por la cual se dictan disposiciones generales para la protección de datos personales

Resulta ser entonces un asunto nuevo frente a lo que en aquel momento fue discutido y aprobado. Además, no es posible identificar con nada de lo dispuesto en el proyecto de la Cámara, pues si bien se había discutido y aprobado el tema de la seguridad y defensa nacional, ésta se había concebido y establecido como un sector exceptuado, y lo que hizo la Plenaria del Senado fue incluirlo dentro del ámbito de aplicación del proyecto, una regulación sobre ese mismo sector, específicamente sobre inteligencia y contrainteligencia, asunto que, bajo esa perspectiva, no había sido tratado en lo absoluto ni por la Cámara de Representantes ni por la Comisión Primera del Senado, transgrediéndose el principio de consecutividad.

De manera que, por vulneración de los principios de identidad flexible y de consecutividad, consagrados en los artículos 157 y 160 de la Carta, la Sala Plena declarará inexequibles los artículos 30 y 31 del proyecto de ley estatutaria bajo revisión.

2.2.8.4.2.16. Durante el segundo debate se creó el artículo 32 que establece el régimen de transición.

Generalmente, los cuerpos normativos que crean nuevas reglas sobre determinados asuntos, establecen un régimen de transición para que a quienes les sean aplicables, adopten las medidas necesarias para adaptarse a los cambios. De manera que no podría concebirse esta enmienda como ajena al tema del proyecto, ni modificatoria de su esencia, ni creadora de un tema nuevo no tratado con anterioridad. Es, como ya hemos dicho, el reflejo la dinámica de la actividad parlamentaria dentro de los límites constitucionales y legales, que, en esta ocasión, dio como resultado la inclusión de la necesidad de prever de un plazo de hasta seis (6) meses para que las personas que a la fecha de entrada en vigencia del proyecto de ley ejerzan alguna de las actividades en ella reguladas, se adecuen a las disposiciones contempladas, lo que se circunscribe dentro de la regulación del tema de la protección de datos personales.

2.2.8.4.2.17. Durante el segundo debate se adiciona la frase "a excepción de aquellas contempladas en el artículo segundo" en el artículo 33 sobre derogatorias.

Por tratarse de la creación de una excepción a la regla general ya establecida sobre la derogatoria de todas las normas que le sean contrarias al proyecto de ley, debe entenderse como una disposición accesoria que, por ello, no transgrede ninguno de los principios en mención, sobretodo porque refleja lo ya estatuido en el artículo 2° del proyecto sobre el tratamiento de datos excluido del ámbito de aplicación, siendo necesaria esta enmienda por técnica y coherencia legislativa.

2.2.9. Conclusión sobre la constitucionalidad del trámite legislativo del proyecto de ley bajo revisión.

En hilo de lo expuesto, se tiene que, en general, la aprobación del proyecto de ley cumplió con los requisitos constitucionales previstos para cualquier decisión legislativa y, particularmente, para este tipo de leyes de especial jerarquía. Ahora bien, no puede decirse lo mismo sobre la aprobación de sus artículos 29, 30 y 31, en cuanto la forma en que fueron incluidos no atendió los mandatos del principio de consecutividad -art. 157 y 160 C.P., razón por la cual, esta Sala los declarará inexequibles.

• 2.3. EXAMEN DEL ARTÍCULO 1: OBJETO DEL PROYECTO DE LEY

2.3.1. Texto de la disposición

"Artículo 1°. Objeto.La presente ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma."

2.3.2. Intervenciones ciudadanas y concepto del Ministerio Público

2.3.2.1. La Defensoría del Pueblo solicita que la frase final del artículo 1º - "así como el derecho a la información consagrado en el artículo 20 de la misma"- sea declarada inexequible, pues considera que la pretensión del legislador de desarrollar el contenido del derecho a la información por medio del proyecto bajo estudio es "antitécnica y asistemática", pues (i) el derecho a la información es autónomo y diferente al derecho al habeas data; (ii) en caso de aceptarse que el derecho a la información pudiera ser regulado en una ley sobre habeas data, dicha incorporación se justificaría solo en la medida en que el primer derecho se desarrollara de manera amplia y conveniente, lo que no ocurre en el presente caso; y (iii) no puede pasarse por alto que una cosa es el "derecho a la información" como derecho fundamental, y otra diferente "la información" como bien susceptible de apropiación y transacción comercial por parte de poderosos agentes del mercado. En resumen, señala que una revisión del texto del proyecto permite concluir que el legislador no se ocupó en absoluto de "desarrollar" el derecho a la información. Por tanto, al no existir una relación con el tema central del proyecto, asegura que la expresión referida vulnera el principio de unidad de materia.

Por otra parte, aduce que aunque el articulo 1 recoge los parámetros normativos que establece la Carta Política sobre el derecho del habeas data, en especial las garantías de "conocer, actualizar, y rectificar" la información, no incorpora importantes garantías, como (i) la disociación de datos personales, en virtud de la cual una persona puede solicitar que el tratamiento de información de la que es titular se lleve a cabo mediante procedimientos que garanticen la reserva de su identidad, y (ii) la supresión de datos, es decir, el "derecho al olvido" o la caducidad del dato, garantía de conformidad con la cual ninguna información tiene vocación de perennidad, razón por la cual, una vez cumplida su finalidad o transcurrido el término previsto para su uso o verificada la ilegalidad del tratamiento o el desconocimiento de la finalidad, el titular puede solicitar su supresión. Por estas razones, la Defensoría solicita que se precise que el artículo 1º no tiene pretensiones taxativas.

2.3.2.2. La ciudadana Juanita Durán Vélez solicita la exequibilidad condicionada del artículo 1°, bajo el entendido que el ámbito del proyecto se circunscribe a datos de interés comercial, no íntimos ni privados que se encuentren circulando de manera transitoria.

2.3.2.3. El Ministerio Público no se pronunció al respecto.

2.3.3. Exequibilidad del artículo 1°: no debe hacerse una lectura taxativa de las garantías que enuncia

2.3.3.1. El artículo 1° señala que el proyecto de ley tiene tres propósitos: desarrollar (i) "(…) el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos", (ii) "(…) los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política", y (iii) "(…) el derecho a la información consagrado en el artículo 20 de la misma [la Constitución]".

2.3.3.2. En relación con el primer objetivo, la Sala encuentra que es plenamente compatible con el título del proyecto y su contenido, pues se trata del desarrollo del derecho fundamental al habeas data.

No obstante, la Sala precisa, como bien lo indica la Defensoría del Pueblo, que las garantías del habeas data enunciadas en este artículo no son las únicas que comprende el derecho. Ciertamente, del derecho al habeas data se desprenden no solamente las facultades de conocer, actualizar y rectificar las actuaciones que se hayan recogido sobre el titular, sino también otras como autorizar el tratamiento, incluir nuevos datos, o excluirlos o suprimirlos de una base de datos o archivo. Por tanto, si bien la disposición se ajusta a la Carta, no debe entenderse como una lista taxativa de las garantías adscritas al derecho.

2.3.3.3. Sobre el segundo y tercer objetivos, la Corte encuentra que son demasiado amplios si se comparan, por una parte, con el título del proyecto y el contenido del articulado y, por otra, con las garantías comprendidas en los artículos 15 y 20 superiores.

En efecto, el artículo 15 de la Carta reconoce tres derechos: (i) el derecho a la intimidad, (ii) el derecho al buen nombre y (iii) el derecho al habeas data.[156] La Sala observa que si bien el derecho al habeas data está estrechamente ligado con los derechos a la intimidad y al buen nombre, todos los anteriores son derechos con contenidos autónomos y diferentes. En este caso, la Sala encuentra que el proyecto solamente pretende desarrollar el habeas data y no los otros derechos, por lo que debe si bien la disposición no desconoce la Carta por ser amplia en este respecto, debe entenderse que solamente desarrolla indirectamente los derechos a la intimidad y al buen nombre, es decir, no puede considerarse una regulación comprensiva y sistemática de tales derechos.

Lo mismo ocurre con la mención del artículo 20 superior sobre el derecho a la información. Ciertamente, el derecho a la información, tanto en su dimensión activa y pasiva, es decir, el derecho a expresar y difundir información -incluidas las propias opiniones- y el derecho a recibir información veraz e imparcial, converge en algunos aspectos con el derecho al habeas data, en tanto, por ejemplo, (i) el derecho a la información puede recaer sobre datos personales y, (ii) en su faceta activa comprende el derecho a la rectificación que puede versar sobre datos personales. Sin embargo, el derecho a la información comprende todo tipo de datos, no solamente el dato personal, de ahí que deba concluirse que los dos derechos comprenden ámbitos de protección diferentes y que el proyecto de ley sujeto a revisión no desarrolla comprensivamente el derecho a la información.

En este punto también debe tenerse en cuenta que si bien el artículo 2 exceptúa de la aplicación de algunas de las disposiciones del proyecto a las bases de datos de contenido periodístico y editorial, como se desarrollará más adelante, tales bases deben sujetarse como mínimo a los principios previstos en el artículo 4, lo que significa que el derecho a la información sí es regulado en algunos aspectos por el proyecto.

En resumen, a juicio de la Sala, el proyecto de ley no pretende una regulación exhaustiva del derecho a la información; la regulación se limita al punto en que convergen o entran en tensión los derechos al habeas data y a la información. Bajo este entendimiento, pese a la amplitud del precepto, éste se ajusta al texto constitucional.

• 2.4. EXAMEN DEL ARTÍCULO 2: ÁMBITO DE APLICACIÓN

2.4.1. Texto de la disposición

"Artículo 2°. Ámbito de aplicación.Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

La presente ley aplicará al Tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

El régimen de protección de datos personales que se establece en la presente ley no será de aplicación:

a)A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico.

Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley.

b)A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.

c)A las bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia.

d)A las bases de datos y archivos de información periodística y otros contenidos editoriales.

e)A las bases de datos y archivos regulados por la Ley 1266 de 2008.

f)A las bases de datos y archivos regulados por la Ley 79 de 1993.

Parágrafo.Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley."

2.4.2. Intervenciones ciudadanas y concepto del Ministerio Público

2.4.2.1. La Defensoría del Pueblo solicita que se declare la exequibilidad condicionada del artículo 2°, bajo el entendido que el tratamiento de datos que se realiza en el marco de las actividades a que se refieren los literales b), c) y f) debe someterse a los principios de protección previstos en el proyecto, y que para verificar su apego a los mismos, la reserva de los datos no debe ser oponible al titular.

2.4.2.2. La Secretaría Jurídica de la Presidencia de la República solicita la inexequibilidad del parágrafo del artículo 2°, por las siguientes razones:

Asegura que una interpretación rigurosa de parágrafo podría dejar sin efectos las excepciones. Por ejemplo, en el caso de las bases de datos de inteligencia o contrainteligencia, sería complejo aplicar el principio de transparencia, pues podría llevar a que el titular del dato pudiera tener acceso a la información recaudada, en perjuicio de otros derechos y libertades. Por lo anterior, sostiene que se requiere hacer una diferenciación entre dos clases de excepciones que se encuentran dentro del proyecto: (i) la excepción relativa a información que nace del ejercicio de derechos personalísimos constitucionales, y (ii) la excepción referente a bases de datos reservadas o secretas; esta distinción pone de presente que las excepciones dependerán de la naturaleza de los datos, pues si esto no se tuviese en cuenta, se llegaría a atentar contra mecanismos de protección y defensa de la seguridad nacional.

Por otro lado, indica que se debe cuestionar si la incorporación del parágrafo atiende a la voluntad del legislador, ya que analizando el tramite, en un principio se tenían solo establecidas excepciones absolutas y luego, con la presentación de la ponencia para debate en la plenaria del Senado, se adicionó este parágrafo, lo que cambió todo el contexto de las excepciones.

Agrega que la aplicación de los principios del habeas data a los archivos o bases de datos que no circulan, ni salen de la esfera de la persona, arruinaría la autonomía, libertad personal, intimidad y el derecho a la reserva documentaria.

Finalmente, en lo que respecta a los archivos para la seguridad y los de naturaleza reservada, sostiene que la aplicación de los principios generales del habeas data configuraría un peligro y un daño constitucional, además de restarles toda eficacia.

2.4.2.3. ACEMI solicita la exequibilidad condicionada del artículo 2° en el sentido de que "se excluya del ámbito de su aplicación las bases de datos de afiliación del Sistema General de Seguridad Social en Salud y en general, del Sistema de la Protección Social". Expone las siguientes razones:

Sostiene que los individuos deben suministrar datos personales al Sistema General de Seguridad Social en Salud para poder afiliarse, ya sea al régimen contributivo o al régimen subsidiado, así como para acceder a la prestación efectiva de los servicios de salud. Recuerda, con sustento en el numeral 1º del artículo 15 de la Ley 100 de 1993 y el inciso 2 del artículo 25 del Decreto 806 de 1998, que la afiliación al Sistema es obligatoria, por lo que "el conocimiento y divulgación de esta información a [por] las entidades del sector salud y de pensiones, a diferencia de cualquier tipo de información que reposa en otras bases de datos, no es potestativa." Conforme a esto, considera que los datos requeridos por el Sistema para la afiliación no pueden ocultarse, en tanto la afiliación es una obligación legal, expresa, razonable y justificada, por lo que no debe hablarse del derecho a dar y conocer esa información, "sino de la obligación que tiene toda persona de darla con la finalidad legítima de acceder a la garantía de derechos fundamentales de mayor importancia".

Otra particularidad por la que considera que las bases de datos de las administradoras del Sistema de Seguridad Social en Salud son especiales, es porque la negativa a suministrar los datos, el reporte defectuoso o la imposibilidad de acceder a los datos obstruyen la prestación del servicio de salud en general. Por ejemplo, el no registro de novedades limita el ejercicio de derechos dentro del sistema. Además, el no suministro de información veraz y oportuna afecta la destinación de recursos para la prestación del servicio; es por ello que los administradores deben reportar mensualmente al Ministerio de la Protección Social la información sobre el estado de afiliación de las personas para efectos de garantizar la adecuada destinación de los recursos, mediante el control la doble afiliación y las situaciones de evasión y elusión.

Finalmente, sostiene que "(…) de no declararse la exequibilidad condicionada del (…) se crearían mecanismos de peticiones, consultas y reclamos más dispendiosos en el tiempo que en últimas abren las puertas para demorar 'injustificadamente' la efectividad de los derechos de los titulares de datos personales, en perjuicio de derechos de mayor preponderancia como el derecho a la seguridad social."

2.4.2.4. ASOBANCARIA solicita, en primer lugar, la exequibilidad condicionada del literal a), en el entendido que el régimen de protección de datos no se aplica a aquellos que circulan internamente, esto es, que no se suministran a terceros.

Sostiene que dada la redacción final del literal a), quien reciba un dato tendrá que asumir las obligaciones y cargas contenidas en el articulado para el tratamiento de la información. Aunque la Corte Constitucional ha reconocido que el derecho al hábeas data puede admitir restricciones siempre que sean adecuadas para la protección de otros derechos o bienes constitucionales como el derecho a la información, posibilitar que se impongan estás cargas de protección a información que no está sujeta a flujo, esto es, que no ha sido o no tiene vocación de ser suministrada a terceros, constituye un trato desproporcionado que rompe el equilibrio pretendido por la propia jurisprudencia entre los derechos de los titulares, de las fuentes de información, de los operadores de las bases de datos y de los usuarios.

Con respecto al aparte del literal a) que establece "[c]uando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al titular y solicitar su autorización", precisa que la redacción conduce a una disposición violatoria de los estándaresconstitucionales relacionados con el flujo de la información. En su criterio, esta redacción establece una restricción desproporcionada, ya que no distingue los tipos de datos que de acuerdo con la jurisprudencia no requieren autorización para su circulación, es decir, la norma no diferencia entre datos públicos, privados, semiprivados y reservados, ni entre información personal e impersonal. De modo que, a menos que la Corte determine que la norma es constitucional en el entendido que no se aplica a datos de carácter público, ni a los establecidos en el numeral 1.4 del artículo 6 de la Ley 1266 de 2008, considera que debe ser declarada inexequible.

En segundo lugar, en relación con el parágrafo, manifiesta que la aplicación de los principios establecidos en el proyecto a las excepciones configura una carga excesiva que podría desconocer derechos y principios constitucionales como el derecho a la información, la libertad de prensa y/o el derecho a acceder a documentos públicos.

Agrega que el parágrafo no respeta la especificidad de la regulación de la Ley 1266 de 2008, cuando establece: "[e]n el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley". De modo que -a juicio de ASOANCARIA- el proyecto desconoce que el legislador estatutario "contempló el diseño de dispositivos normativos dirigidos a asegurar la especificidad y la naturaleza del campo donde se aplicarían las disposiciones correspondientes a los diferentes escenarios donde es posible reivindicar el respeto del derecho al habeas data, como ocurrió con la Ley 1266 de 2008, diseñada específicamente para establecer disposiciones generales del hábeas data para ser aplicadas en el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países". Concluye que desconocer esta especificidad, al exigir la aplicación de principios generales de manera "concurrente", configura un vicio de fondo.

2.4.2.5. El profesor Nelson Remolina de la Universidad de los Andes solicita, en primer lugar, declarar exequible el inciso primero, bajo el entendido que el proyecto no sólo es aplicable al tratamiento de datos personales contenidos en bases de datos, sino también en archivos de entidades públicas y privadas. En su sentir, es importante que la Corte Constitucional se pronuncie sobre este punto no sólo porque el artículo 15 menciona explícitamente los archivos sino porque no toda base de datos es un archivo ni viceversa. Se trata de figuras diferentes que en algunos casos pueden coincidir, pero no necesariamente. Agrega que en todo caso frente a las dos figuras, y no sólo respecto de las bases de datos, es procedente el ejercicio del derecho fundamental al habeas data.

En segundo lugar, solicita declarar exequibles los literales a), b), c), d) y f), bajo el entendido que los tratamientos exceptuados, así como las normas previas y posteriores a la expedición de la ley estatutaria general, deben respetar y garantizar los elementos del núcleo esencial del derecho al habeas data.

En tercer lugar, solicita declarar exequible el parágrafo junto con el artículo 27, (i) bajo el entendido que las leyes y actos administrativos especiales sobre datos personales emitidos antes de que se profiera la nueva ley deben ajustarse, revisarse y actualizarse de manera que sean consistentes con los principios y reglas generales contenidos en el proyecto y con la jurisprudencia de la Corte Constitucional; y (ii) bajo el entendido que las leyes y actos administrativos especiales sobre datos personales emitidos con posterioridad a que se profiera la nueva ley, deben respetar e incorporar los principios y reglas generales contenidos en el proyecto y la jurisprudencia constitucional.

2.4.2.6. La ciudadana Juanita Durán Vélez solicita la inexequibilidad del parágrafo o, en su defecto, su exequibilidad condicionada, en el entendido que los principios solo se aplican concurrentemente ante un vacío en la regulación especial adoptada por el legislador estatutario.

2.4.2.7. El ciudadano Santiago Diazgranados Mesa solicita la exequibilidad condicionada del literal a), para que se entienda que incluye los datos personales que "circulan internamente, esto es, que no se suministran a otras personas jurídicas o naturales".

2.4.3. Exequibilidad del inciso primero: condiciones que definen el ámbito de aplicación de la ley

El inciso primero del artículo 2 establece tres condiciones para la aplicación de la ley: (i) la existencia de datos personales (ii) registrados en una base de datos que los haga susceptibles de tratamiento (iii) por entidades públicas o privadas.

2.4.3.1. En relación con la primera condición, la Sala estima que se ajusta a la Carta, teniendo en cuenta, en primer lugar, que el objeto del derecho al habeas data es la protección de los datos personales y, en segundo lugar, que efectivamente el proyecto contiene regulaciones generales dirigidas a la protección de todo tipo de dato personal. Por tanto, esta condición guarda relación con la unidad temática del proyecto.

2.4.3.2. En relación con la segunda condición, uno de los intervinientes solicita que sea declarada exequible siempre y cuando se entienda que comprende los archivos en virtud del texto del artículo 15 superior, según el cual el habeas data comprende el "(…) derecho [de las personas] a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas." En criterio del interviniente, los archivos son espacios diferentes a las bases de datos, pero tienen en común que pueden contener datos personales susceptibles de ser tratados de alguna manera.[157]

Para la Sala, la preocupación del ciudadano es muy importante, pues ciertamente los archivos contienen datos personales susceptibles de ser tratados y, por tanto, que requieren medidas de protección; sin embargo, la Sala observa que los archivos sí hacen parte del ámbito de aplicación de la ley, por las siguientes razones:

El artículo 3 del proyecto define las base de datos de una manera muy amplia como el "[c]onjunto organizado de datos personales que sea objeto de Tratamiento". El tratamiento, por su parte, es definido como "[c]cualquier operación o conjunto de operaciones sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión".

El proyecto no contiene una definición de archivo; sin embargo, éste es definido por la Real Academia de la Lengua como el "[c]onjunto ordenado de documentos que una persona, una sociedad, una institución, etc., producen en el ejercicio de sus funciones o actividades"o como el "[l]ugar donde se custodian uno o varios archivos." Los archivos también son definidos por la Ley 594 de 2000 "por medio de la cual se dicta la Ley General de Archivos y se dictan otras disposiciones", como el "[c]onjunto de documentos, sea cual fuere su fecha, forma y soporte material, acumulados en un proceso natural por una persona o entidad pública o privada, en el transcurso de su gestión, conservados respetando aquel orden para servir como testimonio e información a la persona o institución que los produce y a los ciudadanos, o como fuentes de la historia (…)"(artículo 3). Finalmente, los archivos también han sido conceptualizados por esta Corporación así:"(…) un conjunto orgánico de documentos, unidos por un vínculo originario o de procedencia, que sirven para recuperar con agilidad y en tiempo oportuno toda la información almacenada por una oficina o institución en el curso de su actividad.".[158]

De acuerdo con estas definiciones, los archivos -para efectos exclusivamente del proyecto-, en tanto son (i) depósitos ordenados de datos, incluidos datos personales, y (ii) suponen, como mínimo, que los datos han sido recolectados, almacenados y, eventualmente, usados- modalidades de tratamiento, son una especie de base de datos que contiene datos personales susceptibles de ser tratados y, en consecuencia, serán cobijados por la ley una vez entre en vigencia.

Esta parece además haber sido la intención del legislador estatutario, toda vez que varios artículos del proyecto se refieren a los archivos (i) como sinónimos de bases de datos o modalidades del mismo género al que pertenecen las bases de datos, y (ii) como ámbitos a los que son aplicables las regulaciones del proyecto. Por ejemplo, el literal a) del inciso tercero del artículo 2 dispone que uno de los casos exceptuados de la aplicación de algunas regulaciones de la ley son "(…) las bases de datos o archivos mantenidos en un ámbito excluidamente personal o doméstico." En tanto -como se verá más adelante- las hipótesis del artículo 3 no están exceptuadas de la aplicación de los principios, los archivos mantenidos en un ámbito exclusivamente personal o doméstico son cobijados por lo menos por el artículo 4 del proyecto. Lo mismo se puede concluir de los archivos "(…) que tengan por finalidad la seguridad y defensa nacional"y de los archivos "(…) de información periodística y otros contenidos editoriales", previstos en los literal b) y d), respectivamente, del inciso tercero del artículo 3, es decir, a tales archivos se aplican los principios del artículo 4.

Vale la pena mencionar que si bien la definición de base de datos que trae el proyecto puede diferir del uso común del término, no por ello es inconstitucional, pues el legislador goza de discrecionalidad para hacer clasificaciones y fijar definiciones, como ocurrió en este caso.

En este orden de ideas, teniendo en cuenta que el concepto de bases de datos es suficientemente amplio para cobijar los archivos, la Sala concluye que la segunda condición es exequible.

2.4.3.3. Por último, respecto de la tercera condición -posibilidad de tratamiento de los datos por entidades públicas o privadas, para la Sala surge la duda de si el empleo del término entidades supone una restricción inconstitucional, pues podría limitar el ámbito de aplicación a datos personales susceptibles de ser tratados solamente por personas jurídicas, lo que excluiría los casos de tratamiento por personas naturales.

Sin embargo, la Sala observa que el término entidad tienen varias acepciones, una de la cuales incluye a las personas naturales. En efecto, según el Diccionario de la Real Academia de la Lengua, una entidad puede ser una "[c]olectividad considerada como unidad. Especialmente, cualquier corporación, compañía, institución, etc., tomada como persona jurídica", pero también puede ser un "[e]nte o ser"; esta segunda definición -más amplia- cobija a las personas naturales.

Así, en atención a los principios de interpretación conforme a la Constitución y de conservación del derecho, la Sala concluye que debe entenderse -sin necesidad de condicionar la exequibilidad del precepto-que la interpretación del inciso que se ajusta a la Carta es aquella según el cual el término entidades comprende tanto las personas natrales como jurídicas. De modo que así entendida la condición, la Sala también concluye que es compatible con la Carta, pues cobija las hipótesis necesarias para que el proyecto cumpla su finalidad de brindar protección a lo datos personales.

Para terminar, resalta la Sala la importancia de esta disposición, en tanto reconoce que el tratamiento de datos personales también puede ser efectuado por personas privadas; de hecho, en el mundo globalizado, el sector privado lleva a cabo una parte muy considerable del tratamiento de datos, lo que lo dota de un poder informático a gran escala y lo convierte en un potencial vulnerador del derecho al habeas data. De ahí que uno de los grandes retos de la protección de los datos personales es la creación de mecanismos para hacer responsables a los particulares por el tratamiento inadecuado y abusivo de datos personales.

2.4.4. Exequibilidad del inciso segundo: ámbito de aplicación territorial y subjetivo

El inciso segundo indica que la ley se aplicará al tratamiento de datos personales (i) efectuado en el territorio colombiano o (ii) que tiene lugar fuera del territorio, pero es llevado a cabo por un responsable o encargado del tratamiento al que le es aplicable la legislación colombiana en virtud de normas y tratados internacionales.

Para la Sala, esta disposición se ajusta a la Carta, pues amplía el ámbito de protección a algunos tratamientos de datos personales que ocurren fuera del territorio nacional, en virtud del factor subjetivo. En un mundo globalizado en el que el flujo transfronterizo de datos es constante, la aplicación extraterritorial de los estándares de protección es indispensable para garantizar la protección adecuada de los datos personales de los residentes en Colombia, pues muchos de los tratamientos, en virtud de las nuevas tecnologías, ocurren precisamente fuera de las fronteras. Por tanto, para la Sala se trata de una medida imperiosa para garantizar el derecho al habeas data. Esta disposición debe además leerse en conjunto con los artículos sobre transferencia de datos a terceros países, de los cuales se ocupará la Sala más adelante.

2.4.5. Exequibilidad del inciso tercero y del parágrafo: casos exceptuados

2.4.5.1. Interpretación de los preceptos

El inciso tercero señala que el régimen de protección del proyecto de ley "no será de aplicación" a los siguientes ámbitos: a) bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico; b) bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control de lavado de activos y financiamiento del terrorismo; c) bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia; d) bases de datos y archivos de información periodística y otros contenidos editoriales; e) bases de datos y archivos regulados por la Ley 1266 de 2008 -datos financieros y comerciales para calcular riesgo crediticio; y f) bases de datos y archivos regulados por la Ley 79 de 1993 -información estadística.

Además, el parágrafo precisa que los principios de protección contenidos en el proyecto "(…) serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal." También dispone que los principios que se establezcan en la normativa que regule los datos exceptuados, se deberán aplicar de manera concurrente con los estipulados en el proyecto.

Una lectura conjunta del inciso tercero y del parágrafo permite concluir que el primero prevé una serie de casos exceptuados de las reglas del proyecto de ley, debido a que requieren reglas especiales, como las que se introdujeron en la Ley 1266 para datos personales financieros y comerciales destinados a calcular el riesgo crediticio. Estas hipótesis requieren una regulación especial, por cuanto son ámbitos en los que existe una fuerte tensión entre el derecho al habeas data y otros principios constitucionales (como el derecho a la información, la seguridad nacional y el orden público), tensión que para ser resuelta requiere reglas especiales y complementarias. Sin embargo, de conformidad con la primera parte del parágrafo, estas hipótesis no están exceptuadas de los principios, como garantías mínimas de protección del habeas data. En otras palabras, las hipótesis enunciadas en el inciso tercero son casos exceptuados -no excluidos- de la aplicación de las disposiciones de la ley, en virtud del tipo de intereses involucrados en cada uno y que ameritan una regulación especial y complementaria, salvo respecto de las disposiciones que tienen que ver con los principios. Varias razones soportan esta interpretación:

En primer lugar, como se indicó en el informe de ponencia para segundo debate en Senado, este parágrafo se introdujo con el fin de precisar que el artículo 2 no introduce un régimen de exclusión sino de excepción para ámbitos que requieren regulaciones especiales, pero a los que le son aplicables los principios generales contenidos en el proyecto de ley. Al respecto, se indicó:

"La inclusión del parágrafo obedece a que sin importar la finalidad que tenga la base de datos, mientras esta contenga información y datos personales se deberá respetar los principios generales que regulan el tratamiento y protección de datos; así lo ha sostenido en reiteradas ocasiones la Corte Constitucional al enunciar el desarrollo y alcance que deben tener los principios que regulan el tema de la protección de la información. Una legislación unificada y clara sobre el tema en desarrollo se hace completamente necesaria respondiendo siempre a los principios de necesidad y proporcionalidad, motivo por el cual pretender dejar bases de datos sin que les sea aplicable los principios de la administración de datos, solo debería hacerse en respuesta a un estudio particular de cada caso que sobre fundamentos verídicos y con argumentación suficiente que permita, a través del test de razonabilidad, decidir y motivar por qué no se aplicarán los principios básicos que desarrolla un derecho fundamental, basta con analizar desde la óptica de la Corte los principios de libertad, necesidad, veracidad, integridad, finalidad. Y su importancia en el desarrollo del derecho fundamental al Hábeas Data, la protección de datos personales y la autodeterminación informática."

En segundo lugar, desde el punto de vista teleológico, estos preceptos deben interpretarse dentro del propósito del proyecto de ley: introducir en el ordenamiento una serie de principios básicos aplicables al tratamiento de todos los datos personales, independientemente de su clasificación, lo que es incompatible con la existencia de regímenes excluidos.

En tercer lugar, y como se analizará más adelante, las garantías previstas en el articulo 4 son principios que ya habían sido recogidos por la jurisprudencia constitucional como garantías derivadas del derecho fundamental al habeas data y, por tanto, incluso en ausencia de una ley que lo disponga, son de aplicación obligatoria al tratamiento de todo tipo de dato personal.

En consecuencia, una interpretación del inciso tercero del artículo 2 consonante con la Constitución y el contenido y finalidad del proyecto de ley es que aquél no prevé regímenes excluidos de la aplicación de la ley sino exceptuados de algunas de sus disposiciones en virtud de los intereses que se hallan en tensión. Esos casos exceptuados deben ser regulados por leyes estatutarias especiales y complementarias, las cuales deberán sujetarse a las exigencias del principio de proporcionalidad.

En este orden de ideas, las leyes especiales que se ocupen de los ámbitos exceptuados deberán (i) perseguir una finalidad constitucional, (ii) prever medios idóneos para lograr tal objetivo, y (iii) establecer una regulación que en aras de la finalidad perseguida, no sacrifique de manera irrazonable otros derechos constitucionales, particularmente el derecho al habeas data. Además, de conformidad con los principios que se examinarán más adelante, el cumplimiento de las garantías y la limitación del habeas data dentro de los límites de la proporcionalidad debe ser vigilada y controlada por un órgano independiente, bien sea común o sectorial.

Antes de terminar, tal como se hizo en la sentencia C-1011 de 2008[159], la Sala se permite recordar que aunque en principio es constitucional la consagración de algunas excepciones a la aplicación de algunas disposiciones de la ley, ello no significa que aquellos ámbitos, así como todos los demás en los que se lleva a cabo tratamiento de datos personales, estén excluidos de las garantías básicas del derecho al habeas data, así como de las garantías de otros derechos fundamentales que en cada caso puedan resultar lesionados con el tratamiento de datos personales.[160]

2.4.5.2. Las excepciones efectivamente son previstas por la ley, como lo exige la Constitución, y deben ser interpretadas de manera restrictiva

El Comité de Derechos Humanos, en su Observación General 16 sobre el artículo 17 del PIDCP -sobre el derecho a la intimidad, indicó que "(…) no puede producirse injerencia alguna, salvo en los casos previstos por la ley. La injerencia autorizada por los Estados sólo puede tener lugar en virtud de la ley, que a su vez debe conformarse a las disposiciones, propósitos y objetivos del Pacto" (negrilla fuera del texto)[161]. De esta afirmación se sigue, como ha también indicado esta Corporación, que, en principio, las excepciones a la aplicación de las garantías de los derechos fundamentales, en este caso del derecho al habeas data, deben estar previstas en la ley, como efectivamente lo hace el proyecto bajo examen. Ciertamente, a juicio de esta Corporación, en tanto tales excepciones son una fuerte limitación de los derechos, es un asunto que corresponde regular al legislador estatutario.[162] Además, las excepciones que se introduzcan, aunque estén contenidas en una ley, deben sujetarse a las exigencias del principio de proporcionalidad.[163]

El Comité de Derechos Humanos también ha indicado que "[i]ncluso con respecto a las injerencias que sean conformes al Pacto, en la legislación pertinente se deben especificar con detalle las circunstancias precisas en que podrán autorizarse esas injerencias.". De ahí la necesidad de que las excepciones previstas en este artículo sean desarrolladas por el legislador estatutario en otras leyes, en las que precise las condiciones en las que debe aplicarse el régimen excepcional.

Finalmente, el Comité asegura que "[e]l cumplimiento del artículo 17 exige que la integridad y el carácter confidencial de la correspondencia estén protegidos de jure y de facto. La correspondencia debe ser entregada al destinatario sin ser interceptada ni abierta o leída de otro modo. Debe prohibirse la vigilancia, por medios electrónicos o de otra índole, la intervención de las comunicaciones telefónicas, telegráficas o de otro tipo, así como la intervención y grabación de conversaciones. Los registros en el domicilio de una persona deben limitarse a la búsqueda de pruebas necesarias y no debe permitirse que constituyan unhostigamiento." Es decir, las excepciones previstas en este artículo deben, en todo caso, cumplir con las anteriores prohibiciones.

2.4.5.3. Constitucionalidad del literal a): la excepción "las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico".

El literal a) ofrece tres contenidos normativos: (i) señala que uno de los casos exceptuados de la reglas del proyecto es el de "las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico".(ii) A continuación, indica que "cuando estas bases de datos vayan a ser suministradas a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización." Por último, (iii) precisa que en este último caso, es decir, cuando los datos son suministrados a un tercero, el respetivo responsable o encargado de las bases de datos y archivos quedará sujeto a las disposiciones de la ley.

2.4.5.3.1. En relación con el primer contenido normativo, uno de los intervinientes asegura que la excepción debe cobijar todo dato que circula internamente, es decir, no solamente a nivel personal y doméstico, sino también, por ejemplo, a nivel de una empresa, y entiende que lo que delimita la circulación interna es el tratamiento del dato sin la intención de suministrarlo a terceros. La Sala, por el contrario, encuentra que la regla, tal cual está redactada en el proyecto, es compatible con la Constitución y que la Corte no puede extender el ámbito de la excepción a hipótesis que no fueron previstas por el legislador, por las razones que a continuación se exponen:

El primer contenido normativo del literal a) tiene tres elementos: (i) hace referencia a datos personales, (ii) contenidos en bases de datos (iii) "mantenidos en un ámbito exclusivamente personal o doméstico". El último elemento, que es el cuestionado por el interviniente, se refiere al ámbito de la intimidad de las personas naturales; ciertamente, los ámbitos personal y doméstico son las esferas con las que tradicionalmente ha estado ligado el derecho a la intimidad, el cual, en tanto se relaciona con la posibilidad de autodeterminación como un elemento de la dignidad humana, no puede predicarse de las personas jurídicas. Por tanto, esta excepción busca resolver la tensión entre el derecho a la intimidad y el derecho al habeas data.

Así, en tanto los datos mantenidos en estas esferas (i) no están destinados a la circulación ni a la divulgación, y (ii) su tratamiento tampoco puede dar lugar a consecuencias adversas para el titular, tiene sentido que su tratamiento esté exceptuado de algunas disposiciones del proyecto. Por ejemplo, no sería razonable que la protección de los datos personales mantenidos en estos ámbitos (por ejemplo, un directorio telefónico doméstico) estuviera a cargo de la Superintendencia de Industria y Comercio o que quien trata los datos estuviera sometido al régimen sancionatorio que prevé el proyecto.

Ahora bien, no puede entenderse que el primer contenido normativo del literal a) se extienda al tratamiento de cualquier dato cuando circule internamente, como pretende ASOBANCARIA. En primer lugar, si bien es cierto una de las razones por las cuales la excepción del literal a) es razonable es porque los datos "mantenidos en un ámbito exclusivamente personal o doméstico" no están destinados a circular, de ahí no se sigue que todo dato que no circula o circula internamente deba ser exceptuado, pues para que opere la excepción, por voluntad del legislador, se requiere además que los datos sean mantenidos por una persona natural en su esfera íntima. Ciertamente, se trata de dos hipótesis diferentes, razón por la cual, por ejemplo, en el texto de la Ley 1266, si bien fueron tratadas conjuntamente, fueron unidas por la conjunción "y", lo que significa que son dos ideas distintas.[164]

En segundo lugar, no hay razones para concluir que, en el contexto de una regulación general y mínima del habeas data[165], el tratamiento de datos que circulan internamente merezca las mismas consecuencias jurídicas del tratamiento de datos "mantenidos en un ámbito exclusivamente personal o doméstico"; en otras palabras, no hay argumentos constitucionales que lleven a concluir que las dos hipótesis deben recibir el mismo trato legal. El que los datos no circulen o circulen internamente, no asegura que su tratamiento no pueda tener consecuencias adversas para su titular. Piénsese por ejemplo en las hojas de vida de los empleados de una empresa mantenidas en el ámbito interno; si bien no van a ser divulgadas a terceros, su tratamiento y circulación interna sí puede traer consecuencias negativas para el titular del dato (por ejemplo, en términos sancionatorios o de ascensos), razón por la cual deben estar sujetas a las reglas generales que consagra el proyecto de ley.

En este orden de ideas, siempre y cuando se cumplan las condiciones mencionadas previamente y se entienda que, en todo caso, esta hipótesis sí se encuentra sujeta a los principios del artículo 4, para la Sala la excepción prevista en la primera regla del literal a) se ajusta a la Carta.

2.4.5.3.2. En relación con el segundo contenido normativo, este es que "cuando estas bases de datos vayan a ser suministradas a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización", la Sala encuentra que no solamente es compatible con la Constitución, sino que es desarrollo del principio de libertad -cuyo contenido será examinado más adelante, con mayor razón si se tiene en cuenta que al salir de la esfera personal o doméstica, la circulación de los datos pueden empezar a crear riesgos sobre los derechos de los titulares.

2.4.5.3.3. Por último, la Sala estima que el tercer contenido normativo según el cual "[e]n este caso los Responsables y Encargados de las bases de datos y los archivos quedarán sujetos a las disposiciones contenidas en la presente ley", no solo es compatible con la Carta, sino que es una manifestación del principio de responsabilidad. La Sala observa que cuando los datos que eran mantenidos en la esfera personal o doméstica son puestos en circulación externa, se crea un riesgo para el titular, lo que justifica que el encargado y responsable del tratamiento deban someterse a las reglas de responsabilidad que prevé el proyecto, con la finalidad de evitar posibles abusos. La Sala entonces declarará exequible también esta parte del literal a).

2.4.5.4. Constitucionalidad del literal b): la excepción "las bases de datos o archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo"

2.4.5.4.1. Como se indicó en la sentencia C-251 de 2002[166], "[u]na de las finalidades básicas de las autoridades colombianas es la defensa de la integridad nacional y la preservación del orden público y de la convivencia pacífica, no sólo porque así lo establece expresamente el artículo 2º de la Carta, sino además porque esos elementos son condiciones materiales para que las personas puedan gozar de sus derechos y libertades".

Las labores de defensa y seguridad, a diferencia de las de inteligencia y contrainteligencia -como se verá más adelante- tienen lugar con ocasión de la existencia de amenazas actuales y graves contra el orden público y la soberanía, y solamente pueden ser ejecutadas por la Fuerza Pública.[167]

Amenazas de tal magnitud justifican el tratamiento de datos personales para los propósitos de defensa y seguridad nacional; es más, esta Corporación ha indicado que el tratamiento de datos personales para esos propósitos "(…) es un elemento importante para el logro de sus fines constitucionales de mantenimiento del orden constitucional y de las condiciones necesarias para el ejercicio adecuado de los derechos y libertades previstos en la Carta"[168], es decir, se trata de una herramienta importante de la que disponen las autoridades para cumplir sus funciones de defensa.

Sin embargo, como lo ha indicado esta Corporación, la defensa del orden público y de la integridad de la soberanía no pueden servir de excusa para desconocer las garantías básicas del estado social de derecho e implementar un estado totalitario en el que las personas se conviertan en objetos al servicio del Estado.[169] Por ello, toda labor de seguridad y defensa nacional debe ser compatible con la dignidad y los derechos fundamentales de las personas que puedan resultar afectadas. En este orden de ideas, la Sala reitera que el tratamiento de datos personales con estas finalidades debe sujetarse de manera estricta a las exigencias del principio de proporcionalidad.

2.4.5.4.2. Consideraciones similares deben realizarse para las excepciones de "prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo", pues tanto el lavado de activos como el terrorismo son amenazas importantes contra la seguridad y el orden público.

Por ejemplo, en la sentencia C-537 de 2008[170], la Corte reconoció que el delito de terrorismo conlleva una grave afectación "(…) de derechos y libertades de primer orden, lo que impone la obligatoriedad para el Estado de establecer medidas suficientes y eficaces, tanto en el ámbito internacional como del derecho interno, para prevenir, combatir y sancionar esas conductas." Dada la gravedad del delito, la Corte agregó que "(…) las decisiones que adopte el legislador dirigidas a implementar medidas para la prevención, represión y sanción del terrorismo son prima facie armónicas con el Estatuto Superior."[171] La Sala también observa que la adopción de medidas para combatir efectivamente el terrorismo es una obligación internacional del Estado colombiano derivada de instrumentos tales como el Convenio Internacional para la Represión de los Atentados Terroristas Cometidos con Bombas, el Convenio Internacional para la Represión de la Financiación del Terrorismo y la Convención Interamericana contra el Terrorismo, todos ratificados por Colombia y sus leyes aprobatorias declaradas exequibles por esta Corporación.

En materia de lavado de activos, la Corte ha señalado que el establecimiento de medidas para prevenir y sancionar esta conducta es un aspecto inseparable del éxito de las medidas para la represión del crimen organizado. Además, ha reconocido que dada la sofisticación de las redes dedicadas a este delito y su naturaleza transfronteriza, se requieren medidas especiales y el uso de la tecnología.[172]

En este orden de ideas, dada la entidad de la amenaza que para el orden constitucional representan las conductas delictivas de terrorismo y lavado de activos, la Corte considera razonable que el tratamiento de datos para su prevención, detección, monitoreo y control sea exceptuado de la aplicación del proyecto bajo revisión, salvo en materia de principios.[173]

2.4.5.5. Constitucionalidad del literal c): la excepción "las bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia"

En informe de ponencia para segundo debate en el Senado[174], se propuso la inclusión del literal c), por las siguientes razones:

"El nuevo literal d) se incluye dado a que si bien se sostiene en el literal c) del mismo artículo una descripción de bases de datos relacionadas con el tema de seguridad del Estado, es bien sabido que el tema de inteligencia y contrainteligencia debe tratarse con sumo cuidado ya que aunque guarda estrecha relación con la seguridad del Estado, su manejo y fines son autónomos, motivo por el cual y respetando la jurisprudencia vigente se prefiere identificar de manera clara la exclusión condicionada de este tipo de bases de datos."

La jurisprudencia constitucional ha indicado que la inteligencia y contrainteligencia, pese a que se relacionan con la seguridad nacional y la defensa, son conceptos distintos que ameritan una regulación especial y diferente.

Como se señaló en la sentencia C-592 de 1997[175], el término inteligencia es definido por la Real Academia de la Lengua Española como una"[o]rganización secreta en un Estado para dirigir y organizar el espionaje". Esta actividad, por tanto, está reservada para los organismos del Estado y no se puede delegar por razones de seguridad nacional.

Más recientemente, en la sentencia C-913 de 2010[176], la Corte recordó que los términos inteligencia y contrainteligencia tienen la siguiente definición: "(…) el Diccionario de la Real Academia de la Lengua Española menciona dentro de las distintas acepciones del término inteligencia, el 'trato y correspondencia secreta de dos o más personas o naciones entre sí', y más adelante sugiere el concepto de servicio de inteligencia, el cual es definido como una 'organización secreta de un Estado para dirigir y organizar el espionaje'. De otro lado, en lo que respecta a la contrainteligencia, se remite al concepto de contraespionaje, que se define como un 'servicio de defensa de un país contra el espionaje de potencias extranjeras'."

Luego, a partir de estas definiciones y de un sondeo de definiciones adoptadas en otras legislaciones, la Corte concluyó que estas labores tienen las siguientes características:

"De los anteriores conceptos pueden destacarse, entre otros, los siguientes elementos comunes acerca de las labores de inteligencia y contrainteligencia: i) se trata de actividades de acopio, recopilación, clasificación y circulación de información relevante para el logro de objetivos relacionados con la seguridad del Estado y de sus ciudadanos; ii) el propósito de esas actividades y el de la información a que se ha hecho referencia es prevenir, controlar y neutralizar situaciones que pongan en peligro tales intereses legítimos, así como hacer posible la toma de decisiones estratégicas que permitan la defensa y/o avance de los mismos; iii) es inherente a estas actividades el elemento de la reserva o secreto de la información recaudada y de las decisiones que en ella se sustentan, dado que la libre circulación y el público conocimiento de las mismas podría ocasionar el fracaso de esas operaciones y de los objetivos perseguidos; iv) dado que se trata de detectar y prevenir posibles hechos ilícitos y/o actuaciones criminales, la información de inteligencia y contrainteligencia es normalmente recaudada y circulada sin el conocimiento, ni menos aún el consentimiento de las personas concernidas."

A esto cabe agregar que (i) la inteligencia tiene una función preventiva, lo que significa que, en principio, los datos personales que son tratados con este propósito no pueden servir para la privación de la libertad de las personas. Además, (ii) este tipo de labores solamente se puede realizar para prevenir atentados contra bienes jurídicos de alta importancia - como el orden público y la soberanía nacional, de manera que no puede emplearse como herramienta de prevención de crímenes menores y de incidencia netamente individual. (iii) Por último, las actividades de inteligencia y contrainteligencia pueden realizarse hasta la comisión o tentativa de comisión de un hecho punible; en este punto, es obligación de los entes de inteligencia poner el asunto en conocimiento de las autoridades judiciales y de policía, para que, en el marco de un proceso penal, con respeto del principio de presunción de inocencia y previo recaudo de la evidencia según los parámetros legales y constitucionales, adopten las medidas del caso.

Por tanto, la inteligencia y la contrainteligencia deben ser vistas como herramientas al servicio del Estado social de derecho y no como fines en sí mismos, lo que explica que deban sujetarse de manera estricta a las exigencias del principio de proporcionalidad. Entendidas de esta manera, excepcionar de la aplicación de las disposiciones del proyecto al tratamiento de datos que tiene lugar con ocasión de actividades de inteligencia y contrainteligencia no resulta inconstitucional, pues se trata de labores importantes para mantener el orden público y la integridad de las fronteras nacionales.[177]

Ahora bien, en virtud de la jurisprudencia constitucional y los estándares internacionales de protección de derechos humanos, los cuales además se desprenden de las exigencias del principio de proporcionalidad que debe guiar cualquier limitación de un derecho fundamental, la regulación especial que se introduzca en materia de inteligencia y contrainteligencia deberá ceñirse a las siguientes pautas:[178](i) el tratamiento de datos personales para estas labores debe estar justificada en una amenaza seria, real e inminente contra la seguridad nacional y el orden público; (ii) los datos objeto de tratamiento para estos fines no pueden ser revelados sino hasta que se dé inicio al proceso penal[179] y, en todo caso, no pueden tener valor probatorio en su interior. La revelación de esta información sin una debida justificación acarrea responsabilidad penal.[180](iii) No se pueden deducir consecuencias adversas para el titular del dato de los informes de inteligencia y contrainteligencia, por ejemplo en materia de acceso a ciertos cargos públicos, a menos que previamente se informe al titular la información que ha sido recaudadas y se le brinde oportunidad de controvertir las conclusiones de los respetivos informes.

Estas mayores exigencias que existen en comparación con, por ejemplo, las limitaciones a las que se ve expuesto el habeas data en un proceso judicial, se explican en que (i) a diferencia de lo que ocurre en los procesos judiciales, en materia de inteligencia y contrainteligencia no existen mecanismos procesales para asegurar los derechos del titular ni tampoco existe una función de verificación por una autoridad jurisdiccional que, además de ser imparcial e independiente, tenga como uno de sus funciones velar por la garantía de los derechos fundamentales de las partes; y (ii) cuando se realizan labores de inteligencia y contrainteligencia, los titulares de los datos no llegan a conocer que están siendo vigilados sino hasta el momento que, por ejemplo, se pretende adjudicar una consecuencia adversa a la información recaudada, de hecho en muchos eventos el titular del dato nunca se entera de que su información fue objeto de tratamiento por organismos de inteligencia y contrainteligencia.[181]

2.4.5.6. Constitucionalidad del literal d): la excepción de "datos y archivos de información periodística y otros contenidos editoriales"

Esta restricción es necesaria en la medida en que a través de ella se está asegurando el respeto a la libertad de prensa. La jurisprudencia ha sido enfática en señalar que el "ámbito de protección de la libertad de expresión en sentido genérico consagrada en el artículo 20 Superior, es la libertad de prensa, que se refiere no solo a los medios impresos sino a todos los medios masivos de comunicación.".

La jurisprudencia constitucional ha otorgado una protección reforzada a la libertad de expresión, en virtud del importante papel que esta garantía desempeña en una democracia participativa. Ha dicho la Corte que aquella, a semejanza de los demás derechos, no es absoluta, es decir, puede eventualmente estar sujeta a limitaciones, adoptadas legalmente para preservar otros derechos, valores e intereses constitucionalmente protegidos con los cuales puede llegar a entrar en conflicto. Sin embargo, "el carácter privilegiado de la libertad de expresión tiene como efecto directo la generación de una serie de presunciones constitucionales - la presunción de cobertura de toda expresión por el ámbito de protección constitucional, la sospecha de inconstitucionalidad de toda limitación de la libertad de expresión, la presunción de primacía de la libertad de expresión sobre otros derechos, valores o intereses constitucionales con los cuales pueda llegar a entrar en conflicto y la presunción de que los controles al contenido de las expresiones constituyen censura."

Por otro lado, por mandato expreso del artículo 13-2 de la Convención Americana de Derechos Humanos, el ejercicio del derecho a la libertad de expresión "no puede estar sujeto a previa censura sino a responsabilidades ulteriores". Esta misma Convención señala que la única excepción a esta regla es la establecida en el numeral 4 del mismo artículo, que se refiere al sometimiento de espectáculos públicos a clasificaciones "con el exclusivo objeto de regular el acceso a ellos para la protección moral de la infancia y la adolescencia". De esta forma, en Colombia son inadmisibles todas las formas de limitación previa a la expresión, salvo por la posibilidad de establecer normas legales que regulen el acceso de menores de 18 años a espectáculos públicos.

En virtud de tal postulado, en la Sentencia T-391 de 2007[182], se dijo que la prohibición de la censura, también consagrada en el artículo 20 Superior, es absoluta y, por tanto, se encuentra prohibido "el control previo de lo que se va a expresar y el veto de ciertos contenidos expresivos antes de que la información, opinión, idea, pensamiento o imagen sea difundida, impidiendo tanto al individuo, cuya expresión ha sido censurada, como a la totalidad de la sociedad potencialmente receptora del mensaje censurado ejercer su derecho a la libertad de expresión. La prohibición constitucional e internacional de la censura es absoluta. Dice el artículo 20 Superior, en términos tajantes, que "No habrá censura."-, y no deja margen de regulación al legislador ni admite interpretaciones que reduzcan su alcance. La prohibición de la censura se establece en el artículo 20 de la Carta de manera perentoria, sin matices, sin excepciones y sin confiar al legislador la regulación de la materia."

En concordancia, el literal d) del artículo 2 pretende evitar que las bases de datos y archivos de carácter periodísticos se vean sometidos a los mismos límites que la información general, lo que podría traducirse en una limitación desproporcionada de la libertad de prensa, e incluso en censura -piénsese por ejemplo en la posibilidad de la obligación de revelar las fuentes. No obstante, debe esta Sala reiterar que en razón de la especial consideración que el constituyente otorgó a la libertad de expresión, las posibles colisiones con el derecho al habeas data deben ser resueltas por una regulación especial.

Debe también aclararse que las bases de datos a las que se refiere el literal d) del artículo 2, son aquellas de contenido eminentemente periodístico, y no aquellas que están en poder del medio de comunicaciones en virtud de otras actividades, como aquellas encaminadas a fines comerciales o publicitarios. Así, las bases de datos con la información de los suscriptores de un periódico sí estarán sujetas a la regulación de la futura ley estatutaria.

2.4.5.7. Constitucionalidad del literal e): la excepción de "datos y archivos regulados por la Ley 1266 de 2008"

La Ley 1266 de 2008 es la ley estatutaria de protección de datos personales comerciales y financieros para el cálculo de riesgo crediticio, como fue definido en la sentencia C-1011 de 2008. Estos datos requieren una regulación especial -como la adoptada en la Ley 1266 y declarada exequible por esta Corporación, debido a que en este ámbito se presenta una tensión entre el habeas data y el desarrollo de la actividad financiera y bursátil, actividad de interés público en virtud del impacto que puede tener sobre todo el sistema económico y, por esta vía, sobre la garantía de derechos fundamentales y el mantenimiento del orden público. En vista de la necesidad de regular el tratamiento de estos datos de manera especial, debían exceptuados de la aplicación del proyecto bajo estudio. Por tanto, la Sala declarará exequible el literal e), de conformidad con lo expuesto en la sentencia C-1011 de 2008. Sin embargo, la Sala advierte que, según el parágrafo del artículo 2, los principios que prevé el proyecto bajo estudio deben aplicarse de manera complementaria con los establecidos en la Ley 1266.

2.4.5.8. Constitucionalidad del literal f): la excepción de "datos y archivos regulados por la Ley 79 de 1993"

La Ley 79 de 1993 "Por la cual se regula la realización de los Censos de Población y Vivienda en todo el territorio nacional" establece reglas especiales para el tratamiento de datos estadísticos; en estas reglas se prevé que los datos personales suministrados para fines estadísticos son reservados y no pueden ser empelados por otras autoridades públicas para fines diferentes. Para la Sala, esta excepción también es compatible con la Carta, pues para garantizar la exactitud de los censos y datos estadísticos, es indispensable la reserva. Si entidades como el DANE pudieran revelar la información personal de quienes participan en los procesos, podrían alterar los datos, lo que conduciría a afectar la exactitud de los análisis. La exactitud de la información estadística - recuerda la Sala- es fundamental para el diseño de políticas públicas y programas sociales.

2.4.5.9. Otros ámbitos que requieren regulaciones especiales, aunque no constituyan ámbitos exceptuados

Ahora bien, en ejercicio de su libertad de configuración y atendiendo a las características especiales de cierto tipo de datos personales, el legislador puede también establecer reglas especiales para otro tipo de datos, pero que en ningún caso se entenderán como excepciones, salvo que la futura ley estatutaria sea modificada para incluir nuevas excepciones.

Un ejemplo de otros ámbitos que requieren regulaciones especiales se halla en la sección B de la Resolución 45/95 de 14 de diciembre de 1990, de la Asamblea General de las Naciones Unidas (documento E/CN.4/1990/72.20 de febrero de 1990) sobre "Directrices para la regulación de los archivos de datos personales informatizados". Este documento, después de señalar una serie de principios mínimos que deben guiar el tratamiento de datos personales en todos los países y que también son aplicables a las organizaciones internacionales gubernamentales, dispone que:

"(…) puede preverse específicamente una excepción a estos principios cuando la finalidad del archivo sea la protección de los derechos humanos y las libertades fundamentales de la persona afectada, o la ayuda humanitaria. Debe preverse una excepción similar en la legislación nacional para las organizaciones internacionales gubernamentales cuyo acuerdo organizativo no impida la puesta en práctica de la referida legislación nacional, así como para las organizaciones internacionales no gubernamentales a las que sea aplicable esta ley."

El legislador podría entonces, en virtud de esta disposición, establecer un régimen de protección especial para los datos administrados por organizaciones no gubernamentales de defensa de derechos humanos.

Lo mismo puede ocurrir en el caso de los datos salud -teniendo en cuenta que una parte importante de ellos son sensibles y las historias clínicas son reservadas, el tratamiento de datos para fines de construcción de memoria y garantía del derecho colectivo a la verdad, o de los datos sensibles que son tratados en las redes sociales.

• 2.5. EXAMEN DEL ARTÍCULO 3: DEFINICIONES

2.5.1. Texto de la disposición

"Artículo 3°. Definiciones. Para los efectos de la presente ley, se entiende por:

• a) Autorización:Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.

• b) Base de datos:Conjunto organizado de datos personales que sea objeto de Tratamiento.

• c) Dato personal:Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

• d) Encargado del tratamiento:Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

• e) Responsable del tratamiento:Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.

• f) Titular:Persona natural cuyos datos personales sean objeto de Tratamiento.

• g) Tratamiento:Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión."

2.5.2. Intervenciones ciudadanas y concepto del Ministerio Público

2.5.2.1. La Defensoría del Pueblo solicita declarar exequible el artículo 3°; sin embargo, sostiene que a nivel de definiciones, el proyecto en estudio es aún más limitado que la Ley Estatutaria 1266 de 2008. Por ejemplo, explica que la Ley 1266 trae definiciones de conceptos tales como "fuente de información", "usuario", "dato público", "dato semiprivado", y "dato privado", las cuales están ausentes del proyecto actual. Agrega que si bien el hecho de que no exista congruencia entre una ley de carácter sectorial y una de carácter general que pretenden regular el mismo derecho, no es en sí mismo un vicio de constitucionalidad, sí puede conducir a situaciones de contradicción que dejan en evidencia la falta de adecuada técnica legislativa en una materia compleja y delicada. Para ilustrar lo anterior, asegura que existen disposiciones de la ley sectorial que pueden resultar más beneficiosas que las de la ley general y a cuya aplicación podría aspirar legítimamente el titular de los datos, pese a que su caso no se enmarque dentro del tratamiento de datos financieros o crediticios. Expresa que también puede suceder lo contrario, esto es que en un caso que involucra esta clase de datos, se busque la aplicación de las normas generales del proyecto de ley. En consecuencia, afirma la Defensoría, serán los jueces los encargados de fijar los límites y alcances de los respectivos ámbitos de aplicación, en la medida en que se vayan resolviendo los casos, aunque éste no es en realidad el escenario adecuado, pues tales precisiones deberían hacerse en sede legislativa.

2.5.2.2. El profesor Nelson Remolina de la Universidad de los Andes solicita declarar la exequibilidad condicionada del literal e) del artículo 3, pues se interroga sobre si la definición allí contenida versa sobre la persona que hace las veces de fuente u operador en los términos de la Ley 1266 de 2008. Considera entonces que la definición del literal e) es confusa e incompleta porque genera vacíos legales sobre el sujeto que según la ley debe cumplir una serie de obligaciones. Además, en su sentir, pareciera que en el nuevo proyecto la fuente y el operador de la Ley 1266 de 2008 se fusionan en la figura del responsable del tratamiento. Ante esta falta de certeza, cree necesario que la Corte precise el alcance de dichas definiciones, pues los conceptos son importantes para establecer los derechos y responsabilidades de los diferentes sujetos involucrados en el tratamiento de los datos personales.

2.5.2.3. El ciudadano Santiago Diazgranados Mesa expresa en relación con la exigencia de consentimiento "previo, expreso e informado" del literal a), que constituye un requisito excesivo y contrario a la Constitución. Considera que, en cada caso, debe ponderarse la salvaguarda del derecho a la intimidad con el amparo a la prensa libre, a la libertad de opinión y a la libre circulación de ideas, con el fin de evitar la censura previa y propender por el libre flujo del pensamiento y el fortalecimiento de un Estado respetuoso del libre desarrollo de la personalidad. Explica que el requerimiento del consentimiento expreso, sin importar el tipo de dato personal, implica una exigencia irrazonable que conlleva la vulneración del derecho a la información y a la libertad de expresión. Indica que la Corte Constitucional ha contemplado el requisito de la manifestación del consentimiento expreso para unas circunstancias particulares en las que los datos personales son de carácter sensible o reservado; así, menciona a manera de ejemplo, el dato personal crediticio, la información relacionada con la orientación sexual, los hábitos del individuo y el credo religioso o político. Con fundamento en estas consideraciones, señala que la definición del principio de libertad (artículo 4 literal C) y la calificación del consentimiento del titular del dato personal (artículo 3 literal a) contenidos en el proyecto de Ley objeto de revisión, deben ser declarados parcialmente inconstitucionales, con el objetivo de no limitar otras libertades de manera injustificada o irrazonable.

2.5.2.4. El ciudadano Alejandro Salas Pretelt solicita la inconstitucionalidad del término "expreso" del literal a). En su sentir, constituye una exigencia injustificada. Expone que la jurisprudencia constitucional ha reconocido que la gestión de ciertos datos personales no debe necesariamente estar sujeta a consentimiento expreso, pues basta el consentimiento tácito. Afirma que frente a datos sensibles o reservados se requiere el consentimiento expreso, pero que ante otro tipo de datos, el consentimiento puede ser tácito. Concluye que el proyecto de ley, al calificar como expreso el consentimiento para cualquier disposición de los datos personales, va en contra de los artículos 15 y 20 de la Constitución.

2.5.2.5. De forma similar, el ciudadano Rolfe Hernando González Sosa solicita la inconstitucionalidad parcial del literal a), específicamente de la palabra "expreso", en la medida que es una exigencia excesiva. Sostiene que, de conformidad con la jurisprudencia constitucional, la interpretación del proyecto debe ser compatible con el ejercicio del derecho a la libertad de expresión y de información. Aduce que exigir el consentimiento "expreso" por parte del titular del dato personal o para cualquier especie de tratamiento no es proporcionado, por cuanto el flujo de información a que puede estar sometido cualquier dato personal es tan dinámico y se encuentra en tantas facetas de la vida diaria, "que haría realmente imposible este flujo de información si cada vez que se requiera el consentimiento expreso como si cualquier dato personal fuera un dato sensible, vulnerando de manera grave el derecho a la liberta de expresión y de información".

Afirma que en la sentencia C-1011 de 2008, la Corte determinó que el consentimiento expreso es necesario solamente frente a datos de carácter crediticio, de lo cual deduce que para otros tipos de datos, el consentimiento tácito es válido dentro del principio de libertad. Además, destaca que en dicha sentencia se estableció que era competencia del juez determinar en cada caso "el contenido de la autorización que el usuario de los sistemas informáticos obtiene del titular del dato, con miras a establecer su alcance, considerando, además del interés general que demanda la utilización del documento, especialmente, las condiciones en que dicha autorización fue otorgada, como quiera que si al aquiescencia del otorgante estuvo condicionada por el acceso al servicio o a la operación de crédito". En este sentido, sostiene que el propio juez es quien debe entrar a analizar si conforme a la información requerida, es necesario o no el consentimiento expreso del titular.

2.5.3. Precisiones generales sobre la constitucionalidad del artículo

Las definiciones de los vocablos "técnicos" que se emplean para regular el objetivo del proyecto de ley, son elementos indispensables para la protección del habeas data, en tanto permiten una correcta y apropiada interpretación de la ley y contribuyen a determinar las responsabilidades de los involucrados en el tratamiento de datos personales. Ahora bien, al igual que se señaló en la sentencia C-1011 de 2008[183], la fijación de tales definiciones hace parte de la libre configuración del legislador, de modo que en este punto el Congreso goza de un importante margen de discreción. Sin embargo, es necesario hacer algunas precisiones sobre la terminología por la que se optó el legislador y examinar si ella se ajusta a la Constitución.

Lo primero que advierte la Sala, al igual que lo hicieron algunas intervenciones, es que a diferencia de lo que ocurrió en la Ley 1266, el legislador recurrió en esta oportunidad a conceptos propios del modelo europeo para referirse a las personas vinculadas al tratamiento del dato personal. Para algunos intervinientes este hecho no sólo es un problema de técnica legislativa (en la medida en que conduce a la coexistencia de dos modelos normativos que tienen por objeto hacer una regulación completa de una materia tan importante como el habeas data, pero con una terminología diversa), sino un problema constitucional, porque esa diferencia en los vocablos conlleva la dilución de la responsabilidad de quienes participan en el tratamiento del dato.

La Corte encuentra que, efectivamente, en el proyecto bajo revisión, el legislador dejó de lado conceptos como el de fuente, operador y usuario, y no definió las subcategorías de dato personal, definiciones que sí fueron incluidas en la Ley 1266. No obstante, lo cierto es que, en principio, esa diferencia en los conceptos no es suficiente para que se declare la inexequibilidad del precepto, por cuanto el legislador en su libertad de configuración puede elegir cambiar la terminología que empleó en la Ley 1266.

Para determinar si ese cambio en la terminología constituye realmente un vicio de constitucionalidad, corresponde a la Sala hacer un análisis de cada uno de las definiciones que trae el proyecto y su incidencia en el régimen de responsabilidad de los agentes que participan en el tratamiento del dato, en contraste con las exigencias constitucionales en materia de garantía del derecho al habeas data.

2.5.4. Constitucionalidad del literal a): definición de "autorización"

El literal a) hace alusión a la autorización y la define como el consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales. Sobre estas características de la autorización nos referiremos al analizar los principios rectores, aparte en el que estudiaremos a profundidad el tema relativo al consentimiento y sus características para el tratamiento del dato. En consecuencia, basta por ahora señalar que el consentimiento es un aspecto medular del derecho al habeas data y que pese a las múltiples intervenciones que solicitan la inexequibilidad del vocablo "expreso", la definición será declarara ajustada a la Constitución, por las razones que serán expuestas en los considerandos 2.7.4.2.2. y 2.10.6 de esta providencia.

2.5.5. Constitucionalidad del literal b): definición de "base de datos"

El literal b) define las bases de datos como un "(…) conjunto organizado de datos personales que sea objeto de tratamiento". Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación.

Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley.

2.5.6. Constitucionalidad del literal c): definición de "datos personales"

El literal c) del artículo 3 define los datos personales como "[c]ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables". Esta definición, aunque es amplia, concuerda en términos generales con la línea jurisprudencial que esta Corte ha desarrollado en la materia, así como con la definición adoptada en la Ley 1266 sobre el dato personal financiero. Adicionalmente, la fijación de una definición de dato personal es un ejercicio legítimo de la libertad de configuración de la que goza el legislador, cuyos límites en este caso no han sido desconocidos.

2.5.6.1. En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales -en oposición a los impersonales[184]- son las siguientes: "i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación."[185]

Por su parte, la Ley 1266, con el aval de esta Corporación, aunque en un contexto diferente, definió los datos personales de forma similar: "Dato personal: es cualquier pieza de información vinculada a una o varias personas natural o jurídica. (…)"(literal e del artículo 3).

Los datos personales, a su vez, suelen ser clasificados en los siguientes grupos despendiendo de su mayor o menor grado de aceptabilidad de divulgación: datos públicos, semiprivados y privados o sensibles.[186]

2.5.6.2. Se pregunta la Sala si la omisión de estas clasificaciones en el literal c) constituye un vicio de constitucionalidad. Para la Sala la respuesta es negativa, ya que estas definiciones no son un ingrediente indispensable para la aplicación de las garantías de la ley y, en todo caso, la ausencia de definiciones puede ser llenada acudiendo a la jurisprudencia constitucional y a otros preceptos legales.

En primer lugar, la clasificación de los datos personales en públicos, semiprivados y privados o sensibles, es solamente una posible forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato. El legislador, por tanto, tiene libertad para elegir o no elegir una categorización.

Ahora bien, es cierto que el propio legislador estatutario adoptó algunas de estas clasificaciones, como la de datos sensibles, cuyo tratamiento se prohíbe con algunas excepciones en el artículo 6 del proyecto. Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las definiciones de otros preceptos legales, como la Ley 1266, cuyo artículo 3 dispone:

"f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas;

• g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.

• h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular."

En este orden de ideas, dado que la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto.

2.5.6.3. Por otra parte, llama la atención de la Sala que la definición del literal c) se restrinja a los datos de las personas naturales. Por tanto, la definición pareciera reñir, en principio, con algunos pronunciamientos de esta Corporación en los que se ha admitido que las personas jurídicas también pueden ser titulares del derecho al habeas data, como la sentencia T-462 de 1997[187] y C-1011 de 2008[188].

Sin embargo, en sentir de la Sala, no se trata de una restricción que desconozca la doctrina constitucional sobre la protección del habeas data en cabeza de las personas jurídicas, ni el principio de igualdad. Ciertamente, la garantía del habeas data a las personas jurídicas no es una protección autónoma a dichos entes, sino una protección que surge en virtud de las personas naturales que las conforman. Por tanto, a juicio de la Sala, es legítima la referencia a las personas naturales, lo que no obsta para que, eventualmente, la protección se extienda a las personas jurídicas cuando se afecten los derechos de las personas que la conforman.

2.5.7. Constitucionalidad de los literales d) y e): definiciones de encargado y responsable de tratamiento del dato

2.5.7.1. En los literales d) y e) del artículo 3, se hace expresa mención al encargado y al responsable del dato, respectivamente. La Sala observa que la diferenciación de estos dos sujetos era determinante, por cuanto de ello depende el ámbito de sus deberes, enumerados en el título VI del proyecto, de modo que dichas definiciones están ligadas al principio de legalidad en materia sancionatoria y son una garantía para el titular del dato respecto de quién es obligado a cumplir diferentes prerrogativas que se desprenden del habeas data.

Sin embargo, se debe señalar desde ahora, al igual que se indicó en la sentencia C-1011 de 2008, que todos los principios de la administración de datos personales identificados en este proyecto -los cuales serán estudiados en otro acápite- son oponibles a todos los sujetos involucrados en el tratamiento del dato, entiéndase en la recolección, circulación, uso, almacenamiento, supresión, etc., sin importar la denominación que los sujetos adquieran, es decir, llámense fuente, responsable del tratamiento, operador, encargado del tratamiento o usuario, entre otros. Hechas estas aclaraciones, pasa la Sala a examinar la constitucinalidad de las definiciones.

2.5.7.2. El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento. Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos[189].

Estas definiciones parecen inspirarse en el derecho comunitario europeo, especialmente en la Directiva 95/46/CE y en el Dictamen 1/2010 del Grupo Consultivo sobre Protección de Datos[190], a las que vale la pena remitirnos por razones meramente ilustrativas y con el fin de acercamos al correcto entendimiento de uno y otro concepto, labor que a veces se torna difícil por el avance de las tecnologías de la información y otros retos que impone la globalización.[191]

El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos. También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable.[192].

Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto "decidir sobre el tratamiento" empleado por el literal e) parece coincidir con la posibilidad de definir -jurídica y materialmente- los fines y medios del tratamiento. Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos[193]; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis. Así, el concepto de responsable puede cobijar tanto a la fuente[194] como al usuario[195], en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera.

De otro lado, el criterio de delegación coincide con el término "por cuenta de" utilizado por el literal e), lo que da a entender una relación de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato.

Así, por ejemplo, será responsable del dato el hospital que crea la historia clínica de su paciente, la universidad o las instituciones educativas en relación con los datos de sus alumnos, pues estos determinan la finalidad (en razón de su objeto que, puede estar señalado en una ley o por el giro normal de la actividad que se desarrolla) para la recolección de los datos, así como la forma en que los datos serán procesados, almacenados, circulados, etc.

Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una -el responsable- le señala a la otra -el encargado- como quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados. Volvamos al ejemplo de la historia clínica, en el que la institución de salud contrata con una compañía el procesamiento de las historias para que con un programa especial que puede determinar el responsable o la empresa contratada, le organice la información contenida en ellas, siguiendo las indicaciones que establece el hospital. En este caso, el encargado del tratamiento de los datos es la persona jurídica que se contrata para el procesamiento de las hojas de vida.

También necesario precisar, como lo señala la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad.[196] En ese orden de ideas, corresponderá a la autoridad competente de asegurar la vigilancia, control y garantía del dato personal, examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad[197].

Finalmente, como ejemplifica la Directiva referida -ejemplos que la Sala considera también son aplicables a nuestro caso, el responsable del tratamiento puede surgir: (i) cuando en el cumplimiento de una determinada función, se impone la recolección datos, por ejemplo, en el caso de la seguridad social; la directiva en comento denomina esta situación competencia legal explícita; (ii) cuando en el ámbito propio de la actividad se produce el tratamiento, se trata del caso de los empleadores frente a sus trabajadores, lo que se denomina competencia jurídica implícita; y (iii) cuando sin existir las competencias anteriores, se tiene la capacidad de determinación, hecho que se denomina capacidad de influencia de hecho.

2.5.7.3. Establecida la diferencia entre responsable y encargado, la Sala observa, en primer lugar, que las definiciones de los literales d) y e) representan ejercicio legítimo de la libertad de configuración del legislador estatutario justificada en la forma cómo se desarrolla el tratamiento del dato, y en segunda lugar, que la clasificación tiene además utilidad desde el punto de vista constitucional, esta es, definir el régimen de responsabilidades y obligaciones de quienes participan en el tratamiento del dato personal.

En efecto, de acuerdo con las definiciones acogidas por el proyecto de ley, los responsables del tratamiento tienen mayores compromisos y deberes frente al titular del dato, pues son los llamados a garantizar en primer lugar el derecho fundamental al habeas data, así como las condiciones de seguridad para impedir cualquier tratamiento ilícito del dato. La calidad de responsable igualmente impone un haz de responsabilidades, específicamente en lo que se refiere a la seguridad y a la confidencialidad de los datos sujetos a tratamiento.

En la sentencia C-1011 de 2008[198], se señaló que en la administración de datos personales es posible identificar varias etapas, cuya diferenciación permite adscribir determinados niveles de responsabilidad a los sujetos que participan de él. Así, por ejemplo, sobre la calidad de la información, el encargado del tratamiento tendrá deberes de diligencia y cuidado en la medida en que como lo consagra el proyecto de ley, está obligado a realizar de forma oportuna, la actualización, rectificación o supresión del dato, según el caso, literal c) del artículo 18.

En esa línea, lo importante para una verdadera garantía del derecho al habeas data, es que se pueda establecer de manera clara la responsabilidad de cada sujeto o agente en el evento en que el titular del dato decida ejercer sus derechos. Cuando dicha determinación no exista o resulte difícil llegar a ella, las autoridades correspondientes habrán de presumir la responsabilidad solidaria de todos, aspecto éste sobre el que guarda silencio el proyecto de ley y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta[199].

Las anteriores aclaraciones, le permiten a la Sala declarar la exequibilidad de los literales d) y e) del artículo 3.

2.5.8. Constitucionalidad del literal f): definición de "titular"

El proyecto establece que el titular es la persona natural cuyos datos personales sean objeto de tratamiento. A juicio de la Sala, esta definición se ajusta a la Carta y no desconoce la jurisprudencia de esta corporación[200] en la que se ha indicado que las personas jurídicas también son titulares del derecho al habeas data, pues como se explicó en la consideración 2.5.6.3, la protección que se brinda a las personas jurídicas en este respecto es en virtud de las personas naturales que la conforman. Por tanto, eventualmente, la protección del habeas data se podrá extender a las personas jurídicas cuando se afecten los derechos de las personas naturales que la conforman.

2.5.9. Constitucionalidad del literal g): definición de "tratamiento"