una ley eximan a unos o a otros esta excepción debe responder a los conceptos constitucionales argumentativos de igualdad y razonabilidad sentido en el cual la Corte dice.

1.En el literal b) se proponedefinir la necesidadde que exista una finalidad para exceptuar del ámbito de aplicación a las bases de datos y archivos que tengan por objeto la seguridad y defensa nacional, lavado de activos y terrorismo.

2.Asimismo sepropone eliminar de esta excepción a las bases de datos y archivos sobre investigaciones judiciales y penalesya que estas no necesariamente tienen una finalidad directa con la seguridad y defensa nacional.

El tema de la aplican de las leyes correspondientes a protección de datos personales incluidos en bases de datos que tengan relación con inteligencia o seguridad debe estar siempre sujeto a las directivas constitucionales y si el legislativo pretende regular el tema mediante ley esta no puede estar en contra de los principios constitucionales de acceso a la información y hábeas Data " En efecto, al menos en la actualidad, sólo este tipo de datos tiene reserva legal frente a su titular. En consecuencia, dado que la reserva de datos de inteligencia frente al titular del dato, sólo podría existir si así lo establece una ley específica, clara y compatible con la Constitución y que las disposiciones existentes amparan únicamente la reserva de datos que hacen parte de investigaciones judiciales, sólo esta información puede permanecer oculta a su titular"[85].

4.Además del anterior cambio seadicionan dos parágrafos al literal b)

Parágrafo.El literal anterior se aplicará solo cuando los datos contenidos en estas bases de datos cumplan con las características de reserva de datos que hacen parte de investigaciones judiciales.

Parágrafo 2°.Los datos allí contenidos solo se harán públicos cuando se justifique por su naturaleza.

Lo anterior en consecuencia de que la información y datos personales contenidos en bases de datos del estado deben cumplir con los principios de la administración de datos y por ello deben ser de libre acceso por parte del Titular, mientras medie como justificación algún tipo de reserva legal.

El segundo parágrafo promueve el respeto de los datos por la naturaleza que los contiene; es decir que los datos privados deberán ser respetados y no hacerse públicos a menos que el Titular lo autorice o que el dato presente algún tipo de peligro real y justificado a la seguridad y defensa nacional, lavado de activos, terrorismo como lo contiene el literal b).

Artículo 4°. Principios para el tratamiento de datos personales.

1.Se adiciona al literal b), al principio de finalidad, el deproporcionalidadagregando en su parte final el texto "No podrán realizarse tratamientos de datos personales incompatibles con la finalidad autorizada por el titular o la ley, a menos que se cuente con el consentimiento inequívoco del titular".

2.Se adiciona al literal f) al principio de finalidad del primer párrafo el texto"De igual forma, los datos personales únicamente pueden utilizarse para los fines autorizados por el titular o la ley."

Estos principios que se adicionan hacen parte de los estándares internacionales, aprobados, entre otros en la Resolución de Madrid de 2009 (anexo) y han sido establecidos en la Jurisprudencia de la Corte Constitucional como fundamentales para dar un tratamiento debido a los datos personales. Específicamente estos se sintetizaron y aglutinaron en la Sentencia C-1011 de 2008.

Artículo 6°. Tratamiento de datos sensibles.

1.Se modifica gramaticalmente la frase "a excepción de los siguientes eventos" por"excepto cuando".

2.Se modifica en el literal b) el término de "padres" por el de"representantes legales".

3.Se incorpora en el literal c) la palabra"una"antes de la palabra "fundación" y adicionalmente se incorpora el termino "ONG"luego de la palabra "fundación".

Artículo 7°. Derechos de los niños, niñas y adolescentes.

1.Se modifica el término "padres" por el de"representantes legales o tutores".

2.Se suprime los términos"comercialización, tráfico, venta o cesión a terceros" con el objetivo de impedir que se realicen interpretaciones literales que afecten los derechos fundamentales de los niños, niñas y adolescentes.

Artículo 9°.Autorización del titular.