por la cual se dictan disposiciones generales para la protección de datos personales

Es importante referir brevemente qué se entiende por niño, niña y adolescente en el ordenamiento jurídico colombiano. En desarrollo de este concepto, el Código de la Infancia y la Adolescencia, en su artículo 3º, estableció: "(…) se entiende por niño o niña las personas entre los 0 y 12 años, y por adolescente las personas entre 12 y 18 años de edad". La anterior definición fue declarada exequible por esta Corporación. Además es consonante con la definición en sentido amplio que contiene la Convención sobre los derechos del niño como "(…) todo ser humano menor de dieciocho años de edad (…)".

2.9.3.2. El fundamento jurídico del principio del interés superior de los menores de 18 años

Respecto a la calidad de sujetos de especial protección constitucional que ostentan los niños, las niñas y los adolescentes, ésta tiene su sustento en los postulados de la Constitución y también en instrumentos internacionales de derechos humanos que reconocen el principio del interés superior del menor de dieciocho años y que integran el denominado bloque de constitucionalidad.

Ahora, su calidad de sujetos de especial protección deviene del artículo 44 Superior, el cual establece, entre otros aspectos, que la familia, la sociedad y el Estado tienen la obligación de asistir y proteger al niño para garantizar su desarrollo armónico e integral y el ejercicio pleno de sus derechos. También, preceptúa que los derechos de los niños prevalecen sobre los demás. A su vez, la Declaración Universal de los Derechos del Niño (1959), principio II, señala que el niño gozará de una protección especial y que a través de las leyes y otros medios se dispondrá lo necesario para que pueda desarrollarse física, mental, moral, espiritual y socialmente, así como en condiciones de libertad y dignidad; y también contempla que al promulgar leyes con este fin, la consideración fundamental a la que se atenderá será el interés superior del niño. Además de este instrumento, existen otros tratados y convenios internacionales que consagran el principio del interés superior de los menores de dieciocho años, entre los que se encuentran: el Pacto Internacional de Derechos Civiles y Políticos de 1966 (artículo 24), la Convención Americana sobre los Derechos Humanos de 1969 (artículo 19) y la Convención sobre los derechos del niño de 1989[245].

El principio del interés superior del menor de dieciocho años, consagrado en distintos convenios de derechos humanos, se encuentra establecido expresamente en el artículo 8° del Código de la Infancia y la Adolescencia, así "(…) Se entiende por interés superior del niño, niña y adolescente, el imperativo que obliga a todas las personas a garantizar la satisfacción integral y simultánea de todos sus Derechos Humanos, que son universales, prevalentes e interdependientes". Por otra parte, el artículo 25 de este mismo Código, siguiendo el precepto superior de la prevalencia de los derechos de los menores de 18 años sobre los demás, estableció: "(…) En todo acto, decisión o medida administrativa, judicial o de cualquier naturaleza que deba adoptarse en relación con los niños, las niñas y los adolescentes, prevalecerán los derechos de estos, en especial si existe conflicto entre sus derechos fundamentales con los de cualquier otra persona (…)".

En definitiva, la calidad de sujetos de especial protección constitucional de los niños, las niñas y adolescentes, deviene del (i) artículo 44 Superior que establece que sus derechos prevalecen sobre los derechos de los demás, y del (ii) marco internacional, que consagra el principio del interés superior de los menores de dieciocho años.

Acerca de los criterios jurídicos que deben observarse para aplicar en concreto el principio del interés superior de los niños, las niñas y adolescentes, en la jurisprudencia de esta Corporación se han establecido los siguientes:

"En este sentido, en sentencias T-510 de 2003[246] y T-572 de 2009[247], la Corte fijó reglas constitucionales, legales y jurisprudenciales aplicables para determinar el interés superior de cada niño, dependiendo de sus circunstancias particulares. Veamos:

• (i) Garantía del desarrollo integral del niño. Se debe, como regla general, asegurar el desarrollo armónico, integral, normal y sano de los niños, desde los puntos de vista físico, psicológico, afectivo, intelectual y ético, así como la plena evolución de su personalidad. Corresponde a la familia, la sociedad y el Estado, brindar la protección y la asistencia necesarias para materializar el derecho de los niños a desarrollarse integralmente, teniendo en cuenta las condiciones, aptitudes y limitaciones propias de cada niño. El artículo 7 del Código de la Infancia y la Adolescencia entiende por protección integral "el reconocimiento como sujetos de derechos, la garantía y cumplimiento de los mismos, la prevención de su amenaza o vulneración y la seguridad de su restablecimiento inmediato en desarrollo del principio del interés superior." El mandato constitucional en cuestión, que debe materializarse teniendo en cuenta las condiciones, aptitudes y limitaciones propias de cada niño, se encuentra reflejado en los artículos 6-2 y 27-1 de la Convención sobre los Derechos del Niño[248] y en el Principio 2 de la Declaración sobre los Derechos del Niño.

(ii) Garantía de las condiciones para el pleno ejercicio de los derechos fundamentales del niño. Los derechos de los niños deben interpretarse de conformidad con las disposiciones de los tratados e instrumentos de derecho internacional público que vinculan a Colombia. El artículo 6 del Código de la Infancia y la Adolescencia contiene un mandato contundente en este sentido: "Las normas contenidas en la Constitución Política y en los tratados y convenios internacionales de Derechos Humanos ratificados por Colombia, en especial la Convención sobre los Derechos del Niño, harán parte integral de este Código, y servirán de guía para su interpretación y aplicación. En todo caso, se aplicará siempre la norma más favorable al interés superior del niño, niña o adolescente."

(iii) Protección del niño frente a riesgos prohibidos. Se debe resguardar a los niños de todo tipo de abusos y arbitrariedades, y protegerlos frente a condiciones extremas que amenacen su desarrollo armónico, tales como el alcoholismo, la drogadicción, la prostitución, la violencia física o moral, la explotación económica o laboral, y en general, el irrespeto por la dignidad humana en todas sus formas. No en vano el artículo 44 de la Carta señala que los niños "serán protegidos contra toda forma de abandono, violencia física o moral, secuestro, venta, abuso sexual, explotación laboral o económica y trabajos riesgosos." Por su parte, el artículo 20 del Código de la Infancia y la Adolescencia establece el conjunto de riesgos graves para los niños que deben ser evitados (…)

En todo caso, se debe precisar que esta enunciación no agota todas las distintas situaciones que pueden constituir amenazas para el bienestar de cada niño en particular, las cuales deberán determinarse atendiendo a las circunstancias del caso concreto.

(iv) Equilibrio entre los derechos de los niños y los derechos de sus padres, sobre la base de que prevalecen los derechos del niño. Es necesario preservar un equilibrio entre los derechos del niño y los de los padres, pero cuando quiera que dicho equilibrio se altere, y se presente un conflicto que no pueda resolverse mediante la armonización en el caso concreto, la solución deberá ser la que mejor satisfaga el interés superior del niño. En este contexto, los derechos e intereses de los padres solo podrán ser antepuestos a los del niño cuando ello satisfaga su interés prevalente. La forma en que se deben armonizar los derechos y resolver los conflictos entre los intereses de los padres y los intereses del niño, no se puede establecer en abstracto, sino en función de las circunstancias de cada caso particular y sin que pueda, en ningún caso, poner en riesgo la vida, salud, estabilidad o desarrollo integral del niño, ni generar riesgos prohibidos para su desarrollo, so pena de que el Estado intervenga para resguardar los intereses prevalecientes del niño en riesgo. "El sentido mismo del verbo 'prevalecer'[249] implica, necesariamente, el establecimiento de una relación entre dos o más intereses contrapuestos en casos concretos, entre los cuales uno (el del menor) tiene prioridad en caso de no encontrarse una forma de armonización". Por lo tanto, en situaciones que se haya de determinar cuál es la opción más favorable para un menor en particular, se deben necesariamente tener en cuenta los derechos e intereses de las personas vinculadas con tal menor, en especial los de sus padres, biológicos o de crianza; "sólo así se logra satisfacer plenamente el mandato de prioridad de los intereses de los niños, ya que éstos son titulares del derecho fundamental a formar parte de una familia, por lo cual su situación no debe ser estudiada en forma aislada, sino en el contexto real de sus relaciones con padres, acudientes y demás familiares e interesados. Esta es la regla que establece el artículo 3-2 de la Convención sobre Derechos del Niño, según el cual 'los Estados se comprometen a asegurar al niño la protección y el cuidado que sean necesarios para su bienestar, teniendo en cuenta los derechos y deberes de sus padres, tutores u otras personas responsables de él ante la ley'[250]."[251]

• (v) Provisión de un ambiente familiar apto para el desarrollo del niño. El desarrollo integral y armónico de los niños (art. 44 CP), exige una familia en la que los padres o acudientes cumplan con los deberes derivados de su posición, y le permitan desenvolverse adecuadamente en un ambiente de cariño, comprensión y protección. Al respecto el art. 22 del Código de la Infancia y la Adolescencia prevé que "los niños, las niñas y los adolescentes tienen derecho a tener y crecer en el seno de una familia, a ser acogidos y a no ser expulsados de ella."

(vi) Necesidad de razones poderosas que justifiquen la intervención del Estado en las relaciones paterno/materno - filiales. El solo hecho de que el niño pueda estar en mejores condiciones económicas no justifica de por sí una intervención del Estado en la relación con sus padres; deben existir motivos adicionales poderosos, que hagan temer por su bienestar y desarrollo, y justifiquen las medidas de protección que tengan como efecto separarle de su familia biológica. "Lo contrario equivaldría a efectuar una discriminación irrazonable entre niños ricos y niños pobres, en cuanto a la garantía de su derecho a tener una familia y a no ser separados de ella - un trato frontalmente violatorio de los artículos 13 y 44 de la Carta." Asimismo, lo dispone el artículo 22 del Código de la Infancia y la Adolescencia"[252](Negrilla fuera de texto)

En definitiva, (i) el principio del interés superior de los niños, las niñas y adolescentes se realiza en el estudio de cada caso en particular y tiene por fin asegurar su desarrollo integral; (ii) este principio, además, persigue la realización efectiva de los derechos fundamentales de los menores de 18 años y también resguardarlos de los riesgos prohibidos que amenacen su desarrollo armónico. Estos riesgos no se agotan en los que enuncia la ley sino que también deben analizarse en el estudio de cada caso particular; (iii) debe propenderse por encontrar un equilibrio entre los derechos de los padres o sus representantes legales y los de los niños, las niñas y adolescentes. Sin embargo, cuando dicha armonización no sea posible, deberán prevalecer las garantías superiores de los menores de 18 años. En otras palabras, siempre que prevalezcan los derechos de los padres, es porque se ha entendido que ésta es la mejor manera de darle aplicación al principio del interés superior de los niños, las niñas y adolescentes.

La calidad de sujetos de especial protección constitucional de los menores de dieciocho años tiene su fundamento en la situación de vulnerabilidad e indefensión en la que se encuentran, pues su desarrollo físico, mental y emocional está en proceso de alcanzar la madurez requerida para la toma de decisiones y participación autónoma dentro de la sociedad. El grado de vulnerabilidad e indefensión tiene diferentes grados y se da partir de todos los procesos de interacción que los menores de 18 años deben realizar con su entorno físico y social para el desarrollo de su personalidad.[253] Por lo anterior, el Estado, la sociedad y la familia deben brindar una protección especial en todos los ámbitos de la vida de los niños, niñas y adolescentes, en aras de garantizar su desarrollo armónico e integral.[254]

Adicional a lo expuesto, la protección constitucional reforzada de la cual son titulares los niños, las niñas y adolescentes tiene su sustento en (i) el respeto de su dignidad humana, y (ii) la importancia de construir un futuro promisorio para la comunidad mediante la efectividad de todos sus derechos fundamentales.[255]

En este orden de ideas, esta Sala encuentra que en el caso concreto del tratamiento de los datos de los niños, niñas y adolescentes, existe un riesgo prohibido que esta población en situación de vulnerabilidad está expuesta a sufrir, principalmente por la desbordante evolución de los medios informáticos, entre los que se encuentran la Internet y las redes sociales. Si bien, el acceso a los distintos sistemas de comunicación, les permite disfrutar de todos sus beneficios y ventajas, también su mal uso puede generar un conflicto en el ejercicio y efectividad de sus derechos fundamentales al buen nombre, al honor, a la intimidad, entre otros. El anterior planteamiento fue abordado en el Memorando sobre la protección de datos personales y la vida privada en las redes sociales en Internet, en particular de niños, niñas y adolescentes, adoptado en Montevideo el 28 de julio de 2009.[256] Si bien, este documento no integra el denominado bloque de constitucionalidad y por tanto sus recomendaciones no son vinculantes para el Estado colombiano, constituye un documento valioso en torno al tema de la protección de datos personales de los niños, las niñas y adolescentes.[257]

2.9.3.3. El derecho fundamental de los niños, las niñas y adolescentes a ser escuchados

El principio del interés superior de los menores de 18 años se encuentra íntimamente relacionado con su derecho a ser escuchados. El artículo 12 de la Convención sobre los derechos del Niño lo define en los siguientes términos:

"1. Los Estados Partes garantizarán al niño que esté en condiciones de formarse un juicio propio el derecho de expresar su opinión libremente en todos los asuntos que afectan al niño, teniéndose debidamente en cuenta las opiniones del niño, en función de la edad y madurez del niño.

• 2. Con tal fin, se dará en particular al niño oportunidad de ser escuchado, en todo procedimiento judicial o administrativo que afecte al niño, ya sea directamente o por medio de un representante o de un órgano apropiado, en consonancia con las normas de procedimiento de la ley nacional".

El Comité de los Derechos del Niño "El Comité", a través de la Observación General número 12 acerca del derecho de los niños, las niñas y adolescentes a ser escuchados, realizó el siguiente análisis: (i) esta garantía los reconoce como plenos sujetos de derechos, independientemente de que carezcan de la autonomía de los adultos; (ii) este derecho debe ser tenido en cuenta para la interpretación del resto de sus garantías. (iii) Respecto al precepto de que los niños, niñas y adolescentes deben ser escuchados en función de su edad y madurez, el Comité precisó: 1- Ante todo el ejercicio del derecho a emitir su opinión es una opción no una obligación de los menores de 18 años. 2- los Estados partes deben partir del supuesto de que el niño, niña o adolescente tiene capacidad para formarse su propio juicio respecto de los asuntos que afectan su vida y reconocerles el derecho a expresarse. Es decir, no les corresponde demostrar previamente que tienen esa capacidad. Es el Estado quien deberá, en concreto, evaluar su capacidad para formarse una opinión autónoma. 3- No existe un límite de edad para que los menores de 18 años manifiesten su libre opinión en todos los asuntos que los afectan, aún más, el Comité desaconseja que los Estados fijen una edad para restringir su derecho a ser escuchados.[258]4- La disposición que se analiza no evidencia que la edad en sí misma determine la trascendencia de la opinión que emiten los menores de 18 años, pues en muchos casos su nivel de comprensión de todo cuanto lo rodea no está ligado a su edad biológica. "Se ha demostrado en estudios que la información, la experiencia, el entorno, las expectativas sociales y culturales y el nivel de apoyo contribuyen al desarrollo de la capacidad del niño para formarse una opinión. Por ese motivo, las opiniones del niño tienen que evaluarse mediante un examen caso por caso". 5- Respecto a la madurez, va ligada con el nivel de comprensión de un asunto y la evaluación de sus consecuencias, podría definirse como "la capacidad de un niño para expresar sus opiniones sobre las cuestiones de forma razonable e independiente (…) cuanto mayores sean los efectos del resultado en la vida del niño, más importante será la correcta evaluación de la madurez de ese niño". (iv) La opinión del niño, la niña o adolescente debe escucharse en todos los asuntos que los afecten cuando son capaces de expresar sus propias opiniones frente al mismo.

Por otra parte, en concordancia con el numeral 2 del artículo 12 de la Convención, el Código de la Infancia y la Adolescencia de nuestro país en su artículo 26, reconoce el derecho al debido proceso en los siguientes términos: "En toda actuación administrativa, judicial o de cualquier otra naturaleza en que estén involucrados los niños, las niñas y los adolescentes, tendrán derecho a ser escuchados y sus opiniones deberán ser tenidas en cuenta". (Subraya fuera de texto)

Frente al contenido de esta garantía fundamental, en particular, el establecido en el numeral 2 del artículo 12 de la Convención, el Comité recomienda que en lo posible se brinde al niño la oportunidad de ser escuchado en todo procedimiento. Es decir, si un menor de 18 años demuestra capacidad para emitir una opinión con conocimiento de causa sobre su tratamiento, los Estados deberán tomar debidamente esta opinión.

2.9.3.4. El examen de constitucionalidad del artículo 7

A la luz de lo expuesto precedentemente, esta Corporación considera que el principio del interés superior de los niños, las niñas y adolescentes se concreta, en el caso particular, en el establecimiento de condiciones que permitan garantizar los derechos de los menores de 18 años en la sociedad de la Información y el Conocimiento, dentro de la cual se encuentran las herramientas de Internet y redes sociales.

Se concluye entonces, ante la evidencia del entorno inmediato que rodea el proceso de crecimiento y desarrollo de los niños, las niñas y los adolescentes en el aspecto físico, mental y emocional; y la urgencia del reconocimiento de su dignidad humana, que todos los actores involucrados en el aseguramiento y efectividad de los derechos de los menores de 18 años deben cumplir con sus responsabilidades en la protección de los mismos, concretamente, en la salvarguarda de sus datos personales.

Para iniciar, los intervinientes evidencian una posible contradicción entre el contenido del inciso primero y el inciso segundo del artículo 7 del proyecto porque el inciso primero establece que en el tratamiento de los datos de los niños, las niñas y adolescentes se debe asegurar la prevalencia de sus derechos, y el inciso segundo indica que se proscribe el tratamiento de los datos personales de los menores de 18 años, salvo aquellos que sean de naturaleza pública. Al respecto, sostienen que una restricción absoluta del tratamiento de los datos personales y de cualquier índole se tornaría excesiva, y que en todo caso se debe autorizar dicho tratamiento pero atendiendo al principio del interés superior del menor de 18 años y la prevalencia de sus derechos.

Esta Sala observa que la interpretación del inciso segundo, no debe entenderse en el sentido de que existe una prohibición casi absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello, daría lugar a la negación de otros derechos superiores de esta población como el de la seguridad social en salud, interpretación ésta que no se encuentra conforme con la Constitución. De lo que se trata entonces, es de reconocer y asegurar la plena vigencia de todos los derechos fundamentales de esta población, incluido el habeas data.

En este mismo sentido, debe interpretarse la expresión "naturaleza pública". Es decir, el tratamiento de los datos personales de los menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes.

Sumado a la efectividad del interés superior de esta población, también es importante que se les asegure su derecho a ser escuchados en todos los asuntos que los afecten; y el tratamiento de sus datos, sin duda alguna, es un asunto que les concierne directamente.

En definitiva, siguiendo las recomendaciones que emitió el Comité acerca de esta importante garantía, la Corte considera relevante que la opinión del menor de 18 años sea siempre tenida en cuenta, pues la madurez con que expresen sus juicios acerca de los hechos que los afectan debe analizarse caso por caso. La madurez y la autonomía no se encuentran asociadas a la edad, más bien están relacionadas con el entorno familiar, social, cultural en el cual han crecido. En este contexto, la opinión del niño, niña, y adolescente siempre debe tenerse en cuenta, y el elemento subjetivo de la norma "madurez" deberá analizarse en concreto, es decir, la capacidad que ellos tengan de entender lo que está sucediendo (el asunto que les concierne) y derivar sus posibles consecuencias.

En definitiva, el inciso segundo del artículo objeto de estudio es exequible, si se interpreta que los datos de los niños, las niñas y adolescentes pueden ser objeto de tratamiento siempre y cuando no se ponga en riesgo la prevalencia de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior, cuya aplicación específica devendrá del análisis de cada caso en particular.

En cuanto al inciso 3° del artículo 7° del proyecto debe también resaltarse que no sólo el Estado y las entidades educativas deben desarrollar acciones para evitar el uso inadecuado de los datos personales de los menores de 18 años sino que también son responsables en el aseguramiento de dicha garantía (i) los progenitores u otras personas que se encuentren a cargo de su cuidado y los educadores; (ii) el legislador, quien debe asegurarse que en cumplimiento de sus funciones legislativas, específicamente, en lo referente al tratamiento de los datos personales de los menores de 18 años, dicha normativa no deje de contener las medidas adecuadas de protección para garantizar su desarrollo armónico e integral, y la efectividad de sus derechos fundamentales contenidos en la Constitución Política y en los estándares internacionales que existen sobre la materia; (iii) el sistema judicial; específicamente los servidores públicos deben proteger los derechos derivados del uso de los datos personales de los menores de 18 años observando los estándares internacionales o documentos especializados sobre la materia; (iv) los medios de comunicación; (v) las empresas que proveen los servicios de acceso a la Internet, desarrollan las aplicaciones o las redes sociales digitales, a quienes se advierte que deben comprometerse en la defensa de los derechos fundamentales de los niños, niñas y adolescentes.

En definitiva, existe una corresponsabilidad de todos los actores frente al manejo y tratamiento de la información de los niños, niñas y adolescentes.

Respecto al contenido del inciso 3 del artículo 7 que establece: "El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta ley", esta Corporación encuentra que existen dos interpretaciones posibles sobre el alcance de la expresión "materia".

La primera, es aquella que tiene que ver con la reglamentación de la materia por parte del Gobierno Nacional, en el sentido de que el Gobierno podrá regular lo concerniente al tratamiento de los datos personales de los niños, las niñas y adolescentes. Teniendo en cuenta que esta regulación tiene reserva de ley, tal y como se expone en el estudio del artículo 27 de este proyecto, esta interpretación es contraria a la Constitución. Por tanto, el contenido del inciso 3 al que se hace referencia bajo este entendido sería inexequible.

No obstante, en aplicación del principio de conservación del derecho[259], la Corte encuentra que existe una segunda interpretación sobre el

alcance de la expresión en cuestión, en el sentido de que la potestad reglamentaria que el legislador le entrega al Gobierno Nacional para que regule la materia, se encuentra relacionada con (i) todas las acciones que debe desplegar para proveer información y formar a los representantes legales y tutores sobre los riesgos que afrontan los niños, niñas y adolescentes al realizar un uso indebido de sus datos personales y (ii) proveer de conocimiento a los niños, las niñas y las adolescentes sobre la importancia de darle un uso responsable al manejo de su información personal, el respeto por su derecho a la privacidad y la protección que deben otorgarle a sus datos personales y los de los demás.[260]

En este orden de ideas, la constitucionalidad del contenido del inciso 3 del artículo 7, que establece: "El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta ley", debe ser entendida a que dicha regulación se circunscriba al desarrollo del contenido del inciso 3 del artículo en mención, tal y como quedo arriba expuesto.

De igual manera debe entenderse que la expresión "(...) dentro de los seis (6) meses siguientes a la promulgación de esta ley", no debe entenderse como un término de caducidad de facultad reglamentaria, pues al contrario, la jurisprudencia constitucional ha señalado que no es posible establecer limitaciones a la misma, la cual se ejerce en forma permanente y en virtud de expreso mandato constitucional.

En efecto, ha dicho la Corte que la potestad reglamentaria tiene fundamento en lo previsto por el artículo 189-11 C.P., e implica que Ejecutivo está revestido de la facultad para expedir decretos, resoluciones y órdenes necesarios para la cumplida ejecución de las leyes. La potestad reglamentaria, en consecuencia, tiene naturaleza "ordinaria, derivada, limitada y permanente". Es ordinaria en razón a que es una función de la Rama Ejecutiva, sin que para su ejercicio requiera de habilitación distinta de la norma constitucional que la confiere. Tiene carácter derivado, puesto que requiere de la preexistencia de material legislativo para su ejercicio. Del mismo modo es limitada porque "encuentra su límite y radio de acción en la constitución y en la ley; es por ello que no puede alterar o modificar el contenido y el espíritu de la ley, ni puede dirigirse a reglamentar leyes que no ejecuta la administración, así como tampoco puede reglamentar materias cuyo contenido está reservado al legislador". Por último, "la potestadreglamentaria es permanente, habida cuenta que el Gobierno puede hacer uso de la misma tantas veces como lo considere oportuno para la cumplida ejecución de la ley de que se trate y hasta tanto ésta conserve su vigencia."

• 2.10. EXAMEN DEL ARTÍCULO 8: DERECHOS DE LOS TITULARES

2.10.1. Texto de la disposición

"Artículo 8°. Derechos de los titulares. El Titular de los datos personales tendrá los siguientes derechos:

a)Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.

b)Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la presente ley.

c)Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales.

d)Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen.

e)Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión sólo procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución.

f)Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

2.10.2. Intervenciones ciudadanas y concepto del Ministerio Público

2.10.2.1. La Universidad de los Andes solicita declarar exequibles los literales a), b) y c) del artículo 8 del proyecto, pero bajo el entendido de que en virtud del artículo 15 de la Constitución, el titular de los datos personales también puede ejercer los derechos previstos en dichos literales frente a los usuarios de sus datos personales.

Sobre el punto, advierte que de no entenderse que el proyecto de ley también involucra a los usuarios, se estaría generando una situación de desigualdad violatoria del artículo 13 de la Constitución entre los titulares de los datos personales, comerciales y financieros regidos por la Ley Estatutaria 1266 de 2008 y los titulares de los otros tipos de datos personales que se regirán por la nueva ley.

En efecto, dice, a los primeros sí se les confieren derechos frente a los usuarios mientras que a los segundos no. En este orden de ideas, argumentó, no existe razón jurídica para dar mayor relevancia e importancia al dato comercial y financiero frente a otra clase de dato personal como los datos sobre la salud, la familia, el trabajo, el patrimonio, los datos sensibles, etc.

Reitera que para que el tratamiento sea consistente con las exigencias mínimas de la Constitución es necesario que los usuarios cumplan una serie de obligaciones de manera que su acción u omisión no comprometa, vulnere, lesione o ponga en riesgo los derechos y libertades de los titulares de los datos personales. Por esta razón, es necesario que la Corte precise que los derechos de los titulares previstos en los literales a), b), y c) del artículo 8 del proyecto también pueden ejercerse ante los usuarios de los datos personales.

También solicita declarar exequible el literal f) del artículo 8 del proyecto, bajo el entendido que la gratuidad total también aplica al ejercicio del habeas data sobre los datos comerciales y financieros de que trata la Ley 1266 de 2008.

Aduce que el parágrafo del articulo 10 de la Ley Estatutaria 1266 de 2008 consagra una gratuidad limitada a una vez por mes calendario, es decir, a partir de la segunda consulta mensual el titular del dato debe pagar por ejercer el derecho fundamental al habeas data, respecto de sus datos personales.

Teniendo en cuenta lo anterior, afirma, la gratuidad total para el ejercicio del derecho de habeas data debe imponerse respecto de cualquier tipo de dato personal, incluso el comercial y financiero de que trata la Ley 1266 de 2008. De no entenderse que la gratuidad del literal f) del artículo 8 del proyecto se hace extensivo al ejercicio del habeas data del dato comercial y financiero se consolidará una situación real de desigualdad violatoria del artículo 13 de la Constitución entre los titulares de los datos personales, comerciales y financieros regidos por la Ley 1266 de 2008 y los titulares de los otros tipos de datos personales que se regirán por la nueva ley.

Por lo anterior, por razones de igualdad y con miras a evitar situaciones abusivas contra el titular del dato personal, es imperativo aclarar que la gratuidad total que consagra el literal f) del artículo 8 del proyecto también se aplica cuando se trate del dato comercial y financiero regulado por la Ley 1266 de 2008.

2.10.2.2. El Ministerio Público no se pronunció al respecto.

2.10.3. Introducción

El Consejo Permanente de la OEA, en el Proyecto de Principios y Recomendaciones Preliminares sobre la Protección de Datos Personales del 19 de noviembre de 2010, señaló que los Estados deberían, como mínimo, garantizar a los titulares del dato lo siguientes: (ii) a solicitar y obtener del controlador de datos información sobre sus datos personales, (ii) saber cómo y por qué se procesa el dato personal. Esto último incluye información sobre la fuente de los datos personales, el propósito del procesamiento y para quién se efectúa, lo cual puede incluir la categoría de receptores a los que se divulgarán los datos personales, (iii) a menos que los datos personales sean enmendados y/o suprimidos como rutina, el controlador de datos debe revelar los datos personales en su poder a la fecha de la solicitud. Sin embargo, si los datos personales son enmendados y/o suprimidos regularmente, el controlador de datos puede, en su defecto, revelar los datos personales que estén en su poder en el momento de responder a la solicitud, (iv) cómo y cuándo deben divulgarse los datos personales, (v) la información que debe ser suministrada a la persona debe ser clara y fácilmente comprensible, (vi) la persona tiene derecho a solicitar que el controlador de datos corrija o suprima los datos personales que puedan ser incompletos, inexactos, innecesarios o excesivos. Si los datos personales han sido divulgados a terceros, el controlador de datos debe también notificar a estos del cambio, si los conoce y (vii) el derecho a la revocatoria del dato, o el derecho a objetar el procesamiento de los datos personales, alegando una razón persona y legítima y no podrá objetarlos si son necesarios para el cumplimiento de un deber impuesto al controlador de datos por la legislación nacional o para la ejecución de una obligación contractual entre la persona y el controlador de datos, o si la persona expresó su consentimiento.

Por su parte, la Directiva 95/46/CE del Parlamento Europeo señala como derechos de los Titulares del Dato:

Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento:

• a) libremente, sin restricciones y con una periodicidad razonable y sin retrasos ni gastos excesivos:

- la confirmación de la existencia o inexistencia del tratamiento de datos que le conciernen, así como información por lo menos de los fines de dichos tratamientos, las categorías de datos a que se refieran y los destinatarios o las categorías de destinatarios a quienes se comuniquen dichos datos;

- la comunicación, en forma inteligible, de los datos objeto de los tratamientos, así como toda la información disponible sobre el origen de los datos;

- el conocimiento de la lógica utilizada en los tratamientos automatizados de los datos referidos al interesado, al menos en los casos de las decisiones automatizadas a que se refiere el apartado 1 del artículo 15;

• b) en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos;

• c) la notificación a los terceros a quienes se hayan comunicado los datos de toda rectificación, supresión o bloqueo efectuado de conformidad con la letra b), si no resulta imposible o supone un esfuerzo desproporcionado.

Los Estados miembros reconocerán al interesado el derecho a: a) oponerse, al menos en los casos contemplados en las letras e) y f) del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. En caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos;

• b) oponerse, previa petición y sin gastos, al tratamiento de los datos de carácter personal que le conciernan respecto de los cuales el responsable prevea un tratamiento destinado a la prospección; o ser informado antes de que los datos se comuniquen por primera vez a terceros o se usen en nombre de éstos a efectos de prospección, y a que se le ofrezca expresamente el derecho de oponerse, sin gastos, a dicha comunicación o utilización.

Los Estados miembros adoptarán todas las medidas necesarias para garantizar que los interesados conozcan la existencia del derecho a que se refiere el párrafo primero de la letra b)."

El artículo 8 señala que son derechos de los titulares de los datos:

"a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado, b) Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la presente ley, c) Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales, d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen, e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión sólo procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución. f) Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento."

En realidad, los derechos enunciados en el Proyecto, son un desarrollo concreto de los principios enunciados en el artículo 4. En efecto, en virtud del principio de legalidad el Titular tiene derecho a que sus datos sean tratados de conformidad con los límites establecidos en la normatividad vigente, especialmente tomar acciones cuando su Tratamiento esté expresamente prohibido (ordinal a). En razón de la finalidad, el Titular tiene el derecho a ejercer un control constante sobre el dato, con el fin de determinar si el mismo está siendo utilizado para los fines frente a los cuales prestó su autorización y solicitar al Responsable o al Encargado informaciones sobre el uso que ha dado de sus datos personales (ordinales b, c y e). En razón del principio de libertad, el Titular tiene la garantía de comprobar que los datos que circulen sobre él, han sido previamente autorizados, solicitar prueba de ello y también puede revocar su autorización (ordinales a, b, c y e). Por el principio de veracidad o calidad, el Titular tiene el derecho a conocer, actualizar y rectificar sus datos personales en los casos en que estos sean inexactos, incompletos o fraccionados, que induzcan a error o cuyo Tratamiento se encuentre prohibido (ordinal a). Por el principio de transparencia, el Titular tiene derecho a conocer los datos que sobre él reposan en las bases de datos, solicitar prueba de la autorización brindada, ser informado del manejo que se ha hecho de sus datos y acceder en forma gratuita a sus datos personales (ordinales a, b y f). En aras del principio de acceso y circulación restringida, seguridad y confidencialidad el Titular tiene derecho a exigir que su información sea Tratado de conformidad con los límites impuestos por la Ley y la Constitución y que en caso de incumplimiento existe un recurso efectivo para lograr el restablecimiento de sus derechos (ordinales a y d).

De la misma manera, cabe señalar que al igual que los principios, no puede considerarse que esta es una lista taxativa de garantías, sino que se encuentran incluidas todas aquellas prerrogativas que sean consecuencia de la garantía amplia del derecho fundamental al habeas data. De la misma manera, la rapidez del surgimiento de nuevos sistemas de información también hace necesario que los derechos sean integrados a los propios de cada sistema de información.[261]

2.10.4. Examen del ordinal e)

Esta disposición establece en Colombia el llamado derecho a la oposición. La norma señala que el Titular del dato podrá revocar la autorización y/o solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales y (ii) siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución. Sin embargo, tal y como pasará a explicarse estas condiciones se constituyen en una restricción desproporcionada para el Titular del dato.

El derecho de oposición permite al titular del dato evitar el tratamiento de su información o solicitar el cese del mismo.[262] Esta garantía se encuentra prevista en el artículo 14 de la Directiva 95/46/CE en los siguientes términos:

"Los Estados miembros reconocerán al interesado el derecho a:

• a) Oponerse, al menos en los casos contemplados en las letras a) y c) del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernen sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. En caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos".

• b) Oponerse, previa petición y sin gastos, al tratamiento de los datos de carácter personal que le conciernan respecto de los cuales el responsable prevea un tratamiento destinado a la prospección; o ser informado antes de que los datos se comuniquen por primera vez a terceros y se usen en nombre de éstos a efectos de prospección, y que se le ofrezca expresamente el derecho de oponerse, sin gastos, a dicha utilización o comunicación."

Entonces, el interesado o individuo titular del dato, bajo el estándar Europeo, tiene derecho a oponerse a su utilización: (i) por razones personales, si no existe ninguna obligación legal que le imponga la permanencia del dato, (ii) en cualquier momento cuando el dato ha sido tratado sin su consentimiento; (iii) el tratamiento es utilizado para fines distintos a los establecidos inicialmente y, (iv) cuando es tratado con fines de prospección de mercadeo por parte de terceras personas. Es decir, cuando se utiliza para fines publicitarios, y el Titular del dato ya no desea recibir más información sobre el producto.

Las legislaciones comparadas también han establecido el derecho a la oposición. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, del 5 de julio de 2010, permite la revocatoria del consentimiento en cualquier momento, siempre y cuando no produzca efectos retroactivos, en igual sentido se encuentra la legislación argentina. La Legislación española señala en el artículo 34 del Real Decreto 1720/2007, que el titular podrá revocar la autorización cuando: (i) en los casos en que aunque no es necesario el consentimiento, solicita su retiro, en razón de una razón personal legítima y siempre cuando la ley no ordene su procesamiento, (ii) cuando la información suministrada tenga por finalidad la realización de actividades de publicidad y prospección comercial y (iii) cuando el tratamiento de datos esté siendo utilizado para obtener un perfil, basado únicamente en las fuentes de información, lo que se ha denominado, el tratamiento automatizado de sus datos.

Se observa entonces que el derecho a la oposición implica la posibilidad, en cabeza del titular del dato, de solicitar su supresión incluso por razones personales, a menos que exista una disposición legal que lo obligue a que su dato personal permanezca en la base de datos.

Por su parte, el literal e) del artículo 8 del Proyecto en estudio, limita el derecho a la oposición a: (i) el uso indebido de la información por la violación de los principios, derechos y garantías constitucionales y (ii) cuando la Superintendencia de Industria y Comercio certifique que el Responsable o Encargado han incurrido en conductas contrarias a la Constitución y a la Ley.

Es decir, tal y está redactado el artículo 8, una vez el Titular del dato ha prestado su consentimiento para el uso de su información, nunca podría revocarlo, a menos que el Responsable o Encargado, haya hecho un uso indebido del mismo. Es decir, la autorización implicaría una pérdida indirecta de la titularidad del dato. Ello se traduce en una limitación al derecho a la autodeterminación informática habeas data, sin que exista una razón válida que la justifique.

En efecto, el artículo 15 de la Constitución Política señala que "En la recolección, tratamiento y circulación de datos se respetaran la libertad y demás garantías consagradas en la Constitución." El hábeas data confiere en palabras de la Corporación "según la norma constitucional citada, un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información".[263] Este control, no sólo se predica de la autorización previa para el Tratamiento del dato, sino que el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben sean excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato.

Considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, a los datos personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional. Además, la jurisprudencia constitucional ha establecido que existe un vínculo necesario entre la libertad en los procesos de acopio informático del dato personal y la expresión del consentimiento del titular. En cada una de estas decisiones se ha planteado "que el contenido concreto de la libertad del sujeto concernido y, simultáneamente, el límite que impide el abuso del poder informático, descansa en la exigencia de la autorización del titular como presupuesto del ejercicio de las competencias constitucionales de conocimiento, actualización y rectificación del dato personal."[264]

Por otro lado, la Corporación ha señalado que el derecho al habeas data otorga la facultad al titular de datos personales de exigir de las administradoras de esos datos "el acceso, inclusión,exclusión, corrección, adición, actualización y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos personales."[265]

Por ello, y en desarrollo del artículo 15 Superior y del principio de libertad en la administración de datos, se declara inexequible la expresión "solo" del párrafo segundo del literal e), en razón a que esta expresión limita la revocatoria del consentimiento a una declaración de incumplimiento de los deberes del Responsable o Encargado del Tratamiento, por parte de la Superintendencia de Industria y Comercio.

En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos.

2.10.5. Examen del ordinal f)

La Universidad de los Andes solicita que el numeral f) sea condicionado a que el principio de gratuidad también debe ser aplicado al parágrafo 2 del artículo 10 de la Ley 1266 de 2008 que señala que "La consulta de la información financiera, crediticia, comercial, de servicios y laproveniente de terceros países por parte del titular, será gratuita al menos una (1) vez cada mes calendario."

Sin embargo, tal interpretación no es posible en razón a que el legislador estatutario en el artículo 2 señala expresamente que "El régimen de protección de datos personales que se establece en la presente Ley no será de aplicación: (…) e) a las bases de datos y archivos regulados por la Ley 1266 de 2008". Además, a pesar de que ordena que a dichas bases exceptuadas también le sean aplicables los principios sobre la protección de datos, seguidamente dispone que: "En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley".

Por ello, el criterio de especialidad prima, teniendo en consideración además, que tal norma ya contó con el examen previo y automático de la Corte Constitucional en la Sentencia C-1011 de 2008, y que no fue derogada por el Proyecto de Ley Estatutaria que hoy se analiza. Sobre el artículo 10 de la Ley 1266 de 2008 sostuvo la Corte en dicha oportunidad:

"No obstante, encuentra la Corte que en contra de la anterior conclusión puede argumentarse que lo previsto por el legislador estatutario no se contrapone a la Constitución, en tanto está permitido el acceso gratuito del titular, sólo que se establece el cobro para el caso de la segunda consulta mensual; ello con el ánimo de otorgar un grado de racionalización al acceso por parte del sujeto concernido y, de esta manera, desestimular un uso desaforado de la facultad de consulta prevista por la Constitución.

A juicio de la Sala, debe partirse de considerar que lo que proscriben las reglas anteriormente analizadas es que el acceso a la información personal esté supeditado al pago de un costo o tarifa, lo que no es incompatible con que el legislador establezca la posibilidad de cobro, siempre y cuando el mismo no constituya requisito ineludible para el acceso a los datos personales por parte de su titular. En ese sentido, la norma analizada no se opone a la Constitución, en la medida en que permite que el titular acceda gratuitamente a sus datos, al menos una vez al mes calendario, facultad que permite hacer efectivo el derecho de acceso a la información personal, en los términos anteriormente expuestos. En ese sentido, encuentra la Corte que la restricción mensual a la gratuidad de acceso al dato personal no se muestra desproporcionada ni irrazonable. En efecto, (i) existe la posibilidad que el titular acceda gratuitamente a su información personal, cada mes; y (ii) la práctica comercial demuestra que las obligaciones financieras y crediticias son pactadas con vencimientos de pago igualmente mensuales, razón por la cual resulta materialmente posible que se efectúen reportes sobre cumplimiento en el pago de obligaciones por lapsos más cortos. Por ende, la medida de racionalización en la consulta que prevé el legislador estatutario no afecta la facultad constitucional que tiene el titular de conocer, actualizar y rectificar sus datos personales concernidos en archivos o bancos de datos."

• 2.11. EXAMEN DEL ARTÍCULO 9: AUTORIZACIÓN DEL TITULAR

2.11.1. Texto de la disposición

"Artículo 9°.Autorización del titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior."

2.11.2. Intervenciones ciudadanas y concepto del Ministerio Público

No se presentaron intervenciones al respecto. Por otro lado, el Ministerio Público no se refirió a la constitucionalidad de la disposición.

2.11.3. Examen de constitucionalidad

No se presentan reparos de constitucionalidad, y por el contrario, se reitera lo explicado en relación con el consentimiento, al desarrollar el principio de libertad. En consecuencia, los datos personales sólo puede ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Las únicas excepciones posibles serán las establecidas en el artículo 10 del proyecto de ley bajo examen.

En consecuencia no está permitido el consentimiento tácito del Titular del dato. El consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

• 2.12. EXAMEN DEL ARTÍCULO 10: CASOS EN LOS QUE NO ES NECESARIA LA AUTORIZACIÓN

2.12.1. Texto de la disposición

"Artículo 10. Casos en que no es necesaria la autorización.La autorización del Titular no será necesaria cuando se trate de:

a)Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.

b)Datos de naturaleza pública.

c)Casos de urgencia médica o sanitaria.

d)Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos.

e)Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley."

2.12.2. Intervenciones ciudadanas y concepto del Ministerio Público

2.12.2.1. La Secretaría Jurídica de la Presidencia de la República solicita la exequibilidad condicionada del artículo 10, en el entendido de que esta disposición es constitucional siempre y cuando se realice una interpretación armónica del mismo con los principios de la ley y de la constitución.

Asegura que el literal c) del artículo 10 es constitucional, siempre y cuando se entienda que este evento debe obedecer a la existencia de circunstancias apremiantes de urgencia médica, bien para el titular o para terceros que amerite que el tratamiento se realice sin autorización. Lo mismo podría decirse de una emergencia sanitaria. Sin embargo, estas excepciones deben interpretarse con carácter restrictivo, sólo ante circunstancias verdaderamente apremiantes.

Afirma que el último inciso del artículo 10, es constitucional pero advierte que su interpretación debe hacerse con carácter restrictivo y en concordancia con los principios de la ley objeto de estudio, y que han sido avalados por la Corte Constitucional.

Por último, en relación con el literal c) del artículo 10, que es importante que cualquier ley que otorgue una autorización de esta índole debe ser respetuosa de los principios señalados en el proyecto de ley objeto de estudio y que han sido reiterados por la Corte Constitucional en ocasiones anteriores. Refiere que la regla general es que debe mediar una autorización y la excepción es que no se cuente con la misma cuando existan intereses constitucionales superiores, es especial, aquéllos que dentro de un Estado Social de Derecho importan a todo el conglomerado social.

2.12.2.2. La Defensoría del Pueblo solicita la exequibilidad condicionada del literal c) del artículo 10. Expuso que en los casos de urgencia médica o sanitaria, la situación puede hacer particularmente onerosa la satisfacción de la condición de la autorización.

Sin embargo, dado que en estos casos pueden verse involucrados datos de carácter "sensible", como son precisamente los referidos a la salud, esta excepción debería ser leída no como una autorización irrestricta para prescindir del consentimiento, sino como una alternativa extrema a la que se llega cuando no ha sido posible lograr el consentimiento del titular o la premura de la situación lo impide.

Por lo anterior, la Defensoría considera que la constitucionalidad de esta excepción debe condicionarse a que se entienda que ella opera sólo en los casos en que dada la situación concreta de urgencia, no sea posible obtener la autorización del titular o resulte particularmente problemático gestionarla, dadas las circunstancias de apremio, riesgo o peligro para otros derechos fundamentales, ya sea del titular o de terceras personas.

De otro lado, solicita la declaratoria de inexequibilidad del último inciso del artículo 10; pues es contraria a los derechos y garantías inherentes al derecho fundamental a la protección de datos personales. De hecho, semejante laxitud equivale a dejar sin efecto concreto, no sólo las garantías constitucionales previstas en el artículo 15 de la Carta sino las previstas en la propia ley.

En otras palabras, la Defensoría consideró que de nada sirve consagrar como derecho y principio del tratamiento de datos, la autorización o el consentimiento del titular, si la ley no prevé una consecuencia adversa para quien lleva a cabo el tratamiento sin contar previamente con dicha autorización o sin estar facultado por la ley para realizarlo. En consecuencia, solicitó la declaratoria de inexequibilidad del último inciso del artículo 10 del proyecto.

2.12.2.3. El Ministerio Público no se pronuncio sobre la constitucionalidad de la disposición.

2.12.3. Consideraciones de la Corte

El artículo 10 desarrolla los casos en que no es necesaria su autorización, específicamente cuando: la información es requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial, los datos de naturaleza pública, los casos de urgencia médica o sanitaria, tratamiento autorizado por la Ley para fines históricos, estadísticos o científicos y datos relacionados con el registro civil de las personas.

El consentimiento de la titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales. En concordancia con los expuesto frente al "principio de libertad", en el manejo de los datos no podrá existir una autorización tácita.

En relación con la posibilidad de excepcionar el consentimiento, en estos casos existen importantes intereses constitucionales que justifican tal limitación.

Por su parte, tanto en el ordenamiento internacional como en el derecho comparado, se disponen causales que eximen la necesidad de la autorización. Así, en la Resolución 45/95 del 14 de diciembre de 1990 de las Naciones Unidas, se consagran restricciones relacionadas con la "seguridad nacional, orden público, salud pública o la moralidad; así como para proteger los derechos y libertades de otros, especialmente las personas que estén siendo perseguidas, siempre que tales excepciones estén especificadas de forma explícita en una ley o norma equivalente, promulgada de acuerdo con el sistema jurídico interno, que expresamente establezca sus límites y prevea las salvaguardas adecuadas"

La Directiva 95/46/CE[266] del Parlamento Europeo y del Consejo Europeo, del 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, también señala que es necesario el consentimiento salvo "que la información sea necesaria para la ejecución de un contrato en el que el interesado sea parte, o para la aplicación de medidas precontractuales adoptadas a petición del interesado, o cuando sea necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o sea necesario para proteger el interés vital del interesado, o necesario para el cumplimiento de una misión de interés público, o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos, o para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección."

El artículo 10 del Proyecto de Ley bajo estudio señala las situaciones en las que no es necesaria la autorización, las cuales responden a la naturaleza misma del dato y al tipo de funciones que cumplen. Sin embargo, deben hacerse las siguientes precisiones:

En primer término, se señala que se prescindirá de la autorización cuando la información sea "requerida por una autoridad pública o administrativa en ejercicio de sus funciones legales o por orden judicial". Sin embargo, considera la Sala que deben hacerse las mismas observaciones que las contenidas en la Sentencia C-1011 de 2008, al hacer el estudio del Proyecto de Ley Estatutaria de los datos financieros.

En relación, con las autoridades públicas o administrativas, señaló la Corporación que tal facultad "no puede convertirse en un escenario proclive al abuso del poder informático, esta vez en cabeza de los funcionarios del Estado. Así, el hecho que el legislador estatutario haya determinado que el dato personal puede ser requerido por toda entidad pública, bajo el condicionamiento que la petición se sustente en la conexidad directa con alguna de sus funciones, de acompasarse con la garantía irrestricta del derecho al hábeas data del titular de la información. En efecto, amén de la infinidad de posibilidades en que bajo este expediente puede accederse al dato personal, la aplicación del precepto bajo análisis debe subordinarse a que la entidad administrativa receptora cumpla con las obligaciones de protección y garantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida.

Para la Corte, esto se logra a través de dos condiciones: (i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y (ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información, habida consideración que ese grupo de condiciones permite la protección adecuada del derecho.

En relación con el primero señaló la Corporación que "la modalidad de divulgación del dato personal prevista en el precepto analizado devendrá legítima, cuando la motivación de la solicitud de información esté basada en una clara y específica competencia funcional de la entidad." Respecto a la segunda condición, la Corte estimó que una vez la entidad administrativa accede al dato personal adopta la posición jurídica de usuario dentro del proceso de administración de datos personales, lo que de forma lógica le impone el deber de garantizar los derechos fundamentales del titular de la información, previstos en la Constitución Política y en consecuencia deberán: "(i) guardar reserva de la información que les sea suministrada por los operadores y utilizarla únicamente para los fines que justificaron la entrega, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud de suministro del dato personal; (ii) informar a los titulares del dato el uso que le esté dando al mismo; (iii) conservar con las debidas seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento; y (iv) cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la legislación estatutaria."

En relación con la orden judicial, dijo la Corporación que "si bien no existe una autorización expresa del titular que circunscriba la circulación del dato, la posibilidad de acceso resulta justificada en la legitimidad que tienen en el Estado Constitucional de Derecho las actuaciones judiciales, ámbitos de ejercicio de la función pública sometidos a reglas y controles, sustentados en la eficacia del derecho al debido proceso y rodeado de las garantías anejas a éste, en especial, los derechos de contradicción y defensa. Así, reconociéndose la importancia de esta actividad en el régimen democrático, entendida como pilar fundamental para la consecución de los fines estatales de asegurar la convivencia pacífica y la vigencia de un orden justo y advirtiéndose, del mismo modo, que el acto de divulgación en este caso responde a una finalidad constitucionalmente legítima, el precepto examinado es exequible."

En lo que se relaciona con los datos públicos y el registro civil de las personas, su naturaleza hace que no estén sujetos al principio de autorización. La información pública es aquella que puede ser obtenida sin reserva alguna, entre ella los documentos públicos, habida cuenta el mandato previsto en el artículo 74 de la Constitución Política. Esta información puede ser adquirida por cualquier persona, sin necesidad de autorización alguna para ello.

Frente a los casos de urgencia médica y sanitaria, en aras de la efectividad del derecho a la libertad en el manejo de datos, la norma debe entenderse que opera sólo en los casos en que dada la situación concreta de urgencia, no sea posible obtener la autorización del titular o resulte particularmente problemático gestionarla, dadas las circunstancias de apremio, riesgo o peligro para otros derechos fundamentales, ya sea del titular o de terceras personas.

En relación con el tratamiento para fines históricos, estadísticos o científicos, la norma no ofrece repara de constitucionalidad en razón a que delega a la Ley la manera como estos datos deben ser protegidos, además, debe interpretarse en concordancia con el numeral e) del artículo 6 que señala que en estos casos "deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares".

Finalmente, cabe señalar que la Defensoría del Pueblo solicita la inexequibilidad del último parágrafo del artículo, 10 por cuanto se traduciría en una autorización general para el acceso a los datos personales, sin consentimiento del titular. Sin embargo, una lectura de la norma permite interpretar que lo que busca el legislador estatutario es que en los casos taxativos permitidos por el artículo 10, en los que no es necesario el consentimiento del Titular, el uso del dato también debe sujetarse a todos los principios y limitaciones consagrados en la Ley. Por el contrario, jamás podría interpretarse como una autorización abierta para que se accedan a datos personales sin consentimiento de su titular.

• 2.13. EXAMEN DEL ARTÍCULO 11: SUMINISTRO DE INFORMACIÓN

2.13.1. Texto de la disposición

"Artículo 11. Suministro de la información. La información solicitada podrá ser suministrada por cualquier medio, incluyendo los electrónicos, según lo requiera el Titular. La información deberá ser de fácil lectura, sin barreras técnicas que impidan su acceso y deberá corresponder en un todo a aquella que repose en la base de datos.

El Gobierno Nacional establecerá la forma en la cual los Responsables del Tratamiento y Encargados del Tratamiento deberán suministrar la información del Titular, atendiendo a la naturaleza del dato personal. Esta reglamentación deberá darse a más tardar dentro del año siguiente a la promulgación de la presente ley."

2.13.2. Intervenciones ciudadanas y concepto del Ministerio Público

No se presentaron intervenciones al respecto. Por otro lado, el Ministerio Público no se refirió a la constitucionalidad de la disposición.

2.13.3. Constitucionalidad del artículo 11: suministro de información

El artículo 11 regula lo relativo a los mecanismos de entrega de la información suministrada al Titular, los cuales deberán ser reglamentados por el Gobierno Nacional. La norma ordena que ésta deberá ser de fácil lectura, sin barreras técnicas y deberá tener todo la información que se encuentra relacionada en la base de datos.

La constitucionalidad de esta primera parte de la disposición no plantea mayores inconvenientes, habida cuenta que desarrolla uno de los derechos de los Titulares: el acceso a su información.

Por otra parte, no existe reparo en cuanto a la facultad otorgada al Gobierno Nacional por cuanto se trata de un asunto eminentemente técnico, delimitado y que no versa sobre los aspectos esenciales del derecho fundamental, ni mucho menos ofrece una regulación integral del mismo. Por lo tanto, en este marco, el legislador estatutario ordena al Gobierno Nacional que, mediante su potestad reglamentaria, concrete la manera en que se entregará la información al Titular. Sobre el particular, cabe recordar que la Corte ha admitido la constitucionalidad de este tipo de disposiciones, siempre y cuando el legislador haya establecido un contenido material legislativo que sirva de base para el ejercicio de dicha potestad. Frente al punto ha dicho la jurisprudencia:

"Es posible que la rama legislativa con la utilización de un lenguaje amplio reconozca a la autoridad administrativa competente un margen suficiente para el desarrollo específico de algunos de los supuestos definidos en la ley con el propósito de concretar la aplicación de ciertos preceptos legales a circunstancias diversas y cambiantes. Eso es propio de un Estado regulador. Sin embargo, en esos eventos la acción de la administración y el cumplimiento de las políticas públicas que animan la ley y las regulaciones administrativas que las materializan dependen de que las disposiciones legales establezcan criterios inteligibles, claros y orientadores dentro de los cuales ha de actuar la administración de tal forma que se preserven los principios básicos de un estado social y democrático de derecho."[267]

De igual manera debe entenderse que la expresión "Esta reglamentación deberá darse a más tardar dentro del año siguientes a la promulgación de la presente ley", no debe entenderse como un término de caducidad de facultad reglamentaria, pues al contrario, la jurisprudencia constitucional ha señalado que no es posible establecer limitaciones a la misma, la cual se ejerce en forma permanente y en virtud de expreso mandato constitucional.

En efecto, ha dicho la Corte que la potestad reglamentaria tiene fundamento en lo previsto por el artículo 189-11 C.P., e implica que

Ejecutivo está revestido de la facultad para expedir decretos, resoluciones y órdenes necesarios para la cumplida ejecución de las leyes. La potestad reglamentaria, en consecuencia, tiene naturaleza "ordinaria, derivada, limitada y permanente".[268] Es ordinaria en razón a que es una función de la Rama Ejecutiva, sin que para su ejercicio requiera de habilitación distinta de la norma constitucional que la confiere. Tiene carácter derivado, puesto que requiere de la preexistencia de material legislativo para su ejercicio.[269] Del mismo modo es limitada porque "encuentra su límite y radio de acción en la constitución y en la ley; es por ello que no puede alterar o modificar el contenido y el espíritu de la ley, ni puede dirigirse a reglamentar leyes que no ejecuta la administración, así como tampoco puede reglamentar materias cuyo contenido está reservado al legislador".[270]. Por último, "la potestad reglamentaria es permanente, habida cuenta que el Gobierno puede hacer uso de la misma tantas veces como lo considere oportuno para la cumplida ejecución de la ley de que se trate y hasta tanto ésta conserve su vigencia."[271]

• 2.14. EXAMEN DEL ARTÍCULO 12: DEBER DE INFORMAR AL TITULAR

2.14.1. Texto de la disposición

"Artículo 12. Deber de informar al titular.El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente:

a)El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.

b)El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.

c)Los derechos que le asisten como Titular.

d)La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo.El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta."

2.14.2. Intervenciones ciudadanas y concepto del Ministerio Público

2.14.2.1. La Defensoría del Pueblo solicita la inexequibilidad del aparte del literal b) del artículo 12 que preceptúa: "cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes"por las siguientes razones:

Expone que una concepción congruente con los principios de libertad, autorización y finalidad del tratamiento de datos, conduce necesariamente a la afirmación de que las respuestas a las preguntas que le sean formuladas al titular, debe ser facultativa o potestativa, independientemente de que se trate de datos sensibles o datos que no lo sean. Limitar dicha potestad a los datos sensibles implica forzar las respuestas en los demás casos, con lo cual, quedan por completo desvirtuadas las garantías inherentes a la protección de datos, como la autodeterminación informática, la intimidad y la libertad.

Por otra parte, afirma, incluir preguntas sobre datos sensibles para luego ser tratados, vulnera claramente la prohibición de su tratamiento.

Adicional a lo anterior, la Defensoría destacó que el tratamiento de datos de infantes y adolescentes, salvo en lo referente a los datos de naturaleza pública, debe entenderse proscrito por el ordenamiento superior, según las previsiones relativas a la prevalencia de sus derechos y la garantía del interés superior de que son titulares, prohibición que es recogida en el artículo 7 del proyecto. En este sentido, no cabría ni siquiera la posibilidad de formular tales preguntas ni a sus padres ni a sus tutores, ni menos aún a los propios niños, niñas y adolescentes.

2.14.2.2. El Ministerio Público no presentó consideraciones particulares frente a la norma

2.14.3. Consideraciones de la Corte

El artículo 12 dispone las características de la información que deberá ser suministrada por el Responsable del Tratamiento. La disposición es constitucional, pero el literal b) debe condicionarse por las siguientes razones.

La norma señala a los Titulares deberá informárseles "el carácter facultativo a las preguntas que le sean hechas, cuando éstas versensobre datos sensibles o sobre los datos de las niñas, niños y adolescentes".

En una primera lectura podría entenderse que la norma está autorizando el Tratamiento de datos sensibles y de niñas, niños y adolescentes, a pesar de encontrarse prohibida. Sin embargo, existe una forma de interpretar la disposición de una forma que se avenga a los postulados constitucionales.

En primer lugar, el carácter facultativo, en razón del principio de libertad, es predicable de todas las preguntas. Sin embargo, cuando se trate de una de las situaciones en que excepcionalmente se permite el Tratamiento de un dato sensible o de una niña, niño o adolescente, el Responsable del Tratamiento deberá informar las limitaciones y derechos que le son predicables de este tipo de dato.

• 2.15. EXAMEN DEL ARTÍCULO 13: PERSONAS A QUIENES SE LES PUEDE SUMINISTRAR LA INFORMACIÓN

2.15.1. Texto de la disposición

Artículo 13.Personas a quienes se les puede suministrar la información. La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas:

a)A los Titulares, sus causahabientes o sus representantes legales.

b)A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial.

c)A los terceros autorizados por el Titular o por la ley."

2.15.2. Intervenciones ciudadanas y concepto del Ministerio Público

No se presentaron intervenciones al respecto. Por otro lado, el Ministerio Público no se refirió a la constitucionalidad de la disposición.

2.15.3. Constitucionalidad del artículo 13

La norma establece que la información podrá suministrarse a las siguientes personas: (i) a los Titulares, sus causahabientes o sus representantes legales, (ii) a las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial y (iii) a los terceros autorizados por el Titular o por la Ley.

En cuanto al primero de los casos, esta posibilidad, en criterio de la Corte, es constitucional, en tanto el artículo 15 C.P. confiere a los sujetos concernidos la facultad de conocer la información que sobre ellos se haya incorporado en un sistema automatizado de información, y dentro de los mismos se encuentran sus representantes y aquellos que los suceden en razón de causa de muerte.

Frente al segundo escenario permitido por el legislador, esto es la entrega de información a las entidades públicas y en virtud de una orden judicial, se harán las mismas observaciones que al estudiar el artículo 10, sobre los casos exceptuados de autorización. Por lo tanto, el ordinal b) debe entenderse que la entidad administrativa receptora cumpla con las obligaciones de protección y garantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida. Por lo tanto, debe encontrarse demostrado (i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y (ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información.

Finalmente, en cuanto al ordinal c) que establece la posibilidad de la entrega de la información a "los terceros autorizados por el Titular o por la ley", la Corte también reiterará lo señalado en la Sentencia C-1011 de 2008. Para el Tribunal, esas autorizaciones podrían "prestarse a equívocos, en el entendido que establecería una cláusula genérica, con base en la cual una ley posterior pudiera permitir la divulgación de información personal a otras personas, sin consideración de las garantías propias del derecho fundamental al hábeas data y de la vigencia de los principios de administración de datos personales. Al respecto, la extensión irrestricta de las posibilidades de divulgación de la información contradiría el principio de circulación restringida, comprendido por el legislador estatutario como la imposición de restricciones a la divulgación de datos en razón de su naturaleza, de la finalidad del banco de datos y de la vigencia de los citados principios."

En consecuencia, esa prerrogativa dada al legislador debe entenderse en el entendido que se encuentra supeditada a la vigencia de las prerrogativas que se derivan del derecho al hábeas data y, en especial, a los principios de administración de datos personales.

• 2.16. EXAMEN DEL TITULO V. PROCEDIMIENTOS. ARTÍCULOS 14, 15 y 16: CONSULTA, RECLAMOS y REQUISITO DE PROCEDIBILIDAD

2.16.1. Texto de las disposiciones

"TITULO V

PROCEDIMIENTOS

Articulo 14. Consultas.Los titulares o causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual que esté vinculada con la identificación del Titular.

La consulta se formulara por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta.

La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho termino, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer termino.

Parágrafo.Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal.

Articulo 15. Reclamos.El titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas:

• 1. el reclamo se formulará mediante solicitud dirigida al Responsable del tajamiento a al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

• 2. una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga" reclamo en tramite" y el motivo del mismo, en un termino no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.

• 3. el termino máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo, cuando no fuere posible atender el reclamo dentro de dicho termino, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (58) días hábiles siguientes al vencimiento del primer termino.

Articulo 16. Requisito de procedibilidad.El titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el tramite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento."

2.16.2. Intervenciones ciudadanas y concepto del Ministerio Público

2.16.2.1. La Secretaría Jurídica de la Presidencia manifiesta, respecto a los artículos 14 y 15 que resulta necesario y conveniente fijar términos y procedimientos para atender las consultas y reclamos presentados por los titulares de la información, asunto que fue tratado por la Corte Constitucional cuando analizó la exequibilidad del proyecto de ley que dio origen a la Ley 1266 de 2008. Frente al artículo 16 señala que la Superintendencia debe actuar de oficio o a petición de parte, para exigir del responsable o del encargado del tratamiento el cumplimiento de la legislación en materia de protección de datos, así como para adoptar las medidas administrativas correspondientes.

Por lo anterior, es útil establecer un procedimiento para hacer más expedita la resolución de la consulta o reclamo presentada por el titular o causahabiente ante quien tiene el deber de recolectar, almacenar, usar, circular o suprimir sus datos personales, sin que ello releve a la autoridad de control de actuar a través de los mecanismos legales otorgados para velar por el respeto por los derechos del titular.

2.16.2.2. La Defensoría del pueblo, solicita exequibilidad condicionada del artículo 15, por cuanto se deben incorporar otras garantías como la supresión de la información o la disociación de datos, cuando el dato haya cumplido la finalidad de su tratamiento o se trate de datos sensibles que imponen la reserva de identidad del titular. En consecuencia, a partir del artículo 93 de la Carta en concordancia con el inciso 2 del artículo 15, la no enunciación expresa de otras garantías propias del derecho fundamental a la protección de los datos, no puede entenderse como su negaciónPor lo anterior, la Defensoría solicita a la Corte Constitucional hacer una interpretación amplia de los derechos a que da lugar el trámite de reclamos del artículo 15, de manera que se entienda que las garantías derivadas del derecho a la protección de los datos incluyen, además de la rectificación y la actualización, la supresión y la disociación de la información.

2.16.2.3. El Ministerio Público guardó silencio.

2.16.3. La consulta ante los agentes que participan del tratamiento de los datos es un mecanismo necesario para hacer efectivo el derecho al habeas data

El articulo 14 del proyecto de ley regula el mecanismo de la consulta al señalar: (i) que los titulares o sus causahabientes podrán consultar la información personal del titular que repose en cualquier base de datos pública o privada, (ii) responsables y encargados del tratamiento deben suministrar al titular toda la información contenida en la base de datos bien porque se tenga un registro individual o exista alguna asociada a su identificación, (iii) el responsable y el encargado del tratamiento deben tener algún medio habilitado para que la consulta se pueda realizar, el cual debe permitir dejar prueba de ello, (iv) la consulta se debe resolver en un término máximo de 10 días hábiles a partir de la fecha de recibo de la solicitud y (v) en el evento de no poder responderse en ese término, se le debe informar al titular sobre las razones. De todas maneras la respuesta la debe recibir dentro de los 5 días siguientes al vencimiento del primer plazo.

Por su parte, el parágrafo señala que leyes especiales o los reglamentos expedidos por el Gobierno podrán establecer términos inferiores, atendiendo la naturaleza del dato.

La Sala encuentra que este artículo guarda cierta similitud con el articulo 16, numeral I de la Ley 1266 de 2008, encontrado ajustado a la Constitución en la sentencia C-1011 de 2008.

Esta norma hace una regulación típica del derecho de petición que consagra el artículo 23 de la Constitución tanto en el inciso primero como en el segundo, por cuanto el primero señala que todas las personas tienen derecho a presentar peticiones respetuosas ante las autoridades por motivos de interés general o particular, hecho que en el caso en estudio se traduce en el derecho que tienen los titulares del habeas data o sus causahabientes para presentar ante los bancos de datos que manejen las autoridades publicas, peticiones para establecer que información o datos poseen sobre ellos.

En el segundo inciso del mencionado artículo 23 señala que el legislador podrá reglamentar su ejercicio ante organizaciones privadas para garantizar los derechos fundamentales. Es precisamente esta regulación la que hace el artículo 14, al estipular que los responsables y/o encargados del tratamiento de datos, en este caso los privados, deben atender en los precisos términos las consultas que eleven ante ellos los titulares del derecho al habeas data, como una forma de hacer exigibles el derecho consagrado en el literal a) del articulo 8 del proyecto en revisión, específicamente el de conocer.

En este orden de ideas, el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data. Es por ello que la jurisprudencia constitucional ha definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.

En ese sentido, el legislador estatutario al regular de forma general la protección del dato personal, estaba facultado para señalar los términos en que los responsables y encargados del tratamiento del dato, públicos y privados, deben responder las consultas o peticiones que les eleve el titular del dato o sus causahabientes, con el fin de hacer exigibles entre otros, el derecho a conocer qué datos personales tiene un determinado bancos de datos y la forma como éstos son manejados. Compatible con esto, los artículos 17, literal k) y 18 literal f) del proyecto, establecen como uno de los deberes del responsable y encargado del dato el de adoptar un manual interno de políticas y procedimiento especialmente para la atención de las consultas y reclamos por parte de los titulares. Igualmente, como una forma de lograr un mayor conocimiento por parte del titular de las bases de datos que operan en el país y cuáles pueden estar tratado su información, el proyecto crea el registro nacional de bancos de datos, artículo 25, el cual será objeto de análisis posteriormente.

En consecuencia, el precepto acusado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional[272] ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada.

En relación con el parágrafo, basta señalar que en él se confirma que atendiendo la naturaleza del dato, el legislador tiene claro que se expedirán regulaciones sectoriales, las cuales podrán establecer lapsos más cortos para que los encargados y responsables del tratamiento den respuesta a las solicitudes que pueda presentar el titular del dato, reducción de términos que en nada afecta el ordenamiento constitucional, por cuanto es claro que lo que está fijando la ley en revisión es el máximo que puede tomarse uno de los agentes del tratamiento del dato para responder a los titulares o causahabientes.

Respecto a la posibilidad de que el Gobierno Nacional expida reglamentos según la naturaleza del dato personal y en ellos se reduzcan los términos para responder, es necesario remitirnos al análisis que hará la Sala del artículo 27 del proyecto relacionado con las disposiciones especiales, en el que se concluye que en relación con el tratamiento de datos según su naturaleza o especialidad existe una reserva legal, que impide al Gobierno Nacional hacer reglamentaciones por fuera de su facultad reglamentaria constitucional.

2.16.4. El reclamo: otro mecanismo para hacer efectivos, entre otros, la rectificación, actualización, corrección, oposición y supresión

El articulo 15 regula los reclamos que puede efectuar el titular del dato o sus causahabientes al responsable o encargado del tratamiento con el fin de corregir, actualizar o suprimir la información contenida en la base de datos o cuando se considere que se ha incumplido con cualquiera de los deberes reseñados en los artículos 17 y 18 del proyecto en análisis.

Igualmente fija las reglas que se deben observar para tal efecto, las cuales se pueden resumir así: (i) solicitud que pese a que no se enuncia, parece ser escrita por cuanto señala que debe contener la identificación y dirección del solicitante, la descripción de los hechos que originan el reclamo, y los soportes documentales que se quieren hacer valer, (ii) si la solicitud no es completa, se debe requerir al solicitante dentro de los cinco días de recibida la solicitud para que subsane las falencias. Si transcurridos dos meses del requerimiento no se presenta los requerimientos exigidos se entiende que se ha desistido de la reclamación.

En el evento de la falta de competencia de quien recibe la solicitud, debe enviarla al competente en el término máximo de dos días.

En cuanto al trámite, se consagra que: i) una vez se recibe el reclamo debe incluirse la expresión "reclamo en trámite" y el motivo del mismo en el registro que se tenga, anotación que se debe mantener hasta que el mismo se resuelva, ii) se fija un término máximo de quince días hábiles contados a partir del día siguiente de la fecha de solicitud para atender el reclamo, prorrogable hasta por ocho más, cuando no fuere posible atender la solicitud en el plazo inicial, previa información motivada de tal hecho al interesado.

Este articulo regula un procedimiento similar al que contempla el articulo 16, II, numerales 1,2, y 3 de la Ley 1266 de 2008, hallado exequible por la Corte en la sentencia C-1011 de 2008.

Sobre este mecanismo de reclamo que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data.

En esa línea, a diferencia de la intervención de la Defensoría del Pueblo, la Sala considera que el mecanismo del reclamo le permitirá al titular del dato o a sus causahabientes solicitar al encargado o responsable del tratamiento, el cumplimiento de todos los principios que rigen a los administradores de datos y los derechos del titular del dato, razón por la que no considera necesario condicionar el precepto en revisión en el sentido en que lo solicita esa entidad, por cuanto si bien la norma sólo se refiere a la actualización, corrección o supresión, no significa que no se puedan solicitar otras dimensiones de este derecho si a ello hay lugar.

Por tanto, ningún problema de constitucionalidad se observa en este precepto, razón por la cual será declarado exequible, por cuanto este mecanismo se considera expedito para la atención de los requerimientos del titular del dato y su oportuna respuesta.

2.16.5. Constitucionalidad del requisito de procedibilidad del articulo 16

Este precepto establece que sólo se podrá elevar queja ante la Superintendencia de Industria y Comercio como la autoridad de protección del dato, una vez se haya agotado el trámite de consulta o reclamo ante el responsable o encargado del tratamiento.

Lo dispuesto en este artículo no riñe con la Constitución, por el contrario permite al titular del dato agotar las instancias correspondientes de una forma lógica, dado que no tiene sentido acudir al órgano de protección del dato para que active sus facultades de vigilancia, control y sanción, por señalar solo algunas, en relación con el responsable o encargado del dato, cuando éste ni siquiera conoce las pretensiones del titular y no ha tenido la oportunidad de decidir si le asiste o no razón, porque no ha hecho uso de los mecanismos para consulta y reclamo que debe implementar todo responsable y encargado del tratamiento, según los artículos 17 y 18, literales k) y f), respectivamente.